Articolo 26 in sanità: obblighi dei deployer

L’articolo 26 fissa questi obblighi per i deployer di sistemi di IA ad alto rischio.

• art. 26(1)
  Usare secondo le istruzioni

  Adottare idonee misure tecniche e organizzative per utilizzare il sistema conformemente alle istruzioni per l’uso.

• art. 26(2)
  Affidare la sorveglianza umana

  Affidare la sorveglianza umana a persone fisiche che dispongono della competenza, della formazione e dell’autorità necessarie nonché del sostegno necessario.

• art. 26(4)
  Verificare i dati di input

  Nella misura in cui il deployer esercita il controllo sui dati di input, garantire che tali dati siano pertinenti e sufficientemente rappresentativi alla luce della finalità prevista.

• art. 26(5)
  Monitorare, informare, sospendere

  Monitorare il funzionamento sulla base delle istruzioni per l’uso e, se del caso, informare i fornitori. Se l’uso conforme alle istruzioni può presentare un rischio ai sensi dell’articolo 79, paragrafo 1, informare senza indebito ritardo il fornitore o il distributore e l’autorità di vigilanza del mercato e sospendere l’uso. Dopo un incidente grave, informare immediatamente prima il fornitore, poi l’importatore o il distributore e le autorità di vigilanza del mercato. Se il fornitore non è raggiungibile, si applica l’articolo 73 mutatis mutandis.

• art. 26(6)
  Conservare i log

  Conservare i log generati automaticamente dal sistema, nella misura in cui sono sotto il suo controllo, per un periodo adeguato alla finalità prevista e di almeno sei mesi, salvo diversa disposizione del diritto dell’Unione o nazionale, in particolare sulla protezione dei dati personali.

• art. 26(7)
  Informare i lavoratori

  I datori di lavoro devono informare i rappresentanti dei lavoratori e i lavoratori interessati, prima di mettere in servizio o usare un sistema ad alto rischio sul posto di lavoro, che saranno soggetti al suo uso. Tali informazioni sono fornite, ove applicabile, in conformità alle norme e alle procedure del diritto e della prassi dell’Unione e nazionali in materia di informazione dei lavoratori e dei loro rappresentanti.

• art. 26(8)
  Le autorità pubbliche si registrano

  I deployer che sono autorità pubbliche, o istituzioni, organi e organismi dell’Unione, devono rispettare gli obblighi di registrazione dell’articolo 49, che riguardano i sistemi dell’allegato III. Se rilevano che il sistema che intendono usare non è registrato nella banca dati dell’UE, non devono usarlo e ne informano il fornitore o il distributore.

• art. 26(9)
  Valutazione d’impatto sulla protezione dei dati

  Se del caso, usare le informazioni fornite a norma dell’articolo 13 per la valutazione d’impatto sulla protezione dei dati prevista dall’articolo 35 del regolamento (UE) 2016/679 o dall’articolo 27 della direttiva (UE) 2016/680.

• art. 26(11)
  Informare le persone interessate da decisioni

  Per i sistemi dell’allegato III che prendono o aiutano a prendere decisioni riguardanti persone fisiche, informare tali persone che sono soggette all’uso del sistema, fatto salvo l’articolo 50.

• art. 26(12)
  Cooperare con le autorità

  Cooperare con le autorità competenti in qualsiasi azione che esse intraprendano in relazione al sistema di IA ad alto rischio.

L’articolo 26 vincola solo i deployer di sistemi di IA ad alto rischio. Le righe seguenti mostrano quando l’IA sanitaria diventa ad alto rischio.

• La sanità non è una categoria del regolamento

  Il regolamento non ha una categoria «sanità». Questo sito usa la parola per l’IA che rientra nel regolamento attraverso tre agganci: i dispositivi medici (allegato I, sezione A), l’allegato III, punto 5, lettere a) e d), e l’allegato III, punto 1, lettera c), sul riconoscimento delle emozioni.

• Dispositivi medici: allegato I, sezione A, punti 11 e 12

  L’allegato I, sezione A, elenca il regolamento (UE) 2017/745 relativo ai dispositivi medici (punto 11) e il regolamento (UE) 2017/746 relativo ai dispositivi medico-diagnostici in vitro (punto 12). Un sistema di IA è ad alto rischio ai sensi dell’articolo 6, paragrafo 1 quando è un componente di sicurezza di un prodotto disciplinato da tale normativa, o è esso stesso un prodotto di questo tipo, e il prodotto deve essere sottoposto a una valutazione della conformità da parte di terzi a norma di tale normativa. I regolamenti sui dispositivi medici stabiliscono quali prodotti la richiedono. L’articolo 2, paragrafo 2, che limita i prodotti della sezione B dell’allegato I, non si applica alla sezione A.

• Allegato III, punto 1, lettera c), e punto 5, lettere a) e d)

  L’allegato III, punto 5, lettera a), riguarda i sistemi usati dalle autorità pubbliche o per loro conto per valutare l’ammissibilità delle persone fisiche alle prestazioni e ai servizi di assistenza pubblica essenziali, compresi i servizi di assistenza sanitaria, nonché per concedere, ridurre, revocare o recuperare tali prestazioni e servizi. La lettera d) riguarda i sistemi per valutare e classificare le chiamate di emergenza o per inviare servizi di emergenza di primo soccorso o stabilire priorità in merito al loro invio, compresi polizia, vigili del fuoco e assistenza medica, nonché i sistemi di selezione dei pazienti per quanto concerne l’assistenza sanitaria di emergenza. Il punto 1, lettera c), riguarda i sistemi di IA destinati a essere utilizzati per il riconoscimento delle emozioni, nella misura in cui il pertinente diritto dell’Unione o nazionale ne permette l’uso. Se un sistema è sia un prodotto della sezione A sia compreso nell’allegato III, il fornitore segue la procedura di valutazione della conformità prevista dalla normativa della sezione A (articolo 43, paragrafo 3).

• Fornitore e deployer

  Il fornitore sviluppa il sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome (articolo 3, punto 3). Per un componente di sicurezza di un prodotto della sezione A, il fabbricante del prodotto è il fornitore se il sistema è immesso sul mercato insieme al prodotto con il suo nome o marchio, o messo in servizio con il suo nome dopo l’immissione del prodotto sul mercato (articolo 25, paragrafo 3). Un ospedale, una clinica o un laboratorio che usa un sistema sotto la propria autorità è un deployer. Un deployer diventa fornitore se appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, ne apporta una modifica sostanziale che lo lascia ad alto rischio, o modifica la finalità prevista di un sistema non ad alto rischio in modo che lo diventi (articolo 25, paragrafo 1).

• Date

  L’IA dei dispositivi medici dell’allegato I si applica dal 2 agosto 2028. L’allegato III, punto 1, lettera c), e punto 5, lettere a) e d), si applica dal 2 dicembre 2027 (articolo 113, paragrafo 3, lettera c)). Un sistema immesso sul mercato o messo in servizio prima di tale data è coperto solo se dopo subisce modifiche significative della progettazione; in ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2). L’articolo 113 non dice quale data valga per un sistema che rientra sia nell’allegato I sia nell’allegato III; rivolgetevi a un giurista.

• Sanzioni

  La violazione degli obblighi dei fornitori (articolo 16) e dei deployer (articolo 26) può essere punita con sanzioni amministrative pecuniarie fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo all’importo più basso (articolo 99, paragrafo 6). Lo stesso massimale vale per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter, articolo 99, paragrafo 6 bis).

• Valutazione d’impatto sui diritti fondamentali (articolo 27)

  L’articolo 27 si applica solo ai sistemi di IA ad alto rischio di cui all’articolo 6, paragrafo 2, cioè all’allegato III. Un ospedale che impiega solo IA di dispositivi medici dell’allegato I non ha l’obbligo dell’articolo 27. Per i sistemi dell’allegato III, escluso il punto 2, l’obbligo spetta ai deployer che sono organismi di diritto pubblico o enti privati che forniscono servizi pubblici, ad esempio per il punto 5, lettere a) e d), in un ospedale pubblico; spetta anche ai deployer di sistemi del punto 5, lettere b) e c), qualunque sia il loro status (articolo 27, paragrafo 1).

• Incidenti gravi

  L’articolo 26, paragrafo 5, indica al deployer di informare prima il fornitore. Per l’IA dei dispositivi medici, la segnalazione del fornitore stesso alle autorità è limitata agli incidenti di cui all’articolo 3, punto 49, lettera c), cioè la violazione di obblighi del diritto dell’Unione intesi a tutelare i diritti fondamentali, e va all’autorità scelta dallo Stato membro (articolo 73, paragrafo 10).

• Nessun numero su personale o formazione

  L’articolo 26 non fissa livelli di personale, ore di formazione o qualifiche per chi sorveglia un sistema sanitario. Richiede la competenza, la formazione, l’autorità e il sostegno necessari. L’articolo 4 impone a fornitori e deployer di adottare misure per promuovere l’alfabetizzazione in materia di IA del proprio personale e di altre persone che gestiscono sistemi di IA per loro conto; non impone di garantire un livello specifico (articolo 4).

• Log e cartelle cliniche

  L’articolo 26, paragrafo 6, fissa almeno sei mesi per i log sotto il controllo del deployer e cede il passo ad altro diritto dell’Unione o nazionale, in particolare sui dati personali. Il regolamento non fissa alcun periodo di conservazione delle cartelle cliniche.

• Scelta di progettazione: ruoli di sorveglianza

  Una scelta di progettazione diffusa, non un requisito del regolamento: indicare le persone incaricate della sorveglianza per ruolo nelle procedure del reparto o del servizio e registrare la loro formazione.

• Persone fisiche in ambito privato

  Il regolamento non si applica agli obblighi dei deployer che sono persone fisiche che usano sistemi di IA nel corso di un’attività non professionale puramente personale (articolo 2, paragrafo 10).

• Articolo 26: obblighi del deployer per l'IA ad alto rischio

  L’articolo 26 per tutti i settori: chi è deployer, gli obblighi, l’articolo 27 e le sanzioni.

• Regolamento IA sanità: guida alla conformità

  Panoramica sulla sanità: come il regolamento raggiunge l’IA dei dispositivi medici e l’IA clinica.

• Articolo 15 per l’IA sanitaria: accuratezza, robustezza e cibersicurezza

  L’IA sanitaria e l’articolo 15: accuratezza, robustezza, cibersicurezza, date e ruoli.

• Sistemi di IA ad alto rischio dell'allegato I: la via della sicurezza dei prodotti

  Come prodotti quali i dispositivi medici diventano sistemi di IA ad alto rischio (articolo 6, paragrafo 1).