Skip to main content

Articolo 12 per l’IA fintech: conservazione delle registrazioni e log

Come si applica l’articolo 12 (conservazione delle registrazioni) all’IA per lo scoring creditizio e le assicurazioni: registrazione fin dalla progettazione, chi conserva i log, la regola per gli istituti finanziari, le date, le sanzioni e ciò che il regolamento lascia aperto.

I fornitori di sistemi di IA per scoring creditizio e assicurazioni sulla vita o sanitarie devono progettarli in modo da registrare automaticamente gli eventi, i cosiddetti log (articolo 12).

Sono usi ad alto rischio ai sensi dell’allegato III, punto 5, lettera b), e punto 5, lettera c). I sistemi per individuare frodi finanziarie sono esclusi dal punto 5, lettera b). L’obbligo si applica dal 2 dicembre 2027, salvo che valga l’eccezione dell’articolo 6, paragrafo 3. Le sanzioni possono arrivare fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale annuo, se superiore (articolo 99, paragrafo 4). Passo successivo: elenchi gli eventi che il Suo sistema deve registrare. Poi fornitori e deployer conservano i log (articolo 19, articolo 26, paragrafo 6).

L’articolo 12 richiede la registrazione fin dalla progettazione, non un periodo di conservazione

L’articolo 12 stabilisce un obbligo di progettazione per il fornitore. La conservazione dei log è un obbligo distinto, indicato nelle righe seguenti.

  • art. 12(1)
    Registrazione automatica degli eventi per tutta la durata

    I sistemi di IA ad alto rischio devono consentire a livello tecnico la registrazione automatica degli eventi (log) per la durata del ciclo di vita del sistema.

  • art. 12(2)
    Tracciabilità adeguata alla finalità prevista

    Le capacità di registrazione devono garantire un livello di tracciabilità del funzionamento del sistema adeguato alla sua finalità prevista. Devono consentire la registrazione di eventi pertinenti per tre scopi. Il primo è individuare situazioni che possono far sì che il sistema presenti un rischio ai sensi dell’articolo 79, paragrafo 1 o determinare una modifica sostanziale. Il secondo è agevolare il monitoraggio successivo all’immissione sul mercato (articolo 72). Il terzo è monitorare il funzionamento del sistema (articolo 26, paragrafo 5).

  • art. 12(3)
    Contenuto minimo dei log: solo identificazione biometrica remota

    L’articolo 12, paragrafo 3, elenca il contenuto minimo dei log per i sistemi ad alto rischio di cui all’allegato III, punto 1, lettera a) (identificazione biometrica remota). Non si applica ai sistemi per lo scoring creditizio o le assicurazioni, per i quali il regolamento non nomina campi minimi dei log.

Quale IA fintech deve rispettare l’articolo 12 e chi conserva i log

L’articolo 12 si applica solo ai sistemi di IA ad alto rischio. Le righe seguenti mostrano quando l’IA fintech diventa ad alto rischio e chi conserva i log.

  • Fintech non è una categoria del regolamento

    Il regolamento non ha una categoria fintech. Questo sito usa la parola per l’IA che rientra nel regolamento attraverso due usi dell’allegato III, punto 5. Il punto 5, lettera b), riguarda i sistemi di IA destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito. Fa eccezione per i sistemi di IA utilizzati allo scopo di individuare frodi finanziarie. Il punto 5, lettera c), riguarda i sistemi di IA destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie. Il punto 5 non nomina il rilevamento delle frodi, i controlli antiriciclaggio o di conoscenza del cliente (KYC), il trading algoritmico, la consulenza automatizzata (robo-advice), le assicurazioni non vita, la gestione dei sinistri né le decisioni di credito riguardanti persone giuridiche. Un sistema per uno di questi usi è ad alto rischio solo se lo contempla un altro punto dell’allegato III oppure l’allegato I.

  • L’articolo 6, paragrafo 3, può escludere un sistema dall’allegato III

    Un sistema rientrante nel punto 5, lettera b), o nel punto 5, lettera c), è ad alto rischio ai sensi dell’articolo 6, paragrafo 2. Ai sensi dell’articolo 6, paragrafo 3 non è ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali, anche nel senso di non influenzare materialmente il risultato del processo decisionale. Il regolamento applica questa deroga quando è soddisfatta almeno una delle condizioni seguenti (articolo 6, paragrafo 3, lettere da a) a d)). Il sistema è destinato a eseguire un compito procedurale limitato. Oppure è destinato a migliorare il risultato di un’attività umana precedentemente completata. Oppure è destinato a rilevare schemi decisionali o deviazioni da schemi decisionali precedenti e non è finalizzato a sostituire o influenzare la valutazione umana precedentemente completata senza un’adeguata revisione umana. Oppure è destinato a eseguire un compito preparatorio per una valutazione pertinente ai fini dei casi d’uso elencati nell’allegato III. Come queste condizioni si combinino con la verifica del rischio significativo è una questione per un giurista. Il sistema è sempre ad alto rischio se effettua profilazione di persone fisiche. La profilazione è definita dall’articolo 4, punto 4, del GDPR (articolo 3, punto 52). Stabilire se un dato sistema di scoring o di determinazione dei prezzi la effettui è anch’essa una questione per un giurista. Il fornitore che si avvale dell’eccezione documenta la propria valutazione prima che il sistema sia immesso sul mercato o messo in servizio. Deve inoltre registrare il sistema (articolo 6, paragrafo 4, articolo 49, paragrafo 2).

  • Fornitore e deployer

    Il fornitore sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (articolo 3, punto 3). La messa in servizio comprende la fornitura per uso proprio del fornitore (articolo 3, punto 11). Una banca o un’impresa di assicurazione che sviluppa un sistema e lo mette in servizio con il proprio nome è quindi un fornitore. Una banca o un’impresa di assicurazione che usa un sistema sotto la propria autorità è un deployer (articolo 3, punto 4). Un deployer diventa fornitore in tre casi. Appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, fatti salvi accordi contrattuali che prevedano una diversa ripartizione degli obblighi. Apporta una modifica sostanziale a tale sistema, che lo lascia ad alto rischio. Oppure modifica la finalità prevista di un sistema non ad alto rischio in modo che lo diventi (articolo 25, paragrafo 1). Il fornitore che aveva inizialmente immesso il sistema sul mercato o lo aveva messo in servizio non è più considerato fornitore di quel determinato sistema e deve cooperare strettamente con il nuovo fornitore (articolo 25, paragrafo 2). Ciò non vale se il fornitore iniziale ha chiaramente specificato che il suo sistema non deve essere trasformato in un sistema di IA ad alto rischio.

  • I fornitori conservano i log sotto il loro controllo

    I fornitori conservano i log generati automaticamente dai loro sistemi ad alto rischio, nella misura in cui tali log sono sotto il loro controllo (articolo 19, paragrafo 1). Fatto salvo il diritto dell’Unione o nazionale applicabile, il periodo deve essere adeguato alla finalità prevista e di almeno sei mesi. Può essere diverso se lo dispone il diritto dell’Unione o nazionale, in particolare in materia di protezione dei dati personali.

  • I deployer conservano i log sotto il loro controllo

    I deployer conservano i log generati automaticamente dal sistema, nella misura in cui tali log sono sotto il loro controllo (articolo 26, paragrafo 6). Il periodo deve essere adeguato alla finalità prevista e di almeno sei mesi. Può essere diverso se lo dispone il diritto dell’Unione o nazionale applicabile, in particolare in materia di protezione dei dati personali.

  • Istituti finanziari: i log fanno parte della loro documentazione prevista dal diritto finanziario

    Ciò vale per i fornitori che sono istituti finanziari soggetti a requisiti in materia di governance, dispositivi o processi interni stabiliti a norma del diritto dell’Unione in materia di servizi finanziari. Conservano i log nell’ambito della documentazione conservata a norma di tale diritto (articolo 19, paragrafo 2). Lo stesso fanno i deployer che sono tali istituti finanziari (articolo 26, paragrafo 6, secondo comma). Il regolamento non nomina alcuna legge specifica in materia di servizi finanziari.

  • Date

    I requisiti per questi usi dell’allegato III si applicano dal 2 dicembre 2027 (articolo 113, terzo comma, lettera c), punto i)). Un sistema immesso sul mercato o messo in servizio prima di tale data è coperto solo se in seguito subisce modifiche significative della progettazione. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2).

  • Sanzioni

    I fornitori devono garantire che i loro sistemi ad alto rischio rispettino i requisiti della sezione 2 del capo III, che comprende gli articoli da 9 a 15 (articolo 16, lettera a)). La violazione degli obblighi dei fornitori di cui all’articolo 16 o degli obblighi dei deployer di cui all’articolo 26 può essere punita con sanzioni amministrative pecuniarie. La sanzione arriva fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4, lettere a) ed e)). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo all’importo più basso tra i due (articolo 99, paragrafo 6). Lo stesso vale per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter, articolo 99, paragrafo 6 bis). Ciascuno Stato membro stabilisce norme che dispongano in quale misura possono essere inflitte sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici istituiti in tale Stato membro (articolo 99, paragrafo 8).

  • Portata e limiti del regolamento

    Il regolamento si applica ai fornitori e ai deployer che hanno il loro luogo di stabilimento o sono situati in un paese terzo, laddove l’output prodotto dal sistema di IA sia utilizzato nell’Unione (articolo 2, paragrafo 1, lettera c)). Non si applica a settori che non rientrano nell’ambito di applicazione del diritto dell’Unione e non pregiudica le competenze degli Stati membri in materia di sicurezza nazionale (articolo 2, paragrafo 3). Il regolamento non si applica ai sistemi o modelli di IA, ivi compresi i loro output, specificamente sviluppati e messi in servizio al solo scopo di ricerca e sviluppo scientifici (articolo 2, paragrafo 6). Non si applica alle attività di ricerca, prova o sviluppo relative a un sistema prima della sua immissione sul mercato o messa in servizio. La prova in condizioni reali non rientra in tale esclusione (articolo 2, paragrafo 8). I sistemi di IA rilasciati con licenza libera e open source sono esclusi dal regolamento. Tale esclusione non vale se sono immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio, o se rientrano nell’articolo 5 o 50 (articolo 2, paragrafo 12).

Che cosa il regolamento lascia aperto per il fintech

  • Nessun campo dei log né periodo di conservazione specifici per il fintech

    Oltre a «almeno sei mesi, salvo diversamente disposto», il regolamento non nomina campi, formato o periodo di conservazione dei log per lo scoring creditizio o la determinazione dei prezzi assicurativi (articolo 19, paragrafo 1, articolo 26, paragrafo 6). Altro diritto dell’Unione o nazionale può disporre diversamente. Il regolamento stesso non nomina alcuna norma armonizzata. I sistemi ad alto rischio conformi alle norme armonizzate pubblicate nella Gazzetta ufficiale dell’Unione europea si presumono conformi ai requisiti della sezione 2, nella misura in cui tali norme li contemplano (articolo 40, paragrafo 1). La Commissione elabora orientamenti sull’applicazione pratica dei requisiti e degli obblighi di cui agli articoli da 8 a 15, 25 e 26 (articolo 96, paragrafo 1, lettera a)).

  • Esempio: che cosa potrebbe contenere un log di scoring

    Esempio, non un requisito del regolamento: il fornitore di un sistema di scoring creditizio potrebbe registrare, per ogni esecuzione dello scoring, la versione del modello, un riferimento ai dati di input e l’output. Un output inatteso può così essere ricostruito.

  • Esempio: i log possono contenere dati personali

    Esempio, non un requisito del regolamento: i log delle esecuzioni dello scoring possono contenere dati personali dei richiedenti. Il fornitore potrebbe decidere con il proprio consulente per la protezione dei dati quali campi memorizzare e per quanto tempo. La decisione deve rispettare il minimo di sei mesi e ogni altro diritto applicabile.

Domande sull’articolo 12 nel fintech

Chi deve rispettare l’articolo 12 per il sistema di scoring creditizio di una banca?

Il fornitore progetta il sistema in modo da consentire la registrazione automatica (articolo 12 e articolo 16, lettera a)). La banca, in quanto deployer, conserva i log sotto il suo controllo (articolo 26, paragrafo 6). La banca che sviluppa il sistema e lo mette in servizio con il proprio nome è il fornitore (articolo 3, punti 3 e 11).

Per quanto tempo un finanziatore deve conservare i log dell’IA?

I fornitori e i deployer conservano i log sotto il loro controllo per un periodo adeguato alla finalità prevista di almeno sei mesi, salvo diversa disposizione del diritto dell’Unione o nazionale (articoli 19, paragrafo 1, e 26, paragrafo 6). Il regolamento non nomina un periodo più lungo per lo scoring creditizio o le assicurazioni.

Le banche conservano i log dell’IA separatamente dalle altre registrazioni?

Gli istituti finanziari soggetti a requisiti di governance interna a norma del diritto dell’Unione in materia di servizi finanziari conservano i log nell’ambito della documentazione conservata a norma di tale diritto (articoli 19, paragrafo 2, e 26, paragrafo 6, secondo comma). Il regolamento non dice di quale diritto né di quali registrazioni si tratti.

Pagine correlate

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.