Inventario dei sistemi di intelligenza artificiale: come costruirlo passo dopo passo

01

La risposta in breve

Un'impresa costruisce l'inventario elencando ogni sistema di IA secondo la definizione dell'articolo 3, punto 1 del Regolamento (UE) 2024/1689, annotando per ciascuno il ruolo aziendale assunto — fornitore, deployer, importatore, distributore o rappresentante autorizzato — e i dati trattati per generare gli output.

Questo è uno dei quesiti indicati come domanda di verifica approvata per orientare la governance interna dell'IA.

02

Perché il ruolo cambia tutto

Il Regolamento distingue nettamente fornitore, deployer, importatore, distributore, rappresentante autorizzato e, in generale, operatore. Ogni ruolo comporta obblighi diversi, quindi l'inventario non può limitarsi a elencare software: deve registrare chi fa cosa rispetto a ciascun sistema, in coerenza con le definizioni dell'articolo 3.

03

I passaggi per costruire l'inventario

Passaggi

1. Elencare ogni sistema automatizzato che deduce output da input, secondo la definizione di sistema di IA.
2. Assegnare a ciascun sistema il ruolo aziendale corretto: fornitore, deployer, importatore, distributore o rappresentante autorizzato.
3. Se l'azienda è fornitore di un sistema di IA ad alto rischio, registrare nel sistema di gestione della qualità la finalità prevista e i dati trattati nelle fasi di acquisizione, raccolta, analisi, etichettatura e archiviazione.
4. Verificare se il sistema genera contenuti sintetici soggetti a obblighi di marcatura o segnalazione come deep fake.
5. Se l'azienda è fornitore di un sistema di IA ad alto rischio, indicare nel quadro di responsabilità chi, nella dirigenza o nel personale, risponde di ciascun aspetto del sistema di gestione della qualità.

04

Un esempio ipotetico

Esempio ipotetico: un'azienda usa un sistema di terze parti per generare testi di marketing e sviluppa internamente un sistema di categorizzazione clienti. Per il primo, l'azienda è deployer e verifica se gli output sintetici sono marcati come generati artificialmente, come previsto per i fornitori di tali sistemi. Per il secondo, essendo sviluppo interno, l'azienda registra i propri processi di gestione dei dati, dall'acquisizione all'archiviazione.

05

Elementi minimi da registrare per ogni sistema

• Denominazione del sistema e definizione tecnica applicata (sistema di IA).
• Ruolo aziendale assunto rispetto al sistema (fornitore, deployer, importatore, distributore, rappresentante autorizzato).
• Finalità prevista e, per i fornitori di sistemi di IA ad alto rischio, i dati trattati nelle fasi del ciclo dati previste dal sistema di gestione della qualità.
• Eventuali obblighi di trasparenza su contenuti sintetici o deep fake applicabili al sistema.
• Per i fornitori di sistemi di IA ad alto rischio, il referente responsabile di ciascun aspetto indicato nel quadro di responsabilità del sistema di gestione della qualità.

06

Cosa può essere configurato in un software gestionale

Un'azienda può chiedere al proprio partner software di supportare un registro strutturato dei sistemi di IA, con campi per ruolo, finalità, dati trattati e referente responsabile, così da rendere l'inventario consultabile e aggiornabile nel tempo.

È una scelta operativa consigliata, non un obbligo di prodotto: ogni organizzazione definisce quali informazioni tracciare e chi può modificarle, mantenendo coerenza con i ruoli indicati dal Regolamento.

07

Domande frequenti

L'inventario va aggiornato ogni volta che si introduce un nuovo sistema o cambia il ruolo aziendale rispetto a un sistema esistente, perché ruoli diversi comportano registrazioni diverse.

Un sistema interno sviluppato dall'azienda stessa va comunque elencato nell'inventario con ruolo e finalità secondo le definizioni dell'articolo 3; se l'azienda assume il ruolo di fornitore di un sistema di IA ad alto rischio, vanno aggiunti i dati di gestione della qualità previsti per tale ruolo.

Gli obblighi di marcatura dei contenuti sintetici riguardano specificamente i fornitori di sistemi che generano output audio, immagine, video o testo, e vanno annotati nell'inventario quando pertinenti.

08

Prossimo passo

Inizia elencando i sistemi di IA già in uso in azienda, assegnando un ruolo e un referente a ciascuno: è il primo passo concreto verso una governance dell'IA tracciabile.