Punti chiave: Obblighi del fornitore vs deployer ai sensi dell'EU AI Act
L'EU AI Act (Regolamento UE 2024/1689) assegna obblighi di conformità distinti a seconda che un'organizzazione sia classificata come fornitore (articolo 3(3)) o come deployer (articolo 3(4)) di un sistema di IA. I fornitori si fanno carico di responsabilità a monte, tra cui valutazioni di conformità, sistemi di gestione della qualità e registrazione nella banca dati dell'UE. I deployer devono garantire la sorveglianza umana, le valutazioni d'impatto sui diritti fondamentali e la segnalazione degli incidenti. I gruppi multi-entità spesso rivestono entrambi i ruoli simultaneamente nelle controllate, richiedendo un'orchestrazione centralizzata della conformità.
Che cos'è un fornitore di sistemi di IA ai sensi dell'EU AI Act?
Il fornitore di sistemi di IA è definito all'articolo 3(3) del Regolamento (UE) 2024/1689 come una persona fisica o giuridica che sviluppa un sistema di IA o un modello di IA per finalità generali e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. I fornitori di sistemi di IA ad alto rischio devono rispettare gli articoli da 8 a 17, tra cui gestione del rischio, governance dei dati, documentazione tecnica, trasparenza, progettazione della sorveglianza umana, accuratezza, robustezza e cibersicurezza. Fonte: EUR-Lex, Regolamento (UE) 2024/1689
Che cos'è un deployer di sistemi di IA ai sensi dell'EU AI Act?
Il deployer di sistemi di IA è definito all'articolo 3(4) del Regolamento (UE) 2024/1689 come una persona fisica o giuridica che utilizza un sistema di IA sotto la propria autorità, salvo quando il sistema di IA è utilizzato nel corso di un'attività personale non professionale. I deployer di sistemi di IA ad alto rischio devono rispettare l'articolo 26, che richiede la sorveglianza umana da parte di personale formato, il monitoraggio della pertinenza dei dati di input, la conservazione delle registrazioni e l'informazione delle persone fisiche interessate. Per determinati casi d'uso (occupazione, merito creditizio), i deployer devono anche condurre valutazioni d'impatto sui diritti fondamentali ai sensi dell'articolo 27. Fonte: EUR-Lex, Regolamento (UE) 2024/1689
Che cos'è una valutazione d'impatto sui diritti fondamentali (FRIA) ai sensi dell'articolo 27?
Una valutazione d'impatto sui diritti fondamentali è richiesta ai sensi dell'articolo 27 dell'EU AI Act per i deployer di sistemi di IA ad alto rischio utilizzati nell'ambito dell'occupazione, della gestione dei lavoratori, dell'accesso ai servizi essenziali o della valutazione del merito creditizio. La FRIA deve valutare l'impatto sui diritti fondamentali delle persone interessate, descrivere le garanzie ed essere completata prima che il sistema di IA ad alto rischio venga messo in uso. Fonte: EUR-Lex, Regolamento (UE) 2024/1689
Che cos'è un sistema di gestione della qualità (SGQ) ai sensi dell'articolo 17?
Un sistema di gestione della qualità ai sensi dell'articolo 17 dell'EU AI Act è un insieme documentato di politiche, procedure e istruzioni che i fornitori di sistemi di IA ad alto rischio devono istituire e mantenere. Lo SGQ deve coprire la gestione del rischio, il monitoraggio post-commercializzazione, la gestione dei dati, la conservazione delle registrazioni, la gestione delle risorse, i quadri di accountability e la comunicazione con le autorità competenti. Fonte: EUR-Lex, Regolamento (UE) 2024/1689
Obblighi del fornitore vs deployer: Tabella comparativa
| Obbligo | Fornitore (articolo 16) | Deployer (articolo 26) |
|---|
| Sistema di gestione del rischio | Richiesto (articolo 9) | Non tenuto a istituirlo; deve usare il sistema come previsto |
| Governance dei dati | Richiesta (articolo 10) | Deve garantire la pertinenza dei dati di input |
| Documentazione tecnica | Richiesta (allegato IV, 11 ambiti) | Deve conservare i log generati dal sistema |
| Valutazione di conformità | Richiesta (articolo 43) | Non richiesta |
| Registrazione nella banca dati dell'UE | Richiesta (articolo 49) | Richiesta per determinati deployer (articolo 49(3)) |
| Sistema di gestione della qualità | Richiesto (articolo 17) | Non richiesto |
| Sorveglianza umana | Deve progettare per la sorveglianza umana (articolo 14) | Deve attuare la sorveglianza umana con personale formato (articolo 26(2)) |
| Valutazione d'impatto sui diritti fondamentali | Non richiesta | Richiesta per occupazione, credit scoring, servizi essenziali (articolo 27) |
| Segnalazione degli incidenti | Richiesta (articolo 62) | Richiesta per gli incidenti gravi (articolo 26(5)) |
| Monitoraggio post-commercializzazione | Richiesto (articolo 72) | Deve monitorare le prestazioni e segnalare i malfunzionamenti |
| Sanzioni (massime) | Fino a 35 milioni di € o 7% del fatturato mondiale | Fino a 15 milioni di € o 3% del fatturato mondiale |
Statistiche chiave sulla conformità all'AI Act
Secondo l'EU AI Act (Regolamento UE 2024/1689), le sanzioni per le pratiche di IA vietate possono raggiungere 35 milioni di € o il 7% del fatturato annuo mondiale, a seconda di quale sia il valore più elevato, superando il massimo del GDPR di 20 milioni di € o del 4%. L'Act individua 8 categorie di pratiche di IA vietate (articolo 5) e definisce i sistemi ad alto rischio in 8 ambiti dell'allegato III. La documentazione tecnica del fornitore deve coprire 11 ambiti distinti ai sensi dell'allegato IV. Secondo un'indagine IAPP del 2024, meno del 30% delle organizzazioni aveva avviato programmi formali di governance dell'IA entro la metà del 2024, sottolineando l'urgenza della preparazione alla conformità prima della scadenza dell'agosto 2026 per gli obblighi relativi ai sistemi ad alto rischio. Fonte: IAPP
Domande frequenti
Qual è la differenza tra un fornitore e un deployer ai sensi dell'AI Act?
Ai sensi dell'EU AI Act (Regolamento UE 2024/1689), un fornitore è l'entità che sviluppa o immette sul mercato un sistema di IA (articolo 3(3)), mentre un deployer è l'entità che utilizza un sistema di IA sotto la propria autorità (articolo 3(4)). I fornitori si fanno carico di obblighi più gravosi, tra cui valutazioni di conformità, sistemi di gestione della qualità e registrazione nella banca dati dell'UE. I deployer devono garantire la sorveglianza umana, condurre valutazioni d'impatto sui diritti fondamentali per i sistemi ad alto rischio e monitorare le prestazioni del sistema di IA. Fonte: EUR-Lex
Quali sono gli obblighi principali dei fornitori ai sensi dell'AI Act, articolo 16?
I fornitori di sistemi di IA ad alto rischio ai sensi dell'AI Act devono istituire un sistema di gestione della qualità (articolo 17), mantenere una documentazione tecnica che copra 11 ambiti ai sensi dell'allegato IV, garantire la valutazione di conformità (articolo 43), registrare i sistemi nella banca dati dell'UE (articolo 49), attuare la gestione del rischio (articolo 9) e condurre il monitoraggio post-commercializzazione. I fornitori devono inoltre garantire che i loro sistemi soddisfino i requisiti di accuratezza, robustezza e cibersicurezza prima di immetterli sul mercato. Fonte: EUR-Lex
Quali sono gli obblighi principali dei deployer ai sensi dell'AI Act, articolo 26?
I deployer di sistemi di IA ad alto rischio devono assegnare persone competenti per la sorveglianza umana (articolo 14), monitorare le prestazioni del sistema, condurre valutazioni d'impatto sui diritti fondamentali per i casi d'uso relativi all'occupazione e al credit scoring (articolo 27), informare le persone interessate e segnalare gli incidenti gravi alle autorità di vigilanza. I deployer devono inoltre garantire che i dati di input siano pertinenti e rappresentativi. Fonte: EUR-Lex
Un'organizzazione può essere sia fornitore sia deployer ai sensi dell'AI Act?
Sì. Ai sensi dell'articolo 25 dell'EU AI Act, un'organizzazione può essere classificata sia come fornitore sia come deployer per diversi sistemi di IA o controllate. Ad esempio, un gruppo aziendale può sviluppare un sistema di IA in una controllata (fornitore) e implementarlo in un'altra (deployer). Ogni entità deve adempiere agli obblighi corrispondenti al proprio ruolo per ciascun specifico sistema di IA. Questa duplice classificazione è comune nei gruppi multi-entità e richiede un monitoraggio centralizzato della conformità. Fonte: EUR-Lex
Quando entrano in vigore gli obblighi dell'EU AI Act?
L'EU AI Act è entrato in vigore il 1° agosto 2024. Le pratiche di IA vietate si applicano dal 2 febbraio 2025. Gli obblighi per i modelli di IA per finalità generali si applicano dal 2 agosto 2025. La maggior parte degli obblighi relativi ai sistemi di IA ad alto rischio per fornitori e deployer si applica dal 2 agosto 2026, con determinati sistemi ad alto rischio dell'allegato I che hanno tempo fino al 2 agosto 2027. Le organizzazioni dovrebbero avviare la preparazione alla conformità con largo anticipo rispetto a queste scadenze. Fonte: EUR-Lex
Quali sanzioni si applicano in caso di non conformità all'EU AI Act?
Le sanzioni per la non conformità ai sensi dell'EU AI Act possono raggiungere fino a 35 milioni di € o il 7% del fatturato annuo mondiale per le pratiche di IA vietate, fino a 15 milioni di € o il 3% per altre violazioni e fino a 7,5 milioni di € o l'1,5% per la fornitura di informazioni errate. Queste sono tra le sanzioni normative più elevate del diritto dell'UE, superiori ai massimi del GDPR. Le PMI e le start-up possono ricevere sanzioni proporzionate. Fonte: EUR-Lex
In che modo l'AI Act interagisce con il GDPR?
L'EU AI Act opera accanto al GDPR e non lo sostituisce. I sistemi di IA che trattano dati personali devono rispettare entrambi i quadri normativi simultaneamente. L'articolo 10 dell'AI Act fa esplicito riferimento ai requisiti del GDPR per i dati di addestramento. I deployer che conducono valutazioni d'impatto sui diritti fondamentali ai sensi dell'articolo 27 dovrebbero coordinarsi con le proprie valutazioni d'impatto sulla protezione dei dati (DPIA) esistenti ai sensi del GDPR, in base all'articolo 35 del GDPR. Le organizzazioni che già mantengono processi per il registro dei trattamenti e le DPIA possono sfruttare le strutture di governance esistenti per la conformità all'AI Act.
In che modo Priverion aiuta nella conformità all'AI Act per i gruppi multi-entità?
Priverion offre un AI register centralizzato per classificare ogni sistema di IA come fornitore, deployer o entrambi nelle controllate. La piattaforma ospitata in Svizzera include modelli di DPIA e valutazioni d'impatto sui diritti fondamentali assistiti dall'IA, allineati agli articoli 9 e 27, il monitoraggio della sorveglianza umana con ricertificazione automatizzata, dashboard di conformità tra entità e documentazione del sistema di gestione della qualità che mappa i controlli ISO 27001 e ISO 27701 esistenti sui requisiti dell'AI Act. Tutti i dati vengono trattati nell'infrastruttura svizzera, con zero dati dei clienti utilizzati per l'addestramento dei modelli di IA.
