Quali entità sono autorizzate a verificare questi registri decennali?
L'AI Act richiede che i registri di conformità decennali siano disponibili per le autorità nazionali competenti, l'AI Office europeo e gli organismi per i diritti fondamentali - mentre clienti enterprise e auditor ne richiedono l'accesso nella pratica.
Ai sensi dell'AI Act, i registri di conformità decennali devono essere tenuti a disposizione di specifici organismi di regolamentazione e supervisione. Inoltre, le dinamiche di mercato impongono che anche determinate entità commerciali ne richiedano l'accesso.
Le entità specificamente autorizzate ad accedere e verificare questi registri includono:
- Autorità nazionali competenti: i provider e i loro rappresentanti autorizzati sono legalmente tenuti a mantenere la documentazione tecnica, i registri del sistema di gestione della qualità, le dichiarazioni di conformità e i certificati degli organismi notificati a disposizione delle autorità nazionali competenti (che includono le autorità designate di vigilanza del mercato e le autorità di notifica) per 10 anni. Gli importatori sono analogamente tenuti a fornire tali registri su richiesta motivata.
- L'AI Office europeo: per i modelli AI general-purpose, i rappresentanti autorizzati devono mantenere la documentazione tecnica a disposizione sia dell'AI Office che delle autorità nazionali competenti per un periodo di 10 anni dopo l'immissione del modello sul mercato.
- Autorità a tutela dei diritti fondamentali: le autorità o gli organismi pubblici nazionali che supervisionano la protezione dei diritti fondamentali (come le autorità per la protezione dei dati e gli organismi per l'uguaglianza) hanno il potere legale di richiedere e accedere a qualsiasi documentazione creata o mantenuta ai sensi dell'AI Act, se necessario per adempiere ai propri mandati.
Audit aziendali e operativi
Oltre agli organismi di regolamentazione ufficiali, la realtà pratica dell'implementazione dell'AI implica che le aziende debbano presentare questi registri anche a entità private. Poiché la conformità si applica ai deployment reali, clienti enterprise, consigli di amministrazione interni e auditor di terze parti si aspettano regolarmente un accesso immediato a questi registri di readiness e conformità durante le attività di procurement, le valutazioni del rischio o gli audit interni.