ETD

• AI governance
• automated decision-making (GDPR Article 22)
• EU AI Act
• human oversight
• legal operations and compliance

As generative AI becomes embedded in legal and compliance work, regulatory instruments such as the EU AI Act and Article 22 GDPR increasingly define who is accountable for automated decisions and what affected individuals must be told. These instruments offer limited guidance, however, on how such obligations should be translated into the systems and processes through which AI is actually used. This thesis addresses that implementation gap, asking how organisations should govern, implement, monitor, and operationalise generative AI within legal operations and compliance functions. Drawing on regulatory analysis, ethical theory, a technical study of agentic AI, and a worked example of AI-assisted contract and data processing agreement review, it argues that responsible implementation depends on the simultaneous operation of three elements: technical capability, regulatory compliance, and ethical accountability. Compliance, it contends, does not amount to accountability, and human oversight cannot be assumed but must be deliberately designed into the workflow. The thesis advances the central claim that AI governance must move from regulation to workflow, embedding controls such as retrieval grounding, audit logging, confidentiality safeguards, and mandatory human sign-off into operational practice. In doing so, it reframes AI risk as a question of organisational design and identifies an emerging professional space spanning AI governance, legal engineering, and compliance operations, in which legal expertise combines with technical and operational understanding to make regulatory requirements effective in practice.

Con l'integrazione dell'IA generativa nel lavoro legale e di compliance, strumenti normativi come l'AI Act dell'Unione europea e l'articolo 22 del GDPR definiscono in misura crescente chi è responsabile delle decisioni automatizzate e quali informazioni debbano essere fornite alle persone interessate. Tali strumenti offrono però indicazioni limitate su come questi obblighi debbano tradursi nei sistemi e nei processi attraverso cui l'IA viene effettivamente utilizzata. Questa tesi affronta tale divario di attuazione, chiedendosi come le organizzazioni debbano governare, implementare, monitorare e rendere operativa l'IA generativa all'interno delle funzioni legali e di compliance. Attraverso l'analisi normativa, la teoria etica, uno studio tecnico dell'IA agentica e un esempio pratico di revisione assistita dall'IA di contratti e accordi sul trattamento dei dati, sostiene che un'attuazione responsabile dipende dall'operare congiunto di tre elementi: capacità tecnica, conformità normativa e responsabilità etica. La conformità, si argomenta, non equivale alla responsabilità, e la supervisione umana non può essere presupposta ma deve essere deliberatamente progettata all'interno del workflow. La tesi avanza la tesi centrale secondo cui la governance dell'IA deve passare dalla regolamentazione al workflow, integrando controlli quali il grounding tramite retrieval, la registrazione di audit, le garanzie di riservatezza e l'approvazione umana obbligatoria nella pratica operativa. Così facendo, ridefinisce il rischio dell'IA come una questione di progettazione organizzativa e individua uno spazio professionale emergente, che abbraccia AI governance, legal engineering e compliance operations, in cui la competenza giuridica si combina con la comprensione tecnica e operativa per rendere efficaci nella pratica i requisiti normativi.