Il vostro cliente UE richiede documentazione EU AI Act
Guida pratica per rispondere alle richieste di documentazione EU AI Act dei clienti aziendali: di cosa hanno bisogno e come rispondere.
Punti chiave
- 1.I deployer (clienti che usano il vostro sistema di IA ad alto rischio) devono utilizzarlo secondo le vostre istruzioni per l'uso (articolo 26).
- 2.Rispondete con un pacchetto: classificazione del rischio, istruzioni per l'uso, una sintesi della documentazione tecnica e informazioni sulla registrazione degli eventi e sul monitoraggio. Per un sistema ad alto rischio aggiungete la dichiarazione di conformità UE (articolo 47). È la vostra dichiarazione firmata che il sistema rispetta gli articoli da 8 a 15.
- 3.Non dichiarate una conformità che non potete documentare. Dite che cosa avete e quando arriverà il resto.
- 4.Costruite il pacchetto una sola volta e riutilizzatelo. Rivedetelo a ogni rilascio e a ogni modifica del sistema o della sua finalità prevista. La finalità prevista è l'uso che specificate come fornitore (articolo 3, punto 12).
Un cliente UE può scrivervi: «Potete fornire la documentazione su come il vostro sistema di IA rispetta il Regolamento UE sull'IA?» I fornitori che vendono ad aziende dell'UE possono ricevere una richiesta simile. I deployer hanno bisogno di informazioni da loro (articolo 13: istruzioni per l'uso; articolo 26: obblighi dei deployer).
La vostra risposta dipende dalla classe di rischio del sistema, quindi verificate prima la classe. Gli articoli da 8 a 27 contengono i requisiti per l'alto rischio e gli obblighi di fornitori e deployer. Si applicano ai sistemi dell'allegato III (l'elenco degli usi ad alto rischio del regolamento) dal 2 dicembre 2027. Si applicano ai sistemi dell'allegato I (l'elenco della normativa UE sui prodotti) dal 2 agosto 2028. L'allegato I, sezione B, elenca altra normativa UE sui prodotti, ad esempio sulla sicurezza dell'aviazione civile, sui veicoli agricoli e forestali e sull'equipaggiamento marittimo. Gli articoli da 8 a 27 non si applicano ai sistemi ad alto rischio relativi a prodotti disciplinati da tale normativa (articolo 2, paragrafo 2). Ciò vale per i sistemi classificati ad alto rischio a norma dell'articolo 6, paragrafo 1. Il regolamento (UE) 2026/1744 ha modificato l'articolo 113 per fissare entrambe le date e ha sostituito l'articolo 2, paragrafo 2. Senza le vostre istruzioni per l'uso, i deployer non possono usare il sistema nel modo richiesto dall'articolo 26, paragrafo 1.
Perché il vostro cliente dell'UE lo chiede
I deployer di sistemi di IA ad alto rischio hanno obblighi propri. Tra questi, l'articolo 26 richiede ai deployer di:
- utilizzare il sistema come indicano le istruzioni per l'uso del fornitore (articolo 26, paragrafo 1)
- affidare la sorveglianza umana a persone che dispongano della competenza, della formazione e dell'autorità necessarie (articolo 26, paragrafo 2)
- monitorare il funzionamento del sistema (articolo 26, paragrafo 5)
- informare il fornitore o il distributore e l'autorità di vigilanza del mercato di un rischio e, di un incidente grave, prima di tutto il fornitore (articolo 26, paragrafo 5)
- sospendere l'uso di un sistema che presenta un rischio (articolo 26, paragrafo 5)
- conservare i log sotto il loro controllo per almeno sei mesi, salvo diversa disposizione di altre norme (articolo 26, paragrafo 6)
L'articolo 27 aggiunge l'obbligo di valutare l'impatto sui diritti fondamentali prima del primo utilizzo. Si applica agli organismi di diritto pubblico e ai soggetti privati che forniscono servizi pubblici. Si applica anche ai deployer di sistemi di valutazione del merito di credito o di assicurazione sulla vita e sulla salute. Non si applica ai sistemi del punto 2 dell'allegato III (infrastrutture critiche).
L'articolo 13, paragrafo 2, vi impone di fornire le istruzioni per l'uso insieme a un sistema ad alto rischio.
Inviate fino a cinque documenti
Tra questi documenti, solo le istruzioni per l'uso devono arrivare ai deployer (articolo 13, paragrafo 2). La dichiarazione di conformità UE è tenuta a disposizione delle autorità nazionali competenti (articolo 47, paragrafo 1). Gli altri elementi sono ciò che vi suggeriamo di offrire ai clienti.
Dichiarazione di classificazione del rischio
Indicate la classe di rischio del sistema ai sensi del regolamento: vietato (articolo 5), ad alto rischio (articolo 6), con obblighi di trasparenza (articolo 50) o nessuna di queste. Aggiungete una motivazione che rinvii all'allegato III, se pertinente.
Istruzioni per l'uso
L'articolo 13, paragrafo 3, elenca il contenuto minimo delle istruzioni per l'uso di un sistema ad alto rischio. Comprende l'identità del fornitore, la finalità prevista, i livelli di accuratezza, robustezza e cibersicurezza testati, i rischi noti, le misure di sorveglianza umana, la durata prevista e la manutenzione. Se il vostro manuale utente funge da istruzioni per l'uso, verificate che copra ogni punto dell'articolo 13, paragrafo 3. In caso contrario, aggiungete un documento a parte.
Sintesi della documentazione tecnica
L'allegato IV è l'elenco di ciò che deve contenere la documentazione tecnica. La documentazione completa è destinata alle autorità nazionali competenti e agli organismi notificati (articolo 11, paragrafo 1). Un organismo notificato è un organismo di valutazione della conformità notificato a norma del regolamento e di altre normative di armonizzazione dell'Unione pertinenti (articolo 3, punto 22). Vi suggeriamo di condividere una sintesi, così che il deployer veda che la documentazione completa esiste e che cosa copre.
Informazioni sulla registrazione degli eventi e sul monitoraggio
I deployer devono sapere che cosa registra il vostro sistema e come possono accedere ai log, perché devono conservare i log sotto il loro controllo (articolo 26, paragrafo 6). Se pertinente, le istruzioni per l'uso devono descrivere i meccanismi che consentono ai deployer di raccogliere, conservare e interpretare i log (articolo 13, paragrafo 3, lettera f).
Dichiarazione di conformità UE (sistemi ad alto rischio)
Per i sistemi ad alto rischio il fornitore redige una dichiarazione di conformità UE (articolo 47). Indica che il sistema rispetta i requisiti degli articoli da 8 a 15 (articolo 47, paragrafo 2). La valutazione della conformità è il processo che dimostra se tali requisiti sono soddisfatti (articolo 3, punto 20). Se la valutazione è ancora in corso, ditelo e indicate la data prevista come stima.
Prima confermate la ricezione, poi inviate il pacchetto completo
Nella prima risposta, confermate la ricezione e indicate date che potete rispettare
Inviate il pacchetto completo quando è pronto
Non fate affermazioni che non potete sostenere
Letture correlate
Fonti e riferimenti
Domande frequenti
Di quali documenti ha bisogno un cliente UE da un fornitore di IA?
Dipende dal sistema. Per un sistema ad alto rischio, i deployer hanno bisogno delle istruzioni per l'uso (articolo 13), comprese le informazioni sulla registrazione degli eventi e sulla sorveglianza umana. Vi suggeriamo di offrire anche la vostra classificazione del rischio, una sintesi della documentazione tecnica dell'allegato IV e la dichiarazione di conformità UE (articolo 47). I fornitori devono progettare i sistemi di IA che interagiscono direttamente con le persone in modo che queste ne siano informate, salvo che sia evidente (articolo 50, paragrafo 1).
Che cos'è l'allegato IV del Regolamento UE sull'IA?
L'allegato IV elenca nove punti minimi per la documentazione tecnica di un sistema di IA ad alto rischio. Punti da 1 a 5: descrizione generale; processo di sviluppo e progettazione; monitoraggio e controllo; adeguatezza delle metriche di prestazione; sistema di gestione dei rischi. Punti da 6 a 9: modifiche nel ciclo di vita; norme applicate; dichiarazione di conformità UE; sistema di monitoraggio successivo all'immissione sul mercato.
Che cosa deve contenere la mia prima risposta a una richiesta di documentazione sul Regolamento UE sull'IA?
Inviate una prima risposta che confermi la ricezione della richiesta, indichi quali documenti potete inviare e dia date che potete rispettare. Concordate le date per iscritto.
Posso riutilizzare lo stesso pacchetto di documentazione per più di un cliente UE?
Sì, nella misura in cui il sistema e la sua finalità prevista sono gli stessi. La finalità prevista è quella che specificate voi (articolo 3, punto 12). Rivedete il pacchetto dopo ogni rilascio e ogni modifica del sistema o della sua finalità prevista.
E se non ho ancora la documentazione tecnica (allegato IV)?
Ditelo. Indicate al cliente quali documenti avete e quando arriverà il resto. La documentazione tecnica deve esistere prima che un sistema ad alto rischio sia immesso sul mercato o messo in servizio (articolo 11, paragrafo 1). Gli articoli da 8 a 27 si applicano ai sistemi dell'allegato III dal 2 dicembre 2027 e ai sistemi dell'allegato I dal 2 agosto 2028. L'allegato I, sezione B, elenca altra normativa UE sui prodotti. Per i sistemi ad alto rischio relativi a prodotti disciplinati da tale normativa, gli articoli da 8 a 27 non si applicano (articolo 2, paragrafo 2). Ciò vale per i sistemi classificati ad alto rischio a norma dell'articolo 6, paragrafo 1. Il regolamento (UE) 2026/1744 ha modificato l'articolo 113 per fissare entrambe le date e ha sostituito l'articolo 2, paragrafo 2.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.