Sistemi di intelligenza artificiale e modelli di intelligenza artificiale di uso generale

• Regulation (EU) 2024/1689 — Artificial Intelligence Act, Articles 22 and 54
• Regulation (EU) 2019/1020 — market surveillance

Chi deve nominarlo

I fornitori stabiliti al di fuori dell'Unione che immettono sul mercato dell'UE sistemi di intelligenza artificiale ad alto rischio o li mettono in servizio devono nominare un rappresentante autorizzato nell'Unione mediante mandato scritto prima di farlo. Lo stesso vale ai sensi dell'Articolo 54 per i fornitori di modelli di intelligenza artificiale di uso generale immessi sul mercato dell'Unione. I distributori stabiliti nell'Unione hanno i propri doveri, più leggeri. Un distributore diventa un fornitore — con tutte le obbligazioni — se mette il proprio nome su un sistema ad alto rischio, lo modifica sostanzialmente o cambia il suo scopo previsto in modo che diventi ad alto rischio.

Soglie ed esenzioni

Le pratiche vietate nell'Articolo 5 si applicano a tutti senza soglia. L'obbligo di rappresentanza si applica ai sistemi ad alto rischio, che sono quelli che rientrano nella legislazione sui prodotti dell'Allegato I o elencati nell'Allegato III: biometria, infrastrutture critiche, istruzione, occupazione e gestione dei lavoratori, accesso a servizi essenziali, compreso il punteggio di credito, applicazione della legge, migrazione e controllo delle frontiere, e amministrazione della giustizia. I modelli di uso generale hanno il proprio regime, con obblighi aggiuntivi per i modelli che presentano un rischio sistemico superiore alla soglia di calcolo.

Cosa deve comparire in etichetta

Non è un'etichetta fisica per la maggior parte dei sistemi. Il nome del fornitore, la ragione sociale o il marchio e l'indirizzo, e quelli del rappresentante autorizzato, devono apparire sul sistema, sulla sua confezione o sulla documentazione allegata, e nelle istruzioni per l'uso. I sistemi ad alto rischio che sono prodotti ai sensi dell'Allegato I portano il marchio CE. I sistemi che interagiscono con le persone devono rivelare che sono intelligenza artificiale, e i contenuti sintetici devono essere contrassegnati in un formato leggibile dalla macchina.

Campi sui marketplace

Nessun campo di mercato ancora, ma i questionari di approvvigionamento dell'UE già chiedono chi sia il rappresentante ai sensi dell'Articolo 22, se il sistema è classificato come ad alto rischio e come vengono soddisfatti gli obblighi di trasparenza. Gli acquirenti aziendali richiedono sempre più questo prima di contrattare, in vista della scadenza di agosto 2026.

Documentazione da tenere

Documentazione tecnica ai sensi dell'Allegato IV, conservata per dieci anni. Un sistema di gestione del rischio che opera lungo il ciclo di vita. Documentazione sulla governance dei dati che copre i set di dati di addestramento, validazione e test. Registri generati automaticamente. Istruzioni per l'uso che consentono ai distributori di rispettare i propri obblighi. Un sistema di gestione della qualità. La dichiarazione di conformità dell'UE e la registrazione nel database dell'UE per i sistemi dell'Allegato III. Per i modelli di uso generale, documentazione tecnica per l'Ufficio AI e per i fornitori a valle, una politica di copyright e un riassunto pubblico sufficientemente dettagliato del contenuto dell'addestramento.

Norme e prove

Valutazione di conformità basata sul controllo interno per la maggior parte dei sistemi dell'Allegato III, o tramite un organismo notificato per i sistemi biometrici dove non si applicano standard armonizzati. I sistemi incorporati in prodotti dell'Allegato I seguono il percorso di valutazione di quel prodotto. Accuratezza, robustezza e cybersecurity devono essere testate e i livelli dichiarati. Il monitoraggio post-mercato continua dopo l'immissione sul mercato.

Requisiti linguistici

Istruzioni per l'uso in una lingua facilmente comprensibile dai distributori nello stato membro interessato, come determinato da quello stato. Le comunicazioni di trasparenza agli individui nella lingua che potrebbero ragionevolmente comprendere.

Da quando si applica

Divieti e obblighi di alfabetizzazione sull'IA a partire dal 2 febbraio 2025. Obblighi per i modelli di uso generale a partire dal 2 agosto 2025, con i modelli già sul mercato prima di tale data che hanno tempo fino ad agosto 2027. Obblighi ad alto rischio ai sensi dell'Allegato III dal 2 agosto 2026. Sistemi ad alto rischio incorporati in prodotti regolamentati dall'Allegato I dal 2 agosto 2027.

Per quanto si conservano i documenti

Documentazione tecnica, la dichiarazione di conformità e la documentazione sulla gestione della qualità per dieci anni dopo che il sistema è stato immesso sul mercato. Registri per almeno sei mesi, a meno che un'altra legge richieda un periodo più lungo. Il rappresentante autorizzato conserva una copia del mandato e della documentazione per gli stessi dieci anni e deve produrla su richiesta.

Cosa succede se non sei in regola

Fino a 35 milioni di euro o 7% del fatturato annuale totale mondiale per pratiche vietate. Fino a 15 milioni di euro o 3% per violazioni della maggior parte degli altri obblighi, compresi quelli dei fornitori e dei rappresentanti autorizzati. Fino a 7,5 milioni di euro o 1% per aver fornito informazioni errate, incomplete o fuorvianti. Le autorità di sorveglianza del mercato possono anche richiedere il ritiro o il richiamo di un sistema.

Chi controlla

Autorità nazionali di sorveglianza del mercato designate da ciascuno stato membro, l'Ufficio AI per i modelli di uso generale, il Consiglio europeo per l'intelligenza artificiale e organismi notificati dove si applica la valutazione di terzi.

Dove passa il confine

La maggior parte dei software aziendali non è ad alto rischio, e la classificazione dipende dall'uso piuttosto che dalla tecnologia: lo stesso modello può essere a basso rischio in un'implementazione e ad alto rischio ai sensi dell'Allegato III in un'altra. Un chatbot ha solo doveri di trasparenza. Ma un'IA utilizzata per selezionare candidati per un lavoro, valutare l'affidabilità creditizia o allocare l'accesso ai servizi pubblici è ad alto rischio indipendentemente dalla semplicità del modello. Il rappresentante autorizzato può terminare il mandato se ritiene che il fornitore stia agendo in contrasto con il Regolamento, e deve quindi informare l'autorità — un dovere senza equivalente nell'Articolo 27 del GDPR.

Le domande che ci fanno

Utilizziamo l'IA ma non la costruiamo — siamo fornitori?

Normalmente sei un distributore, con doveri più leggeri. Diventi un fornitore se metti il tuo nome su un sistema ad alto rischio, lo modifichi sostanzialmente o cambi il suo scopo previsto in modo che diventi ad alto rischio.

L'AI Act si applica a un modello che ospitiamo al di fuori dell'UE?

Sì, se l'output è utilizzato nell'Unione, o se il sistema o il modello è immesso sul mercato dell'Unione. La posizione fisica dei server non è il criterio.

Un rappresentante ai sensi dell'Articolo 27 del GDPR è sufficiente?

No. Sono nomine separate ai sensi di regolamenti separati, con doveri e documentazione diversi, anche quando un fornitore detiene entrambi.