Skip to main content

Articolo 9: sistema di gestione dei rischi per l'IA ad alto rischio

Articolo 9 dell'AI Act: i fornitori di sistemi di IA ad alto rischio devono attuare un sistema di gestione dei rischi continuo. Che cosa copre, quando si applica, quanto costano le violazioni e da dove cominciare.

I fornitori di sistemi di IA ad alto rischio per il mercato dell'UE devono attuare un sistema di gestione dei rischi (articolo 9). Copre l'intero ciclo di vita. Individua, valuta e riduce i rischi.

La norma si applica dal 2 dicembre 2027 ai sistemi dell'allegato III (elenco di usi ad alto rischio). Per i prodotti dell'allegato I si applica dal 2 agosto 2028 (articolo 113, lettera c). I prodotti della sezione B sono esclusi (articolo 2(2)). Le sanzioni per chi la viola arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Prossimo passo: verifichi con l'articolo 6 che il Suo sistema sia ad alto rischio, poi avvii un registro dei rischi.

L'articolo 9 richiede di individuare, valutare, ridurre e testare i rischi

Individuare i rischi

Elenchi i rischi noti e ragionevolmente prevedibili per la salute, la sicurezza o i diritti fondamentali quando il sistema è usato conformemente alla finalità prevista (articolo 9(2), lettera a)). Contano solo i rischi che si possono ridurre in modo ragionevole con la progettazione, lo sviluppo o informazioni tecniche (articolo 9(3)).

Stimare e valutare i rischi

Includa i rischi in caso di uso improprio ragionevolmente prevedibile e quelli che emergono dai dati del monitoraggio successivo all'immissione sul mercato (articolo 9(2), lettere b) e c)).

Ridurre i rischi in un ordine fisso

Prima elimini o riduca i rischi con la progettazione e lo sviluppo. Poi aggiunga misure di attenuazione e controllo. Infine fornisca ai deployer informazioni e, se del caso, formazione. Il rischio residuo deve essere accettabile (articolo 9(5)).

Testare su metriche definite

Testi durante lo sviluppo e prima dell'immissione sul mercato, con metriche e soglie probabilistiche definite in anticipo (articolo 9(6) e (8)). Le prove in condizioni reali sono possibili ai sensi dell'articolo 60 (articolo 9(7)).

Considerare i minori e i gruppi vulnerabili

Valuti se il sistema può avere un impatto negativo sulle persone di età inferiore a 18 anni e, se del caso, su altri gruppi vulnerabili (articolo 9(9)).

Quattro pratiche di ingegneria che producono prove per l'articolo 9

L'articolo 9 non prescrive strumenti. Queste quattro pratiche sono suggerimenti per un processo documentato e ripetibile.

Registro dei rischi come codice

Tenga un registro dei rischi leggibile dalle macchine (JSON o YAML) sotto controllo di versione accanto al codice. Annoti per ogni rischio probabilità, gravità, misura di attenuazione e responsabile.

Controlli di rischio in CI/CD

Aggiunga alla pipeline analisi e test che segnalano modelli rilevanti per il rischio, come la mancanza di validazione degli input o di soglie di confidenza.

Test per i rischi noti

Scriva test che verificano che ogni misura funzioni, con metriche e soglie definite in anticipo (articolo 9(8)).

Monitoraggio dopo il rilascio

Porti i dati di produzione nel registro: cali di prestazioni, deriva, output anomali e interventi umani (articolo 9(2), lettera c)).

La gestione dei rischi prosegue per l'intero ciclo di vita

L'articolo 9(2) descrive il sistema come un processo iterativo continuo svolto nell'intero ciclo di vita, con riesame e aggiornamento regolari e sistematici.

1

Individuare e valutare i rischi prima di ogni rilascio.

2

Attuare le misure di attenuazione e testarle.

3

Monitorare dopo il rilascio e riportare i risultati nel registro.

Domande frequenti sull'articolo 9

L'articolo 9 si applica a tutti i sistemi di IA?

No. L'articolo 9 si applica ai sistemi di IA ad alto rischio, che l'articolo 6 definisce tramite gli allegati III e I. Si applica dal 2 dicembre 2027 ai sistemi dell'allegato III e dal 2 agosto 2028 a quelli dell'allegato I (articolo 113, lettera c). Per i sistemi ad alto rischio legati a prodotti disciplinati dalla normativa dell'allegato I, sezione B, si applicano solo l'articolo 6(1), l'articolo 60 bis e gli articoli da 102 a 112, e gli articoli da 57 a 59 si applicano solo nella misura in cui i requisiti per i sistemi di IA ad alto rischio siano stati integrati in tale normativa (articolo 2(2)).

Quale documentazione richiede l'articolo 9?

L'articolo 9(1) richiede che il sistema di gestione dei rischi sia documentato, e l'allegato IV, punto 5, ne richiede una descrizione dettagliata nella documentazione tecnica. Il regolamento non elenca un insieme fisso di documenti. Registri i rischi, le misure, la valutazione del rischio residuo e i risultati dei test.

Ogni quanto va riesaminato il sistema di gestione dei rischi?

Regolarmente e in modo sistematico per l'intero ciclo di vita (articolo 9(2)). Il regolamento non fissa un intervallo.

Chi è responsabile del sistema di gestione dei rischi?

Il fornitore. I fornitori devono garantire che i loro sistemi di IA ad alto rischio rispettino i requisiti della sezione 2, articolo 9 compreso (articolo 16, lettera a)). I deployer non lo gestiscono, ma devono monitorare il funzionamento del sistema e informare i fornitori se del caso (articolo 26(5)).

Quale sanzione si applica se un fornitore viola l'articolo 9?

Le sanzioni per la violazione degli obblighi dei fornitori dell'articolo 16 arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Per le PMI e le piccole imprese a media capitalizzazione, il limite è il più basso dei due importi (articolo 99(6) e (6 bis)).

Da leggere dopo: registrazione, sorveglianza e documentazione tecnica

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.