Tra i temi di maggiore attualità per i broker assicurativi c’è l’ingresso sempre più diffuso degli strumenti di intelligenza artificiale nell’attività quotidiana.
La domanda da cui partire è semplice: sappiamo quali strumenti vengono già utilizzati da dipendenti e collaboratori e quali dati vi vengono inseriti?
In molte organizzazioni l’intelligenza artificiale è già entrata nei processi prima ancora che sia stata adottata una vera e propria policy aziendale sul suo utilizzo. Un dipendente usa uno strumento generativo per riassumere un documento, un collaboratore lo impiega per predisporre una mail, un altro inserisce il testo di un contratto per ottenere una sintesi, oppure utilizza un assistente AI per preparare una risposta a un cliente.
Non è detto che queste attività siano state autorizzate, censite o anche soltanto conosciute dall’organizzazione, ed è proprio da qui che conviene partire.
Per chi si occupa di privacy, la prima domanda riguarda naturalmente i dati. Quali informazioni vengono inserite nei sistemi? Dati identificativi, informazioni sui clienti, documentazione contrattuale, dati relativi ai sinistri, informazioni sanitarie, corrispondenza interna?
Nel settore assicurativo il tema è particolarmente delicato perché i flussi informativi possono contenere categorie di dati molto diverse e, in alcuni casi, dati appartenenti alle categorie particolari previste dall’art. 9 GDPR. Il problema non riguarda soltanto gli strumenti dichiaratamente dedicati all’intelligenza artificiale. Sempre più applicazioni già presenti nell’operatività aziendale incorporano, infatti, funzioni di AI che possono essere attivate senza che l’utente percepisca davvero il cambiamento.
Occorre quindi capire che cosa viene già utilizzato in azienda. Chi ha autorizzato lo strumento? Con quali credenziali viene utilizzato? Quali dati possono essere inseriti? Dove vengono trattati? Per quanto tempo sono conservati? Possono essere riutilizzati dal fornitore? Esistono versioni aziendali che consentono un maggiore controllo rispetto agli account utilizzati individualmente?
Il GDPR, però, è solo una faccia della medaglia. Quando l’intelligenza artificiale entra nei processi aziendali occorre considerare anche l’AI Act, che modula gli obblighi in funzione delle caratteristiche e dell’utilizzo del sistema.
Nel settore assicurativo questo passaggio è particolarmente evidente. L’Allegato III dell’AI Act comprende tra i casi ad alto rischio i sistemi destinati alla valutazione e alla determinazione dei prezzi nei confronti delle persone fisiche nelle assicurazioni vita e malattia. Per questi sistemi sono previsti obblighi più rigorosi in materia di governance, dati, documentazione, trasparenza e sorveglianza umana.
L’applicazione di questa disciplina è stata rinviata al 2 dicembre 2027; attenzione, però, la proroga non dovrebbe indurre ad aspettare, censire gli strumenti già utilizzati, chiarire i ruoli, verificare i flussi di dati, definire procedure, formare il personale e inserire l’AI nei controlli interni richiede tempo, soprattutto quando questi strumenti sono già entrati nell’operatività quotidiana.
Per un broker ciò non significa che ogni utilizzo dell’AI ricada automaticamente nella disciplina più stringente. Non basta però considerare lo strumento come un software acquistato da un fornitore, occorre chiedersi che cosa fa, dove entra nel processo e quale peso assume il suo risultato.
C’è una differenza evidente tra utilizzare un sistema per migliorare la forma di una comunicazione interna e impiegarlo per analizzare una posizione assicurativa, selezionare informazioni destinate al cliente, supportare una raccomandazione o incidere su una decisione che lo riguarda.
Anche il ruolo assunto dall’organizzazione conta, chi utilizza un sistema sviluppato da altri opera normalmente come deployer, mentre chi sviluppa o fa sviluppare un sistema e lo mette sul mercato o in servizio con il proprio nome assume il ruolo di provider; la distinzione incide sugli obblighi applicabili e, di conseguenza, anche sulle regole interne.
La policy non può quindi limitarsi a indicare quali strumenti siano consentiti, dovrebbe almeno individuare gli strumenti autorizzati, stabilire quali dati possono essere inseriti, chiarire chi può introdurre nuove applicazioni o integrarle nei processi e prevedere un controllo periodico sugli utilizzi effettivi.
Lo stesso vale per la sorveglianza umana, se chi riceve l’output del sistema tende a considerarlo corretto per definizione, il controllo esiste soltanto sulla carta.
Per un broker il tema riguarda anche la qualità dell’informazione utilizzata nell’attività professionale. Un testo prodotto da un sistema generativo può essere convincente, ben scritto e perfettamente plausibile senza essere necessariamente corretto. Il problema emerge con particolare evidenza quando vengono sintetizzate norme, condizioni di polizza, clausole contrattuali o caratteristiche di prodotti assicurativi.
La risposta non può essere un divieto generalizzato dell’AI, sarebbe spesso poco realistico e potrebbe semplicemente spostarne l’utilizzo fuori dai canali aziendali. È, invece, più utile definire regole comprensibili, distinguendo gli impieghi ammessi da quelli che richiedono particolari cautele e da quelli che non sono compatibili con l’attività svolta.
In questo contesto rientra anche l’AI literacy, posto che l’AI Act richiede a provider e deployer di adottare misure per sostenere lo sviluppo delle competenze del personale e delle altre persone che utilizzano sistemi di intelligenza artificiale per loro conto, tenendo conto delle conoscenze, dell’esperienza, della formazione e del contesto di utilizzo.
In termini pratici, ciò non significa trasformare ogni dipendente in un tecnico, significa fare in modo che chi utilizza questi strumenti ne conosca capacità e limiti, sappia quando può utilizzarli, quali informazioni non deve inserire e quando un risultato deve essere verificato prima di entrare in un processo aziendale o arrivare al cliente.
Una policy che si limiti a richiamare GDPR, AI Act e obblighi di riservatezza difficilmente cambierà i comportamenti. Serve qualcosa di più vicino al lavoro quotidiano, che permetta di rispondere a domande molto semplici: posso inserire il testo di una polizza? Posso utilizzare il nome del cliente? Posso caricare una denuncia di sinistro o un referto medico? Posso chiedere al sistema di preparare una comunicazione commerciale partendo dai dati contenuti nel CRM?
Proprio quando rispondono a domande di questo tipo, le regole smettono di essere concetti astratti per diventare strumenti concretamente utilizzabili.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
