Come costruire l'inventario dei sistemi di intelligenza artificiale in azienda

01

L'inventario parte dalle definizioni del regolamento

Un inventario utile registra, per ogni sistema usato in azienda, se corrisponde alla definizione di «sistema di IA» dell'articolo 3 e quale ruolo l'organizzazione svolge rispetto ad esso — fornitore, deployer, importatore, distributore o rappresentante autorizzato.

Questa distinzione determina quali informazioni servono in seguito: finalità prevista, uso improprio ragionevolmente prevedibile e i controlli collegati al sistema.

02

Perché ruoli e finalità contano

Il regolamento distingue il fornitore, che sviluppa o fa sviluppare un sistema e lo immette sul mercato, dal deployer, che lo utilizza sotto la propria autorità. Importatore, distributore e rappresentante autorizzato coprono altre posizioni nella catena di approvvigionamento; il regolamento definisce «operatore» in senso più ampio, comprendendo anche fornitore, fabbricante del prodotto e deployer, oltre a rappresentante autorizzato, importatore e distributore.

03

Passi per costruire l'inventario

Passaggi

1. Elenca ogni sistema e verifica se corrisponde alla definizione di sistema di IA dell'articolo 3.
2. Assegna il ruolo dell'organizzazione per ciascun sistema: fornitore, deployer, importatore, distributore o rappresentante autorizzato.
3. Registra la finalità prevista e l'uso improprio ragionevolmente prevedibile indicati dal fornitore.
4. Collega ogni sistema alle procedure di gestione dei dati, gestione dei rischi e monitoraggio successivo all'immissione sul mercato previste per i sistemi ad alto rischio.
5. Annota le procedure di segnalazione di incidenti gravi e le modalità di conservazione delle registrazioni collegate al sistema.

04

Esempio ipotetico

Esempio ipotetico: un'azienda usa un chatbot fornito da un terzo per il servizio clienti e uno strumento generativo interno per bozze di testo. Per il chatbot l'azienda è deployer e verifica la finalità prevista dichiarata dal fornitore; per lo strumento interno sviluppato in casa, l'azienda assume il ruolo di fornitore e documenta il proprio sistema di gestione dei rischi.

05

Controlli minimi per ogni voce dell'inventario

• Il sistema rientra nella definizione di sistema di IA dell'articolo 3?
• È stato assegnato un ruolo chiaro (fornitore, deployer, importatore, distributore, rappresentante autorizzato)?
• Sono documentate la finalità prevista e l'uso improprio ragionevolmente prevedibile?
• Se il sistema genera contenuti sintetici o deep fake, è previsto un marcatore o una comunicazione leggibile agli utenti?
• Sono collegate le procedure di gestione dei dati, dei rischi, del monitoraggio post-immissione e della segnalazione di incidenti gravi?

06

Cosa può configurare un'azienda con il supporto di un partner software

Un'azienda può chiedere a un partner software di strutturare un registro centrale dei sistemi di IA con campi per ruolo, finalità prevista, uso improprio previsto e collegamenti alla documentazione tecnica correlata.

È possibile assegnare responsabilità di revisione a ruoli specifici — ad esempio chi gestisce i dati, chi valuta i rischi e chi segue le segnalazioni di incidenti — e mantenere una traccia delle verifiche periodiche come scelta operativa suggerita, non come requisito garantito dal software.

07

Chiarimenti frequenti sull'inventario

• L'inventario distingue i sistemi in base al ruolo aziendale, non solo alla tecnologia usata, perché obblighi e controlli seguono il ruolo.
• La finalità prevista dichiarata dal fornitore è il riferimento per valutare anche l'uso improprio ragionevolmente prevedibile del sistema.
• Per i sistemi ad alto rischio, l'inventario deve poter collegare ogni voce alle procedure di gestione dei dati, dei rischi e degli incidenti.

08

Prossimo passo pratico

Avvia l'inventario con i sistemi già in uso oggi: per ciascuno annota ruolo, finalità prevista e collegamento alle procedure di gestione dei dati e dei rischi, così l'azienda dispone di una base verificabile prima di ampliare l'uso dell'IA.