Come documentare finalità, dati, ruoli e controlli di un sistema di IA secondo l'AI Act

01

Cosa significa documentare un sistema di IA

Documentare un sistema di IA significa registrare in modo verificabile cosa fa il sistema, chi lo fornisce e chi lo utilizza, quali dati lo alimentano e quali informazioni vengono comunicate alle persone coinvolte. Il regolamento (UE) 2024/1689 definisce il sistema di IA come un sistema automatizzato che, per obiettivi espliciti o impliciti, deduce dall'input come generare output quali previsioni, contenuti, raccomandazioni o decisioni (citation-2). Definisce inoltre fornitore e deployer come i soggetti che sviluppano o utilizzano il sistema sotto la propria autorità (citation-2). Una documentazione solida distingue questi ruoli, i dati impiegati e i controlli di trasparenza previsti.

02

Le categorie di dati da tracciare

Il regolamento distingue più categorie di dati che vanno tracciate separatamente: dati di addestramento, usati per adattare i parametri del sistema; dati di convalida, usati per valutare il sistema addestrato ed evitare sotto o sovra adattamento; dati di prova, usati per confermare le prestazioni attese prima dell'immissione sul mercato; dati di input, cioè i dati forniti al sistema o da esso acquisiti; e dati biometrici, ottenuti da un trattamento tecnico delle caratteristiche fisiche, fisiologiche o comportamentali di una persona (citation-1). Tracciare queste categorie separatamente permette di ricostruire come il sistema è stato costruito e verificato nel tempo.

03

Il flusso di documentazione, passo dopo passo

Passaggi

1. Registra la definizione del sistema: obiettivi, output prodotti e ambienti su cui può influire, secondo la definizione di sistema di IA del regolamento (citation-2).
2. Identifica e documenta il ruolo di fornitore e di deployer per ogni sistema, come definiti dal regolamento (citation-2).
3. Classifica i dati usati in dati di addestramento, convalida, prova, input e, se presenti, dati biometrici (citation-1).
4. Assicura che il personale coinvolto nel funzionamento e nell'uso del sistema riceva un'alfabetizzazione in materia di IA adeguata alle proprie mansioni (citation-4).
5. Predisponi le informative per le persone esposte a riconoscimento delle emozioni, categorizzazione biometrica o contenuti generati artificialmente, fornite al più tardi alla prima interazione (citation-0, citation-3).

04

Un caso ipotetico

Esempio ipotetico: un'azienda europea utilizza un sistema di IA generativa per produrre testi di supporto al cliente. Il team di compliance registra che l'azienda è deployer del sistema, mentre il fornitore esterno marca gli output come generati artificialmente in formato leggibile meccanicamente (citation-0). I testi pubblicati per informare il pubblico riportano l'avviso di generazione artificiale, salvo revisione editoriale umana con responsabilità editoriale assegnata (citation-3). La documentazione elenca anche i dati di input utilizzati dagli operatori (citation-1).

05

Controlli di trasparenza da verificare

• Verifica che gli output sintetici audio, immagine, video o testuali siano marcati e rilevabili come generati o manipolati artificialmente (citation-0).
• Controlla che le persone esposte a riconoscimento delle emozioni o categorizzazione biometrica siano informate del funzionamento del sistema (citation-0).
• Verifica che i deep fake siano resi noti alle persone interessate, salvo le eccezioni previste dalla legge (citation-0, citation-3).
• Controlla che le informative siano fornite in modo chiaro e distinguibile al più tardi alla prima interazione o esposizione (citation-3).
• Verifica che i testi generati per informare il pubblico dichiarino la generazione artificiale, salvo revisione editoriale umana (citation-3).

06

Scelte operative per un software di supporto

Un'azienda può scegliere di configurare, insieme al proprio fornitore software, un registro che collega ogni sistema di IA al relativo fornitore, deployer, categorie di dati e informative trasmesse alle persone coinvolte. Questo registro può conservare le evidenze delle marcature sugli output sintetici e delle notifiche fornite prima della prima interazione. Tra le scelte operative suggerite: assegnare ruoli di revisione per confermare le informative e verificare periodicamente le categorie di dati registrate, sulla base delle definizioni del regolamento (citation-2, citation-1, citation-0).

07

Chiarimenti frequenti sulla documentazione

• Chi è considerato fornitore e chi deployer? Il fornitore sviluppa o fa sviluppare il sistema e lo immette sul mercato; il deployer lo utilizza sotto la propria autorità (citation-2).
• Quali categorie di dati vanno distinte nella documentazione? Dati di addestramento, convalida, prova, input e, se applicabile, dati biometrici (citation-1).
• Quando vanno fornite le informative alle persone esposte? Al più tardi al momento della prima interazione o esposizione, in modo chiaro e accessibile (citation-3).

08

Il prossimo passo utile

Il passo successivo utile è avviare un inventario dei sistemi di IA attivi in azienda, assegnando per ciascuno il ruolo di fornitore o deployer, le categorie di dati e un responsabile delle informative, prima di estendere la documentazione ai controlli di marcatura degli output (citation-2, citation-1, citation-0).