Regolamento IA per i sistemi di IA biometrici
Per l’IA biometrica: l’allegato III, punto 1, riguarda identificazione, categorizzazione e riconoscimento delle emozioni; alcuni usi sono vietati.
Verifichi prima l’articolo 5, poi l’allegato III, punto 1
L’allegato III, punto 1, riguarda l’identificazione biometrica remota (lettera a)), la categorizzazione in base ad attributi sensibili (lettera b)) e il riconoscimento delle emozioni (lettera c)). La lettera a) esclude la verifica uno-a-uno. L’articolo 5 vieta alcune pratiche biometriche dal 2 febbraio 2025. Le regole per l’alto rischio si applicano dal 2 dicembre 2027. Prossimo passo: associ ogni sistema alla lettera a), b) o c).
Cosa ricade su fornitori e deployer di IA biometrica
Alcune pratiche biometriche sono vietate
L’articolo 5(1) vieta lo scraping non mirato di immagini facciali per creare banche dati (lettera e)) e l’inferenza delle emozioni sul lavoro e nell’istruzione (f)). Vieta anche la categorizzazione delle persone in base a tratti sensibili (g)) e l’identificazione remota in tempo reale a fini di contrasto (h)). Ogni lettera prevede condizioni o eccezioni.
Sistemi biometrici ad alto rischio
I fornitori rispettano gli articoli da 8 a 15 dal 2 dicembre 2027. Per i sistemi del punto 1, lettera a), i log registrano ogni uso, la banca dati di riferimento e i dati di input che hanno portato a una corrispondenza (articolo 12(3)). Due persone verificano un’identificazione prima che qualcuno agisca, con eccezioni (articolo 14(5)).
La verifica non rientra nel punto 1, lettera a)
La verifica uno-a-uno, come lo sblocco di un dispositivo, è esclusa dal punto 1, lettera a) (la definisce l’articolo 3, punto 36). Un sistema di questo tipo è ad alto rischio solo se lo contempla un altro punto dell’allegato III o l’allegato I.
Cosa supporta Scanara per l’IA biometrica
Verifica delle pratiche vietate
Per ogni sistema registrato si svolge una verifica guidata dell’articolo 5 e le regole sul codice segnalano i pattern rilevabili. Il codice non mostra finalità né contesto: decide il Suo team, con un consulente legale nei casi dubbi.
Inventario con classificazione registrata
Lei registra ogni sistema di IA. Scanara annota la classificazione del rischio e il Suo ragionamento sul punto 1, lettera a), b) o c). La decisione spetta a Lei.
Controlli su codice e documenti
Le regole sul codice coprono gli articoli 9, 10, 12, 14 e 15. Le scansioni dei documenti verificano i contenuti degli articoli 11 e 13. Scanara scansiona codice e documenti; non testa l’accuratezza del modello né misura i bias sui Suoi dati.
Bozza di documentazione e dichiarazione
Scanara genera bozze della documentazione tecnica dell’allegato IV e della dichiarazione UE di conformità a partire dai Suoi dati. Prepara prove; non è un organismo notificato e non certifica.
Due massimali di sanzione da conoscere
35 milioni di EUR o 7 %
Massimale delle sanzioni per violazione dell’articolo 5: fino a 35 milioni di EUR o, per un’impresa, fino al 7 % del fatturato mondiale annuo, se superiore (articolo 99(3)).
15 milioni di EUR o 3 %
Massimale delle sanzioni per violazione degli obblighi di fornitori e deployer: fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Per le PMI e le piccole imprese a media capitalizzazione il massimale è l’importo inferiore (articolo 99(6) e (6a)).
Domande dei team di IA biometrica
Il riconoscimento facciale è vietato?
Non in quanto tale. L’articolo 5(1), lettera h), vieta l’identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di contrasto, salvo stretta necessità per uno di tre obiettivi. L’articolo 5(1), lettera e), vieta lo scraping non mirato di immagini facciali per creare banche dati. Le altre identificazioni remote sono nell’allegato III, punto 1, lettera a), e l’articolo 9 del GDPR si applica ai dati biometrici.
La verifica uno-a-uno è ad alto rischio?
Non in base all’allegato III, punto 1, lettera a), che esclude i sistemi il cui unico scopo è confermare che una determinata persona è chi dice di essere. Un sistema di questo tipo è ad alto rischio solo se lo contempla un altro punto dell’allegato III o l’allegato I (articolo 6).
Il divieto di categorizzazione biometrica si applica alle imprese?
Sì. L’articolo 5(1), lettera g), vieta di categorizzare le persone in base ai dati biometrici per dedurne razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale. Non riguarda l’etichettatura o il filtraggio di set di dati biometrici acquisiti legalmente né la categorizzazione nel settore del contrasto.
Quali date si applicano?
L’articolo 5 si applica dal 2 febbraio 2025. I requisiti per l’alto rischio relativi ai sistemi dell’allegato III si applicano dal 2 dicembre 2027 (articolo 113, lettera c), punto i)). Un sistema immesso sul mercato o messo in servizio prima è coperto solo dopo modifiche significative della progettazione (articolo 111(2)).
Scanara può dirmi se il mio sistema biometrico è vietato?
No. Scanara svolge una verifica guidata dell’articolo 5 e segnala i pattern di codice rilevabili. Decide il Suo team, con un consulente legale nei casi dubbi, perché il solo codice non mostra finalità né contesto.
Da leggere dopo
Veda un rapporto di scansione di esempio
La demo mostra un rapporto di conformità reale e anonimizzato e una panoramica del prodotto.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.