Skip to main content

Articolo 10, governance dei dati per l’IA in ambito sanitario — EU AI Act

Come si applica l’articolo 10 del regolamento sull’IA all’IA in ambito sanitario: qualità dei dati, esame delle distorsioni e dati sanitari ai sensi dell’articolo 4 bis, con date e sanzioni.

I fornitori di IA ad alto rischio in ambito sanitario devono usare set di dati di qualità per addestramento, convalida e prova (articolo 10).

«Sanità» non è una categoria del regolamento. Un’IA è ad alto rischio se è un dispositivo medico, un dispositivo medico-diagnostico in vitro o un loro componente di sicurezza. Il prodotto deve richiedere una valutazione della conformità da parte di terzi (articolo 6(1)). Le norme si applicano ai prodotti dal 2 agosto 2028. I sistemi di selezione dei pazienti dell’allegato III (punto 5, lettera d)) seguono dal 2 dicembre 2027. Le sanzioni arrivano a 15 milioni di EUR o, per un’impresa, al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Prossimo passo: annoti l’origine e i controlli sulle distorsioni di ogni set di dati.

L’articolo 10 non contiene alcuna norma specifica per la sanità: le stesse norme sui dati si applicano a ogni sistema ad alto rischio

Il regolamento non fissa una dimensione minima dei dati né una quota di gruppi di pazienti. Fissa criteri di qualità e pratiche di governance.

  • Pratiche di governance dei dati

    Le pratiche devono essere adeguate alla finalità prevista. Riguardano le scelte di progettazione, la raccolta dei dati e la loro origine e, per i dati personali, la finalità originaria della raccolta. Riguardano la preparazione dei dati, come annotazione, etichettatura, pulizia, aggiornamento, arricchimento e aggregazione. Riguardano anche le ipotesi su ciò che i dati misurano e rappresentano e la valutazione della disponibilità, della quantità e dell’idoneità dei set di dati (articolo 10(2), lettere da a) a e)).

  • Esame delle distorsioni e misure

    Le pratiche riguardano anche l’esame delle distorsioni che possono incidere sulla salute e sulla sicurezza, avere un impatto negativo sui diritti fondamentali o causare discriminazioni vietate. Comprendono misure per rilevare, prevenire e attenuare tali distorsioni e l’individuazione delle lacune nei dati che impediscono il rispetto del regolamento (articolo 10(2), lettere da f) a h)).

  • Qualità dei set di dati

    I set di dati devono essere pertinenti, sufficientemente rappresentativi e, per quanto possibile, privi di errori e completi in vista della finalità prevista. Devono avere le proprietà statistiche adeguate, anche rispetto alle persone o ai gruppi di persone a cui il sistema è destinato (articolo 10(3)).

  • Il contesto d’uso

    I set di dati devono tenere conto, nella misura richiesta dalla finalità prevista, delle caratteristiche peculiari del contesto geografico, situazionale, comportamentale o funzionale d’uso (articolo 10(4)).

  • Sistemi senza addestramento di modelli

    Per i sistemi di IA ad alto rischio che non addestrano modelli di IA, l’articolo 10(2)–(4) e l’articolo 4 bis(1) si applicano solo ai set di dati di prova (articolo 10(6)).

I dati sanitari richiamano la normativa sulla protezione dei dati, e l’articolo 4 bis consente di correggere le distorsioni con categorie particolari

Il regolamento lascia in vigore il GDPR e le altre norme sulla protezione dei dati (articolo 2(7)).

  • Categorie particolari di dati personali (articolo 4 bis)

    Per rilevare e correggere le distorsioni, i fornitori di sistemi ad alto rischio possono eccezionalmente trattare categorie particolari di dati personali. Ciò è consentito solo nella misura strettamente necessaria e se sono soddisfatte tutte le condizioni dell’articolo 4 bis(1). Tra queste, altri dati, anche sintetici o anonimizzati, non bastano per l’obiettivo. I dati non sono trasmessi ad altre parti. I dati sono cancellati una volta corretta la distorsione o scaduto il periodo di conservazione. L’articolo 4 bis(1) consente questo trattamento e non lo impone.

  • Dati dei pazienti e GDPR

    I dati relativi alla salute sono una categoria particolare di dati personali ai sensi del GDPR (regolamento (UE) 2016/679, articolo 9). Il GDPR continua ad applicarsi accanto al regolamento sull’IA e all’articolo 4 bis (articolo 2(7)).

  • Una valutazione della conformità e un solo insieme di documentazione

    Per i prodotti dell’allegato I, sezione A, i requisiti della sezione 2, articolo 10 compreso, fanno parte della valutazione della conformità ai sensi della normativa sul prodotto (articolo 43(3)). Se la normativa sul prodotto consente una valutazione senza il coinvolgimento di terzi, il fabbricante può usarla solo se ha applicato anche norme armonizzate o, se del caso, specifiche comuni che coprano tutti i requisiti della sezione 2. Il fornitore redige un’unica serie di documentazione tecnica (articolo 11(2)).

  • Il regolamento non cita da solo alcuna norma sui dati; esistono due presunzioni di conformità

    Il regolamento stesso non cita alcuna norma tecnica sulla qualità dei dati o sui formati di dati medici. Un sistema conforme a norme armonizzate i cui riferimenti sono pubblicati nella Gazzetta ufficiale si presume conforme ai requisiti della sezione 2 nella misura in cui tali norme li coprono (articolo 40(1)). Un sistema addestrato e sottoposto a prova con dati che riflettono il contesto geografico, comportamentale, situazionale o funzionale in cui è destinato a essere usato si presume conforme all’articolo 10(4) (articolo 42(1)). Qualsiasi altra norma usata da un fornitore è una scelta di progettazione volontaria.

Esempio: come potrebbe essere la governance dei dati di un fornitore di IA diagnostica

Sono esempi, non requisiti.

  • Esempio: rappresentatività (articolo 10(3))

    Il fornitore di un classificatore di immagini della pelle verifica se i suoi set di dati contengono i tipi di pelle e le fasce d’età dei pazienti previsti. Annota ogni lacuna (articolo 10(2), lettera h)).

  • Esempio: origine dei dati (articolo 10(2), lettera b))

    Il fornitore annota quali ospedali hanno fornito le immagini, quando sono state raccolte e per quale finalità originaria.

  • Esempio: esame delle distorsioni (articolo 10(2), lettere f) e g))

    Il fornitore confronta i tassi di errore del sistema tra gruppi di pazienti sul set di dati di prova e documenta le misure quando i tassi differiscono.

Domande frequenti: gruppi di pazienti, dati sanitari, date e sanzioni

L’articolo 10 richiede un equilibrio tra gruppi di pazienti nei dati?

Il regolamento non fissa quote. I set di dati devono essere sufficientemente rappresentativi e avere le proprietà statistiche adeguate, anche rispetto alle persone o ai gruppi di persone a cui il sistema è destinato (articolo 10(3)). Devono rispecchiare il contesto d’uso nella misura richiesta dalla finalità prevista (articolo 10(4)).

Posso usare dati sanitari per verificare le distorsioni?

Solo nel rispetto del GDPR e delle condizioni dell’articolo 4 bis(1). Il trattamento deve essere strettamente necessario per rilevare e correggere le distorsioni. Altri dati non devono bastare per l’obiettivo e si applicano le garanzie elencate. I fornitori di sistemi ad alto rischio possono trattare tali dati ai sensi dell’articolo 4 bis(1), e i deployer di sistemi ad alto rischio ai sensi dell’articolo 4 bis(2). Il regolamento lo consente e non lo impone.

Da quando si applicano le norme dell’articolo 10 all’IA in ambito sanitario?

Si applicano dal 2 agosto 2028 ai sistemi di IA ad alto rischio ai sensi dell’articolo 6(1) e dell’allegato I (articolo 113, lettera c), punto ii)). Si applicano dal 2 dicembre 2027 ai sistemi di IA ad alto rischio ai sensi dell’articolo 6(2) e dell’allegato III (articolo 113, lettera c), punto i)). Un sistema di IA ad alto rischio immesso sul mercato o messo in servizio prima della data che lo riguarda è coperto solo se la sua progettazione subisce successivamente modifiche significative. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)).

A quanto ammontano le sanzioni, e sono più basse per le piccole imprese?

L’articolo 16 stabilisce gli obblighi dei fornitori, che comprendono il rispetto dei requisiti degli articoli da 9 a 15. Le violazioni comportano sanzioni fino a 15 milioni di EUR o, per un’impresa, al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Per le PMI, comprese le start-up, e per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter), ogni sanzione arriva al massimo al minore dei due importi (articolo 99(6) e (6 bis)). Ogni Stato membro stabilisce in quale misura possono essere imposte sanzioni alle autorità pubbliche (articolo 99, paragrafo 8).

Da leggere dopo: l’articolo 10, il quadro sulla sanità, la gestione dei rischi e la sorveglianza

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.