Articolo 26 nel fintech: obblighi dei deployer

L’articolo 26 fissa questi obblighi per i deployer di sistemi di IA ad alto rischio.

• art. 26(1)
  Usare secondo le istruzioni

  Adottare idonee misure tecniche e organizzative per utilizzare il sistema conformemente alle istruzioni per l’uso.

• art. 26(2)
  Affidare la sorveglianza umana

  Affidare la sorveglianza umana a persone fisiche che dispongono della competenza, della formazione e dell’autorità necessarie nonché del sostegno necessario.

• art. 26(4)
  Verificare i dati di input

  Nella misura in cui il deployer esercita il controllo sui dati di input, garantire che tali dati siano pertinenti e sufficientemente rappresentativi alla luce della finalità prevista.

• art. 26(5)
  Monitorare, informare, sospendere

  Monitorare il funzionamento sulla base delle istruzioni per l’uso e, se del caso, informare i fornitori. Se l’uso conforme alle istruzioni può presentare un rischio ai sensi dell’articolo 79, paragrafo 1, informare senza indebito ritardo il fornitore o il distributore e l’autorità di vigilanza del mercato e sospendere l’uso. Dopo un incidente grave, informare immediatamente prima il fornitore, poi l’importatore o il distributore e le autorità di vigilanza del mercato. Se il fornitore non è raggiungibile, si applica l’articolo 73 mutatis mutandis.

• art. 26(6)
  Conservare i log

  Conservare i log generati automaticamente dal sistema, nella misura in cui sono sotto il suo controllo, per un periodo adeguato alla finalità prevista e di almeno sei mesi, salvo diversa disposizione del diritto dell’Unione o nazionale, in particolare sulla protezione dei dati personali.

• art. 26(7)
  Informare i lavoratori

  I datori di lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati, prima di mettere in servizio o usare un sistema ad alto rischio sul posto di lavoro, che saranno soggetti al suo uso. Tali informazioni sono fornite, ove applicabile, in conformità alle norme e alle procedure del diritto e della prassi dell’Unione e nazionali in materia di informazione dei lavoratori e dei loro rappresentanti.

• art. 26(8)
  Le autorità pubbliche si registrano

  I deployer che sono autorità pubbliche, o istituzioni, organi e organismi dell’Unione, devono rispettare gli obblighi di registrazione dell’articolo 49, che riguardano i sistemi dell’allegato III. Non devono usare un sistema non registrato nella banca dati dell’UE.

• art. 26(9)
  Valutazione d’impatto sulla protezione dei dati

  Se del caso, usare le informazioni fornite a norma dell’articolo 13 per la valutazione d’impatto sulla protezione dei dati prevista dall’articolo 35 del regolamento (UE) 2016/679 o dall’articolo 27 della direttiva (UE) 2016/680.

• art. 26(11)
  Informare le persone interessate da decisioni

  Per i sistemi dell’allegato III che prendono o aiutano a prendere decisioni riguardanti persone fisiche, informare tali persone che sono soggette all’uso del sistema, fatto salvo l’articolo 50.

• art. 26(12)
  Cooperare con le autorità

  Cooperare con le autorità competenti in qualsiasi azione che esse intraprendano in relazione al sistema di IA ad alto rischio.

L’articolo 26 vincola solo i deployer di sistemi di IA ad alto rischio. Le righe seguenti mostrano quando l’IA fintech diventa ad alto rischio e quali regole riguardano gli istituti finanziari.

• «Fintech» non è una categoria del regolamento

  Il regolamento non ha una categoria «fintech». Questo sito usa la parola per l’IA che rientra nel regolamento attraverso due agganci dell’allegato III: il punto 5, lettera b), affidabilità creditizia e merito di credito delle persone fisiche, e il punto 5, lettera c), valutazione dei rischi e determinazione dei prezzi nelle assicurazioni sulla vita e sanitarie. La lettera b) esclude il rilevamento delle frodi. Il punto 5 dell’allegato III non menziona i controlli antiriciclaggio, il trading algoritmico, la consulenza robotizzata, le assicurazioni diverse da quelle sulla vita e sanitarie né la valutazione del credito delle persone giuridiche. Un sistema può comunque essere ad alto rischio in base a un altro punto dell’allegato III.

• Allegato III, punto 5, lettere b) e c)

  L’allegato III, punto 5, lettera b), riguarda i sistemi di IA destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito, a eccezione dei sistemi di IA utilizzati allo scopo di individuare frodi finanziarie. La lettera c) riguarda i sistemi di IA destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie. Ai sensi dell’articolo 6, paragrafo 2, i sistemi di IA di cui all’allegato III sono considerati ad alto rischio. Il fornitore che ritiene che un tale sistema non sia ad alto rischio ai sensi dell’articolo 6, paragrafo 3 deve documentare la propria valutazione prima che il sistema sia immesso sul mercato o messo in servizio, e registrarlo a norma dell’articolo 49, paragrafo 2. La deroga non si applica mai quando il sistema esegue profilazione di persone fisiche. Per profilazione si intende la profilazione quale definita all’articolo 4, punto 4), del regolamento (UE) 2016/679 (articolo 3, punto 52); il regolamento non dice se un determinato sistema di scoring esegua profilazione.

• Fornitore e deployer

  Il fornitore sviluppa il sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome (articolo 3, punto 3); può essere un produttore di software o una banca che sviluppa un sistema per uso proprio. Una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che usa un sistema sotto la propria autorità, come una banca, un’impresa di assicurazione o un finanziatore, è un deployer (articolo 3, punto 4). Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, ne apporta una modifica sostanziale che lo lascia ad alto rischio, o modifica la finalità prevista di un sistema non ad alto rischio in modo che lo diventi (articolo 25, paragrafo 1). Le persone fisiche che usano un sistema nell’ambito di un’attività puramente personale e non professionale non sono vincolate come deployer (articolo 2, paragrafo 10). Apporre il proprio nome o marchio sul sistema non pregiudica gli accordi contrattuali che ripartiscono diversamente gli obblighi (articolo 25, paragrafo 1, lettera a)); il fornitore iniziale non è allora più il fornitore di tale sistema e coopera strettamente con il nuovo fornitore (articolo 25, paragrafo 2).

• Date

  L’allegato III, punto 5, lettere b) e c), si applica dal 2 dicembre 2027 (articolo 113, paragrafo 3, lettera c)). Un sistema immesso sul mercato o messo in servizio prima di tale data è coperto solo se dopo subisce modifiche significative della progettazione; in ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2).

• Sanzioni

  La violazione degli obblighi dei fornitori (articolo 16) e dei deployer (articolo 26) può essere punita con sanzioni amministrative pecuniarie fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo all’importo più basso (articolo 99, paragrafo 6). Lo stesso massimale vale per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter, articolo 99, paragrafo 6 bis). Ogni Stato membro stabilisce le norme sulla misura in cui possono essere imposte sanzioni amministrative pecuniarie alle autorità e agli organismi pubblici istituiti in tale Stato membro (articolo 99, paragrafo 8). Gli articoli 27, 49 e 86 non figurano nell’articolo 99, paragrafi da 3 a 5; gli Stati membri stabiliscono le norme sulle sanzioni applicabili alle violazioni del regolamento da parte degli operatori (articolo 99, paragrafo 1).

• Limiti dell’ambito di applicazione del regolamento

  Il regolamento si applica ai fornitori che immettono sul mercato o mettono in servizio sistemi di IA nell’Unione, o immettono sul mercato modelli di IA per finalità generali nell’Unione, indipendentemente da dove siano stabiliti (articolo 2, paragrafo 1, lettera a)), e ai fornitori e ai deployer stabiliti in un paese terzo quando l’output del sistema di IA è utilizzato nell’Unione (lettera c)). Non si applica ai settori che non rientrano nell’ambito di applicazione del diritto dell’Unione e non pregiudica le competenze degli Stati membri in materia di sicurezza nazionale; non si applica nemmeno ai sistemi di IA utilizzati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (articolo 2, paragrafo 3).

• Istituti finanziari: monitoraggio e log (articolo 26, paragrafi 5 e 6)

  Per i deployer che sono istituti finanziari soggetti a requisiti in materia di governance, dispositivi o processi interni stabiliti dal diritto dell’Unione in materia di servizi finanziari, l’obbligo di monitoraggio si considera soddisfatto se sono rispettate le regole sui dispositivi, i processi e i meccanismi di governance interna previste dal pertinente diritto in materia di servizi finanziari (articolo 26, paragrafo 5, secondo comma). Tali deployer conservano i log come parte della documentazione conservata a norma del pertinente diritto dell’Unione in materia di servizi finanziari (articolo 26, paragrafo 6, secondo comma). Il regolamento non nomina il diritto in materia di servizi finanziari interessato.

• Valutazione d’impatto sui diritti fondamentali (articolo 27)

  Articolo 27, paragrafo 1: prima di mettere in uso un sistema di IA ad alto rischio di cui all’articolo 6, paragrafo 2, ad eccezione dei sistemi destinati a essere utilizzati nell’ambito di cui al punto 2 dell’allegato III, i deployer che sono organismi di diritto pubblico o enti privati che forniscono servizi pubblici, e i deployer dei sistemi di cui all’allegato III, punto 5, lettere b) e c), devono valutare l’impatto sui diritti fondamentali che l’uso del sistema può produrre. Per le lettere b) e c) il testo indica i deployer di tali sistemi senza limitarli agli organismi pubblici. L’obbligo si applica al primo uso; in casi simili il deployer può basarsi su valutazioni precedenti (articolo 27, paragrafo 2). Il deployer notifica i risultati all’autorità di vigilanza del mercato (articolo 27, paragrafo 3) e può rinviare a una valutazione d’impatto sulla protezione dei dati (articolo 27, paragrafo 4).

• Spiegazione delle decisioni (articolo 86) e informazione (articolo 26, paragrafo 11)

  Ai sensi dell’articolo 26, paragrafo 11, i deployer di sistemi di IA ad alto rischio dell’allegato III che prendono decisioni o assistono nel prendere decisioni relative a persone fisiche devono informare tali persone che sono soggette all’uso del sistema. Separatamente, la persona interessata oggetto di una decisione adottata dal deployer sulla base dell’output di un sistema di IA ad alto rischio dell’allegato III (escluso il punto 2), che produce effetti giuridici o incide in modo analogo significativamente su di essa in un modo che ritiene avere un impatto negativo sulla sua salute, sicurezza o sui suoi diritti fondamentali, ha il diritto di ottenere dal deployer spiegazioni chiare e significative sul ruolo del sistema di IA nella procedura decisionale e sui principali elementi della decisione adottata (articolo 86, paragrafo 1). Ciò si applica solo nella misura in cui tale diritto non sia previsto altrimenti dal diritto dell’Unione (articolo 86, paragrafo 3). Il paragrafo 1 non si applica quando eccezioni o restrizioni derivano dal diritto dell’Unione o nazionale nel rispetto del diritto dell’Unione (articolo 86, paragrafo 2).

• Quale autorità è competente

  Per i sistemi ad alto rischio immessi sul mercato, messi in servizio o utilizzati da istituti finanziari regolamentati dal diritto dell’Unione in materia di servizi finanziari, l’autorità di vigilanza del mercato è l’autorità nazionale competente per la vigilanza finanziaria su tali istituti ai sensi di tale normativa, nella misura in cui l’immissione sul mercato, la messa in servizio o l’uso del sistema siano direttamente collegati alla fornitura di tali servizi finanziari (articolo 74, paragrafo 6). In circostanze appropriate e a condizione che sia garantito il coordinamento, lo Stato membro può individuare un’altra autorità competente (articolo 74, paragrafo 7).

• Nessun numero su personale o formazione

  L’articolo 26 non fissa organici, ore di formazione né qualifiche per le persone che sorvegliano un sistema di credito o assicurativo. Richiede la competenza, la formazione, l’autorità e il sostegno necessari. La Commissione elabora orientamenti sull’applicazione dei requisiti e degli obblighi degli articoli da 8 a 15 e degli articoli 25 e 26 (articolo 96, paragrafo 1, lettera a)).

• Log e conservazione secondo il diritto finanziario

  L’articolo 26, paragrafo 6, fissa almeno sei mesi per i log sotto il controllo del deployer e cede il passo ad altro diritto dell’Unione o nazionale, in particolare sui dati personali. Il regolamento non indica alcun periodo di conservazione derivante dal diritto in materia di servizi finanziari.

• Scelta di progettazione: ruoli di sorveglianza

  Una scelta di progettazione comune, non un requisito del regolamento: indicare le persone incaricate della sorveglianza per ruolo nelle procedure di credito o di sottoscrizione e registrarne la formazione.

• Riesame umano di ogni decisione

  L’articolo 14, paragrafo 4, e l’articolo 26, paragrafo 2, riguardano la sorveglianza umana del sistema. Nessuno dei due dice che una persona debba riesaminare ogni singola decisione. Se altro diritto, per esempio sulle decisioni individuali automatizzate, lo richieda non è stabilito dal regolamento.

• Articolo 26: obblighi del deployer per l'IA ad alto rischio

  L’articolo 26 per tutti i settori: chi è deployer, gli obblighi, l’articolo 27 e le sanzioni.

• Regolamento IA fintech: guida alla conformità

  Il quadro sul fintech: come il regolamento raggiunge l’IA per credito e assicurazioni.

• Articolo 17 per l’IA fintech: sistema di gestione della qualità

  L’IA fintech e l’articolo 17: i 13 aspetti e la regola per gli istituti finanziari.

• Articolo 27: valutazione d'impatto sui diritti fondamentali

  L’articolo 27 per tutti i settori: chi deve valutare l’impatto sui diritti fondamentali e che cosa comprende la valutazione.