Utilizzare l’IA per la rendicontazione GRI: cosa può essere automatizzato e cosa richiede il giudizio umano

I requisiti GRI si applicano all’organizzazione che redige la rendicontazione. Un sistema di IA può produrre testo, classificazioni o segnalazioni di anomalie, ma non diventa il responsabile dei dati, l’approvatore della materialità, il consulente legale, il prestatore di assurance o l’organo di governo più elevato. L’organizzazione deve comunque applicare i principi di rendicontazione, conservare evidenze verificabili e fornire supporto per ogni giudizio.

Inoltre, non esiste un unico controllo sull’“accuratezza dell’IA”. I rischi variano in base all’attività: un errore di sintesi, un numero relativo a un’informativa inventato, un calcolo errato, una violazione della riservatezza e una conclusione sulla materialità formulata con eccessiva sicurezza richiedono controlli diversi. Il modello operativo dovrebbe classificare il caso d’uso prima che lo strumento venga utilizzato.

1. Classificare il caso d'uso e il rischio. Definire se il sistema automatizzerà, assisterà, informerà una decisione o redigerà una dichiarazione pubblica.

2. Approvare il perimetro delle fonti e dei dati. Utilizzare gli standard ufficiali correnti, i documenti controllati dell'organizzazione e i livelli di accesso consentiti.

3. Definire il contratto dell'output. Indicare lo schema richiesto, le dichiarazioni vietate, le etichette di confidenza e ciò che il sistema deve segnalare come sconosciuto.

4. Generare garantendo la tracciabilità. Conservare i riferimenti alle fonti, il modello/la versione, il prompt o modello, l'insieme dei dati recuperati e l'output.

5. Eseguire la revisione tecnica e delle evidenze. Convalidare gli identificativi delle informative, i perimetri, i calcoli, i fatti, gli esempi e le limitazioni.

6. Sottoporre a specialisti le decisioni specialistiche. Inviare le questioni legali, relative ai diritti umani, scientifiche, attuariali, di assurance o di privacy a revisori qualificati.

7. Approvare la risposta canonica e la formulazione pubblica. Separare la preparazione dall'approvazione tecnica o di governance finale.

8. Archiviare e monitorare. Conservare le modifiche accettate, gli output rifiutati, i registri degli incidenti, i test di regressione e i trigger di aggiornamento.

Nessuna fonte, nessuna asserzione normativa: il sistema deve restituire una lacuna nella fonte anziché completare la logica attingendo alla memoria.

Utilizzare il recupero da documenti approvati e memorizzare riferimenti esatti alla fonte per ogni asserzione.

Verificare in modo indipendente tutti i numeri GRI, i titoli, le edizioni, le date di entrata in vigore e le regole relative ai motivi di omissione.

Eseguire i calcoli in fogli di calcolo o codice trasparenti, non mediante la generazione linguistica libera.

Separare la mappatura candidata dalla mappatura approvata e la formulazione candidata dalla formulazione pubblicata.

Utilizzare un registro delle espressioni da non usare per le asserzioni relative a conformità, certificazione, equivalenza, assurance e impatto causale.

Richiedere etichette di confidenza e conservare le condizioni insieme all'asserzione a cui si riferiscono.

Eseguire test di regressione su scenari notoriamente difficili e confrontare gli output quando cambiano il modello o il prompt.

Bloccare le informazioni personali, relative a reclami, privilegiate o riservate del cliente nei sistemi non approvati.

Monitorare gli errori e i quasi incidenti e ritirare i contenuti generati dall'IA che non possono essere verificati.

Il Framework volontario di gestione del rischio dell’IA del NIST organizza la gestione del rischio attraverso Govern, Map, Measure e Manage. Il suo Profilo per l’IA generativa aggiunge azioni adattate ai rischi dell’IA generativa, mentre il Playbook offre azioni di attuazione suggerite anziché una lista di controllo obbligatoria. I Principi dell’IA dell’OCSE rafforzano trasparenza, spiegabilità, robustezza, sicurezza e responsabilità. Si tratta di fonti generali di governance; non modificano i requisiti GRI né rendono tecnicamente corretto un output dell’IA.

Un ipotetico team di rendicontazione chiede a uno strumento di IA generativa di elaborare un Indice dei contenuti GRI a partire da una bozza di relazione. Lo strumento individua molti riferimenti corretti alle informative, ma inventa due numeri di informativa, indica come completi diversi requisiti parziali e descrive una dichiarazione di assurance sulle emissioni selezionate come se riguardasse la relazione. Il flusso di lavoro controllato individua gli errori perché ogni voce deve collegarsi a un requisito della fonte approvata, a una posizione esatta nella relazione e a un responsabile delle evidenze. Il revisore finale respinge gli identificativi inventati, registra con precisione i requisiti incompleti e restringe la formulazione relativa all’assurance.

Trattare un tono di elevata sicurezza come prova di correttezza.

Utilizzare una ricerca web non controllata quando gli standard ufficiali aggiornati sono disponibili nel pacchetto di fonti.

Consentire al modello di fondere i requisiti GRI, ESRS e IFRS in una falsa equivalenza.

Non preservare la condizione o l’eccezione esatta associata a un enunciato normativo.

Utilizzare l’IA per formulare una motivazione dell’omissione o una conclusione giuridica senza il supporto di un consulente legale.

Accettare una mappatura automatizzata a livello di titolo dell’informativa omettendo i sottorequisiti.

Non conservare alcuna registrazione del modello, del prompt, dell’insieme di fonti o delle modifiche umane.

Inserire informazioni riservate relative a reclami o informazioni personali in un ambiente non approvato.

Delegare l’approvazione finale delle asserzioni e della pubblicazione alla stessa persona che ha generato la bozza.

Per ogni attività significativa assistita dall'IA, conservare il caso d'uso, il modello, il fornitore e la versione, la versione del prompt o del flusso di lavoro, la fonte approvata e l'insieme di recupero, la classificazione dell'input, l'output, i riferimenti alla fonte, il livello di confidenza e i limiti, la revisione umana e la decisione finale. Conservare le modifiche accettate, gli output rifiutati, gli incidenti, i test di regressione e i trigger di aggiornamento affinché il risultato possa essere riprodotto e sottoposto nuovamente a revisione quando cambiano le evidenze, gli standard o il modello.