Sistemi di IA ad alto rischio: requisiti e conformità secondo l’AI Act

Nell’articolo precedente, abbiamo esaminato i sistemi di IA vietati dal Regolamento europeo sull’intelligenza artificiale (AI Act) e le tematiche considerate ad alto rischio.

In questa seconda “puntata” del nostro ciclo di approfondimenti, analizzeremo i requisiti per i sistemi di IA ad alto rischio, con particolare focus sui requisiti normativi necessari per garantire la conformità, oltre ai criteri di sicurezza e affidabilità.

Quando un sistema di IA è valutato come ad alto rischio, i soggetti coinvolti devono rispettare le disposizioni stabilite dall’AI Act. In particolare, i fornitori devono garantire il rispetto della maggioranza degli obblighi previsti dalla normativa, nonché la corretta implementazione e gestione del sistema.

I. Obblighi dei fornitori

Il regolamento stabilisce che i provider di sistemi di IA ad alto rischio debbano garantire una serie dettagliata di requisiti, tra cui:

1. Sistema di gestione dei rischi Durante l’intero ciclo di vita del sistema, questo dovrà essere oggetto di revisioni e controlli periodici per identificare e analizzare i rischi conosciuti e prevedibili, nonché i potenziali rischi derivanti da un utilizzo improprio o inappropriato della tecnologia.
2. Modello di governance dei dati È necessario adottare e mantenere standard elevati di qualità e governance dei dati. Questi devono focalizzarsi principalmente sulla definizione di procedure di governance e gestione dei dati conformi alla finalità del sistema, garantendo che il sistema sia pertinente, rappresentativo, privo di errori, completo e adeguato al contesto di utilizzo.
3. Documentazione tecnica dettagliata Prima che il sistema sia immesso sul mercato, il fornitore deve elaborare una documentazione tecnica che includa quanto richiesto nell’allegato IV dell’AI Act. La documentazione deve contenere almeno le seguenti informazioni:
   • Descrizione generale del sistema di IA, comprensiva delle finalità a cui è destinato, una descrizione di base dell’interfaccia utente fornita all’utilizzatore o deployer, e le relative istruzioni per l’uso.
   • Descrizione dettagliata degli elementi costitutivi del sistema, incluse le misure di sorveglianza umana e le misure di cibersicurezza implementate.
   • Monitoraggio, funzionamento e controllo: informazioni sulle capacità e limitazioni del sistema, compresi possibili risultati indesiderati e le fonti di rischio per la salute, la sicurezza e i diritti fondamentali.
   • Idoneità delle metriche di prestazione: descrizione delle metriche utilizzate per valutare il funzionamento del sistema.
   • Gestione dei rischi: descrizione dettagliata delle procedure di gestione dei rischi.
   • Modifiche nel ciclo di vita del sistema: registrazione delle modifiche apportate durante il ciclo di vita del sistema.
   • Elenco degli standard seguiti: indicazione degli standard adottati durante lo sviluppo e l’implementazione.
   • La documentazione dovrà essere messa a disposizione degli utilizzatori.
4. Garanzia della tracciabilità I sistemi dovranno consentire la registrazione automatica dei log e la loro conservazione, al fine di istituire un sistema di monitoraggio post-commercializzazione e per identificare possibili rischi derivanti dalla qualifica di prodotto ad alto rischio.
5. Soddisfare un livello adeguato di accuratezza, robustezza e sicurezza informatica I sistemi devono essere progettati per raggiungere un livello adeguato di accuratezza, robustezza e sicurezza informatica, riducendo il rischio di malfunzionamenti e vulnerabilità informatiche.
6. Supervisione umana È necessario prevedere una supervisione umana durante il funzionamento del sistema, non solo per monitorare la funzionalità, ma anche per intervenire in caso di malfunzionamenti o situazioni impreviste.
7. Valutazione della conformità e dimostrazione della conformità I fornitori di sistemi ad alto rischio devono sottoporsi a una valutazione della conformità ai requisiti dell’AI Act. A seconda della tipologia di sistema, la valutazione può essere basata su controlli interni (che non richiedono l’intervento di autorità regolatorie) o su un sistema di gestione della qualità e documentazione tecnica che prevede l’intervento di un’autorità di regolamentazione.
8. Monitoraggio post-commercializzazione È necessario istituzionalizzare un sistema di monitoraggio continuo del sistema, per raccogliere dati sugli eventuali rischi o problematiche emerse una volta che il sistema è stato immesso sul mercato.
9. Registrazione I sistemi di IA ad alto rischio devono essere registrati presso le autorità dell’UE prima di essere immessi sul mercato o messi in servizio. Questa registrazione è obbligatoria anche se il sistema, pur rientrando tra quelli ad alto rischio, può essere escluso dalle eccezioni di cui abbiamo parlato nel nostro precedente articolo.

II. Obblighi dei deployer

Oltre agli obblighi a carico dei fornitori, anche i deployer, cioè gli utilizzatori dei sistemi di IA, sono tenuti a rispettare requisiti specifici per garantire la conformità e la sicurezza dei sistemi di IA ad alto rischio. Tra gli obblighi principali previsti dall’articolo 26 dell’AI Act, i deployer devono assicurare i seguenti requisiti:

1. Documentazione tecnica I deployer devono garantire l’utilizzo del sistema in conformità con la documentazione tecnica fornita dal fornitore, seguendo le istruzioni d’uso e garantendo che siano rispettate le procedure di sicurezza previste.
2. Sorveglianza umana Inoltre, devono affidare la sorveglianza umana a persone competenti e adeguatamente formate, al fine di garantire il corretto funzionamento e intervento in caso di necessità.
3. Monitoraggio post-commercializzazione È responsabilità dei deployer monitorare l’utilizzo del sistema e raccogliere dati relativi ai possibili impatti o rischi derivanti dall’uso della tecnologia. Inoltre, i deployer devono segnalare eventuali malfunzionamenti o rischi al fornitore e alle autorità competenti, nel caso in cui vengano individuati problemi di sicurezza o violazioni dei diritti fondamentali.
4. Garanzia di tracciabilità Così come imposto per i fornitori, i deployer sono tenuti a conservare i log generati dal sistema, per un periodo di almeno 6 mesi, salvo diversa disposizione normativa.
5. Obblighi di informazione ai lavoratori Prima di mettere in servizio o utilizzare un sistema di IA ad alto rischio sul luogo di lavoro, i deployer che rivestono il ruolo di datori di lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati riguardo all’uso del sistema di IA, in conformità con lo Statuto dei Lavoratori e normativa applicabile.
6. Valutazione d’impatto sui diritti fondamentali È obbligatorio per i deployer effettuare una valutazione d’impatto sui diritti fondamentali per garantire che l’uso del sistema non violi i diritti e le libertà degli individui, come richiesto dall’art. 27 dell’AI Act.
7. Obblighi collegati ai dati personali Inoltre, dovranno effettuare una valutazione d’impatto sulla protezione dei dati, in conformità con l’articolo 35 del GDPR, nel caso in cui il sistema tratti dati personali.

Conclusioni

In sintesi, sia i fornitori che i deployer di sistemi di IA ad alto rischio hanno una serie di obblighi importanti per garantire la conformità alle normative europee e la sicurezza nell’uso della tecnologia.

Nel prossimo articolo, approfondiremo i sistemi di IA soggetti a un livello di rischio limitato e minimo. Rimanete sintonizzati per ulteriori approfondimenti su come navigare il complesso panorama normativo dell’intelligenza artificiale in Europa.