Conformità al Regolamento sull'IA per sviluppatori
Quali obblighi del regolamento sull’IA gli ingegneri integrano nei sistemi di IA ad alto rischio, e tre guide su audit trail, pipeline CI/CD e scansione basata su regole.
I fornitori di sistemi di IA ad alto rischio devono integrare registrazione (articolo 12), sorveglianza umana (articolo 14) e accuratezza e cibersicurezza (articolo 15). Devono inoltre tenere aggiornata la documentazione tecnica (articolo 11). I deployer conservano i log (articolo 26(6)).
Questi obblighi si applicano dal 2 dicembre 2027 (allegato III) e dal 2 agosto 2028 (allegato I). L’articolo 2 elenca esclusioni. Le sanzioni arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Prossimo passo: scegliere qui sotto la guida per il suo compito.
Tre guide: log, controlli nella pipeline e scansione basata su regole
Conformità al regolamento IA nella pipeline CI/CD
Che cosa richiede il regolamento e una pipeline CI/CD può documentare, tre fasi della pipeline, come funziona il merge gate GitHub di Scanara e dove si fermano le scansioni basate su regole.
Compliance as Code per i sistemi IA
Come si applica la compliance as code agli articoli da 9 a 15: che cosa può verificare una regola, che cosa resta a una persona e che cosa coprono e non coprono le scansioni basate su regole di Scanara.
Requisiti di audit trail del regolamento IA
Che cosa richiedono gli articoli 12, 19 e 26(6) in materia di registrazione, che cosa il regolamento lascia aperto e quali pratiche tecniche proteggono i log come prova.
Checklist di conformità al Regolamento sull'IA
Una checklist degli obblighi del regolamento (UE) 2024/1689 per ruolo e classe di rischio, con l'articolo di ogni punto.
Esclusioni, sistemi più vecchi e massimali delle sanzioni
Il regolamento non si applica ai sistemi di IA usati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (articolo 2(3)). Non si applica ai sistemi di IA sviluppati e messi in servizio specificamente e al solo scopo di ricerca e sviluppo scientifici (articolo 2(6)), né alla ricerca, alle prove o allo sviluppo prima dell’immissione sul mercato o della messa in servizio, salvo le prove in condizioni reali (articolo 2(8)). I sistemi con licenze libere e open source sono esclusi, salvo che siano immessi sul mercato o messi in servizio come sistemi ad alto rischio o rientrino nell’articolo 5 o 50 (articolo 2(12)). Le persone fisiche che usano un sistema in un’attività puramente personale e non professionale non sono vincolate come deployer (articolo 2(10)). Per i sistemi ad alto rischio legati a prodotti disciplinati dalla normativa dell’allegato I, sezione B, come veicoli a motore, aviazione, ferrovie, attrezzature marittime, veicoli agricoli e macchinari, si applicano solo l’articolo 6(1), l’articolo 60a e gli articoli da 102 a 112. Gli articoli da 57 a 59 si applicano solo nella misura in cui tale normativa integra i requisiti (articolo 2(2)).
I sistemi ad alto rischio immessi sul mercato o messi in servizio prima della data di applicazione sono coperti solo dopo modifiche significative della progettazione. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)).
Per le PMI, ogni sanzione arriva al massimo alla percentuale o all’importo più bassi (articolo 99(6)). Per le piccole imprese a media capitalizzazione (articolo 3, punto 14b) lo stesso massimale vale per le sanzioni dell’articolo 99, paragrafi 4 e 5 (articolo 99(6a)). Il livello da 15 milioni di EUR copre anche gli obblighi di fornitori e operatori dell’articolo 25, paragrafi 2 e 4 (articolo 99(4), lettera da)).
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.