AI ACT – Regolamento UE sull’ intelligenza artificiale (UE)1689/2024

Disamina e sintesi a cura di Marco La Diega www.marcoladiega.it  in riferimento al Regolamento europeo pubblicato in gazzetta.

Per trasparenza si comunica che la stesura del testo/impaginazione è stata eseguita con l’aiuto dell’assistente IA NotebookLM di Google.

 

L’AI Act, il primo regolamento completo sull’intelligenza artificiale approvato dall’Unione Europea, ha un ambito di applicazione molto ampio. L’originalità della normativa risiede nella riconduzione delle applicazioni dell’IA a tre categorie di rischio: rischio inaccettabile, alto rischio e rischio minimo o limitato. La normativa ha un impatto diretto sulle aziende che operano all’interno dell’UE, indipendentemente dal fatto che siano fornitori, utenti, importatori, distributori o produttori di sistemi di intelligenza artificiale. Tutte le parti interessate devono garantire che le loro pratiche legate all’IA siano conformi ai requisiti delineati nel Regolamento. Questo significa che anche le aziende che non hanno sede in UE, ma i cui sistemi di IA vengono utilizzati all’interno del territorio europeo, dovranno adeguarsi alle nuove regole. L’obiettivo è quello di garantire un livello di protezione costante ed elevato in tutta l’Unione.

L’AI Act potrebbe avere un’efficacia su scala globale. Il regolamento è stato pensato come un modello a cui ispirarsi, un “faro” anche al di fuori dell’UE. La normativa europea potrebbe quindi influenzare lo sviluppo di normative simili in altri paesi, contribuendo a creare uno standard globale per l’utilizzo etico e responsabile dell’IA. Già con il GDPR, l’Unione Europea ha dimostrato come una sua normativa potesse diventare un punto di riferimento a livello internazionale.

Tuttavia, la rapida evoluzione tecnologica del settore pone alcune perplessità sulla capacità del regolamento di rimanere al passo con i tempi e sulla schematica previsione di attività più o meno rischiose.

Ambito di applicazione: Il Regolamento si applica a tutti gli operatori economici che immettono sul mercato o mettono in servizio sistemi di IA nell’UE, indipendentemente dalla loro sede. Ciò include fornitori, produttori, importatori, distributori, deployer e utenti. Sono inclusi anche i sistemi di IA utilizzati in prodotti o sistemi disciplinati da altre normative di armonizzazione dell’Unione, come quelle relative a macchine, giocattoli, dispositivi medici e veicoli. Il Regolamento non si applica a sistemi di IA sviluppati o utilizzati esclusivamente per scopi militari, di difesa o di sicurezza nazionale.

Responsabilità: Il Regolamento stabilisce chiaramente le responsabilità dei diversi attori coinvolti nella catena del valore dell’IA. Ad esempio, il fornitore di un sistema di IA ad alto rischio è responsabile della sua conformità ai requisiti del Regolamento. Tuttavia, anche distributori, importatori, deployer e altri terzi possono essere considerati fornitori in determinate circostanze, ad esempio se apportano modifiche sostanziali a un sistema di IA già immesso sul mercato.

Sanzioni: Le fonti forniscono informazioni complete in merito alle sanzioni che possono essere imposte per violazione dell’AI Act. Si noti che, sebbene non utilizzino la parola “SANZIONI”, le fonti fanno riferimento a questo concetto come “sanzioni amministrative pecuniarie”.

Le sanzioni pecuniarie per la violazione dell’AI Act variano a seconda della natura dell’infrazione. Ad esempio, la mancata conformità a qualsiasi disposizione relativa agli organismi notificati, diversa dall’articolo 5, è soggetta a sanzioni amministrative pecuniarie fino a 15.000.000 di euro o, se l’autore è un’impresa, fino al 3% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Come altro esempio, la mancata conformità del sistema di IA ai requisiti o agli obblighi ai sensi del presente regolamento, diversi da quelli previsti all’articolo 5, è soggetta a sanzioni amministrative pecuniarie fino a 750.000 euro.

Per le PMI, comprese le start-up, l’importo di ciascuna sanzione pecuniaria è pari al massimo alle percentuali o all’importo stabiliti, se inferiore.

Nel decidere se infliggere una sanzione amministrativa pecuniaria e nel determinarne l’importo in ogni singolo caso, si tiene conto di tutte le circostanze pertinenti della situazione specifica. Questi fattori includono:

• La natura, la gravità e la durata della violazione e delle sue conseguenze.
• Le dimensioni del fornitore.
• Il grado di responsabilità, tenendo conto delle misure tecniche ed organizzative adottate.
• Eventuali azioni intraprese per mitigare il danno subito dalle persone interessate.
• Il grado di cooperazione con le autorità competenti per porre rimedio alla violazione.

Sistema di IA: Il Regolamento definisce un “sistema di IA” come un sistema automatizzato che, per obiettivi espliciti o impliciti, è in grado di generare output come previsioni, raccomandazioni o decisioni che influenzano gli ambienti con cui interagisce. Tali sistemi sono progettati per funzionare con livelli di autonomia variabili e possono presentare adattabilità dopo la diffusione.

Modelli di IA per Finalità Generali: Questa definizione si riferisce a modelli di IA che, addestrati su grandi quantità di dati, sono caratterizzati da una significativa generalità e possono svolgere un’ampia gamma di compiti distinti. Questi modelli, come ad esempio quelli che utilizzano l’apprendimento auto supervisionato su larga scala, possono essere integrati in una varietà di sistemi e applicazioni.

Sistemi di IA ad Alto Rischio: Sono quei sistemi di IA che, a causa della loro finalità prevista, presentano un alto rischio di pregiudicare la salute e la sicurezza o i diritti fondamentali delle persone. Questi sistemi sono soggetti a obblighi rigorosi, tra cui valutazioni di conformità, sistemi di gestione dei rischi e della qualità, trasparenza e supervisione umana. Esempi includono dispositivi medici, strumenti di reclutamento e sistemi per la gestione delle infrastrutture critiche.

Definizioni Commerciali:

• Catena del Valore dell’IA: Il regolamento riconosce la complessità della catena del valore per i sistemi di IA. Questa catena include diverse figure, come fornitori di sistemi di IA, fornitori di modelli, sviluppatori di software, integratori di sistemi e utenti finali. Il Regolamento stabilisce obblighi e responsabilità specifiche per ogni attore lungo questa catena.
• Spazi di Sperimentazione Normativa per l’IA: Il Regolamento incoraggia la creazione di spazi di sperimentazione normativa per l’IA, che offrono alle aziende un ambiente controllato per testare e sviluppare sistemi di IA innovativi prima della loro immissione sul mercato. Questi spazi sono gestiti da autorità competenti e offrono la possibilità di valutare l’impatto dei sistemi di IA in condizioni reali, garantendo la tutela dei diritti fondamentali e della sicurezza.

Definizioni Etiche:

• IA Antropocentrica: L’approccio del Regolamento all’IA è “antropocentrico”, il che significa che l’IA deve essere sviluppata e utilizzata come strumento al servizio delle persone, rispettando la dignità umana e l’autonomia personale.
• IA Affidabile: Il Regolamento promuove un’IA “affidabile”, che sia tecnicamente robusta e sicura, rispettosa della privacy, trasparente, equa e non discriminatoria, socialmente e ambientalmente responsabile. Per promuovere l’affidabilità, il Regolamento incoraggia l’adozione di codici di condotta volontari che promuovono l’applicazione di principi etici.

 

DEFINIZIONE ATTORI

Le definizioni più importanti in questo contesto sono quelle per fornitore, distributore, importatore, utente e terze parti.

Un fornitore è definito come una persona fisica o giuridica, un’autorità pubblica, un’agenzia o altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali, o che fa sviluppare un sistema o un modello di IA per finalità generali e che immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuito. In determinate circostanze, un distributore, un importatore, un deployer o un’altra terza parte può essere considerato un fornitore di un sistema di IA ad alto rischio e quindi assumersi tutti gli obblighi pertinenti. Ciò si verifica quando tale parte appone il proprio nome o marchio su un sistema di IA ad alto rischio già immesso sul mercato o messo in servizio, o quando apporta una modifica sostanziale a un sistema di IA ad alto rischio già immesso sul mercato o messo in servizio.

Un distributore è qualsiasi persona fisica o giuridica nella catena di approvvigionamento, diversa dal fornitore o dall’importatore, che mette a disposizione sul mercato un sistema di IA. Un importatore è qualsiasi persona fisica o giuridica stabilita nell’Unione che immette sul mercato o mette in servizio un sistema di IA proveniente da un paese terzo.

Un utente è definito come qualsiasi persona fisica o giuridica, comprese un’autorità pubblica, un’agenzia o altro organismo, che utilizza un sistema di IA sotto la sua autorità, tranne quando il sistema di IA è utilizzato nel corso di un’attività personale non professionale.

Le terze parti possono svolgere un ruolo significativo nella catena del valore dell’IA, fornendo sistemi di IA, strumenti e servizi o componenti che sono integrati dal fornitore nel sistema di IA.

 

Le pratiche di intelligenza artificiale vietate.

 

Il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, entrato in vigore il 13 giugno 2024, stabilisce un quadro normativo armonizzato per l’intelligenza artificiale (IA) all’interno dell’Unione Europea, con l’obiettivo di promuovere un’IA antropocentrica e affidabile. Tra le diverse disposizioni, il regolamento identifica specifiche pratiche di IA vietate al fine di garantire un elevato livello di protezione della salute, della sicurezza e dei diritti fondamentali dei cittadini.

Articolo 5 del regolamento elenca le pratiche vietate, che includono:

• L’utilizzo di tecniche subliminali o manipolative: è vietato l’uso di sistemi di IA che impiegano tecniche subliminali che agiscono senza la consapevolezza della persona, o tecniche manipolative o ingannevoli, con l’obiettivo o l’effetto di distorcere il comportamento di un individuo o di un gruppo di persone. Tali sistemi sono considerati lesivi della capacità di prendere decisioni informate e libere, e potrebbero causare danni significativi.
• Sfruttamento delle vulnerabilità: il regolamento vieta l’uso di sistemi di IA che sfruttano le vulnerabilità di specifici gruppi di persone, come quelle dovute all’età, alla disabilità fisica o mentale, al fine di distorcere il comportamento e indurre a compiere azioni che altrimenti non avrebbero intrapreso. Anche in questo caso, la pratica è vietata per la sua capacità di causare danni significativi all’individuo o alla società.
• Sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto: il regolamento vieta l’uso di sistemi di IA per l’identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto, salvo in specifiche eccezioni. Queste eccezioni includono la ricerca di una vittima di reato, la prevenzione di una minaccia specifica e imminente per la vita o la sicurezza fisica di persone fisiche o di un attacco terroristico, l’identificazione o l’individuazione di un sospettato o un autore di un reato grave. Tali eccezioni sono soggette ad autorizzazione giudiziaria o di altra autorità indipendente e a limiti di tempo e geografici.
• Classificazione sociale: il regolamento vieta l’uso di sistemi di IA che classificano le persone fisiche in base al loro comportamento sociale, lo stato socioeconomico o le caratteristiche personali, assegnando loro un punteggio sociale (“social scoring”) che potrebbe portare a un trattamento deteriore o sfavorevole. Tale pratica è considerata discriminatoria e lesiva dei diritti fondamentali.

È importante sottolineare che il divieto di queste pratiche non si applica ai sistemi di IA sviluppati o utilizzati esclusivamente a fini militari.

Il regolamento stabilisce inoltre che la Commissione Europea, in collaborazione con il Consiglio Europeo per l’IA, ha il compito di monitorare l’evoluzione tecnologica e sociale dell’IA, valutando la necessità di aggiornare l’elenco delle pratiche vietate per garantire la protezione dei cittadini dell’Unione.

 

La classificazione dei sistemi di Intelligenza Artificiale ad alto rischio: l’approccio risk based come scelta legislativa per la regolamentazione dei sistemi AI.

 

Il Regolamento (UE) 2024/1689 introduce un approccio basato sul rischio (“risk-based”) per la regolamentazione dei sistemi di Intelligenza Artificiale (IA). Questo approccio si basa sull’idea che il livello di regolamentazione debba essere proporzionato al livello di rischio che un sistema di IA può comportare per la salute, la sicurezza o i diritti fondamentali delle persone fisiche.

In questo contesto, il regolamento distingue tra:

• Sistemi di IA inaccettabili: sono sistemi il cui utilizzo è vietato per i rischi inaccettabili che comportano. Questi rischi riguardano la manipolazione del comportamento umano, lo sfruttamento delle vulnerabilità di gruppi specifici e l’utilizzo di sistemi di identificazione biometrica remota in tempo reale in spazi pubblici per finalità di contrasto.
• Sistemi di IA ad alto rischio: sono sistemi che, pur non presentando rischi inaccettabili, richiedono un elevato livello di attenzione a causa del loro potenziale impatto negativo. La classificazione di un sistema di IA come ad alto rischio si basa su due criteri principali:
  • Il sistema è un componente di sicurezza di un prodotto o è esso stesso un prodotto disciplinato da una normativa di armonizzazione dell’Unione elencata nell’Allegato I del regolamento e soggetto a valutazione di conformità da parte di terzi.
  • Il sistema è incluso nell’elenco di sistemi di IA ad alto rischio presente nell’Allegato III del regolamento, a meno che non si dimostri che non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche.
• Altri sistemi di IA: per questi sistemi, il regolamento non stabilisce obblighi specifici, ma incoraggia i fornitori a sviluppare e applicare volontariamente codici di condotta che promuovano l’adozione di pratiche etiche e responsabili.

L’approccio “risk-based” permette di calibrare la regolamentazione in base all’effettivo livello di rischio dei sistemi di IA, evitando di soffocare l’innovazione con obblighi eccessivi per sistemi a basso rischio.

Il regolamento riconosce la rapida evoluzione dell’IA e la necessità di aggiornare il quadro normativo per adattarlo ai nuovi sviluppi tecnologici. Per questo motivo, la Commissione Europea, in collaborazione con il Consiglio Europeo per l’IA, ha il compito di monitorare l’evoluzione dell’IA e valutare la necessità di aggiornare l’elenco delle pratiche vietate e dei sistemi ad alto rischio.

 

GDPR E AI ACT

Il Regolamento sull’IA e il GDPR adottano entrambi un approccio basato sul rischio (“risk-based”) per la regolamentazione, ma con alcune differenze chiave nella loro applicazione.

Regolamento IA:

• “IA ad alto rischio”: Il Regolamento IA definisce “IA ad alto rischio” come quei sistemi che presentano un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone fisiche. La classificazione si basa su due criteri principali: l’inclusione in una lista predefinita di settori ad alto rischio (Allegato III) e l’impatto potenziale del sistema sul processo decisionale.
• “Probabilità e gravità del rischio”: La valutazione del rischio considera sia la probabilità che un danno si verifichi, sia la gravità di tale danno.
• Esempi di criteri: Il Regolamento IA fornisce un elenco dettagliato di criteri per valutare la probabilità e la gravità del rischio, tra cui la finalità del sistema, il contesto di utilizzo, il tipo di dati trattati, il livello di autonomia e l’esistenza di precedenti danni.

GDPR (Regolamento Generale sulla Protezione dei Dati):

• “Rischio”: Il GDPR definisce il “rischio” come la combinazione della probabilità che si verifichi un danno e la gravità di tale danno, in modo analogo al Regolamento IA.
• “Rischio elevato”: Il GDPR non utilizza l’espressione “rischio elevato” in modo analogo al Regolamento IA. Tuttavia, l’articolo 35 del GDPR richiede una Valutazione d’Impatto sulla Protezione dei Dati (DPIA) quando il trattamento dei dati personali può presentare un “rischio elevato per i diritti e le libertà delle persone fisiche” . La DPIA valuta la probabilità e la gravità del rischio, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento.
• Categorie particolari di dati personali: Il GDPR riserva una particolare attenzione al trattamento di “categorie particolari di dati personali”, che includono dati genetici, biometrici, relativi alla salute, all’origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose o filosofiche, all’appartenenza sindacale, alla vita sessuale o all’orientamento sessuale. Il trattamento di tali dati è generalmente vietato, salvo specifiche eccezioni.

 

 

Interazione tra i due regolamenti:

• Il Regolamento IA e il GDPR sono complementari e devono essere letti congiuntamente.
• Il Regolamento IA specifica che il trattamento dei dati personali nell’ambito dell’IA deve rispettare i principi e gli obblighi del GDPR.
• La classificazione di un sistema di IA come “ad alto rischio” nel Regolamento IA non implica automaticamente la necessità di una DPIA ai sensi del GDPR, ma quest’ultima potrebbe essere necessaria a seconda del contesto specifico del trattamento dei dati.

In sintesi, sia il Regolamento IA che il GDPR adottano un approccio basato sul rischio, ma il primo si concentra specificamente sui rischi posti dai sistemi di IA, mentre il secondo si applica in modo più ampio al trattamento dei dati personali. La classificazione di “IA ad alto rischio” nel Regolamento IA si basa su criteri specifici e dettagliati, mentre il GDPR non utilizza un concetto equivalente di “rischio elevato”, ma richiede una DPIA quando il trattamento dei dati presenta un rischio elevato per i diritti e le libertà degli individui.

I requisiti di conformità per un sistema di Intelligenza Artificiale (IA) ad alto rischio, propedeutici alla sua immissione sul mercato e messa in servizio, ruotano attorno alla strutturazione, attuazione, documentazione e manutenzione di un sistema di valutazione dei rischi. Questo approccio, basato sul rischio, è fondamentale per garantire che i sistemi di IA ad alto rischio siano sviluppati e utilizzati in modo responsabile e sicuro, mitigando i potenziali impatti negativi su salute, sicurezza e diritti fondamentali.

Strutturare un sistema di gestione dei rischi:

• Processo iterativo e continuo: Il sistema di gestione dei rischi deve essere concepito come un processo dinamico che si articola lungo l’intero ciclo di vita del sistema di IA ad alto rischio, dalla fase di progettazione a quella di sviluppo, implementazione, utilizzo e dismissione. Richiede un’attenzione costante e un aggiornamento periodico per adattarsi all’evolversi del sistema e del contesto in cui opera.
• Identificazione e analisi dei rischi: Il primo passo cruciale è l’individuazione e l’analisi di tutti i rischi potenziali che il sistema di IA potrebbe comportare. Questa analisi deve considerare sia gli scenari di utilizzo conformi alla sua finalità prevista, sia le possibili condizioni di uso improprio ragionevolmente prevedibili.
• Stima e valutazione dei rischi: Una volta identificati i rischi, è fondamentale valutare la gravità e la probabilità di accadimento. Questa valutazione deve basarsi su una metodologia solida e documentata, tenendo conto dello stato dell’arte nel campo dell’IA.
• Misure di attenuazione: Il cuore del sistema di gestione dei rischi risiede nell’individuazione e nell’implementazione di misure specifiche per mitigare i rischi individuati. Tali misure possono essere di natura tecnica, come la progettazione di meccanismi di sicurezza, o organizzativa, come la formazione degli utilizzatori.

Attuare il sistema di gestione dei rischi:

• Integrazione nel ciclo di vita del sistema IA: Il sistema di gestione dei rischi non deve essere un documento statico, ma uno strumento operativo che permea tutte le fasi di vita del sistema di IA. Ciò implica che le misure di attenuazione dei rischi devono essere integrate fin dalla fase di progettazione e sviluppo del sistema, e costantemente monitorate durante il suo utilizzo.
• Coinvolgimento di esperti e stakeholder: Per garantire l’efficacia del sistema di gestione dei rischi, è opportuno coinvolgere nel processo esperti di IA, esperti di sicurezza, giuristi, e altri stakeholder rilevanti.

Documentare il sistema di gestione dei rischi:

• Documentazione completa e trasparente: La documentazione relativa al sistema di gestione dei rischi deve essere esaustiva e facilmente accessibile a tutte le parti coinvolte, incluse le autorità di controllo. Dovrebbe descrivere in dettaglio i rischi identificati, le misure di attenuazione adottate, i risultati delle prove effettuate, e le decisioni prese durante il processo.

Mantenere il sistema di gestione dei rischi:

• Monitoraggio costante: Il sistema di gestione dei rischi deve essere costantemente monitorato per verificarne l’efficacia e la capacità di rispondere all’evolversi del sistema di IA e del contesto in cui opera. Questo monitoraggio può includere attività di testing periodiche, analisi dei dati di utilizzo del sistema, e raccolta di feedback da parte degli utilizzatori.
• Revisione e aggiornamento: In base ai risultati del monitoraggio, il sistema di gestione dei rischi deve essere periodicamente rivisto e aggiornato per garantire che rimanga adeguato e efficace nel tempo.

In definitiva, la strutturazione, l’attuazione, la documentazione e la manutenzione di un sistema di valutazione dei rischi rappresentano un requisito fondamentale per l’immissione sul mercato e la messa in servizio di un sistema di IA ad alto rischio. Questo approccio rigoroso contribuisce a promuovere un’IA affidabile e sicura, in grado di apportare benefici alla società nel rispetto dei diritti fondamentali.

 

ADEMPIMENTI PRATICI

Ecco alcuni adempimenti pratici per il risk assessment e la data governance di un sistema di IA ad alto rischio:

 

• Identificazione e analisi dei rischi: Il primo passo consiste nell’identificare e analizzare i rischi noti e ragionevolmente prevedibili che il sistema di IA potrebbe porre per la salute, la sicurezza e i diritti fondamentali. Questo include la valutazione dei rischi che potrebbero emergere dall’uso improprio ragionevolmente prevedibile, così come quelli derivanti dall’analisi dei dati raccolti dal sistema di monitoraggio successivo all’immissione sul mercato.

 

• Stima e valutazione dei rischi: Una volta identificati, i rischi devono essere stimati e valutati. Questo passaggio richiede una profonda comprensione del sistema di IA, del suo contesto operativo e del suo potenziale impatto.

 

• Adozione di misure di gestione dei rischi: In base alla valutazione dei rischi, è necessario adottare misure opportune e mirate per affrontare i rischi individuati. Tali misure dovrebbero mirare a eliminare o ridurre i rischi, per quanto possibile dal punto di vista tecnico, attraverso un’adeguata progettazione

 

• Governance dei dati: La qualità dei dati è fondamentale per le prestazioni e l’affidabilità dei sistemi di IA ad alto rischio Per questo, è necessario implementare pratiche di governance e gestione dei dati adeguate, che comprendano la selezione, la raccolta, il trattamento, l’etichettatura e la valutazione dei dati

 

• Trasparenza e fornitura di informazioni: I fornitori di sistemi di IA ad alto rischio sono tenuti a fornire ai deployer informazioni chiare e complete sul sistema, comprese le sue capacità, i suoi limiti, le misure di gestione dei rischi adottate e le istruzioni per l’uso corretto.

 

Risk Assessment e Documentazione Tecnica per Sistemi IA ad Alto Rischio

Prima dell’immissione sul mercato o della messa in servizio di un sistema IA ad alto rischio, è obbligatorio predisporre un sistema di gestione dei rischi. Questo sistema, parte integrante dell’intero ciclo di vita del sistema IA, deve essere documentato, costantemente aggiornato e deve comprendere:

• Identificazione e analisi dei rischi: analisi dei rischi noti e prevedibili per salute, sicurezza e diritti fondamentali, sia in caso di uso conforme alla sua funzione, sia in caso di uso improprio ragionevolmente prevedibile.
• Stima e valutazione dei rischi.
• Adozione di misure di gestione dei rischi: misure appropriate per affrontare i rischi individuati. Le misure devono mirare all’eliminazione o alla riduzione dei rischi, possibilmente tramite la progettazione e la fabbricazione del sistema IA. In caso di rischi non eliminabili, adottare misure di attenuazione e controllo.
• Fornitura di informazioni: fornire informazioni chiare e complete ai deployer, comprese capacità, limiti, misure di gestione dei rischi adottate e istruzioni per l’uso corretto.

Le misure di gestione dei rischi, inoltre, devono considerare gli effetti e le interazioni derivanti dall’applicazione combinata di tutti i requisiti per i sistemi IA ad alto rischio. Oltre al sistema di gestione dei rischi, è fondamentale produrre una documentazione tecnica completa prima dell’immissione sul mercato o della messa in servizio del sistema IA. Questa documentazione deve dimostrare la conformità del sistema ai requisiti previsti e fornire alle autorità competenti le informazioni necessarie per valutare tale conformità. La documentazione tecnica deve includere almeno gli elementi elencati nell’Allegato IV, ma le PMI e le start-up possono fornire le informazioni in modo semplificato utilizzando un modulo specifico definito dalla Commissione Europea.

Tracciamento, Registrazione e Conservazione dei Log/Eventi Generati da Sistemi IA ad Alto Rischio

I sistemi IA ad alto rischio devono registrare automaticamente gli eventi (“log”) per tutta la durata del loro ciclo di vita. Questa registrazione deve essere realizzata a livello tecnico e garantire un livello di tracciabilità del funzionamento adeguato alla finalità del sistema. Le informazioni registrate devono consentire di:

• Individuare situazioni di rischio o modifiche sostanziali.
• Facilitare il monitoraggio successivo all’immissione sul mercato.
• Monitorare il funzionamento del sistema IA.

Per i sistemi di IA ad alto rischio che utilizzano dati biometrici per l’identificazione remota, le informazioni registrate devono includere:

• Periodo di utilizzo (data e ora di inizio e fine).
• Database di riferimento utilizzato per la verifica dei dati di input.
• Dati di input che hanno portato a una corrispondenza.
• Identità delle persone che verificano i risultati.

Trasparenza verso gli Utenti: Informazioni sui Sistemi IA ad Alto Rischio

La trasparenza è un requisito fondamentale per i sistemi IA ad alto rischio. I fornitori sono tenuti a fornire ai deployer istruzioni per l’uso chiare, complete e precise in un formato digitale o non digitale. Le istruzioni devono includere informazioni su:

• Identificazione del fornitore (nome, denominazione commerciale, marchio registrato, indirizzo).
• Caratteristiche, capacità e limiti del sistema IA, tra cui:
  • Finalità prevista.
  • Livello di accuratezza, robustezza e cibersicurezza attesi, inclusi i test effettuati e le possibili circostanze che potrebbero influire su tali livelli.
  • Circostanze note o prevedibili, connesse all’uso del sistema, che potrebbero comportare rischi per la salute, la sicurezza o i diritti fondamentali.
  • Capacità tecniche del sistema di fornire informazioni per spiegare il suo output.
  • Prestazioni del sistema in relazione a specifici gruppi di persone.
  • Specifiche sui dati di input e sui set di dati di addestramento, convalida e test.
  • Informazioni per aiutare i deployer a interpretare e utilizzare correttamente l’output del sistema.
• Modifiche apportate al sistema IA e alle sue prestazioni, predeterminate dal fornitore durante la valutazione iniziale della conformità.
• Misure di sorveglianza umana, comprese le misure tecniche per facilitare l’interpretazione dell’output del sistema da parte dei deployer.
• Risorse computazionali e hardware necessarie, durata prevista del sistema, misure di manutenzione e aggiornamenti software.
• Descrizione dei meccanismi che consentono ai deployer di raccogliere, conservare e interpretare i log.

 

Aspetti Cybersecurity: Accuratezza, Robustezza e Resilienza dei Sistemi IA ad Alto Rischio

I sistemi IA ad alto rischio devono essere progettati e sviluppati per garantire un livello adeguato di accuratezza, robustezza e resilienza durante l’intero ciclo di vita. Questo significa che devono essere in grado di:

• Funzionare in modo accurato e affidabile, anche in presenza di errori, guasti o incongruenze nel sistema o nell’ambiente operativo.
• Resistere ad attacchi informatici e tentativi di manipolazione da parte di terzi non autorizzati.

Per garantire la robustezza, i sistemi IA possono adottare soluzioni di ridondanza, come piani di backup o fail-safe. I sistemi che continuano ad apprendere dopo l’immissione sul mercato devono essere progettati per mitigare il rischio di output distorti che potrebbero influenzare gli input futuri (“feedback loops”).

La cybersicurezza è fondamentale per proteggere i sistemi IA da attacchi informatici mirati a modificarne il comportamento o le prestazioni. I fornitori devono adottare misure di sicurezza adeguate, come controlli di sicurezza, tenendo conto dell’infrastruttura IT sottostante. Le soluzioni tecniche per la cybersicurezza devono essere adeguate ai rischi specifici dell’IA, come l’avvelenamento dei dati (“data poisoning”) o gli attacchi antagonisti (“adversarial examples”).

 

Supervisione Umana dei Sistemi IA ad Alto Rischio e Approccio Antropocentrico all’IA

La supervisione umana è un requisito fondamentale per i sistemi IA ad alto rischio. Il loro funzionamento deve poter essere controllato da persone fisiche per prevenire o ridurre al minimo i rischi per la salute, la sicurezza o i diritti fondamentali. Le misure di supervisione umana devono essere proporzionate ai rischi e al livello di autonomia del sistema IA.

Alcune misure di supervisione umana includono:

• Misure integrate nel sistema IA dal fornitore.
• Misure da implementare dal deployer.
• Strumenti di interfaccia uomo-macchina che consentano alle persone di:
  • Comprendere le capacità e i limiti del sistema IA.
  • Essere consapevoli della possibile tendenza a fare eccessivo affidamento sull’output del sistema IA.
  • Interpretare correttamente l’output del sistema IA.
  • Decidere di non utilizzare il sistema IA o di ignorarne l’output.
  • Intervenire sul funzionamento del sistema IA o interromperlo.

Per i sistemi di IA che utilizzano dati biometrici per l’identificazione remota, le decisioni basate sull’output del sistema devono essere verificate e confermate da almeno due persone fisiche qualificate.

L’approccio antropocentrico all’IA si riflette nella costante supervisione umana, nella capacità di intervento e nella responsabilità condivisa tra fornitori e deployer. L’obiettivo è garantire che l’IA sia utilizzata come strumento al servizio delle persone, nel rispetto dei diritti fondamentali e della dignità umana.

Informazioni aggiuntive:

È importante sottolineare che le fonti fornite si concentrano principalmente sugli aspetti tecnici e legali della regolamentazione dei sistemi IA ad alto rischio. Non affrontano nel dettaglio le implicazioni etiche dell’approccio antropocentrico all’IA. Per un’analisi più approfondita di questo argomento, potrebbe essere utile consultare documenti e studi specifici sull’etica dell’IA.

Obblighi dei Fornitori di Sistemi di IA ad Alto Rischio

Implementare il Sistema di Gestione della Qualità

I fornitori di sistemi di IA ad alto rischio sono tenuti a implementare un sistema di gestione della qualità che garantisca la conformità al regolamento sull’IA.

Questo sistema, inteso come una forma di accountability dell’IA, deve essere documentato e comprendere:

• Una politica e procedure documentate per la gestione dei rischi.
• Procedure per la pianificazione, la progettazione, lo sviluppo, la prova, la convalida, la documentazione, il rilascio, il monitoraggio e la manutenzione dei sistemi di IA ad alto rischio.
• Procedure di riesame, test e convalida da eseguire prima, durante e dopo lo sviluppo del sistema, e la loro frequenza.
• Specifiche tecniche, comprese le norme da applicare, e i mezzi per garantire la conformità anche in assenza di norme armonizzate.
• Procedure per il monitoraggio successivo all’immissione sul mercato e per la gestione di incidenti e malfunzionamenti.
• Un sistema per la gestione di reclami e richieste di informazioni da parte delle autorità competenti.

Le PMI, comprese le start-up, possono beneficiare di un sistema semplificato per la gestione della qualità, riducendo gli oneri amministrativi e i costi.

 

Procedure di Valutazione della Conformità

I fornitori devono sottoporre i loro sistemi di IA ad alto rischio a una procedura di valutazione della conformità prima dell’immissione sul mercato o della messa in servizio. Le procedure di valutazione della conformità si basano su due approcci principali:

1. Controllo Interno:

• Questa procedura, generalmente applicabile ai sistemi di IA ad alto rischio, ad eccezione di quelli biometrici, non prevede il coinvolgimento di un organismo notificato.
• Il fornitore è responsabile della valutazione della conformità del sistema ai requisiti del regolamento.

2. Valutazione del Sistema di Gestione della Qualità e della Documentazione Tecnica:

• Questa procedura, che coinvolge un organismo notificato, si applica quando non esistono norme armonizzate o specifiche comuni, o quando il fornitore non le ha applicate integralmente.
• L’organismo notificato esamina il sistema di gestione della qualità e la documentazione tecnica del sistema di IA per verificarne la conformità ai requisiti del regolamento.

Altri Obblighi

Oltre a quanto sopra menzionato, i fornitori di sistemi di IA ad alto rischio devono:

• Indicare sul sistema o sulla sua confezione il loro nome, marchio e indirizzo.
• Conservare la documentazione tecnica del sistema di IA ad alto rischio.
• Conservare i log generati automaticamente dal sistema.
• Elaborare una dichiarazione di conformità UE.
• Garantire che il sistema di IA ad alto rischio sia conforme ai requisiti di accessibilità delle direttive (UE) 2016/2102 e (UE) 2019/882.
• Implementare un sistema di monitoraggio successivo all’immissione sul mercato.
• Segnalare alle autorità competenti eventuali incidenti gravi.

 

 

Obblighi degli Altri Soggetti Coinvolti nella Catena del Valore

• Fornitori a Valle: I fornitori di sistemi di IA che integrano modelli di IA, indipendentemente dal fatto che siano sviluppati internamente o forniti da terzi, sono considerati fornitori a valle. Devono collaborare con i fornitori dei modelli di IA per garantire la conformità ai requisiti del regolamento.
• Fornitori di Componenti o Servizi: I terzi che forniscono sistemi di IA, strumenti, servizi, componenti o processi utilizzati o integrati in un sistema di IA ad alto rischio sono tenuti a collaborare con il fornitore del sistema finale per garantire la conformità ai requisiti del regolamento.
• Utenti (Deployer): Gli utenti di sistemi di IA ad alto rischio hanno la responsabilità di:
  • Utilizzare i sistemi di IA ad alto rischio conformemente alle istruzioni per l’uso.
  • Adottare misure tecniche e organizzative adeguate per garantire la conformità del sistema ai requisiti di sicurezza e protezione dei diritti fondamentali.
  • Garantire che il personale incaricato dell’utilizzo e della sorveglianza del sistema di IA abbia le competenze necessarie.
  • Effettuare una valutazione d’impatto sui diritti fondamentali prima del primo utilizzo del sistema.
  • Monitorare il funzionamento del sistema e conservare i log.
  • Informare le persone interessate dell’uso di un sistema di IA ad alto rischio e del loro diritto a una spiegazione.

Impatto sugli Contratti di Fornitura

Gli obblighi previsti dal regolamento sull’IA per i diversi attori coinvolti nella catena del valore dei sistemi di IA ad alto rischio avranno un impatto significativo sui contratti di fornitura. Tali contratti dovranno:

• Definire chiaramente i ruoli e le responsabilità di ciascuna parte in merito alla conformità ai requisiti del regolamento.
• Stabilire le modalità di scambio di informazioni e documentazione tra le parti.
• Prevedere meccanismi di cooperazione per la gestione dei rischi e il monitoraggio successivo all’immissione sul mercato.
• Includere clausole specifiche per la gestione degli incidenti e la responsabilità in caso di danni.

L’ufficio per l’IA può elaborare e raccomandare clausole contrattuali tipo volontarie tra i fornitori di sistemi di IA ad alto rischio e i terzi.

Procedure di Valutazione e Certificazione di Conformità

Le procedure di valutazione della conformità dei sistemi di IA ad alto rischio sono descritte negli allegati VI e VII del regolamento. La Commissione Europea ha il potere di modificare tali allegati mediante atti delegati per tener conto del progresso tecnico.

Il Comitato Europeo per l’Intelligenza Artificiale e il ruolo delle autorità nazionali: Sebbene non esista un “Comitato Europeo per l’Intelligenza Artificiale” esplicitamente menzionato, le fonti fanno riferimento a diversi organismi con un ruolo nella governance dell’IA. Tra questi:

Il Consiglio per l’IA: Questo organismo, composto da rappresentanti degli Stati membri, ha il compito di coordinare l’applicazione del regolamento a livello nazionale, fornire consulenza alla Commissione e agli Stati membri su questioni relative all’IA e promuovere lo sviluppo di competenze e capacità nel settore dell’IA.

Le autorità nazionali competenti: Ciascuno Stato membro designa delle autorità responsabili della vigilanza del mercato e della conformità dei prodotti in relazione ai sistemi di IA. Queste autorità hanno il potere di far rispettare i requisiti del regolamento e di adottare misure in caso di non conformità.

L’Ufficio per l’IA: Istituito dalla Commissione Europea, l’Ufficio per l’IA ha il compito di sviluppare competenze e capacità dell’Unione nel settore dell’IA e di contribuire all’attuazione del regolamento.

I codici di condotta sull’Intelligenza Artificiale: Le fonti evidenziano l’importanza dei codici di condotta per promuovere un’IA etica e affidabile.

Sistemi di IA ad alto rischio: I fornitori di questi sistemi sono tenuti a conformarsi a requisiti obbligatori, ma i codici di condotta possono fornire indicazioni pratiche per l’attuazione di tali requisiti.

Sistemi di IA non ad alto rischio: I fornitori sono incoraggiati a sviluppare codici di condotta volontari per promuovere l’applicazione di alcuni o di tutti i requisiti applicabili ai sistemi ad alto rischio, adattati al livello di rischio inferiore.

La responsabilità per colpa applicabile ai sistemi IA non ad alto rischio: Le fonti non affrontano direttamente la questione della responsabilità per colpa applicabile ai sistemi di IA non ad alto rischio. Tuttavia, sottolineano l’importanza di garantire che tutti i sistemi di IA, indipendentemente dal loro livello di rischio, siano sicuri al momento dell’immissione sul mercato o della messa in servizio.12

In sintesi, le fonti forniscono informazioni sul quadro di governance dell’IA nell’UE, evidenziando il ruolo del Consiglio per l’IA, delle autorità nazionali competenti e dell’Ufficio per l’IA. Sottolineano anche l’importanza dei codici di condotta per promuovere un’IA etica e responsabile. Tuttavia, non affrontano in modo specifico la questione della responsabilità per colpa applicabile ai sistemi di IA non ad alto rischio.