Articolo 12: tenuta dei registri per le attività di contrasto
Come la tenuta dei registri dell'articolo 12 dell'EU AI Act si applica all'IA di contrasto — audit trail ammissibili in tribunale, catena di custodia e standard probatori.
L'articolo 12 dell'EU AI Act impone ai sistemi di IA ad alto rischio di registrare automaticamente gli eventi rilevanti per l'identificazione dei rischi e la garanzia della tracciabilità. L'IA per le attività di contrasto — classificata ad alto rischio ai sensi dell'Allegato III, sezioni 6-8 quando utilizzata per la valutazione del rischio di persone fisiche, strumenti di tipo poligrafo, valutazione dell'affidabilità delle prove o analisi criminale — deve mantenere registri di audit ammissibili in tribunale, in grado di resistere all'esame giuridico, stabilire la catena di custodia delle prove digitali e supportare gli audit degli organismi di controllo indipendenti.
La registrazione dell'IA per le attività di contrasto comporta le implicazioni giuridiche più elevate di qualsiasi settore: questi registri possono determinare se le prove sono ammissibili in un procedimento penale, se i diritti di un indagato sono stati rispettati e se le decisioni assistite dall'IA possono resistere al controllo giudiziario. A differenza di altri settori, i registri dell'IA per le attività di contrasto non sono accessibili al pubblico ma devono essere verificabili da organismi di controllo indipendenti e autorità di protezione dei dati. Questa pagina illustra gli obblighi specifici di conservazione dei registri, gli standard probatori e le violazioni a livello di codice che Scanara rileva.
Cosa deve essere registrato per i sistemi di IA per le attività di contrasto?
Risultati delle decisioni dell'IA e relativa motivazione
Ogni valutazione del rischio, valutazione delle prove o risultato predittivo generato dall'IA deve essere registrato con: marca temporale, versione del modello, risultato della decisione, punteggio di affidabilità e i fattori chiave che hanno determinato il risultato. Questi registri devono essere sufficientemente dettagliati da spiegare il ruolo dell'IA in qualsiasi successiva azione di contrasto.
Riferimenti e provenienza dei dati di input
Registrate i riferimenti a tutti i dati di input utilizzati per ciascuna decisione: interrogazioni di banche dati, flussi di intelligence, fonti di dati di sensori e qualsiasi pre-elaborazione applicata. La catena di custodia inizia con l'acquisizione dei dati — il registro deve stabilire da dove provengono i dati e come sono stati trasformati prima di raggiungere il sistema di IA.
Registrazioni delle decisioni e azioni degli agenti
Registrate quale agente ha esaminato il risultato dell'IA, quale azione ha intrapreso (indagare, inoltrare, archiviare) e se si è discostato dalla raccomandazione dell'IA. L'articolo 14 richiede una sorveglianza umana effettiva — i registri devono dimostrare che gli agenti hanno preso decisioni autonome anziché seguire ciecamente i risultati dell'IA.
Interrogazioni di banche dati di riferimento e liste di controllo
L'articolo 12(1) impone di registrare la banca dati di riferimento rispetto alla quale i dati di input sono stati verificati. Per le attività di contrasto, registrate ogni interrogazione della banca dati: quali banche dati sono state consultate, i parametri dell'interrogazione, i risultati restituiti e la versione della banca dati. Le interrogazioni delle liste di controllo sono particolarmente sensibili e richiedono una registrazione rafforzata.
Registri di accesso al sistema e di interrogazione
Registrate ogni utente che ha avuto accesso al sistema di IA, quali interrogazioni ha eseguito e quali risultati ha ricevuto. La registrazione degli accessi è essenziale per rilevare gli usi impropri (sorveglianza non autorizzata, ricerche esplorative) e per rispondere alle richieste di accesso e trasparenza sui modelli di utilizzo del sistema.
Metadati della catena di custodia
Per i risultati dell'IA che possono diventare prove in un procedimento penale, registrate i metadati della catena di custodia: chi ha generato il risultato, quando, come è stato conservato, chi vi ha avuto accesso successivamente e se il risultato è stato modificato. Per l'ammissibilità delle prove è richiesta una catena ininterrotta dal sistema di IA fino all'aula di tribunale.
Principali obblighi di conservazione dei registri per le attività di contrasto
La registrazione dell'IA per le attività di contrasto deve soddisfare gli standard probatori più elevati di qualsiasi settore. I registri non sono solo documentazione di conformità — sono potenziali prove nei procedimenti penali e nei controlli giudiziari delle azioni di contrasto. L'architettura di registrazione deve essere progettata con l'ammissibilità in tribunale come requisito primario.
Registri di audit ammissibili in tribunale
I registri delle decisioni dell'IA utilizzati nei procedimenti penali devono soddisfare gli standard di ammissibilità delle prove: archiviazione a prova di manomissione (hashing crittografico o supporti a scrittura singola), marche temporali precise da orologi sincronizzati, catena di custodia ininterrotta dalla generazione alla presentazione in tribunale e contesto tecnico sufficiente per la testimonianza di periti.
Non pubblico ma verificabile
I registri dell'IA per le attività di contrasto non sono accessibili al pubblico — ma l'articolo 26(5) richiede che siano disponibili per l'audit da parte dell'autorità di vigilanza del mercato. Gli organismi di controllo indipendenti, le autorità di protezione dei dati e i tribunali devono poter accedere ai registri delle decisioni dell'IA ed esaminarli. Progettate i controlli di accesso per una verificabilità a livelli anziché per una trasparenza pubblica.
Richieste di accesso e trasparenza
Le leggi sui registri pubblici possono richiedere la divulgazione di statistiche aggregate sull'utilizzo dei sistemi di IA, fatte salve le esenzioni per le attività di contrasto relative alle indagini in corso. I registri devono essere strutturati in modo da supportare la generazione di rapporti aggregati (numero di interrogazioni, distribuzione delle decisioni, modelli demografici) senza esporre i dettagli dei singoli casi.
Conservazione: tempistiche dei procedimenti penali
L'AI Act richiede un minimo di 6 mesi. I registri delle attività di contrasto devono in genere essere conservati per l'intera durata dell'indagine, del procedimento e del periodo di impugnazione correlati. Per i reati gravi, ciò può estendersi per decenni. Le politiche di conservazione devono tenere conto della possibilità che i registri delle decisioni dell'IA diventino prove rilevanti anni dopo la decisione originale.
Sovrapposizioni normative
La conservazione dei registri dell'IA per le attività di contrasto è disciplinata da un quadro normativo distinto che comprende la Direttiva sulla protezione dei dati nel settore penale (che sostituisce il GDPR per il trattamento di polizia), i codici nazionali di procedura penale e i requisiti di cooperazione internazionale. La conformità all'articolo 12 deve tenere conto di questi obblighi settoriali.
Direttiva sulla protezione dei dati nel settore penale (LED)
La Direttiva (UE) 2016/680 disciplina il trattamento dei dati personali da parte delle autorità di contrasto. La LED richiede la registrazione della raccolta, modifica, consultazione, comunicazione, combinazione e cancellazione dei dati personali. I registri dei sistemi di IA ai sensi dell'articolo 12 devono integrarsi con i requisiti di registrazione dell'articolo 25 della LED, creando una pista di audit unificata per le operazioni di trattamento dei dati.
Codici nazionali di procedura penale
Il codice di procedura penale di ciascuno Stato membro dell'UE stabilisce gli standard per l'ammissibilità delle prove. I registri delle decisioni dell'IA che possono essere utilizzati nei procedimenti penali devono soddisfare tali standard nazionali, che variano nei loro requisiti di autenticazione, documentazione della catena di custodia e presentazione da parte di periti.
Regime di protezione dei dati di Europol
Per i sistemi di IA utilizzati nella cooperazione transfrontaliera delle attività di contrasto, il Regolamento Europol impone requisiti specifici di trattamento dei dati e di registrazione. I registri delle decisioni dell'IA condivisi attraverso i canali di Europol devono rispettare gli standard di qualità dei dati e i requisiti di registrazione degli accessi di Europol, oltre all'articolo 12.
Regole probatorie dei tribunali
Gli standard sulle prove digitali variano tra gli Stati membri dell'UE ma generalmente richiedono: autenticità (il registro è ciò che dichiara di essere), integrità (il registro non è stato alterato), affidabilità (il sistema che l'ha generato è attendibile) e pertinenza (il registro si riferisce alla questione in esame). L'infrastruttura di registrazione dei sistemi di IA deve supportare tutti e quattro gli elementi.
Violazioni comuni rilevate da Scanara
Registrazione tramite print() anziché JSON strutturato
Codice decisionale dell'IA per le attività di contrasto che utilizza istruzioni print o registrazione in testo non strutturato. I registri di audit ammissibili in tribunale richiedono registri strutturati e analizzabili dalla macchina, che possano essere interrogati, verificati e presentati come prove in modo affidabile. Il testo non strutturato non soddisfa gli standard di ammissibilità.
Versione del modello mancante negli eventi decisionali
Endpoint di valutazione del rischio o di valutazione delle prove dell'IA che registrano i risultati senza annotare la versione del modello, la configurazione o la versione dei dati di addestramento. La difesa contesterà le prove dell'IA se l'esatto stato del sistema al momento della decisione non può essere stabilito dai registri.
Registri scritti su disco locale senza conservazione
Scrittura dei registri delle decisioni dell'IA in archiviazione effimera senza una conservazione duratura e a prova di manomissione. I registri dell'IA per le attività di contrasto possono essere necessari anni o decenni dopo la decisione originale per procedimenti di impugnazione o per il riesame di casi irrisolti. L'archiviazione effimera è fondamentalmente incompatibile con le tempistiche della giustizia penale.
Nessun metadato della catena di custodia
Risultati dell'IA archiviati senza registrazione della catena di custodia: chi ha generato il risultato, chi vi ha avuto accesso, se è stato modificato o copiato e come è stato trasferito. Senza una catena di custodia ininterrotta, le prove generate dall'IA possono essere dichiarate inammissibili in un procedimento penale.
Lista di controllo per la conformità all'articolo 12 per le attività di contrasto
Registrare ogni decisione di contrasto assistita dall'IA
Generate eventi di registro strutturati per ogni valutazione del rischio, valutazione delle prove, risultato di analisi criminale e interrogazione di banca dati. Includete marca temporale, versione del modello, riferimenti di input, risultato e fattori contributivi.
Registrare le decisioni e le azioni degli agenti
Registrate l'identità degli agenti che hanno esaminato i risultati dell'IA, la loro decisione e se si sono discostati dalla raccomandazione dell'IA. Dimostrate una sorveglianza umana effettiva in ogni azione di contrasto assistita dall'IA.
Mantenere una catena di custodia ammissibile in tribunale
Utilizzate un'archiviazione a prova di manomissione con hashing crittografico. Mantenete una catena di custodia ininterrotta dalla generazione del risultato dell'IA attraverso l'archiviazione, l'accesso e la presentazione in tribunale. Registrate ogni accesso alle registrazioni delle decisioni dell'IA.
Integrare con la registrazione dell'articolo 25 della LED
Assicuratevi che i registri dei sistemi di IA soddisfino i requisiti di registrazione della Direttiva sulla protezione dei dati nel settore penale per il trattamento dei dati personali. Create una pista di audit unificata che copra sia la registrazione delle decisioni dell'IA sia le registrazioni del trattamento dei dati della LED.
Consentire l'accesso al controllo indipendente
Progettate controlli di accesso a livelli che consentano alle autorità di vigilanza del mercato, alle autorità di protezione dei dati e agli organismi di controllo indipendenti di sottoporre ad audit i registri delle decisioni dell'IA senza compromettere le indagini in corso.
Domande frequenti
Risorse correlate
Articolo 12: conservazione dei registri
Requisiti completi dell'articolo 12 in tutti i settori.
IA per le attività di contrasto — Hub settoriale
Guida completa alla conformità all'EU AI Act per l'IA per le attività di contrasto.
Articolo 13: trasparenza per le attività di contrasto
Requisiti di trasparenza per i sistemi di IA per le attività di contrasto.
Articolo 12: conservazione dei registri per la biometria
Registrazione delle corrispondenze biometriche e piste di audit delle liste di controllo.
Come aiuta Scanara
Scanara automatizza la conformità al Regolamento sull'IA dal codice al dossier. Connetti i tuoi repo GitHub e ottieni report di conformità in pochi minuti.