Una policy di uso accettabile dell'IA per i team della moda: una checklist

Una policy di uso accettabile dell'IA per un'azienda di moda dovrebbe rispondere in poche pagine a sei domande: quali strumenti sono approvati, quali dati si possono inserire, che cosa va controllato prima di usare l'output, quando l'uso dell'IA va dichiarato, che cosa è vietato e chi avvisare quando qualcosa va storto. La checklist che segue trasforma queste domande in voci che un team può spuntare, con riferimenti all'AI Act dell'UE e al framework volontario NIST dove utili.

Perché un team di moda ha bisogno di una policy di uso accettabile dell'IA?

Gli strumenti di IA arrivano ai team della moda da più direzioni contemporaneamente: strumenti generativi per testi e immagini, funzioni integrate nelle piattaforme PLM, di merchandising ed e-commerce e account personali che il personale apre per conto proprio. Senza una policy, ogni team decide per conto proprio che cosa incollare in un prompt, il che può includere collezioni non ancora presentate, prezzi dei fornitori, condizioni dei retailer o dati dei clienti.

C'è anche una ragione giuridica. L'articolo 4 dell'AI Act chiede a fornitori e deployer di adottare misure per sostenere l'alfabetizzazione in materia di IA del proprio personale e di altre persone che si occupano del funzionamento e dell'uso dei sistemi di IA per loro conto, tenendo conto delle loro conoscenze tecniche, esperienza, istruzione, formazione e contesto. L'articolo precisa che non impone un livello garantito di alfabetizzazione per ogni singolo individuo. Una policy scritta, i registri di formazione e i responsabili indicati nominativamente sono un modo ragionevole per dimostrare che tali misure esistono.

Che cosa deve coprire la policy? La checklist

Usate l'elenco seguente come struttura di partenza. Ogni voce dovrebbe diventare nella policy una o due frasi, con un responsabile.

1. Finalità e ambito: indicare chi è coperto (dipendenti, freelance, agenzie) e quali strumenti (assistenti generativi, funzioni integrate, agenti).
2. Elenco degli strumenti approvati: nominare gli strumenti consentiti per il lavoro, le versioni o gli account e chi approva le aggiunte.
3. Account personali: stabilire se i contenuti di lavoro possono essere inseriti in account consumer.
4. Classi di dati: definire che cosa non si può mai inserire (per esempio dati personali di clienti o dipendenti, design non ancora presentati, condizioni contrattuali, dati sui costi dei fornitori) e che cosa è consentito.
5. Revisione umana: stabilire quali output richiedono il controllo di una persona indicata nominativamente prima dell'uso, come dichiarazioni sui prodotti, informazioni su taglie e tessuti, testi legali e messaggi ai clienti.
6. Informativa: dire quando l'uso dell'IA va dichiarato a clienti, partner retail o colleghi.
7. Proprietà intellettuale: fissare regole per i design generati, per i prompt che fanno riferimento a designer o marchi con nome e per l'uso di immagini di terzi come input.
8. Usi vietati: elencare gli usi che non sono consentiti.
9. Incidenti: spiegare come segnalare un output errato, dannoso o trapelato, e a chi.
10. Formazione: richiedere onboarding e aggiornamenti, con registrazione.
11. Responsabilità e revisione: indicare il responsabile della policy e un ciclo di revisione.

Leggi anche

Che cosa dovrebbe chiedere un consiglio di amministrazione sull'IA? Un briefing per gli amministratori della moda

Quali dati il personale non deve mai inserire in uno strumento di IA?

Le regole sui dati sono la parte della policy in cui il personale ha più bisogno di concretezza. Una breve tabella aiuta.

I contratti con retailer e fornitori possono limitare il modo in cui i loro dati vengono trattati, quindi la policy dovrebbe indicare al personale di controllare prima di inserire tale materiale. Quando sono coinvolti dati personali, il diritto UE in materia di protezione dei dati si applica in parallelo all'AI Act, che all'articolo 2 afferma di lasciare impregiudicato tale diritto.

Quando una persona deve controllare l'output dell'IA?

Fissate le regole di revisione in base alle conseguenze, non allo strumento. Gli output che vengono pubblicati, inviati a un cliente o a un partner, usati in una dichiarazione legale o regolamentare, o usati per prendere decisioni sulle persone meritano un revisore indicato nominativamente. Voci tipiche nella moda includono le dichiarazioni su sostenibilità e materiali, le informazioni su taglie e cura, le affermazioni su prezzo o disponibilità e qualsiasi testo presentato come proveniente dall'azienda. Le bozze interne e il brainstorming possono avere una revisione più leggera. La policy dovrebbe anche precisare che la persona che pubblica l'output ne resta responsabile, un principio che tribunali e corti hanno applicato agli output dei chatbot sui siti aziendali.

Che cosa deve vietare la policy?

Un elenco di divieti è breve ma specifico. I candidati tratti dall'AI Act includono l'uso dell'IA per inferire le emozioni dei dipendenti, che l'articolo 5 vieta sul luogo di lavoro e negli istituti di istruzione salvo per motivi medici o di sicurezza. Oltre alla legge, molte aziende aggiungono: inserire dati riservati in strumenti non approvati, presentare come umano un output dell'IA quando è attesa un'informativa, generare immagini di persone reali senza consenso e usare l'IA per prendere o sostenere decisioni sul personale senza una revisione documentata. Gli strumenti per la selezione del personale e la gestione dei lavoratori sono indicati come usi ad alto rischio nell'allegato III dell'Act, con obblighi applicabili da dicembre 2027 a seguito del digital omnibus.

Leggi anche

Governance dell'IA per le aziende di moda: un punto di partenza pragmatico

Come deve gestire l'informativa la policy?

Si applicano due livelli. Sul piano giuridico, l'articolo 50 dell'AI Act, applicabile dal 2 agosto 2026, richiede che le persone siano informate quando interagiscono con un sistema di IA, che i contenuti sintetici siano marcati dai fornitori e che i deepfake siano dichiarati dai deployer. Sul piano commerciale, i partner retail possono chiedere ai fornitori di indicare come viene usata l'IA nei contenuti di prodotto. La policy dovrebbe indicare chi decide la formulazione dell'informativa per i clienti e per i partner, in modo che i singoli team non improvvisino.

Il NIST AI Risk Management Framework, pubblicato nel gennaio 2023, è destinato a un uso volontario ed è costruito attorno a quattro funzioni: Govern, Map, Measure e Manage. Nel luglio 2024 il NIST ha pubblicato anche un profilo per l'IA generativa. Un'azienda di moda può prendere in prestito la struttura senza adottare l'intero framework. Govern corrisponde a responsabile, approvazioni e formazione. Map corrisponde al registro di strumenti e casi d'uso. Measure corrisponde al campionamento delle revisioni e al monitoraggio degli errori. Manage corrisponde alla gestione degli incidenti e alla dismissione degli strumenti.

Assegnate un responsabile unico, spesso del legale, dell'IT o di un gruppo interfunzionale sull'IA, e un rappresentante per design, merchandising, e-commerce, wholesale e HR. Procedete al lancio con brevi sessioni che usano esempi di moda invece di regole astratte, registrate le presenze e fissate una data per la prima revisione. Tenete traccia delle domande che arrivano nei primi mesi, perché mostrano dove la policy è poco chiara.