Benvenuti a Legal Prompting, il podcast dedicato al metodo giuridico nell'era dell'AI. Sono Nicola
Fabiano e questo è l'episodio 7. Nell'episodio precedente abbiamo visto come usare l'AI per
analizzare contratti e clausole, individuare criticità, confrontare versioni. Ora facciamo
un passo avanti. Quei prompt non vivono in isolamento, vivono dentro processi aziendali,
dentro flussi di compliance che coinvolgono persone, documenti, scadenze e responsabilità.
Oggi parliamo di Legal Prompting nei processi di compliance aziendale. Compliance è una parola
ampia. Include privacy, anticorruzione, antiriciclaggio, sicurezza delle informazioni,
modelli 231, controlli interni. In ognuno di questi ambiti l'AI può aiutare, ma può anche
introdurre rischi nuovi se viene inserita senza criterio. Partiamo da un principio. L'AI non è
uno strumento neutro che si aggiunge a un processo esistente. L'AI cambia il processo,
chi fa cosa, come si documenta una decisione, chi è responsabile di un esito. Prima di iscrivere
un prompt occorre chiedersi dove quel prompt entra nel flusso e cosa cambia rispetto al
modo in cui le cose si facevano prima. Vediamo tre applicazioni concrete. Prima applicazione,
la gestione delle richieste degli interessati ai sensi del GDPR. Un titolare del trattamento
riceve richieste di accesso, cancellazione, portabilità. L'AI può aiutare nella prima
classificazione della richiesta, nell'estrazione delle informazioni rilevanti, nella verifica
preliminare dei termini. Il prompt deve specificare il quadro normativo, il ruolo di chi richiede,
il tipo di richiesta. La risposta dell'AI è una bozza tecnica. La decisione resta del responsabile.
Seconda applicazione, la revisione periodica delle politiche aziendali. Codici, etici, policy,
privacy, procedure interne. L'AI può confrontare la versione attuale con i riferimenti normativi
aggiornati e segnalare incongruenze, lacune, riferimenti obsoleti. Il prompt deve indicare
gli standard di riferimento e il perimetro della revisione. L'output è una mappa delle criticità,
non una nuova versione del documento. Terza applicazione, il monitoraggio delle
segnalazioni interne, il whistleblowing. L'AI può aiutare nella prima triage delle segnalazioni e
nella categorizzazione per tipologia di rischio. Qui la cautela è massima. Le segnalazioni
contengono dati sensibili, identità da proteggere, fatti che potrebbero diventare oggetto di indagini.
L'infrastruttura deve garantire confidenzialità, traziabilità, segregazione dei dati. Non è una
questione di prompt, è una questione di governance. Da queste applicazioni emerge una regola operativa.
Ogni uso dell'AI nella compliance va documentato. Quale prompt è stato usato, su quale modello,
da quale operatore, con quale esito. Senza questa documentazione la compliance non è
verificabile. È un processo non verificabile, non è conforme, qualunque sia il risultato apparente.
C'è un altro punto. L'AI introduce un nuovo rischio operativo, il rischio di automatizzare l'errore.
Se un prompt è impreciso, ogni uso di quel prompt produrrà un esito impreciso. La scala dell'errore
cresce con la scala dell'uso. Per questo i prompt aziendali vanno trattati come strumenti operativi.
Vanno versionati, testati, validati, aggiornati, come si fa con qualsiasi procedura. E poi c'è la
responsabilità. L'AI non risponde di nulla. Risponde il titolare del trattamento, il datore
di lavoro, il professionista, il consulente. La supervisione umana non è un dettaglio formale,
è l'unico modo per riportare le decisioni a soggetti che possono risponderne. Nel prossimo
episodio entreremo in un terreno delicato. Il segreto professionale è la scelta dell'infrastruttura
AI. Quali modelli si possono usare, quali no, e perché la scelta dell'infrastruttura è già
una decisione di compliance. Per restare aggiornati iscrivetevi alla newsletter sul mio
blog vicfab.eu. Grazie per l'ascolto. Appuntamento al prossimo episodio.