Articolo 26: obblighi del deployer per l'IA ad alto rischio
Gli obblighi del deployer secondo l’articolo 26 del regolamento sull’IA: chi è deployer, quando si applicano, in che cosa si distinguono dall’articolo 27 e le sanzioni dell’articolo 99(4).
I deployer di sistemi di IA ad alto rischio hanno obblighi propri (articolo 26). Devono seguire le istruzioni per l’uso, affidare la sorveglianza umana, monitorare il funzionamento e conservare i log.
Il deployer è qualsiasi persona o organismo che usa un sistema di IA sotto la propria autorità (articolo 3, punto 4). Gli obblighi riguardano anche i deployer fuori dall’UE se i risultati sono usati nell’UE. Si applicano dal 2 dicembre 2027 (sistemi dell’allegato III, usi elencati, come la selezione del personale) o dal 2 agosto 2028 (sistemi dell’allegato I). Le sanzioni arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Per prima cosa, chiedete a ogni fornitore le istruzioni per l’uso.
L’articolo 26 fissa 11 obblighi per i deployer
Le schede qui sotto riassumono l’articolo 26. Il paragrafo 3 precisa che questi obblighi non pregiudicano altri obblighi dei deployer previsti dal diritto dell’Unione o nazionale.
Usare il sistema secondo le istruzioni
Adottate misure tecniche e organizzative adeguate per usare il sistema secondo le sue istruzioni per l’uso (articolo 26(1)).
Affidare la sorveglianza umana
Affidate la sorveglianza umana a persone fisiche con la competenza, la formazione e l’autorità necessarie, e dotatele del supporto necessario (articolo 26(2)).
Verificare i dati di input
Se controllate i dati di input, accertatevi che siano pertinenti e sufficientemente rappresentativi rispetto alla finalità prevista del sistema (articolo 26(4)).
Monitorare il funzionamento e segnalare i rischi
Monitorate il funzionamento sulla base delle istruzioni per l’uso. Se avete motivo di ritenere che l’uso possa presentare un rischio (articolo 79(1)), sospendete l’uso e informate senza indebito ritardo il fornitore o il distributore e l’autorità di vigilanza del mercato. Dopo un incidente grave, informate immediatamente prima il fornitore, poi l’importatore o il distributore e le autorità di vigilanza del mercato. Se non riuscite a contattare il fornitore, si applica l’articolo 73 (articolo 26(5)). Questo obbligo non riguarda i dati operativi sensibili dei deployer che sono autorità di contrasto. Gli istituti finanziari soggetti a norme di governance interna ai sensi del diritto dell’Unione sui servizi finanziari adempiono l’obbligo di monitoraggio rispettando tali norme.
Conservare i log
Conservate i log che il sistema genera automaticamente, nella misura in cui sono sotto il vostro controllo, per un periodo adeguato alla finalità prevista e di almeno sei mesi, salvo diversa disposizione del diritto dell’Unione o nazionale (articolo 26(6)). Gli istituti finanziari li conservano come parte della documentazione prevista dal diritto dei servizi finanziari.
Informare i lavoratori
I datori di lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati prima di mettere in servizio o usare un sistema ad alto rischio sul luogo di lavoro (articolo 26(7)).
Registrare l’uso (autorità pubbliche)
Le autorità pubbliche e gli organismi dell’Unione devono rispettare gli obblighi di registrazione dell’articolo 49. Se un sistema che intendono usare non è registrato nella banca dati UE, non devono usarlo e devono informare il fornitore o il distributore (articolo 26(8)).
Usare le informazioni del fornitore per la valutazione d’impatto sulla protezione dei dati
Se del caso, usate le informazioni fornite dal fornitore a norma dell’articolo 13 per svolgere la valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 del regolamento (UE) 2016/679 o dell’articolo 27 della direttiva (UE) 2016/680 (articolo 26(9)).
Richiedere l’autorizzazione per l’identificazione biometrica remota a posteriori
Per la ricerca mirata di una persona sospettata o condannata per un reato, chiedete l’autorizzazione di un’autorità giudiziaria o di un’autorità amministrativa la cui decisione sia vincolante prima di usare un sistema di identificazione biometrica remota a posteriori, o entro 48 ore al più tardi. L’eccezione è l’identificazione iniziale di un potenziale sospettato sulla base di fatti oggettivi e verificabili. L’uso non mirato è vietato, ogni uso è documentato nel fascicolo di polizia e alle autorità vanno inviate relazioni annuali (articolo 26(10)).
Informare le persone interessate
I deployer di sistemi dell’allegato III che prendono decisioni riguardanti persone fisiche, o assistono nel prenderle, devono informare tali persone che sono soggette all’uso del sistema. Per gli usi di contrasto si applica l’articolo 13 della direttiva (UE) 2016/680 (articolo 26(11)).
Cooperare con le autorità
Cooperate con le autorità competenti in qualsiasi azione che esse intraprendano in relazione al sistema per attuare il regolamento (articolo 26(12)).
Il ruolo dipende dall’uso: alcuni deployer diventano fornitori
Siete deployer se usate un sistema di IA sotto la vostra autorità, chiunque lo abbia realizzato (articolo 3, punto 4). Un’impresa che realizza un sistema e lo usa essa stessa è al tempo stesso fornitore e deployer, perché la messa in servizio include l’uso per scopo proprio (articolo 3, punto 11).
Un deployer diventa fornitore, con gli obblighi dell’articolo 16, in tre casi (articolo 25(1)). Appone il proprio nome o marchio su un sistema ad alto rischio. Apporta una modifica sostanziale che lascia il sistema ad alto rischio. Oppure modifica la finalità prevista di un sistema in modo che diventi ad alto rischio. Il fornitore iniziale non è tenuto a cooperare con il nuovo fornitore se ha chiaramente specificato che il suo sistema di IA non deve essere trasformato in un sistema di IA ad alto rischio (articolo 25(2)).
Gli articoli 26 e 27 sono obblighi distinti
L’articolo 26 si applica a ogni deployer di un sistema di IA ad alto rischio. L’articolo 27 aggiunge una valutazione d’impatto sui diritti fondamentali solo per alcuni deployer: organismi di diritto pubblico, enti privati che forniscono servizi pubblici e deployer di sistemi di valutazione del merito creditizio o di assicurazione vita e malattia. L’articolo 26 in sé non contiene tale valutazione.
Date, limiti e sanzioni per i deployer
Date di applicazione
L’articolo 26 si applica dal 2 dicembre 2027 ai sistemi dell’allegato III e dal 2 agosto 2028 a quelli dell’allegato I (articolo 113). Un sistema ad alto rischio immesso sul mercato prima della data di applicazione è interessato solo se in seguito la sua progettazione cambia in modo significativo (articolo 111(2)). In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)).
Dove l’articolo 26 non si applica
L’articolo 26 non si applica ai sistemi collegati a prodotti della sezione B dell’allegato I (articolo 2(2)), alle persone fisiche che usano sistemi di IA nell’ambito di un’attività puramente personale e non professionale (articolo 2(10)) né ai sistemi di IA usati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (articolo 2(3)). Per i prodotti della sezione B dell’allegato I, gli articoli 57, 58 e 59 si applicano solo nella misura in cui i requisiti per i sistemi di IA ad alto rischio sono stati integrati in tale normativa di armonizzazione dell’Unione.
Sanzioni
La violazione degli obblighi del deployer dell’articolo 26 può essere punita con una sanzione fino a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4), lettera e). Per le PMI, comprese le start-up, e per le piccole imprese a media capitalizzazione la sanzione arriva al massimo all’importo più basso dei due (articolo 99(6) e (6 bis)).
Come Scanara supporta i deployer
Scanara esegue una valutazione guidata degli obblighi del deployer dell’articolo 26, la collega a una valutazione d’impatto sulla protezione dei dati quando sono trattati dati personali e registra le prove della conservazione dei log. Quando si applica l’articolo 27, una seconda valutazione guidata struttura la valutazione d’impatto sui diritti fondamentali. Voi decidete che cosa vi riguarda e adempite gli obblighi.
Domande frequenti sugli obblighi del deployer
L’articolo 26 si applica ai sistemi di IA usati solo all’interno della mia azienda?
Sì. Il deployer si definisce per l’uso di un sistema sotto la propria autorità, non per chi lo ha realizzato (articolo 3, punto 4). Un’impresa che realizza un sistema ad alto rischio e lo usa essa stessa è al tempo stesso fornitore e deployer, quindi si applicano entrambi gli articoli 16 e 26. Lo sviluppo e le prove prima dell’immissione sul mercato o della messa in servizio sono fuori dal regolamento (articolo 2(8)), salvo le prove in condizioni reali.
Cosa deve fare un deployer dopo un incidente grave?
Il deployer che rileva un incidente grave deve informare immediatamente prima il fornitore, poi l’importatore o il distributore e le autorità di vigilanza del mercato (articolo 26(5)). Un incidente grave è un incidente o un malfunzionamento che causa direttamente o indirettamente la morte o gravi danni alla salute, una perturbazione grave e irreversibile di infrastrutture critiche, una violazione di obblighi del diritto dell’Unione a tutela dei diritti fondamentali, o gravi danni a beni o all’ambiente (articolo 3, punto 49). La sospensione dell’uso è richiesta quando vi è motivo di ritenere che l’uso presenti un rischio ai sensi dell’articolo 79(1).
Le PMI godono di agevolazioni rispetto agli obblighi del deployer?
No. L’articolo 26 non prevede esenzioni legate alle dimensioni. Le PMI, comprese le start-up, e le piccole imprese a media capitalizzazione rischiano una sanzione fino al più basso dei due importi (articolo 99(6) e (6 bis)). Gli istituti finanziari che rispettano le norme dell’Unione sulla governance interna conservano i log come parte della documentazione che tengono ai sensi del diritto dei servizi finanziari (articolo 26(6)).
Il dettaglio di ogni obbligo
Articolo 27: valutazione d’impatto sui diritti fondamentali
Illustra quali deployer devono valutare l’impatto sui diritti fondamentali prima del primo uso.
Articolo 16: obblighi del fornitore
Illustra i 12 obblighi dei fornitori, per sapere che cosa chiedere al vostro fornitore.
Articolo 14: sorveglianza umana
Illustra come i fornitori devono progettare i sistemi per la sorveglianza umana, che sarà svolta dal personale che avrete designato.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.