Valutazione di conformità dei sistemi di AI
Pubblicata il
La valutazione della conformità è la verifica con cui si dimostra che un sistema di intelligenza artificiale (AI) ad alto rischio rispetta i requisiti dell'AI Act, cioè quelli del capo III, sezione 2. La definisce l'articolo 3, punto 20, del Regolamento (UE) 2024/1689.
Perché ne parliamo? Perché la valutazione di conformità è un documento da chiedere al fornitore di un sistema ad alto rischio. Guarda l’immagine in alto: un liutaio controlla il profilo di un violino con una sagoma prima della consegna. Il liutaio, che è il fornitore, fa il controllo da sé. In alcuni casi il liutaio richiede un ulteriore professionista collega per controllare il suo lavoro, magari per lavori particolarmente esigenti: per i sistemi AI ad alto rischio il parallelo è con un organismo esterno, l’organismo notificato.
Il fornitore esegue la valutazione prima di immettere il sistema sul mercato o metterlo in servizio (articolo 16, lettera f, dell’AI Act). Seguono la dichiarazione UE di conformità e la marcatura CE (lettere g e h).
Come funziona la valutazione di conformità dell’articolo 43 dell’AI Act?
Ci sono tre strade possibili, a seconda del tipo di sisrtema
Il fornitore si controlla da solo. È il caso più frequente e vale per quasi tutti i sistemi ad alto rischio dell'Allegato III,: per esempio quelli usati per selezionare il personale, valutare gli studenti o decidere l'accesso al credito. Il fornitore segue la procedura di controllo interno dell'Allegato VI, senza organismi esterni (articolo 43, paragrafo 2).
Può servire un organismo esterno. Riguarda i sistemi biometrici, come l'identificazione delle persone dal volto (Allegato III, punto 1). Se il fornitore ha seguito le norme armonizzate o le specifiche comuni, può scegliere se controllarsi da solo o farsi valutare da un organismo notificato. Se non le ha seguite, o se non esistono, deve passare dall'organismo notificato, con la procedura dell'Allegato VII (articolo 43, paragrafo 1).
Vale la procedura del prodotto. Se l'AI fa parte di un prodotto che ha già una sua normativa europea di sicurezza, come un dispositivo medico, una macchina o un giocattolo (Allegato I, sezione A), si segue la valutazione già prevista per quel prodotto, aggiungendo i requisiti dell'AI Act (articolo 43, paragrafo 3).
Da quando si applica la valutazione di conformità?
Il fornitore di un sistema AI ad alto rischio deve avere la valutazione pronta quando scattano gli obblighi che la valutazione serve a dimostrare.
Per i sistemi dell'Allegato III, come quelli per la selezione del personale, questo avviene dal 2 dicembre 2027 (articolo 6, paragrafo 2).
Per i sistemi che fanno parte di un prodotto dell'Allegato I, come un dispositivo medico, avviene dal 2 agosto 2028 (articolo 6, paragrafo 1).
Il legame tra la procedura e queste date è una nostra lettura: il regolamento non lo scrive in modo esplicito.
Sulla carta la valutazione di conformità, stabilita dall'articolo 43, è in vigore già dal 2 agosto 2026, la data generale del regolamento, perché l'articolo 113 che fissa le date speciali, non nomina la sezione del capo III in cui l'articolo 43 si trova, cioè la sezione 5.
Perché conta la valutazione di conformità?
Se il tuo studio o la tua azienda usa un sistema ad alto rischio, chiedi se la valutazione è stata fatta e con quale strada. La risposta sta nella dichiarazione UE di conformità e nella marcatura CE, che importatori e distributori devono controllare prima di vendere il sistema (articoli 23 e 24). Se invece metti il sistema in commercio con il tuo nome o lo modifichi in modo sostanziale, diventi tu il fornitore e la valutazione spetta a te (articolo 25 e articolo 16).
Due casi: Uso un software che fa una prima scrematura dei curriculum. Sono ad alto rischio? e Ho un chatbot sul sito installato da un fornitore: di chi è l’obbligo di trasparenza?
Cosa non è la valutazione di conformità?
Non è un’approvazione preventiva dell’autorità: per l’Allegato III, punti da 2 a 8, la esegue il fornitore stesso. Non è la valutazione d’impatto dell’articolo 35 del GDPR (Regolamento UE 2016/679).
FAQ
Per la valutazione di conformità dei sistemi di intelligenza artificiale ad alto rischio serve sempre un organismo notificato? No: per l’Allegato III, punti da 2 a 8, è previsto il controllo interno del fornitore.