Come dimostrano le aziende la conformità per i propri deployment AI?

Per dimostrare la conformità dei propri deployment AI ai sensi dell'AI Act, le aziende devono trattare la compliance come un processo operativo continuo che si applica ai deployment reali, piuttosto che valutare semplicemente modelli AI astratti in isolamento.

Le aziende devono adottare un approccio strutturato per generare, mantenere e presentare documentazione ed evidenze specifiche ad auditor, clienti enterprise e autorità regolatorie.

1. Mappatura e definizione del perimetro

Poiché gli obblighi dipendono interamente da come un sistema AI viene utilizzato, le aziende devono innanzitutto mappare il proprio utilizzo dell'AI attraverso i propri perimetri operativi distinti (workspace). Identificando chiaramente gli asset AI sottostanti e valutando come vengono effettivamente utilizzati nella pratica, da chi e per quale scopo, un'azienda può identificare correttamente se agisce come provider, deployer o entrambi.

2. Mantenere documentazione "sempre pronta"

Per dimostrare la conformità, le aziende devono centralizzare evidenze e documentazione specifiche per ogni workspace e deployment. A seconda del loro ruolo, ciò comporta diversi requisiti formali:

• -I provider di sistemi ad alto rischio devono stabilire un sistema di gestione della qualità documentato (che delinei le politiche per la progettazione, il testing, la gestione dei dati e la gestione del rischio).
• -I provider devono redigere una documentazione tecnica completa prima che il sistema venga messo in servizio, dettagliando l'architettura del sistema, i dati di addestramento, la logica algoritmica, le misure di cybersecurity e i meccanismi di supervisione umana.
• -I provider devono completare con successo una procedura di valutazione di conformità per dimostrare che il sistema soddisfa tutti i requisiti di sicurezza e diritti fondamentali. Una volta superata, devono redigere una dichiarazione di conformità UE e apporre una marcatura CE visibile sul prodotto o sulla sua documentazione.
• -I deployer di sistemi ad alto rischio devono mantenere documentazione che tracci l'implementazione delle misure di supervisione umana e dei controlli di monitoraggio.
• -I deployer in scenari specifici ad alto rischio (come enti di diritto pubblico o entità che forniscono servizi pubblici essenziali) devono effettuare e documentare una valutazione d'impatto sui diritti fondamentali prima di implementare il sistema, e notificare i risultati all'autorità di vigilanza del mercato.
• -Sia i provider che i deployer sono tenuti a conservare i log generati automaticamente delle operazioni del sistema AI per garantire la tracciabilità.

3. Registrazione nel database UE

I provider di sistemi AI ad alto rischio devono registrare se stessi e i propri sistemi in un database UE dedicato prima di immetterli sul mercato o metterli in servizio. I deployer che sono autorità pubbliche, istituzioni dell'Unione o agenzie devono anch'essi registrare il loro utilizzo di sistemi ad alto rischio in questo database.

4. Garantire la continuità

Poiché i documenti statici diventano obsoleti non appena la realtà cambia, la conformità all'AI Act non è un esercizio una tantum. Per dimostrare continuamente la conformità, le aziende devono monitorare i cambiamenti nei propri asset AI, deployment e fornitori. Se un sistema subisce una "modifica sostanziale" o la sua finalità prevista cambia, ciò può innescare la necessità di livelli di rischio aggiornati, documentazione rinnovata e una nuova valutazione di conformità.

La maggior parte della documentazione formale di conformità, inclusa la documentazione tecnica, i registri del sistema di gestione della qualità e le dichiarazioni di conformità UE, deve essere tenuta a disposizione delle autorità nazionali competenti per 10 anni dopo l'immissione del sistema sul mercato o la messa in servizio.