Skip to main content

Articolo 10: governance dei dati per l'IA ad alto rischio

Articolo 10 dell'AI Act: criteri di qualità e governance dei dati di addestramento, convalida e prova dei sistemi di IA ad alto rischio, e la norma dell'articolo 4 bis per la correzione delle distorsioni.

I fornitori di sistemi di IA ad alto rischio che addestrano modelli di IA devono rispettare criteri di qualità per i dati (articolo 10(1)). Questi set di dati sono soggetti a pratiche di governance dei dati, ad esempio l'esame delle distorsioni (articolo 10(2)).

La norma si applica dal 2 dicembre 2027 ai sistemi dell'allegato III (elenco di usi ad alto rischio). Per i prodotti dell'allegato I si applica dal 2 agosto 2028 (articolo 113, lettera c). I prodotti della sezione B sono esclusi (articolo 2(2)). Le sanzioni per chi la viola arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Prossimo passo: annoti l'origine di ogni set di dati e i controlli sulle distorsioni.

L'articolo 10(2) elenca otto pratiche, qui raggruppate in cinque aree

Scelte di progettazione e origine dei dati

Le pratiche devono riguardare le scelte di progettazione pertinenti, come i dati sono stati raccolti, da dove provengono e, per i dati personali, lo scopo originario della raccolta (articolo 10(2), lettere a) e b)).

Preparazione dei dati

Regoli annotazione, etichettatura, pulizia, aggiornamento, arricchimento e aggregazione (articolo 10(2), lettera c)).

Ipotesi e idoneità

Indichi che cosa i dati dovrebbero misurare e rappresentare e valuti se sono disponibili dati adatti in quantità sufficiente (articolo 10(2), lettere d) ed e)).

Esame delle distorsioni e misure

Esamini i dati per individuare distorsioni (bias) che possono incidere sulla salute e sulla sicurezza, avere un impatto negativo sui diritti fondamentali o causare discriminazioni vietate. Adotti misure per rilevarle, prevenirle e attenuarle (articolo 10(2), lettere f) e g)).

Lacune e carenze dei dati

Individui le lacune o le carenze che Le impediscono di rispettare il regolamento e come colmarle (articolo 10(2), lettera h)).

Se un sistema di IA ad alto rischio non addestra modelli di IA, queste norme si applicano solo ai suoi set di dati di prova (articolo 10(6)).

I set di dati devono rispettare tre criteri di qualità

Pertinenti, rappresentativi, privi di errori, completi

I set di dati devono essere pertinenti, sufficientemente rappresentativi e, nella misura del possibile, privi di errori e completi in vista della finalità prevista (articolo 10(3)).

Proprietà statistiche adeguate

Devono avere le proprietà statistiche adeguate, anche rispetto alle persone o ai gruppi di persone sui quali il sistema è destinato a essere utilizzato (articolo 10(3)).

Adatti al contesto d'uso

Devono rispecchiare il contesto geografico, situazionale, comportamentale o funzionale d'uso, nella misura richiesta dalla finalità prevista (articolo 10(4)).

Quattro pratiche di ingegneria che producono prove per l'articolo 10

L'articolo 10 non prescrive strumenti. Queste quattro pratiche sono suggerimenti per documentare la Sua governance dei dati.

Documentazione dei set di dati come codice

Tenga le specifiche dei set di dati, i metodi di raccolta e le fasi di preparazione in file con controllo di versione accanto al codice del Suo sistema di IA.

Test di bias e di deriva in CI/CD

Esegua nella pipeline controlli di bias su ogni versione di un set di dati e test di deriva dei dati.

Tracciamento della provenienza dei dati

Tracci fonti, trasformazioni e versioni, per poter dimostrare da dove proviene ogni set di dati (articolo 10(2), lettera b)).

Schede dei set di dati con versioni

Registri per ogni versione di un set di dati la composizione, il metodo di raccolta, i limiti noti e i risultati dell'esame delle distorsioni.

L'articolo 4 bis consente dati di categorie particolari per correggere le distorsioni, a condizioni rigorose

I fornitori di sistemi di IA ad alto rischio possono eccezionalmente trattare categorie particolari di dati personali quando è strettamente necessario per rilevare e correggere le distorsioni ai sensi dell'articolo 10(2), lettere f) e g) (articolo 4 bis(1)). Devono essere soddisfatte tutte le condizioni. Tra queste: altri dati, anche sintetici o anonimizzati, non bastano; i dati sono soggetti a limiti tecnici al riutilizzo e a controlli di accesso rigorosi e non vengono trasmessi a terzi; vengono cancellati una volta corretta la distorsione o scaduto il periodo di conservazione. Queste condizioni si aggiungono al GDPR. L'articolo 4 bis(2) lo estende ai deployer di sistemi di IA ad alto rischio e ai fornitori e ai deployer di altri sistemi e modelli di IA, quando il trattamento è strettamente necessario e si applicano tutte le condizioni e le garanzie dell'articolo 4 bis(1). Non crea alcun obbligo di rilevare o correggere le distorsioni.

L'articolo 4 bis è stato aggiunto dal regolamento (UE) 2026/1744. Sostituisce l'ex articolo 10(5).

Domande frequenti sull'articolo 10

L'articolo 10 si applica se perfeziono un modello di IA per finalità generali?

Sì, per i set di dati con cui addestra, convalida e prova il Suo sistema di IA ad alto rischio (articolo 10(1)). Il regolamento non dice se l'articolo 10 copra anche i dati di addestramento originari del modello di base. Si rivolga a un consulente legale e richieda le informazioni sul modello che il fornitore del modello di IA per finalità generali deve tenere a disposizione dei fornitori a valle (articolo 53(1), lettera b)).

Che cosa significa «sufficientemente rappresentativi»?

L'articolo 10(3) richiede che i set di dati siano sufficientemente rappresentativi in vista della finalità prevista e abbiano le proprietà statistiche adeguate, anche rispetto alle persone o ai gruppi di persone sui quali il sistema è utilizzato. L'articolo 10(4) aggiunge il contesto geografico, situazionale, comportamentale o funzionale d'uso. Il regolamento non fissa alcuna soglia numerica.

Devo usare dati sintetici?

No. I dati sintetici non sono obbligatori. L'articolo 4 bis(1) richiede però che la rilevazione e la correzione delle distorsioni non possano essere svolte efficacemente con altri dati, anche sintetici o anonimizzati, prima di trattare categorie particolari di dati personali.

Che cosa vale per i set di dati di terzi?

L'articolo 10 si applica ai set di dati usati per il Suo sistema, chiunque li abbia creati. Documenti la loro provenienza (articolo 10(2), lettera b)) e ne esamini Lei stesso le distorsioni (articolo 10(2), lettera f)).

Come si rapporta l'articolo 10 al GDPR?

L'articolo 10 si applica insieme al GDPR. L'articolo 4 bis fissa condizioni per trattare categorie particolari di dati personali al fine di correggere le distorsioni, in aggiunta al GDPR (articolo 4 bis(1)). L'articolo 4 bis(2) estende l'eccezione ai deployer e ad altri sistemi e modelli di IA.

Quale sanzione si applica se un fornitore viola l'articolo 10?

Le sanzioni per la violazione degli obblighi dei fornitori dell'articolo 16 arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Per le PMI e le piccole imprese a media capitalizzazione, il limite è il più basso dei due importi (articolo 99(6) e (6 bis)).

Da leggere dopo: gestione dei rischi, documentazione e accuratezza

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.