Obblighi per i sistemi ad alto rischio

Requisiti del sistema e doveri del fornitore

Gli articoli da 9 a 15 richiedono un sistema di gestione dei rischi, la governance dei dati di addestramento, convalida e prova, documentazione tecnica, registrazione automatica degli eventi, istruzioni per l’uso chiare, una sorveglianza umana efficace e livelli adeguati di accuratezza, robustezza e cibersicurezza.

Inoltre il fornitore istituisce un sistema di gestione della qualità (art. 17), sottopone il sistema a valutazione della conformità (art. 43), lo registra nella banca dati dell’UE quando previsto (art. 49), mantiene un monitoraggio successivo all’immissione sul mercato (art. 72) e segnala gli incidenti gravi entro quindici giorni da quando ne viene a conoscenza (art. 73, par. 2).

Dopo l’Omnibus, le PMI e le piccole imprese a media capitalizzazione possono presentare la documentazione tecnica in un modulo semplificato della Commissione (art. 11, par. 1), e il sistema di gestione della qualità si applica in proporzione alle dimensioni del fornitore (art. 17, par. 2).

Che cosa fa il deployer

L’articolo 26 obbliga il deployer a usare il sistema secondo le istruzioni, ad affidare la sorveglianza umana a persone con competenza, formazione e autorità, ad assicurarsi che i dati di input sotto il suo controllo siano pertinenti, a monitorarne il funzionamento e a sospenderne l’uso se rileva un rischio, e a conservare i log generati dal sistema per almeno sei mesi.

Se il sistema è usato sul lavoro, il datore di lavoro informa preventivamente i rappresentanti dei lavoratori e i lavoratori interessati (art. 26, par. 7). Se è usato per prendere o supportare decisioni sulle persone in un ambito dell’allegato III, informa tali persone (art. 26, par. 11).

Valutazione d’impatto sui diritti fondamentali

L’articolo 27 la richiede prima dell’uso agli organismi di diritto pubblico, agli enti privati che forniscono servizi pubblici e a chi utilizza sistemi di valutazione dell’affidabilità creditizia o di determinazione dei premi nelle assicurazioni vita e malattia (allegato III, punto 5, lettere b e c).

L’Omnibus consente di rinviare alle parti pertinenti della valutazione d’impatto sulla protezione dei dati dell’articolo 35 del GDPR o di incorporarle, e incarica l’Ufficio per l’IA di predisporre un questionario modello per semplificarla (art. 27, par. 4 e 5).

Da quando

Questi obblighi si applicano dal 2 dicembre 2027 per i sistemi dell’allegato III e dal 2 agosto 2028 per quelli dell’allegato I (art. 113, lettera c). I sistemi ad alto rischio già sul mercato prima di tale data vi sono soggetti solo se in seguito subiscono modifiche significative della progettazione; quelli destinati ad autorità pubbliche devono adeguarsi entro il 2 agosto 2030 (art. 111, par. 2).

Cosa chiede di solito l’auditor

• Istruzioni per l’uso del fornitore ricevute e archiviate
• Persone designate per la sorveglianza umana, con formazione e autorità per intervenire
• Log del sistema conservati per almeno sei mesi
• Rappresentanti dei lavoratori informati prima di usare il sistema sul lavoro
• Valutazione d’impatto sui diritti fondamentali svolta quando l’articolo 27 la richiede

Come affrontarlo in pratica

1. 1Chieda al fornitore le istruzioni per l’uso e la dichiarazione di conformità del sistema e le conservi insieme al contratto.
2. 2Nomini chi sorveglia ciascun sistema ad alto rischio e metta per iscritto che cosa può fare quando l’output non lo convince.
3. 3Inserisca la conservazione dei log e l’informativa al personale nelle procedure di protezione dei dati che ha già.

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

1. Regolamento (UE) 2024/1689 sull’intelligenza artificiale EUR-Lex · GU L 2024/1689 · 12 luglio 2024
2. Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA), che modifica il Regolamento (UE) 2024/1689 EUR-Lex · GU L 2026/1744 · 24 luglio 2026
3. Regolamento (UE) 2024/1689, testo consolidato EUR-Lex · CELEX 02024R1689-20260727 · Versione del 27 luglio 2026
4. Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati EUR-Lex · Applicabile dal 25 maggio 2018