Skip to main content

Obblighi dei deployer di sistemi di IA ad alto rischio: articolo 26

Cosa devono fare i deployer di sistemi di IA ad alto rischio ai sensi dell’articolo 26 e come Scanara struttura il lavoro.

I deployer di sistemi di IA ad alto rischio hanno obblighi propri (articolo 26). Devono seguire le istruzioni per l’uso, affidare la sorveglianza umana, monitorare il funzionamento e conservare i log.

Gli obblighi si applicano dal 2 dicembre 2027 (sistemi dell’allegato III) o dal 2 agosto 2028 (sistemi dell’allegato I). Le sanzioni arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Prossimo passo: chieda a ogni fornitore le istruzioni per l’uso.

L’articolo 26 fissa obblighi per i deployer

Il paragrafo 3 precisa che questi obblighi non pregiudicano altri obblighi dei deployer previsti dal diritto dell’Unione o nazionale (articolo 26(3)).

  • Usare il sistema secondo le istruzioni

    Adottate misure tecniche e organizzative adeguate per usare il sistema secondo le sue istruzioni per l’uso (articolo 26(1)).

  • Affidare la sorveglianza umana

    Affidate la sorveglianza umana a persone fisiche con la competenza, la formazione e l’autorità necessarie, e dotatele del supporto necessario (articolo 26(2)).

  • Verificare i dati di input

    Se controllate i dati di input, accertatevi che siano pertinenti e sufficientemente rappresentativi rispetto alla finalità prevista del sistema (articolo 26(4)).

  • Monitorare il funzionamento e segnalare i rischi

    Monitorate il funzionamento sulla base delle istruzioni per l’uso. Se avete motivo di ritenere che l’uso possa presentare un rischio (articolo 79(1)), sospendete l’uso e informate senza indebito ritardo il fornitore o il distributore e l’autorità di vigilanza del mercato. Dopo un incidente grave, informate immediatamente prima il fornitore, poi l’importatore o il distributore e le autorità di vigilanza del mercato. Se non riuscite a contattare il fornitore, si applica l’articolo 73 (articolo 26(5)). Questo obbligo non riguarda i dati operativi sensibili dei deployer che sono autorità di contrasto. Gli istituti finanziari soggetti a norme di governance interna ai sensi del diritto dell’Unione sui servizi finanziari adempiono l’obbligo di monitoraggio rispettando tali norme.

  • Conservare i log

    Conservate i log che il sistema genera automaticamente, nella misura in cui sono sotto il vostro controllo, per un periodo adeguato alla finalità prevista e di almeno sei mesi, salvo diversa disposizione del diritto dell’Unione o nazionale (articolo 26(6)). Gli istituti finanziari li conservano come parte della documentazione prevista dal diritto dei servizi finanziari.

  • Informare i lavoratori

    I datori di lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati prima di mettere in servizio o usare un sistema ad alto rischio sul luogo di lavoro (articolo 26(7)).

  • Registrare l’uso (autorità pubbliche)

    Le autorità pubbliche e gli organismi dell’Unione devono rispettare gli obblighi di registrazione dell’articolo 49. Se un sistema che intendono usare non è registrato nella banca dati UE, non devono usarlo e devono informare il fornitore o il distributore (articolo 26(8)).

  • Usare le informazioni del fornitore per la valutazione d’impatto sulla protezione dei dati

    Se del caso, usate le informazioni fornite dal fornitore a norma dell’articolo 13 per svolgere la valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 del regolamento (UE) 2016/679 o dell’articolo 27 della direttiva (UE) 2016/680 (articolo 26(9)).

  • Richiedere l’autorizzazione per l’identificazione biometrica remota a posteriori

    Per la ricerca mirata di una persona sospettata o condannata per un reato, chiedete l’autorizzazione di un’autorità giudiziaria o di un’autorità amministrativa la cui decisione sia vincolante prima di usare un sistema di identificazione biometrica remota a posteriori, o entro 48 ore al più tardi. L’eccezione è l’identificazione iniziale di un potenziale sospettato sulla base di fatti oggettivi e verificabili. L’uso non mirato è vietato, ogni uso è documentato nel fascicolo di polizia e alle autorità vanno inviate relazioni annuali (articolo 26(10)).

  • Informare le persone interessate

    I deployer di sistemi dell’allegato III che prendono decisioni riguardanti persone fisiche, o assistono nel prenderle, devono informare tali persone che sono soggette all’uso del sistema. Per gli usi di contrasto si applica l’articolo 13 della direttiva (UE) 2016/680 (articolo 26(11)).

  • Cooperare con le autorità

    Cooperate con le autorità competenti in qualsiasi azione che esse intraprendano in relazione al sistema per attuare il regolamento (articolo 26(12)).

Il ruolo dipende dall’uso: alcuni deployer diventano fornitori

Siete deployer se usate un sistema di IA sotto la vostra autorità, chiunque lo abbia realizzato (articolo 3, punto 4). Un’impresa che realizza un sistema e lo usa essa stessa è al tempo stesso fornitore e deployer, perché la messa in servizio include l’uso per scopo proprio (articolo 3, punto 11).

Un deployer diventa fornitore, con gli obblighi dell’articolo 16, in tre casi (articolo 25(1)). Appone il proprio nome o marchio su un sistema ad alto rischio. Apporta una modifica sostanziale che lascia il sistema ad alto rischio. Oppure modifica la finalità prevista di un sistema in modo che diventi ad alto rischio. Il fornitore iniziale non è tenuto a cooperare con il nuovo fornitore se ha chiaramente specificato che il suo sistema di IA non deve essere trasformato in un sistema di IA ad alto rischio (articolo 25(2)).

Date e limiti dell’articolo 26

  • Date di applicazione

    L’articolo 26 si applica dal 2 dicembre 2027 ai sistemi dell’allegato III e dal 2 agosto 2028 a quelli dell’allegato I (articolo 113). Un sistema ad alto rischio immesso sul mercato prima della data di applicazione è interessato solo se in seguito la sua progettazione cambia in modo significativo (articolo 111(2)). In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)).

  • Dove l’articolo 26 non si applica

    L’articolo 26 non si applica ai sistemi collegati a prodotti della sezione B dell’allegato I (articolo 2(2)), alle persone fisiche che usano sistemi di IA nell’ambito di un’attività puramente personale e non professionale (articolo 2(10)) né ai sistemi di IA usati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (articolo 2(3)). Per i prodotti della sezione B dell’allegato I, gli articoli 57, 58 e 59 si applicano solo nella misura in cui i requisiti per i sistemi di IA ad alto rischio sono stati integrati in tale normativa di armonizzazione dell’Unione.

  • Gli articoli 26 e 27 sono obblighi distinti

    L’articolo 26 si applica a ogni deployer di un sistema di IA ad alto rischio. L’articolo 27 aggiunge una valutazione d’impatto sui diritti fondamentali solo per alcuni deployer: organismi di diritto pubblico, enti privati che forniscono servizi pubblici e deployer di sistemi di valutazione del merito creditizio o di assicurazione vita e malattia. L’articolo 26 in sé non contiene tale valutazione.

Cosa fa la valutazione per deployer di Scanara

Scanara non decide cosa si applica a Lei e non adempie gli obblighi al Suo posto. Struttura il lavoro e registra le prove.

Valutazione guidata per deployer

Le domande seguono gli obblighi dell’articolo 26, come istruzioni per l’uso, sorveglianza umana, dati di input, monitoraggio, log e informazione di lavoratori e persone interessate.

Prove sulla conservazione dei log

Scanara registra le prove della conservazione dei Suoi log (articolo 26(6)). I log li conserva Lei.

Collegamenti a FRIA e DPIA

Quando si applica l’articolo 27, una valutazione FRIA separata struttura quel lavoro. Una valutazione DPIA copre l’articolo 35 del GDPR se Lei tratta dati personali.

Apra la demo di Scanara

Il dettaglio di ogni obbligo

Domande frequenti sugli obblighi del deployer

L’articolo 26 si applica ai sistemi di IA usati solo all’interno della mia azienda?

Sì. Il deployer si definisce per l’uso di un sistema sotto la propria autorità, non per chi lo ha realizzato (articolo 3, punto 4). Un’impresa che realizza un sistema ad alto rischio e lo usa essa stessa è al tempo stesso fornitore e deployer, quindi si applicano entrambi gli articoli 16 e 26. Lo sviluppo e le prove prima dell’immissione sul mercato o della messa in servizio sono fuori dal regolamento (articolo 2(8)), salvo le prove in condizioni reali.

Cosa deve fare un deployer dopo un incidente grave?

Il deployer che rileva un incidente grave deve informare immediatamente prima il fornitore, poi l’importatore o il distributore e le autorità di vigilanza del mercato (articolo 26(5)). Un incidente grave è un incidente o un malfunzionamento che causa direttamente o indirettamente la morte o gravi danni alla salute, una perturbazione grave e irreversibile di infrastrutture critiche, una violazione di obblighi del diritto dell’Unione a tutela dei diritti fondamentali, o gravi danni a beni o all’ambiente (articolo 3, punto 49). La sospensione dell’uso è richiesta quando vi è motivo di ritenere che l’uso presenti un rischio ai sensi dell’articolo 79(1).

Le PMI godono di agevolazioni rispetto agli obblighi del deployer?

No. L’articolo 26 non prevede esenzioni legate alle dimensioni. Le PMI, comprese le start-up, e le piccole imprese a media capitalizzazione rischiano una sanzione fino al più basso dei due importi (articolo 99(6) e (6 bis)). Gli istituti finanziari che rispettano le norme dell’Unione sulla governance interna conservano i log come parte della documentazione che tengono ai sensi del diritto dei servizi finanziari (articolo 26(6)).

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.