Vendere ai clienti UE: tenete pronti i documenti del Regolamento UE sull'IA
Perché i clienti UE che usano IA ad alto rischio possono chiedere ai fornitori la documentazione del Regolamento sull'IA e quali documenti preparare.
Punti chiave
- 1.I fornitori che vendono sistemi di IA ad aziende dell'UE possono vedersi chiedere la documentazione prevista dal Regolamento UE sull'IA. I deployer sono le aziende che usano un sistema di IA ad alto rischio. Avranno obblighi ai sensi dell'articolo 26, come la sorveglianza umana e la conservazione dei log (date al punto 4). L'articolo 26, paragrafo 1, lega il loro uso del sistema alle istruzioni per l'uso del fornitore. Quindi possono chiedere tali istruzioni.
- 2.Il regolamento richiede documenti ai fornitori di sistemi ad alto rischio. Tra questi ci sono la documentazione tecnica (articolo 11), le istruzioni per l'uso (articolo 13) e la dichiarazione di conformità UE (articolo 47). Nella dichiarazione il fornitore dichiara che il sistema rispetta i requisiti degli articoli da 8 a 15 (articolo 47, paragrafo 2).
- 3.Per i sistemi dei punti da 2 a 8 dell'allegato III non interviene alcun organismo notificato (articolo 43, paragrafo 2). Il fornitore valuta da sé la conformità. Un report SOC 2, invece, è emesso da uno studio contabile (CPA) sui controlli di un fornitore di servizi. Un organismo notificato è un organismo di valutazione della conformità. È notificato a norma del regolamento e di altre normative di armonizzazione dell'Unione pertinenti (articolo 3, punto 22). L'allegato III è l'elenco degli usi ad alto rischio del regolamento.
- 4.Gli articoli da 8 a 27 contengono i requisiti e gli obblighi per l'alto rischio. Si applicano dal 2 dicembre 2027 (allegato III) e dal 2 agosto 2028 (allegato I). L'allegato I è l'elenco della normativa UE sui prodotti. L'allegato I, sezione B, elenca altra normativa UE sui prodotti. Gli articoli da 8 a 27 non si applicano ai sistemi ad alto rischio relativi a prodotti disciplinati da tale normativa (articolo 2, paragrafo 2).
Non conosciamo alcuno studio che misuri se i documenti pronti accorcino il processo di acquisto, quindi questo articolo è un nostro consiglio.
Chiedete ai vostri potenziali clienti dell'UE quali documenti richiedono.
Gli acquirenti hanno motivi per chiedere
L'articolo 26 stabilisce obblighi per i deployer di sistemi di IA ad alto rischio. Dalle date indicate sopra, devono utilizzare il sistema secondo le istruzioni del fornitore e affidare la sorveglianza umana a persone competenti. Devono anche monitorarne il funzionamento e conservare i log sotto il loro controllo.
L'allegato IV elenca il contenuto minimo della documentazione tecnica (articolo 11, paragrafo 1). Queste domande di esempio le abbiamo scritte noi, non sono citazioni di acquirenti:
"Qual è la classificazione del rischio del tuo sistema di IA ai sensi del Regolamento UE sull'IA?"
"Puoi fornire documentazione tecnica dell'allegato IV?"
"Hai un sistema di gestione dei rischi come richiesto dall'articolo 9?"
"Quali meccanismi di supervisione umana sono integrati nel tuo sistema?"
SOC 2 è un'analogia; la previsione è nostra
La documentazione prevista dal Regolamento UE sull'IA può essere richiesta nelle verifiche dei fornitori come lo sono i report SOC. Questa è una nostra previsione. I report SOC, compreso il SOC 2, sono report di attestazione che gli studi contabili (CPA) emettono sui controlli di un fornitore di servizi. I clienti li usano per valutare i rischi dell'esternalizzazione di un servizio (AICPA).
Per i sistemi ad alto rischio dell'allegato III, punti da 2 a 8, non interviene alcun organismo notificato. Il fornitore valuta da sé la conformità tramite controllo interno, la propria verifica (articolo 43, paragrafo 2).
La documentazione può aiutare in quattro fasi della vendita
Primo contatto: rispondere a una richiesta di offerta con documenti
Valutazione: dare ai revisori i fatti
Negoziazione: mostrare chi fa che cosa
Rinnovo: tenere i documenti aggiornati
Preparate cinque documenti; il regolamento ne richiede tre
Per i sistemi ad alto rischio, il regolamento richiede, tra l'altro, la documentazione tecnica (articolo 11), le istruzioni per l'uso (articolo 13) e la dichiarazione di conformità UE (articolo 47). La dichiarazione di classificazione del rischio e i registri di scansioni e valutazioni non sono richiesti, ma possono aiutare gli acquirenti:
Redigete una dichiarazione di classificazione del rischio
Una dichiarazione del livello di rischio del sistema ai sensi dell'articolo 6 e dell'allegato III, con la motivazione. La classificazione è una vostra decisione: documentate come ci siete arrivati. Il regolamento richiede una valutazione scritta solo quando un fornitore conclude che un sistema dell'allegato III non è ad alto rischio (articolo 6, paragrafo 4).
Mantenete aggiornata la documentazione tecnica dell'allegato IV
La documentazione tecnica deve essere tenuta aggiornata e contenere almeno gli elementi dell'allegato IV (articolo 11, paragrafo 1). L'allegato IV fissa nove punti. Punti da 1 a 5: descrizione generale, processo di sviluppo, monitoraggio e controllo, metriche di prestazione, gestione dei rischi. Punti da 6 a 9: modifiche nel ciclo di vita, norme applicate, dichiarazione di conformità, monitoraggio successivo all'immissione sul mercato. Le autorità e gli organismi notificati usano questa documentazione per valutare la conformità (articolo 11). La valutazione della conformità è il processo che dimostra se un sistema ad alto rischio soddisfa i requisiti degli articoli da 8 a 15 (articolo 3, punto 20). Per i sistemi del punto 1 dell'allegato III (biometria) può coinvolgere un organismo notificato (articolo 43, paragrafo 1).
Fornite le istruzioni per l'uso insieme al sistema
Il regolamento richiede le istruzioni per l'uso con ogni sistema ad alto rischio (articolo 13, paragrafo 2). Indicano l'identità del fornitore, la finalità prevista, l'accuratezza, la robustezza e la cibersicurezza testate e le misure di sorveglianza umana (articolo 13, paragrafo 3). I deployer ne hanno bisogno per usare il sistema nel modo richiesto dall'articolo 26, paragrafo 1.
Conservate registri datati di scansioni e valutazioni
I registri delle scansioni del vostro codice e delle valutazioni basate su domande mostrano lo stato del vostro lavoro in una data. Non dimostrano la conformità: una scansione superata non significa che il sistema sia conforme.
Redigete la dichiarazione di conformità UE
Per i sistemi ad alto rischio il fornitore redige una dichiarazione di conformità UE (articolo 47, paragrafo 1). Indica che il sistema rispetta i requisiti degli articoli da 8 a 15 (articolo 47, paragrafo 2).
Gli articoli da 8 a 27 si applicano dal 2 dicembre 2027 (allegato III) e dal 2 agosto 2028 (allegato I)
L'articolo 113, come modificato dal regolamento (UE) 2026/1744, fissa entrambe le date. Gli articoli da 8 a 27 contengono i requisiti per l'alto rischio e gli obblighi di fornitori e deployer.
Quando sapete quali documenti richiedono, preparate prima quelli.
Letture correlate
Fonti e riferimenti
- Regulation (EU) 2024/1689 — Articles 2, 3, 6, 9, 11, 13, 26, 43, 47 and Annexes I, III, IV (EU Artificial Intelligence Act)
- Regulation (EU) 2026/1744 — Digital Omnibus on AI (Articles 2, 111 and 113 as amended: scope and dates of application)
- AICPA & CIMA — System and Organization Controls: SOC Suite of Services
Domande frequenti
Come può aiutare la documentazione prevista dal Regolamento UE sull'IA nelle vendite ad acquirenti dell'UE?
Gli acquirenti dell'UE che utilizzano sistemi ad alto rischio avranno obblighi ai sensi dell'articolo 26. Si applicano dal 2 dicembre 2027 (allegato III) e dal 2 agosto 2028 (allegato I). Possono chiedere la documentazione ai fornitori, e un fornitore con i documenti pronti può rispondere direttamente. Non abbiamo dati su quanto tempo ciò faccia risparmiare.
La documentazione prevista dal Regolamento UE sull'IA sta diventando come SOC 2?
Potrebbe diventare una richiesta di routine, ma è una previsione. Un report SOC 2 proviene da uno studio contabile (CPA). Per i sistemi dei punti da 2 a 8 dell'allegato III non interviene alcun organismo notificato (articolo 43, paragrafo 2); il fornitore valuta da sé la conformità.
Quale documentazione dovrei avere pronta per i clienti UE?
Preparate cinque documenti. Per i sistemi ad alto rischio il regolamento ne richiede tre: la documentazione tecnica (articolo 11), le istruzioni per l'uso (articolo 13) e la dichiarazione di conformità UE (articolo 47). Gli altri due sono una dichiarazione di classificazione del rischio e i registri di scansioni e valutazioni.
Avere la documentazione accorcia i cicli di vendita nell'UE?
Non conosciamo alcuna fonte che lo misuri, quindi non indichiamo cifre. Il regolamento richiede che la documentazione tecnica esista prima che un sistema ad alto rischio sia immesso sul mercato o messo in servizio (articolo 11, paragrafo 1). Un fornitore che lo rispetta ha documenti da inviare.
Quando dovremmo iniziare a preparare la documentazione prevista dal Regolamento UE sull'IA?
Per gli articoli da 8 a 27 le date sono il 2 dicembre 2027 per i sistemi dell'allegato III e il 2 agosto 2028 per i sistemi dell'allegato I. Iniziate prima di immettere un sistema ad alto rischio sul mercato dell'UE, o prima ancora se un cliente lo chiede. Da quelle date, la documentazione tecnica deve esistere prima che un sistema ad alto rischio sia immesso sul mercato o messo in servizio (articolo 11, paragrafo 1). L'articolo 111, paragrafo 2, copre i sistemi ad alto rischio immessi sul mercato prima dell'applicazione del capo III solo se, da tale data, la loro progettazione cambia in modo significativo. I fornitori e i deployer di sistemi ad alto rischio destinati alle autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2).
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.