Regolamento IA per CTO
Per i CTO di fornitori di IA: gli obblighi del regolamento IA per l’ingegneria e cosa verifica Scanara nel codice. Prossimo passo: apra il rapporto di esempio.
Cosa chiede il regolamento IA all’ingegneria
I fornitori di sistemi ad alto rischio realizzano gli articoli da 8 a 15
Riguardano gestione dei rischi, governance dei dati, registrazione, istruzioni per l’uso, sorveglianza umana, accuratezza, robustezza e cibersicurezza. Si applicano dal 2 dicembre 2027 (sistemi dell’allegato III) o dal 2 agosto 2028 (prodotti dell’allegato I) (articolo 113, lettera c)).
Documentazione e sistema di qualità ne fanno parte
I fornitori tengono inoltre la documentazione tecnica (articolo 11, allegato IV) e gestiscono un sistema di gestione della qualità (articolo 17). Conservano la documentazione per 10 anni (articolo 18).
La classificazione decide quali obblighi si applicano
Un sistema è ad alto rischio solo tramite l’allegato III o l’allegato I (articolo 6). Classifichi prima ogni sistema. L’articolo 5 elenca le pratiche vietate, che si applicano dal 2 febbraio 2025.
Cosa fa Scanara per i team di ingegneria
Un controllo su ogni pull request
Scanara pubblica un controllo GitHub su ogni pull request e rimanda al rapporto completo. La modalità Audit si limita a segnalare. La modalità Blocking fa fallire il controllo oltre le Sue soglie.
Scansione del codice rispetto ai requisiti del regolamento
Regole generate dal testo del regolamento cercano nel Suo codice i pattern standard dei framework di ML. Wrapper personalizzati e codice offuscato possono sfuggire.
Bozza della documentazione tecnica
Scanara genera una bozza della documentazione dell’allegato IV a partire dai Suoi dati e dalle risposte alle valutazioni. Il Suo team la completa e la verifica.
Inventario con classificazione registrata
Lei registra ogni sistema di IA. Scanara annota la classificazione del rischio e il Suo ragionamento. La decisione di classificazione spetta al Suo team.
Data chiave e massimale della sanzione
2 dicembre 2027
Da questa data si applicano le regole per i sistemi ad alto rischio ai sistemi dell’allegato III, e ai prodotti dell’allegato I dal 2 agosto 2028 (articolo 113, lettera c)).
15 milioni di EUR o 3 %
Massimale delle sanzioni per violazione degli obblighi di fornitori e deployer: fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Per le PMI e le piccole imprese a media capitalizzazione il massimale è l’importo inferiore (articolo 99(6) e (6a)).
Domande dei CTO
Quali obblighi del regolamento IA riguardano il mio team di ingegneria?
Dipende dal Suo ruolo e dal fatto che il sistema sia ad alto rischio. I fornitori di sistemi ad alto rischio rispettano gli articoli da 8 a 15 e l’articolo 17 (articolo 16). I deployer seguono l’articolo 26: usano il sistema secondo le istruzioni, assegnano la sorveglianza umana e conservano i log sotto il loro controllo per almeno sei mesi, salvo diversa disposizione di altra norma.
Quando si applicano ai nostri sistemi le regole per l’alto rischio?
Dal 2 dicembre 2027 per i sistemi dell’allegato III e dal 2 agosto 2028 per i prodotti dell’allegato I (articolo 113, lettera c)). Un sistema ad alto rischio immesso sul mercato o messo in servizio prima è coperto solo dopo modifiche significative della progettazione. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)).
Il merge gate è disponibile nel piano Free?
No. Il piano Free non include il merge gate e consente 5 scansioni in totale, 1 sistema di IA e 2 repository. Il piano Team include il merge gate su 1 repository, il piano Business su tutti i repository.
Scanara può dirci se il nostro sistema è ad alto rischio?
No. Scanara struttura la classificazione e registra il Suo ragionamento. Decide il Suo team, con un consulente legale quando la posta in gioco è alta. Lo stesso codice può essere ad alto rischio o no, a seconda della finalità prevista.
Una scansione superata significa che rispettiamo il regolamento?
No. Una scansione verifica pattern di codice e contenuti richiesti nei documenti. Non può confermare la condotta reale e superarla non adempie alcun obbligo.
Da leggere dopo
Veda un rapporto di scansione di esempio
La demo mostra un rapporto di conformità reale e anonimizzato e una panoramica del prodotto.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.