Skip to main content

KI-Verordnung in Germania: obblighi, scadenze e vigilanza

Che cosa il regolamento UE sull’IA (KI-Verordnung) richiede alle imprese in Germania: livelli di rischio, date di applicazione, sanzioni e autorità di vigilanza.

Fornitori, deployer, importatori e distributori di sistemi di IA nell’UE devono rispettare il regolamento (UE) 2024/1689, chiamato KI-Verordnung in Germania. La maggior parte delle pratiche vietate si applica dal 2 febbraio 2025. Gli obblighi per l’alto rischio si applicano dal 2 dicembre 2027 (allegato III) e dal 2 agosto 2028 (allegato I).

Il regolamento riguarda i sistemi immessi sul mercato o messi in servizio nell’UE. L’articolo 2 elenca esclusioni. In Germania la Bundesnetzagentur (agenzia federale delle reti) è, in via generale, l’autorità di vigilanza del mercato (§ 2(1) KI-MIG). Le sanzioni per le pratiche vietate arrivano a 35 milioni di EUR o al 7 % del fatturato mondiale annuo, se superiore (articolo 99(3)). Prossimo passo: classificare ogni sistema di IA per livello di rischio.

Date chiave

Entrata in vigore
1 agosto 2024
Le pratiche vietate si applicano (articolo 5)
2 febbraio 2025; divieti su certi contenuti intimi e abusivi: 2 dicembre 2026
Obblighi per i modelli di IA per finalità generali (capo V)
2 agosto 2025; modelli immessi sul mercato prima: 2 agosto 2027
Obblighi di trasparenza (articolo 50)
2 agosto 2026
Obblighi per l’alto rischio (capo III, sezioni da 1 a 3)
2 dicembre 2027 (allegato III); 2 agosto 2028 (allegato I)

Che cosa vale per quale sistema (nostro raggruppamento delle norme del regolamento)

  • Pratiche vietate (articolo 5)

    Esempi sono la manipolazione dannosa, il punteggio sociale, lo scraping non mirato di immagini facciali e l’inferenza delle emozioni sul lavoro e nell’istruzione, salvo per motivi medici o di sicurezza. La maggior parte dei divieti si applica dal 2 febbraio 2025.

  • Sistemi di IA ad alto rischio (articolo 6)

    Aree dell’allegato III come occupazione, istruzione, punteggio di credito e attività di contrasto. Anche i sistemi che sono un componente di sicurezza di un prodotto, o sono essi stessi un prodotto, disciplinato dalla normativa dell’allegato I che richiede una valutazione della conformità da parte di terzi. I fornitori rispettano gli articoli da 9 a 15 e l’articolo 16; i deployer, l’articolo 26. Per la normativa dell’allegato I, sezione B, si applicano solo gli articoli 6(1), 60a e da 102 a 112.

  • Obblighi di trasparenza (articolo 50)

    I chatbot informano che si interagisce con un’IA, salvo che sia ovvio. I fornitori marcano i contenuti sintetici in formato leggibile da macchina, e i deployer rendono noti i deepfake e informano le persone esposte al riconoscimento delle emozioni o alla categorizzazione biometrica. L’articolo 50 prevede eccezioni, per esempio per i sistemi autorizzati dalla legge a individuare o perseguire reati.

  • Modelli di IA per finalità generali (articoli da 51 a 55)

    I fornitori documentano il modello, predispongono una politica sul diritto d’autore e pubblicano una sintesi dei contenuti di addestramento. I fornitori di modelli liberi e open source sono esentati dagli obblighi di documentazione, salvo che il modello presenti un rischio sistemico (articolo 53(2)). I modelli con rischio sistemico hanno ulteriori obblighi.

  • Tutti gli altri sistemi di IA

    Oltre all’alfabetizzazione in materia di IA (articolo 4) e agli obblighi di trasparenza dove si applica l’articolo 50, il regolamento non prevede requisiti specifici per essi. I codici di condotta sono volontari (articolo 95).

Tre guide di approfondimento: sistemi ad alto rischio, checklist e requisiti per ruolo

Altre risorse: hub del regolamento sull’IA e classificazione del rischio

Sanzioni: tre livelli nell’articolo 99

  • Fino a 35 milioni di EUR o al 7 % del fatturato mondiale annuo

    Se superiore. Per le pratiche vietate dell’articolo 5 (articolo 99(3)).

  • Fino a 15 milioni di EUR o al 3 % del fatturato mondiale annuo

    Se superiore. Per la violazione degli obblighi di fornitori, rappresentanti autorizzati, importatori, distributori e deployer e dell’articolo 50 (articolo 99(4)). La Commissione può multare i fornitori di modelli di IA per finalità generali fino agli stessi importi (articolo 101).

  • Fino a 7,5 milioni di EUR o all’1 % del fatturato mondiale annuo

    Se superiore. Per informazioni inesatte, incomplete o fuorvianti fornite a organismi notificati o autorità (articolo 99(5)).

In Germania la KI-MIG disciplina le sanzioni (§ 1).

Esclusioni, sistemi più vecchi e massimali delle sanzioni

Il regolamento non si applica ai sistemi di IA usati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (articolo 2(3)). Non si applica ai sistemi di IA sviluppati e messi in servizio specificamente e al solo scopo di ricerca e sviluppo scientifici (articolo 2(6)), né alla ricerca, alle prove o allo sviluppo prima dell’immissione sul mercato o della messa in servizio, salvo le prove in condizioni reali (articolo 2(8)). I sistemi con licenze libere e open source sono esclusi, salvo che siano immessi sul mercato o messi in servizio come sistemi ad alto rischio o rientrino nell’articolo 5 o 50 (articolo 2(12)). Le persone fisiche che usano un sistema in un’attività puramente personale e non professionale non sono vincolate come deployer (articolo 2(10)). Per i sistemi ad alto rischio legati a prodotti disciplinati dalla normativa dell’allegato I, sezione B, come veicoli a motore, aviazione, ferrovie, attrezzature marittime, veicoli agricoli e macchinari, si applicano solo l’articolo 6(1), l’articolo 60a e gli articoli da 102 a 112. Gli articoli da 57 a 59 si applicano solo nella misura in cui tale normativa integra i requisiti (articolo 2(2)).

I sistemi ad alto rischio immessi sul mercato o messi in servizio prima della data di applicazione sono coperti solo dopo modifiche significative della progettazione. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)).

Per le PMI, ogni sanzione arriva al massimo alla percentuale o all’importo più bassi (articolo 99(6)). Per le piccole imprese a media capitalizzazione (articolo 3, punto 14b) lo stesso massimale vale per le sanzioni dell’articolo 99, paragrafi 4 e 5 (articolo 99(6a)). Il livello da 15 milioni di EUR copre anche gli obblighi di fornitori e operatori dell’articolo 25, paragrafi 2 e 4 (articolo 99(4), lettera da)).

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.