Skip to main content

Documentazione tecnica dell’allegato IV: i nove punti

I nove punti dell’allegato IV del regolamento sull’IA per la documentazione tecnica dei sistemi di IA ad alto rischio, con le regole che li accompagnano: tempi, conservazione, modulo per le PMI e ambito di applicazione.

L’allegato IV elenca nove punti che la documentazione tecnica di un sistema di IA ad alto rischio deve contenere almeno, in quanto applicabili al sistema.

I fornitori devono redigerla prima di immettere il sistema sul mercato dell’UE o di metterlo in servizio (articolo 11, paragrafo 1). L’obbligo si applica dal 2 dicembre 2027 (sistemi dell’allegato III) o dal 2 agosto 2028 (allegato I). La mancanza di documentazione viola l’articolo 16. Le sanzioni arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99, paragrafo 4). Per prima cosa, confronti il Suo sistema con i nove punti qui sotto.

Raggruppiamo sei regole intorno alla documentazione

Prima dell’immissione sul mercato o della messa in servizio

Rediga la documentazione prima che il sistema sia immesso sul mercato o messo in servizio e la tenga aggiornata (articolo 11(1)).

Conservarla per dieci anni

Tenga la documentazione a disposizione delle autorità nazionali per dieci anni dopo l'immissione sul mercato o la messa in servizio del sistema (articolo 18(1)).

Modulo semplificato per le piccole imprese

Le PMI, comprese le start-up, e le piccole imprese a media capitalizzazione possono fornire gli elementi dell'allegato IV in forma semplificata. La Commissione deve predisporre il modulo e gli organismi notificati devono accettarlo (articolo 11(1)). Per le PMI e le piccole imprese a media capitalizzazione la sanzione è limitata all’importo più basso (articolo 99, paragrafi 6 e 6 bis).

Un solo insieme per la normativa sui prodotti

Se il sistema riguarda un prodotto disciplinato dalla normativa dell'allegato I, sezione A, rediga un unico insieme di documentazione che copra anche quella normativa (articolo 11(2)).

Alcuni limiti dell’ambito di applicazione

L’allegato IV si applica ai sistemi di IA ad alto rischio che rientrano nell’ambito del regolamento. Il regolamento non incide sui settori che esulano dal diritto dell’Unione e non si applica ai sistemi di IA quando e nella misura in cui sono usati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (articolo 2, paragrafo 3), né ai sistemi di ricerca scientifica e alla ricerca o alle prove precedenti l’immissione sul mercato (articolo 2, paragrafi 6 e 8). Per i sistemi di IA classificati ad alto rischio ai sensi dell’articolo 6, paragrafo 1, relativi a prodotti dell’allegato I, sezione B, si applicano solo l’articolo 6, paragrafo 1, l’articolo 60 bis e gli articoli da 102 a 112. Gli articoli da 57 a 59 si applicano solo nella misura in cui i requisiti per i sistemi di IA ad alto rischio sono stati integrati in tale normativa sui prodotti (articolo 2, paragrafo 2).

Sistemi già sul mercato

Un sistema ad alto rischio immesso sul mercato o messo in servizio prima della data di applicazione è coperto solo se in seguito subisce modifiche significative della progettazione. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2). I sistemi di IA che sono componenti dei sistemi IT su larga scala dell’allegato X, immessi sul mercato prima del 2 agosto 2027, devono essere conformi entro il 31 dicembre 2030 (articolo 111, paragrafo 1).

L’allegato IV ha nove punti

Descrizione generale

1

Il punto 1 identifica il sistema: a cosa serve, quale versione è, dove funziona e come viene fornito.

Cosa richiede l’allegato

  • Finalità prevista, nome del fornitore e versione del sistema, compreso il rapporto con le versioni precedenti
  • Come il sistema interagisce con hardware o software che non ne fanno parte, ove applicabile
  • Versioni del software o firmware pertinenti e requisiti relativi agli aggiornamenti di versione
  • Tutte le forme in cui il sistema è immesso sul mercato o messo in servizio, come pacchetti software integrati in hardware, download o API
  • L’hardware su cui il sistema è destinato a funzionare
  • Per un componente di prodotti: fotografie o illustrazioni che mostrano caratteristiche esterne, marcatura e disposizione interna
  • Una descrizione di base dell’interfaccia utente fornita al deployer
  • Le istruzioni per l’uso destinate al deployer

Consiglio pratico (non richiesto dal regolamento)

Tenga questo punto in un file versionato accanto al codice e lo aggiorni a ogni rilascio.

Elementi e processo di sviluppo

2

Il punto 2 è il più lungo: riguarda come il sistema è stato costruito, addestrato, testato e protetto.

Cosa richiede l’allegato

  • Metodi e fasi di sviluppo, compresi sistemi o strumenti preaddestrati di terzi e il modo in cui sono stati usati, integrati o modificati
  • Specifiche di progettazione: logica generale e algoritmi, scelte progettuali chiave con motivazioni e ipotesi (anche sulle persone o i gruppi cui il sistema è destinato), principali scelte di classificazione, cosa ottimizza il sistema e la rilevanza dei diversi parametri, output atteso e sua qualità, e compromessi adottati per rispettare il capo III, sezione 2
  • Architettura del sistema e risorse di calcolo usate per sviluppare, addestrare, testare e convalidare il sistema
  • Ove pertinente, requisiti dei dati sotto forma di schede: metodi di addestramento, insiemi di dati, provenienza, ambito, caratteristiche principali, come i dati sono stati ottenuti e selezionati, etichettatura e pulizia
  • Valutazione delle misure di sorveglianza umana necessarie (articolo 14), comprese le misure tecniche che aiutano i deployer a interpretare gli output (articolo 13, paragrafo 3, lettera d)
  • Ove applicabile, modifiche predeterminate del sistema e delle sue prestazioni, con le soluzioni tecniche che mantengono la conformità
  • Convalida e prove: procedure, dati usati, metriche di accuratezza, robustezza e altri requisiti, impatti potenzialmente discriminatori, e registri e rapporti di prova datati e firmati
  • Misure di cibersicurezza adottate

Consiglio pratico (non richiesto dal regolamento)

Ricavi architettura ed elenchi delle dipendenze dal repository e aggiunga le motivazioni che solo il Suo team conosce.

Monitoraggio, funzionamento e controllo

3

Il punto 3 indica cosa il sistema può e non può fare e quali rischi e misure di sorveglianza ne derivano.

Cosa richiede l’allegato

  • Capacità e limiti di prestazione, compresa l’accuratezza per persone o gruppi specifici e l’accuratezza complessiva attesa in relazione alla finalità prevista
  • Esiti non intenzionali prevedibili e fonti di rischio per la salute e la sicurezza, i diritti fondamentali e la discriminazione
  • Misure di sorveglianza umana (articolo 14), comprese le misure tecniche che aiutano i deployer a interpretare gli output
  • Specifiche dei dati di input, se del caso

Consiglio pratico (non richiesto dal regolamento)

Registri l’accuratezza misurata per gruppo insieme alla prova che l’ha prodotta.

Metriche di prestazione

4

Il punto 4 chiede una descrizione del motivo per cui le metriche di prestazione sono adeguate. Le metriche stesse rientrano nel punto 2.

Cosa richiede l’allegato

  • Una descrizione del motivo per cui le metriche di prestazione sono adatte a questo specifico sistema di IA

Sistema di gestione dei rischi

5

Il punto 5 rinvia al sistema di gestione dei rischi dell’articolo 9.

Cosa richiede l’allegato

  • Una descrizione dettagliata del sistema di gestione dei rischi ai sensi dell’articolo 9

Modifiche nel ciclo di vita

6

Il punto 6 mantiene aggiornata la documentazione: registra cosa è cambiato dopo il primo rilascio.

Cosa richiede l’allegato

  • Una descrizione delle modifiche pertinenti apportate dal fornitore al sistema durante il suo ciclo di vita

Consiglio pratico (non richiesto dal regolamento)

Usi le note di rilascio e la cronologia git e indichi quali modifiche erano predeterminate (punto 2, lettera f).

Norme e altre soluzioni

7

Il punto 7 indica le norme su cui si è basato o spiega le Sue soluzioni.

Cosa richiede l’allegato

  • Un elenco delle norme armonizzate applicate in tutto o in parte, i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell’Unione europea
  • Se non è stata applicata alcuna di tali norme: una descrizione dettagliata delle soluzioni adottate per soddisfare il capo III, sezione 2, con un elenco delle altre norme e specifiche tecniche applicate

Dichiarazione di conformità UE

8

Il punto 8 allega la dichiarazione di conformità.

Cosa richiede l’allegato

  • Una copia della dichiarazione di conformità UE (articolo 47)

Valutazione successiva all'immissione sul mercato

9

Il punto 9 collega la documentazione al monitoraggio successivo all’immissione sul mercato.

Cosa richiede l’allegato

  • Una descrizione dettagliata del sistema di valutazione delle prestazioni nella fase successiva all’immissione sul mercato (articolo 72)
  • Il piano di monitoraggio successivo all’immissione sul mercato (articolo 72, paragrafo 3)

Che cosa fa Scanara per la documentazione dell’allegato IV

Scanara verifica che i Suoi documenti di conformità contengano i contenuti richiesti. Non verifica che i contenuti siano veritieri.

Bozze della documentazione dell'allegato IV

Scanara genera documenti dell'allegato IV a partire dai Suoi dati e dalle risposte alle valutazioni. Lei li rivede e li completa. Una bozza non è automaticamente accurata o completa.

Prove con versioni

Scanara conserva versioni e marche temporali dei documenti e delle risposte alle valutazioni su cui si basano.

Domande frequenti sull’allegato IV

Per quanto tempo devo conservare la documentazione tecnica?

Per dieci anni dopo l'immissione sul mercato o la messa in servizio del sistema di IA, a disposizione delle autorità nazionali competenti (articolo 18(1)).

Le PMI possono usare una documentazione semplificata?

Sì. Le PMI, comprese le start-up, e le piccole imprese a media capitalizzazione possono fornire gli elementi dell'allegato IV in forma semplificata. La Commissione deve predisporre il modulo e gli organismi notificati devono accettarlo per la valutazione della conformità (articolo 11(1)).

Che cosa rende necessario aggiornare la documentazione?

La documentazione deve essere mantenuta aggiornata (articolo 11, paragrafo 1). Una modifica sostanziale, cioè un cambiamento non previsto né pianificato nella valutazione della conformità iniziale che incide sulla conformità o sulla finalità prevista (articolo 3, punto 23), richiede una nuova valutazione della conformità (articolo 43, paragrafo 4). I cambiamenti di un sistema che continua ad apprendere, predeterminati e documentati ai sensi del punto 2, lettera f, dell’allegato IV, non sono modifiche sostanziali.

Da leggere dopo: articolo 11, allegato III e inventario dell’IA

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.