Regolamento IA fintech: guida alla conformità

Il regolamento non ha una categoria fintech. Questo sito usa la parola per l’IA che rientra nel regolamento attraverso gli usi seguenti.

• Scoring creditizio: allegato III, punto 5, lettera b)

  I sistemi di IA destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito sono ad alto rischio. Fanno eccezione i sistemi di IA utilizzati allo scopo di individuare frodi finanziarie. Il punto 5, lettera b), nomina solo le persone fisiche, non le imprese.

• Assicurazioni sulla vita e sanitarie: allegato III, punto 5, lettera c)

  I sistemi di IA destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie sono ad alto rischio. Il punto 5, lettera c), nomina solo le assicurazioni sulla vita e sanitarie.

• L’individuazione delle frodi è esclusa dal punto 5, lettera b)

  L’esclusione riguarda i sistemi di IA utilizzati allo scopo di individuare frodi finanziarie. Un sistema di individuazione delle frodi è ad alto rischio solo se lo contempla un altro punto dell’allegato III oppure l’allegato I.

• Altri usi fintech non sono nominati nel punto 5

  Il punto 5 non nomina i controlli antiriciclaggio o di conoscenza del cliente (KYC), il trading algoritmico, la consulenza automatizzata (robo-advice), le assicurazioni non vita, la gestione dei sinistri né le decisioni di credito riguardanti persone giuridiche. Verifichi ciascun uso rispetto agli altri punti dell’allegato III e all’allegato I prima di considerarlo fuori dalle regole per l’alto rischio.

• L’articolo 6, paragrafo 3, può escludere un sistema dall’allegato III

  Un sistema rientrante nel punto 5, lettera b), o nel punto 5, lettera c), è ad alto rischio ai sensi dell’articolo 6, paragrafo 2. Ai sensi dell’articolo 6, paragrafo 3 non è ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali, anche nel senso di non influenzare materialmente il risultato del processo decisionale. Il regolamento applica questa deroga quando è soddisfatta almeno una delle condizioni seguenti (articolo 6, paragrafo 3, lettere da a) a d)). Il sistema è destinato a eseguire un compito procedurale limitato. Oppure è destinato a migliorare il risultato di un’attività umana precedentemente completata. Oppure è destinato a rilevare schemi decisionali o deviazioni da schemi decisionali precedenti e non è finalizzato a sostituire o influenzare la valutazione umana precedentemente completata senza un’adeguata revisione umana. Oppure è destinato a eseguire un compito preparatorio per una valutazione pertinente ai fini dei casi d’uso elencati nell’allegato III. Come queste condizioni si combinino con la verifica del rischio significativo è una questione per un giurista. Il sistema è sempre ad alto rischio se effettua profilazione di persone fisiche. La profilazione è definita dall’articolo 4, punto 4, del GDPR (articolo 3, punto 52). Stabilire se un dato sistema di scoring o di determinazione dei prezzi la effettui è anch’essa una questione per un giurista. Il fornitore che si avvale dell’eccezione documenta la propria valutazione prima che il sistema sia immesso sul mercato o messo in servizio. Deve inoltre registrare il sistema (articolo 6, paragrafo 4, articolo 49, paragrafo 2).

• Altre regole del regolamento che possono riguardare l’IA fintech

  L’articolo 5, paragrafo 1, lettera b), vieta i sistemi di IA che sfruttano le vulnerabilità di una persona fisica dovute all’età, alla disabilità o a una specifica situazione sociale o economica. L’obiettivo o l’effetto deve essere distorcere materialmente il comportamento in un modo che provochi o possa ragionevolmente provocare un danno significativo. La lettera c) vieta i sistemi di IA per la valutazione o la classificazione delle persone fisiche per un determinato periodo di tempo sulla base del loro comportamento sociale o di caratteristiche personali, quando il punteggio sociale comporta il trattamento pregiudizievole descritto in tale lettera. Questi divieti si applicano dal 2 febbraio 2025 (articolo 113, terzo comma, lettera a)). I fornitori di sistemi di IA destinati a interagire direttamente con persone fisiche, come un chatbot, devono progettarli in modo che le persone siano informate di interagire con un sistema di IA, a meno che ciò non risulti evidente (articolo 50, paragrafo 1). Ciò si applica dal 2 agosto 2026.

Il fornitore sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (articolo 3, punto 3). La messa in servizio comprende la fornitura per uso proprio del fornitore (articolo 3, punto 11). Una banca o un’impresa di assicurazione che sviluppa un sistema e lo mette in servizio con il proprio nome è quindi un fornitore. Una banca o un’impresa di assicurazione che usa un sistema sotto la propria autorità è un deployer (articolo 3, punto 4). Un deployer diventa fornitore in tre casi. Appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, fatti salvi accordi contrattuali che prevedano una diversa ripartizione degli obblighi. Apporta una modifica sostanziale a tale sistema, che lo lascia ad alto rischio. Oppure modifica la finalità prevista di un sistema non ad alto rischio in modo che lo diventi (articolo 25, paragrafo 1). Il fornitore che aveva inizialmente immesso il sistema sul mercato o lo aveva messo in servizio non è più considerato fornitore di quel determinato sistema e deve cooperare strettamente con il nuovo fornitore (articolo 25, paragrafo 2). Ciò non vale se il fornitore iniziale ha chiaramente specificato che il suo sistema non deve essere trasformato in un sistema di IA ad alto rischio.

I fornitori devono garantire che i loro sistemi ad alto rischio rispettino i requisiti della sezione 2 del capo III, articoli da 8 a 15 (articolo 16, lettera a)). Devono inoltre rispettare gli altri obblighi del fornitore previsti dall’articolo 16.

• art. 9
  Sistema di gestione dei rischi

  Un processo iterativo continuo lungo il ciclo di vita, con prove sulla base di metriche e soglie probabilistiche definite precedentemente e adeguate alla finalità prevista.

• art. 10
  Dati e governance dei dati

  Set di dati di addestramento, convalida e prova che soddisfano i criteri di qualità dell’articolo 10, compreso un esame delle possibili distorsioni.

• art. 12
  Registrazione fin dalla progettazione

  Il sistema deve consentire a livello tecnico la registrazione automatica degli eventi (log) per tutta la sua durata.

• art. 13
  Istruzioni per l’uso

  Informazioni che consentono ai deployer di interpretare l’output e utilizzarlo adeguatamente, compreso il livello di accuratezza dichiarato e le relative metriche.

• art. 14
  Sorveglianza umana fin dalla progettazione

  Misure che consentono a persone fisiche di supervisionare efficacemente il sistema mentre è in uso.

• art. 15
  Accuratezza, robustezza e cibersicurezza

  Un livello adeguato, conseguito in modo coerente durante l’intero ciclo di vita. I livelli di accuratezza e le relative metriche sono dichiarati nelle istruzioni per l’uso.

• art. 17
  Sistema di gestione della qualità

  Politiche, procedure e istruzioni scritte che coprono gli aspetti elencati nell’articolo 17, paragrafo 1, attuate in proporzione alle dimensioni dell’organizzazione del fornitore (articolo 17, paragrafo 2).

• art. 43(2)
  Valutazione della conformità

  Per i sistemi di cui ai punti da 2 a 8 dell’allegato III, tra cui il punto 5, il fornitore segue la procedura di valutazione della conformità basata sul controllo interno (allegato VI). Tale procedura non prevede un organismo notificato.

• art. 16
  Dichiarazione di conformità UE, marcatura CE e registrazione

  Il fornitore redige una dichiarazione di conformità UE e appone la marcatura CE. Registra inoltre sé stesso e il sistema nella banca dati dell’UE prima di immettere il sistema sul mercato o metterlo in servizio (articolo 16, lettere da g) a i); articolo 49, paragrafo 1).

• art. 72, 73
  Monitoraggio successivo all’immissione sul mercato e incidenti gravi

  Il fornitore istituisce e documenta un sistema di monitoraggio successivo all’immissione sul mercato (articolo 72, paragrafo 1) e segnala gli incidenti gravi alle autorità di vigilanza del mercato (articolo 73).

• art. 26(1), (2)
  Usare secondo le istruzioni, affidare la sorveglianza

  I deployer adottano idonee misure tecniche e organizzative per utilizzare il sistema conformemente alle istruzioni per l’uso. Affidano la sorveglianza umana a persone fisiche che dispongono della competenza, della formazione e dell’autorità necessarie.

• art. 26(4)–(6)
  Dati di input, monitoraggio e log

  Nella misura in cui esercitano il controllo sui dati di input, i deployer garantiscono che siano pertinenti e sufficientemente rappresentativi. Monitorano il funzionamento del sistema sulla base delle istruzioni per l’uso. Conservano i log sotto il loro controllo per almeno sei mesi, salvo diversa disposizione del diritto dell’Unione o nazionale applicabile.

• art. 26(11)
  Informare le persone interessate

  I deployer di sistemi ad alto rischio dell’allegato III che adottano decisioni o assistono nell’adozione di decisioni riguardanti persone fisiche le informano che sono soggette all’uso del sistema, fatto salvo l’articolo 50 (articolo 26, paragrafo 11).

• art. 27
  Valutazione d’impatto sui diritti fondamentali

  Prima di utilizzare un sistema di cui al punto 5, lettera b), o al punto 5, lettera c), i deployer effettuano una valutazione dell’impatto sui diritti fondamentali, siano essi pubblici o privati (articolo 27, paragrafo 1). La valutazione comprende: una descrizione dei processi del deployer in cui il sistema sarà utilizzato in linea con la sua finalità prevista; il periodo di tempo e la frequenza di utilizzo previsti; le categorie di persone fisiche e i gruppi verosimilmente interessati; i rischi specifici di danno per tali persone, tenendo conto delle informazioni del fornitore a norma dell’articolo 13; una descrizione delle misure di sorveglianza umana; e le misure da adottare qualora tali rischi si concretizzino, comprese le disposizioni relative alla governance interna e ai meccanismi di reclamo. I deployer notificano i risultati all’autorità di vigilanza del mercato (articolo 27, paragrafo 3). Gli obblighi già rispettati con una valutazione d’impatto sulla protezione dei dati possono essere richiamati con un rinvio (articolo 27, paragrafo 4).

• art. 86
  Spiegazione alla persona interessata

  La persona ha diritto a una spiegazione quando un deployer adotta una decisione sulla base dell’output di un sistema ad alto rischio elencato nell’allegato III, tranne il punto 2. La decisione deve produrre effetti giuridici o incidere in modo analogo significativamente sulla persona, in un modo che essa ritenga avere un impatto negativo sulla sua salute, sulla sua sicurezza o sui suoi diritti fondamentali. La persona può allora ottenere dal deployer spiegazioni chiare e significative sul ruolo del sistema di IA nella procedura decisionale e sui principali elementi della decisione adottata (articolo 86, paragrafo 1). Il diritto non si applica quando eccezioni o limitazioni derivano dal diritto dell’Unione o nazionale, in linea con il diritto dell’Unione (articolo 86, paragrafo 2). Si applica solo nella misura in cui il diritto non sia altrimenti previsto dal diritto dell’Unione (articolo 86, paragrafo 3).

Il regolamento consente agli istituti finanziari di far rientrare alcuni obblighi nelle regole che già seguono. Le regole si applicano agli istituti finanziari soggetti a requisiti in materia di governance, dispositivi o processi interni stabiliti a norma del diritto dell’Unione in materia di servizi finanziari. Il regolamento non nomina alcuna legge specifica in materia di servizi finanziari; stabilire quali regole contino è una questione per un giurista.

• art. 17(4)
  Sistema di gestione della qualità

  Per i fornitori che sono tali istituti finanziari, l’obbligo relativo al sistema di gestione della qualità si considera soddisfatto rispettando le regole di governance interna. Fanno eccezione il sistema di gestione dei rischi, il monitoraggio successivo all’immissione sul mercato e la segnalazione di incidenti gravi (articolo 17, paragrafo 4).

• art. 18(3)
  Documentazione tecnica

  I fornitori che sono istituti finanziari soggetti a requisiti in materia di governance, dispositivi o processi interni stabiliti a norma del diritto dell’Unione in materia di servizi finanziari conservano la documentazione tecnica nell’ambito della documentazione conservata a norma di tale diritto (articolo 18, paragrafo 3).

• art. 19(2), 26(6)
  Log

  I fornitori e i deployer che sono tali istituti finanziari conservano i log generati automaticamente nell’ambito della documentazione conservata a norma del pertinente diritto dell’Unione in materia di servizi finanziari (articolo 19, paragrafo 2, e articolo 26, paragrafo 6, secondo comma).

• art. 26(5)
  Monitoraggio da parte del deployer

  Per i deployer che sono tali istituti finanziari, l’obbligo di monitoraggio di cui al primo comma dell’articolo 26, paragrafo 5, si considera soddisfatto. La condizione è il rispetto delle regole sui dispositivi, sui processi e sui meccanismi di governance interna a norma del pertinente diritto in materia di servizi finanziari (articolo 26, paragrafo 5, secondo comma).

• art. 72(4)
  Monitoraggio successivo all’immissione sul mercato

  I fornitori possono integrare gli elementi del sistema e del piano di monitoraggio successivo all’immissione sul mercato nei sistemi e nei piani già esistenti, a condizione che ciò consegua un livello di protezione equivalente. L’articolo 72, paragrafo 4, secondo comma, estende questa possibilità ai sistemi di cui all’allegato III, punto 5, di tali istituti finanziari.

• art. 74(6)
  Autorità di vigilanza

  Per i sistemi ad alto rischio immessi sul mercato, messi in servizio o usati da istituti finanziari disciplinati dal diritto dell’Unione in materia di servizi finanziari, l’autorità di vigilanza del mercato è l’autorità nazionale responsabile della vigilanza finanziaria di tali enti ai sensi di tale diritto. Ciò vale nella misura in cui l’immissione sul mercato, la messa in servizio o l’uso siano direttamente collegati alla fornitura di tali servizi finanziari (articolo 74, paragrafo 6).

• Date

  I requisiti per questi usi dell’allegato III si applicano dal 2 dicembre 2027 (articolo 113, terzo comma, lettera c), punto i)). Un sistema immesso sul mercato o messo in servizio prima di tale data è coperto solo se in seguito subisce modifiche significative della progettazione. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2).

• Sanzioni

  I fornitori devono garantire che i loro sistemi ad alto rischio rispettino i requisiti della sezione 2 del capo III, che comprende gli articoli da 9 a 15 (articolo 16, lettera a)). La violazione degli obblighi dei fornitori di cui all’articolo 16 o degli obblighi dei deployer di cui all’articolo 26 può essere punita con sanzioni amministrative pecuniarie. La sanzione arriva fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4, lettere a) ed e)). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo all’importo più basso tra i due (articolo 99, paragrafo 6). Lo stesso vale per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter, articolo 99, paragrafo 6 bis). Ciascuno Stato membro stabilisce norme che dispongano in quale misura possono essere inflitte sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici istituiti in tale Stato membro (articolo 99, paragrafo 8).

• Portata e limiti del regolamento

  Il regolamento si applica ai fornitori e ai deployer che hanno il loro luogo di stabilimento o sono situati in un paese terzo, laddove l’output prodotto dal sistema di IA sia utilizzato nell’Unione (articolo 2, paragrafo 1, lettera c)). Non si applica a settori che non rientrano nell’ambito di applicazione del diritto dell’Unione e non pregiudica le competenze degli Stati membri in materia di sicurezza nazionale (articolo 2, paragrafo 3). Il regolamento non si applica ai sistemi o modelli di IA, ivi compresi i loro output, specificamente sviluppati e messi in servizio al solo scopo di ricerca e sviluppo scientifici (articolo 2, paragrafo 6). Non si applica alle attività di ricerca, prova o sviluppo relative a un sistema prima della sua immissione sul mercato o messa in servizio. La prova in condizioni reali non rientra in tale esclusione (articolo 2, paragrafo 8). I sistemi di IA rilasciati con licenza libera e open source sono esclusi dal regolamento. Tale esclusione non vale se sono immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio, o se rientrano nell’articolo 5 o 50 (articolo 2, paragrafo 12).

• Nessuna metrica, soglia o norma per il fintech

  Il regolamento non nomina alcun valore di accuratezza, limite del tasso di errore, metrica di equità o norma tecnica per lo scoring creditizio o la determinazione dei prezzi assicurativi. I fornitori fissano le metriche per le prove (articolo 9, paragrafo 8) e dichiarano i livelli di accuratezza e le metriche nelle istruzioni per l’uso (articolo 15, paragrafo 3). Il regolamento stesso non nomina alcuna norma armonizzata. I sistemi ad alto rischio conformi alle norme armonizzate pubblicate nella Gazzetta ufficiale dell’Unione europea si presumono conformi ai requisiti della sezione 2, nella misura in cui tali norme li contemplano (articolo 40, paragrafo 1). I sistemi addestrati e sottoposti a prova con dati che riflettono lo specifico ambito geografico, comportamentale, contestuale o funzionale di utilizzo previsto si presumono conformi all’articolo 10, paragrafo 4 (articolo 42, paragrafo 1). La Commissione elabora orientamenti sull’applicazione pratica dei requisiti e degli obblighi di cui agli articoli da 8 a 15, 25 e 26 (articolo 96, paragrafo 1, lettera a)).

• Altro diritto si applica insieme al regolamento

  Altro diritto dell’Unione e nazionale, come il GDPR e il diritto dei servizi finanziari, continua ad applicarsi. Questa pagina non lo descrive e il regolamento non nomina alcuna legge specifica in materia di servizi finanziari.

• Esempio: un unico inventario dei sistemi di IA

  Esempio, non un requisito del regolamento: un finanziatore o un assicuratore potrebbe tenere un unico inventario dei propri sistemi di IA. Potrebbe indicare per ciascun sistema la classificazione nell’allegato III, la valutazione ai sensi dell’articolo 6, paragrafo 3, se vi fa ricorso, e se l’impresa è fornitore o deployer.

Ogni pagina applica un articolo all’IA per lo scoring creditizio e le assicurazioni.

• Articolo 9 per l’IA fintech: sistema di gestione dei rischi

  Sistema di gestione dei rischi per l’IA di scoring creditizio e assicurativa.

• Articolo 10 per l’IA fintech: dati e governance dei dati

  Set di dati, esame delle distorsioni e categorie particolari di dati personali.

• Articolo 12 per l’IA fintech: conservazione delle registrazioni e log

  Registrazione automatica e chi conserva i log.

• Articolo 13 per l’IA fintech: trasparenza e istruzioni per l’uso

  Istruzioni per l’uso e spiegazione dovuta alle persone interessate.

• Articolo 14 per l’IA fintech: sorveglianza umana

  Sorveglianza umana e ciò che il regolamento non richiede.

• Articolo 15 per l’IA fintech: accuratezza, robustezza e cibersicurezza

  Accuratezza, robustezza e cibersicurezza.

• Articolo 17 per l’IA fintech: sistema di gestione della qualità

  Sistema di gestione della qualità e regola per gli istituti finanziari.

• Articolo 26 nel fintech: obblighi dei deployer

  Obblighi dei deployer per banche e assicurazioni.

• Articolo 50 per l’IA fintech: trasparenza e informazione

  Obblighi di trasparenza per chatbot e contenuti generati.

• Articolo 53 nel fintech: obblighi dei fornitori di modelli di IA per finalità generali

  Fornitori di modelli di IA per finalità generali.

• Allegato III in dettaglio: le 8 categorie ad alto rischio

  Il punto 5 dell’allegato III nel contesto di tutte le otto categorie.

• Articolo 6: classificazione dei sistemi IA ad alto rischio

  Come l’articolo 6 classifica i sistemi di IA ad alto rischio, compresa l’eccezione dell’articolo 6, paragrafo 3.

• Articolo 27: valutazione d'impatto sui diritti fondamentali

  La valutazione d’impatto che l’articolo 27, paragrafo 1, richiede ai deployer di sistemi di cui al punto 5, lettera b), e al punto 5, lettera c).