01
La risposta in breve
Un'impresa costruisce l'inventario elencando, per ciascun sistema di IA in uso, il ruolo assunto (fornitore, deployer, importatore, distributore o rappresentante autorizzato), la finalità prevista dal fornitore e gli elementi di rischio, così come definiti dall'articolo 3 del Regolamento (UE) 2024/1689.
02
Perché ruolo e finalità sono il punto di partenza
Il Regolamento distingue con precisione chi sviluppa un sistema di IA (fornitore), chi lo utilizza sotto la propria autorità (deployer) e chi lo importa o distribuce. La finalità prevista, comunicata dal fornitore in istruzioni, materiale promozionale e documentazione tecnica, definisce il contesto d'uso legittimo di ogni sistema elencato nell'inventario.
03
Sequenza pratica per popolare l'inventario
Passaggi
- Elencare ogni sistema di IA attivo, indicando nome, funzione e fornitore originario.
- Attribuire il ruolo aziendale corretto per ciascun sistema: fornitore, deployer, importatore o distributore.
- Riportare la finalità prevista dichiarata dal fornitore nella documentazione tecnica o nel materiale di vendita.
- Registrare gli elementi di rischio noti, intesi come probabilità e gravità di un danno possibile.
- Collegare ogni sistema alle procedure di gestione dei dati e conservazione delle registrazioni già in uso.
04
Un caso ipotetico
Caso ipotetico: un'azienda usa uno strumento di terze parti per selezionare candidati in una fase di reclutamento. Nell'inventario registra il proprio ruolo come deployer, poiché utilizza il sistema sotto la propria autorità, la finalità prevista indicata dal fornitore nelle istruzioni d'uso, e collega il sistema alle procedure interne di gestione dei dati e di conservazione delle registrazioni.
05
Controlli minimi per ogni voce dell'inventario
- Il ruolo assegnato (fornitore, deployer, importatore, distributore, rappresentante autorizzato) è corretto.
- La finalità prevista è tratta dalla documentazione del fornitore, non da un'interpretazione interna.
- Il livello di rischio è annotato come combinazione di probabilità e gravità del danno.
- Le procedure di gestione dei dati collegate al sistema sono identificate e tracciabili.
- È indicato chi, in azienda, ha la responsabilità di aggiornare la voce.
06
Cosa può presidiare un software gestionale
Un'impresa può scegliere di configurare, insieme al proprio partner software, un registro strutturato che raccolga per ogni sistema di IA il ruolo aziendale, la finalità prevista, i responsabili interni e i collegamenti alle procedure di gestione dei dati, monitoraggio e conservazione delle registrazioni richieste per i sistemi ad alto rischio. Questo è un criterio operativo suggerito, non un obbligo derivante dal software stesso.
07
Domande che tornano spesso
Le domande più frequenti riguardano la distinzione tra fornitore e deployer, il contenuto minimo della gestione dei dati e il motivo per cui la finalità prevista va sempre riportata così come dichiarata dal fornitore.
08
Prossimo passo
Il passo successivo è verificare, sistema per sistema, se il ruolo aziendale registrato corrisponde davvero all'uso effettivo, e collegare ogni voce dell'inventario alle procedure interne di gestione dei dati e conservazione delle registrazioni già in essere.
FAQ
Domande frequenti
Qual è la differenza tra fornitore e deployer di un sistema di IA?
Il fornitore sviluppa il sistema di IA o lo fa sviluppare e lo immette sul mercato con il proprio nome; il deployer lo utilizza sotto la propria autorità, salvo uso personale non professionale.
Cosa deve comprendere la gestione dei dati collegata a un sistema di IA ad alto rischio?
Comprende acquisizione, raccolta, analisi, etichettatura, archiviazione, filtrazione, estrazione, aggregazione e conservazione dei dati, oltre a ogni altra operazione effettuata prima dell'immissione sul mercato o della messa in servizio.
Perché nell'inventario va riportata la finalità prevista dichiarata dal fornitore?
Perché la finalità prevista definisce il contesto e le condizioni d'uso specifiche indicate dal fornitore in istruzioni, materiale promozionale e documentazione tecnica, e delimita l'uso legittimo del sistema.
✓