Come mantengono le aziende le evidenze di conformità per dieci anni?
L'AI Act richiede alle aziende di conservare la documentazione di conformità per 10 anni - i provider devono mantenere documentazione tecnica e registri del sistema di gestione della qualità, mentre importatori e rappresentanti autorizzati conservano certificati e dichiarazioni.
Ai sensi dell'AI Act, le aziende sono legalmente tenute a conservare una documentazione di conformità specifica per 10 anni dopo che un sistema AI ad alto rischio o un modello AI general-purpose è stato immesso sul mercato o messo in servizio.
A seconda del ruolo specifico dell'azienda nella catena del valore dell'AI, le evidenze che devono essere conservate per questo periodo di 10 anni includono:
- Provider: la documentazione tecnica del sistema, la documentazione relativa al sistema di gestione della qualità, i registri delle modifiche approvate dagli organismi notificati, i certificati/decisioni emessi dagli organismi notificati e la dichiarazione di conformità UE.
- Importatori: una copia del certificato emesso dall'organismo notificato, le istruzioni per l'uso e la dichiarazione di conformità UE.
- Rappresentanti autorizzati: la dichiarazione di conformità UE, la documentazione tecnica e i certificati applicabili.
Come le aziende mantengono praticamente queste evidenze
Poiché la documentazione diventa naturalmente obsoleta non appena i sistemi AI, i fornitori o i casi d'uso evolvono, le aziende non possono trattare questa conservazione decennale come un esercizio di archiviazione statica una tantum. Come osservato da piattaforme di compliance come Aigolex, "i documenti statici falliscono nel momento in cui la realtà cambia".
Per garantire che le evidenze di conformità rimangano accurate e "sempre pronte" nell'arco di un decennio, le aziende implementano processi operativi strutturati e continui che:
- Centralizzano le evidenze per deployment: la documentazione è mappata e centralizzata secondo specifici "workspace" operativi e "deployment" reali (come l'AI viene effettivamente utilizzata, da chi e per quale scopo), piuttosto che limitarsi a conservare file su modelli AI astratti. Questo repository include descrizioni del sistema, valutazioni del rischio e log che tracciano la supervisione umana e i controlli di monitoraggio.
- Monitorano continuamente i cambiamenti: le aziende devono monitorare attivamente i propri asset AI, i propri fornitori e i propri perimetri operativi per eventuali cambiamenti nel tempo.
- Utilizzano alert e flag: per prevenire fallimenti di conformità dopo la valutazione iniziale, le aziende si affidano a sistemi che segnalano quando un cambiamento nell'utilizzo dell'AI richiede l'aggiornamento dei livelli di rischio o degli obblighi normativi, e emettono alert quando la documentazione di conformità sottostante deve essere aggiornata.