Come documentare finalità, dati, persone coinvolte e controlli di un sistema di IA

01

La risposta in breve

Documentare un sistema di IA significa registrare chi è il fornitore, chi è il deployer, quali dati sono stati usati per addestramento, convalida e prova, e quali informazioni di trasparenza sono state fornite alle persone coinvolte. Il Regolamento (UE) 2024/1689 definisce questi ruoli e categorie di dati in modo preciso, e impone obblighi di trasparenza distinti per contenuti generati, deep fake e sistemi di categorizzazione biometrica o riconoscimento delle emozioni.

02

Chi fa cosa: i ruoli da registrare

• Il fornitore sviluppa il sistema di IA o lo fa sviluppare e lo immette sul mercato con proprio nome o marchio.
• Il deployer utilizza il sistema di IA sotto la propria autorità, salvo uso personale non professionale.
• Il rappresentante autorizzato riceve un mandato scritto per eseguire obblighi per conto del fornitore nell'Unione.
• Il fornitore a valle integra un modello di IA per finalità generali in un altro sistema.

03

Come tracciare dati e finalità

Passaggi

1. Distinguere e registrare separatamente dati di addestramento, dati di convalida e dati di prova usati per il sistema.
2. Annotare i dati di input effettivamente forniti al sistema o acquisiti direttamente da esso.
3. Segnalare se i dati trattati includono categorie particolari di dati personali o dati biometrici.
4. Predisporre le informazioni di trasparenza da comunicare alle persone esposte al più tardi alla prima interazione.
5. Verificare se si applicano eccezioni, ad esempio per attività di editing standard o finalità di indagine penale autorizzate.

04

Esempio ipotetico

Un'azienda europea che offre un chatbot per l'assistenza clienti registra: il proprio ruolo di fornitore, il set di dati di addestramento usato per il modello linguistico, il set di dati di prova impiegato prima del rilascio, e la nota informativa mostrata agli utenti al primo messaggio, come previsto per i contenuti generati artificialmente. Questo è un esempio ipotetico costruito solo con elementi citati, non un caso reale.

05

Controlli da verificare periodicamente

• Le informazioni fornite alle persone esposte sono chiare, distinguibili e conformi ai requisiti di accessibilità.
• I contenuti generati o manipolati artificialmente sono marcati in formato leggibile meccanicamente quando richiesto.
• I deep fake sono resi noti al pubblico, salvo eccezioni per opere artistiche o satiriche adeguatamente segnalate.
• Il personale coinvolto nel funzionamento del sistema riceve un livello adeguato di alfabetizzazione in materia di IA.

06

Come impostare la documentazione con un software

Un'azienda può chiedere al proprio partner software di configurare campi separati per fornitore, deployer, dataset di addestramento/convalida/prova e note di trasparenza, con tracciabilità delle versioni e revisione periodica da parte di un responsabile designato. Questa è una scelta operativa suggerita, non una funzionalità garantita né un obbligo legale.

07

Checklist minima per il fascicolo del sistema

• Identità del fornitore e, se presente, del rappresentante autorizzato.
• Identità del deployer e finalità d'uso dichiarata.
• Elenco dei dati di addestramento, convalida e prova con relative fonti.
• Testo delle informazioni di trasparenza fornite agli utenti, con data di prima esposizione.
• Registro delle eccezioni applicate, ad esempio per finalità di indagine penale.

08

Prossimo passo

Mappa i ruoli e i tipi di dati del tuo sistema di IA usando le definizioni del Regolamento (UE) 2024/1689, poi verifica con il tuo partner software quali campi di tracciabilità puoi attivare per mantenere il fascicolo aggiornato.