Skip to main content

Articolo 17 per l’IA fintech: sistema di gestione della qualità

Come si applica l’articolo 17 (sistema di gestione della qualità) all’IA fintech: i 13 aspetti, la regola per gli istituti finanziari dell’articolo 17, paragrafo 4, la documentazione, le date e le sanzioni.

I fornitori di sistemi di IA ad alto rischio devono istituire un sistema di gestione della qualità che copra almeno 13 aspetti (articolo 17, paragrafo 1).

«Fintech» non è una categoria del regolamento; gli agganci sono l’allegato III, punto 5, lettere b) e c), dal 2 dicembre 2027. Per i fornitori che sono istituti finanziari soggetti alle regole di governance del diritto finanziario dell’Unione, l’obbligo si considera soddisfatto se le rispettano (articolo 17, paragrafo 4). Restano escluse la gestione dei rischi, il monitoraggio successivo all’immissione sul mercato e la segnalazione degli incidenti. Le sanzioni arrivano fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale annuo, se superiore (articolo 99, paragrafo 4). Prossimo passo: verificate se l’articolo 17, paragrafo 4, vi riguarda.

L’articolo 17 elenca 13 aspetti che il sistema deve includere

Il sistema deve essere documentato in modo sistematico e ordinato sotto forma di politiche, procedure e istruzioni scritte. Quattro aspetti rimandano ad altri obblighi del regolamento; seguono altri nove.

  • art. 17(1)(a)
    Strategia per la conformità normativa

    Una strategia per la conformità normativa, compresa l’osservanza delle procedure di valutazione della conformità e delle procedure per la gestione delle modifiche del sistema.

  • art. 17(1)(g)
    Sistema di gestione dei rischi

    Il sistema di gestione dei rischi di cui all’articolo 9.

  • art. 17(1)(h)
    Monitoraggio successivo all’immissione sul mercato

    L’istituzione, l’attuazione e il mantenimento di un sistema di monitoraggio successivo all’immissione sul mercato a norma dell’articolo 72.

  • art. 17(1)(i)
    Comunicazione di incidenti gravi

    Le procedure relative alla comunicazione di un incidente grave a norma dell’articolo 73.

  • art. 17(1)(b)–(f), (j)–(m)
    Gli altri nove aspetti

    Progettazione e controllo della progettazione; sviluppo, controllo e garanzia della qualità; procedure di esame, prova e convalida; specifiche tecniche e norme; gestione dei dati; comunicazione con autorità, organismi notificati e altri; conservazione delle registrazioni; gestione delle risorse; un quadro di responsabilità.

  • art. 17(2)
    Proporzionato alle dimensioni, non alla protezione

    L’attuazione deve essere proporzionata alle dimensioni dell’organizzazione del fornitore, in particolare se è una PMI, comprese le start-up, o una piccola impresa a media capitalizzazione. I fornitori devono comunque rispettare il grado di rigore e il livello di protezione necessari per la conformità dei loro sistemi di IA ad alto rischio.

Come si applica l’articolo 17 all’IA fintech

L’articolo 17 vincola solo i fornitori di sistemi di IA ad alto rischio. Le righe seguenti mostrano quando l’IA fintech diventa ad alto rischio e quali regole riguardano gli istituti finanziari.

  • «Fintech» non è una categoria del regolamento

    Il regolamento non ha una categoria «fintech». Questo sito usa la parola per l’IA che rientra nel regolamento attraverso due agganci dell’allegato III: il punto 5, lettera b), affidabilità creditizia e merito di credito delle persone fisiche, e il punto 5, lettera c), valutazione dei rischi e determinazione dei prezzi nelle assicurazioni sulla vita e sanitarie. La lettera b) esclude il rilevamento delle frodi. Il punto 5 dell’allegato III non menziona i controlli antiriciclaggio, il trading algoritmico, la consulenza robotizzata, le assicurazioni diverse da quelle sulla vita e sanitarie né la valutazione del credito delle persone giuridiche. Un sistema può comunque essere ad alto rischio in base a un altro punto dell’allegato III.

  • Allegato III, punto 5, lettere b) e c)

    L’allegato III, punto 5, lettera b), riguarda i sistemi di IA destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito, a eccezione dei sistemi di IA utilizzati allo scopo di individuare frodi finanziarie. La lettera c) riguarda i sistemi di IA destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie. Ai sensi dell’articolo 6, paragrafo 2, i sistemi di IA di cui all’allegato III sono considerati ad alto rischio. Il fornitore che ritiene che un tale sistema non sia ad alto rischio ai sensi dell’articolo 6, paragrafo 3 deve documentare la propria valutazione prima che il sistema sia immesso sul mercato o messo in servizio, e registrarlo a norma dell’articolo 49, paragrafo 2. La deroga non si applica mai quando il sistema esegue profilazione di persone fisiche. Per profilazione si intende la profilazione quale definita all’articolo 4, punto 4), del regolamento (UE) 2016/679 (articolo 3, punto 52); il regolamento non dice se un determinato sistema di scoring esegua profilazione.

  • Fornitore e deployer

    Il fornitore sviluppa il sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome (articolo 3, punto 3); può essere un produttore di software o una banca che sviluppa un sistema per uso proprio. Una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che usa un sistema sotto la propria autorità, come una banca, un’impresa di assicurazione o un finanziatore, è un deployer (articolo 3, punto 4). Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, ne apporta una modifica sostanziale che lo lascia ad alto rischio, o modifica la finalità prevista di un sistema non ad alto rischio in modo che lo diventi (articolo 25, paragrafo 1).

  • Date

    L’allegato III, punto 5, lettere b) e c), si applica dal 2 dicembre 2027 (articolo 113, paragrafo 3, lettera c)). Un sistema immesso sul mercato o messo in servizio prima di tale data è coperto solo se dopo subisce modifiche significative della progettazione; in ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2).

  • Sanzioni

    La violazione degli obblighi dei fornitori (articolo 16) e dei deployer (articolo 26) può essere punita con sanzioni amministrative pecuniarie fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo all’importo più basso (articolo 99, paragrafo 6). Lo stesso massimale vale per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter, articolo 99, paragrafo 6 bis). Ogni Stato membro stabilisce le norme sulla misura in cui possono essere imposte sanzioni amministrative pecuniarie alle autorità e agli organismi pubblici istituiti in tale Stato membro (articolo 99, paragrafo 8).

  • Limiti dell’ambito di applicazione del regolamento

    Il regolamento si applica ai fornitori che immettono sul mercato o mettono in servizio sistemi di IA nell’Unione, o immettono sul mercato modelli di IA per finalità generali nell’Unione, indipendentemente da dove siano stabiliti (articolo 2, paragrafo 1, lettera a)), e ai fornitori e ai deployer stabiliti in un paese terzo quando l’output del sistema di IA è utilizzato nell’Unione (lettera c)). Non si applica ai settori che non rientrano nell’ambito di applicazione del diritto dell’Unione e non pregiudica le competenze degli Stati membri in materia di sicurezza nazionale; non si applica nemmeno ai sistemi di IA utilizzati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (articolo 2, paragrafo 3).

  • Istituti finanziari: la regola sulla governance interna (articolo 17, paragrafo 4)

    Per i fornitori che sono istituti finanziari soggetti a requisiti in materia di governance, dispositivi o processi interni stabiliti dal diritto dell’Unione in materia di servizi finanziari, l’obbligo di istituire un sistema di gestione della qualità si considera soddisfatto se sono rispettate le regole sui dispositivi o i processi di governance interna previste da tale diritto (articolo 17, paragrafo 4). Fanno eccezione l’articolo 17, paragrafo 1, lettere g), h) e i): il sistema di gestione dei rischi (articolo 9), il sistema di monitoraggio successivo all’immissione sul mercato (articolo 72) e le procedure di comunicazione di un incidente grave (articolo 73). Si tiene conto delle norme armonizzate di cui all’articolo 40. Il regolamento non definisce l’«istituto finanziario» e non nomina il diritto in materia di servizi finanziari interessato.

  • Sistemi di gestione della qualità settoriali

    I fornitori soggetti a obblighi riguardanti sistemi di gestione della qualità o una funzione equivalente ai sensi del diritto settoriale dell’Unione possono includere gli aspetti dell’articolo 17, paragrafo 1, nel sistema di gestione della qualità previsto da tale diritto (articolo 17, paragrafo 3).

  • Documentazione, log e monitoraggio nel diritto finanziario

    I fornitori che sono istituti finanziari soggetti a tali requisiti di governance interna mantengono la documentazione tecnica come parte della documentazione conservata a norma del diritto dell’Unione in materia di servizi finanziari (articolo 18, paragrafo 3) e conservano allo stesso modo i log generati automaticamente (articolo 19, paragrafo 2). L’articolo 72, paragrafo 4, secondo comma, estende ai sistemi dell’allegato III, punto 5, di tali istituti finanziari la facoltà di integrare elementi del monitoraggio successivo all’immissione sul mercato in sistemi e piani già esistenti; il regolamento non dice quali sistemi esistenti del diritto finanziario siano idonei.

  • Quale autorità è competente

    Per i sistemi ad alto rischio immessi sul mercato, messi in servizio o utilizzati da istituti finanziari regolamentati dal diritto dell’Unione in materia di servizi finanziari, l’autorità di vigilanza del mercato è l’autorità nazionale competente per la vigilanza finanziaria su tali istituti ai sensi di tale normativa, nella misura in cui l’immissione sul mercato, la messa in servizio o l’uso del sistema siano direttamente collegati alla fornitura di tali servizi finanziari (articolo 74, paragrafo 6). In circostanze appropriate e a condizione che sia garantito il coordinamento, lo Stato membro può individuare un’altra autorità competente (articolo 74, paragrafo 7).

Che cosa il regolamento lascia aperto per il fintech

  • Nessuna norma indicata, nessuna corrispondenza con il diritto finanziario

    Il regolamento non indica alcuna norma o certificazione per il sistema di gestione della qualità e non fa corrispondere le regole di governance del diritto finanziario ai 13 aspetti. L’articolo 17, paragrafo 4 dice soltanto che si tiene conto delle norme armonizzate di cui all’articolo 40.

  • La conservazione per dieci anni è nell’articolo 18

    L’obbligo di conservare la documentazione del sistema di gestione della qualità per dieci anni dopo l’immissione sul mercato o la messa in servizio del sistema è nell’articolo 18, paragrafo 1, non nell’articolo 17.

  • Esempio: una tabella delle lacune

    Esempio, non un requisito del regolamento: una banca che è fornitore potrebbe elencare i 13 aspetti in una tabella, indicare il documento di governance interna che copre ciascuno e trattare gli aspetti g), h) e i) a parte, perché l’articolo 17, paragrafo 4, non li copre.

Domande sull’articolo 17 nel fintech

Una banca che sviluppa un proprio modello di credit scoring ha bisogno di un sistema di gestione della qualità separato?

Non necessariamente. Se la banca è un istituto finanziario soggetto a requisiti di governance interna stabiliti dal diritto dell’Unione in materia di servizi finanziari, l’obbligo si considera soddisfatto rispettando tali regole, ad eccezione dell’articolo 17, paragrafo 1, lettere g), h) e i) (articolo 17, paragrafo 4). Un fornitore con un sistema di gestione della qualità ai sensi di un altro diritto settoriale dell’Unione può includervi gli aspetti (articolo 17, paragrafo 3).

L’articolo 17 richiede di conservare i documenti per dieci anni?

No. L’articolo 18, paragrafo 1, richiede che il fornitore tenga a disposizione delle autorità nazionali competenti la documentazione tecnica, la documentazione del sistema di gestione della qualità e altri documenti elencati per dieci anni dopo l’immissione sul mercato o la messa in servizio del sistema.

L’articolo 17, paragrafo 4, copre una start-up fintech che non è una banca?

L’articolo 17, paragrafo 4, copre i fornitori che sono istituti finanziari soggetti a requisiti di governance interna stabiliti dal diritto dell’Unione in materia di servizi finanziari. Il regolamento non definisce l’«istituto finanziario» a tal fine. Se una determinata impresa fintech sia coperta dipende dal diritto in materia di servizi finanziari che le si applica; rivolgetevi a un giurista.

Pagine correlate

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.