Registri e documentazione: cosa chiede il regolamento a chi utilizza

«Serve un registro dei sistemi di AI» è una frase che si legge spesso, e quasi sempre senza l'articolo accanto. Conviene separare due piani: quello che il regolamento chiede e quello che un'organizzazione può decidere di darsi.

Quello che il regolamento chiede a chi utilizza

Gli obblighi di chi utilizza un sistema ad alto rischio stanno nell'articolo 26. Fra questi:

• usare il sistema secondo le istruzioni che lo accompagnano, con misure tecniche e organizzative adeguate (paragrafo 1);
• conservare i log generati automaticamente dal sistema, nella misura in cui sono sotto il proprio controllo, per un periodo adeguato alla finalità prevista e comunque non inferiore a sei mesi, salvo diversa disposizione del diritto dell'Unione o nazionale, in particolare in materia di protezione dei dati (paragrafo 6);
• sorvegliare il funzionamento del sistema sulla base delle istruzioni e informare il fornitore quando ci sia motivo di ritenere che l'uso presenti un rischio, sospendendone l'utilizzo; in caso di incidente grave, informare senza indugio (paragrafo 5);
• informare i lavoratori e i loro rappresentanti prima di mettere in servizio il sistema sul luogo di lavoro (paragrafo 7);
• usare le informazioni ricevute dal fornitore per svolgere, quando dovuta, la valutazione d'impatto sulla protezione dei dati prevista dall'articolo 35 del GDPR (paragrafo 9).

Dal lato di chi fornisce il sistema, l'articolo 12 prevede che i sistemi ad alto rischio consentano tecnicamente la registrazione automatica degli eventi lungo il loro ciclo di vita.

Quello che il regolamento non chiede

Non c'è, nel regolamento, un obbligo per l'impresa che utilizza l'AI di tenere un elenco dei sistemi che ha in casa. Non c'è un modello da compilare, non c'è un'autorità a cui trasmetterlo, non c'è una scadenza.

Esiste una banca dati europea per i sistemi ad alto rischio, ma gli obblighi di registrazione che l'articolo 26 richiama al paragrafo 8 riguardano gli utilizzatori che sono autorità pubbliche o istituzioni dell'Unione, non le imprese private.

Perché allora se ne parla

Perché senza sapere quali sistemi si usano non si può rispondere a nessuna delle domande che il regolamento pone davvero: se uno di essi rientri fra le pratiche vietate, se qualcuno parli direttamente con delle persone, chi ne sorveglia il funzionamento, quali log esistano e dove.

È una differenza di natura, e vale la pena tenerla in chiaro: tenere l'elenco è un modo di prepararsi a un obbligo, non l'obbligo stesso. Chi lo presenta come un adempimento sta descrivendo male sia l'uno sia l'altro.

Da quando valgono gli obblighi dell'articolo 26

Riguardano i sistemi ad alto rischio, e quindi seguono il loro calendario: 2 dicembre 2027 per i sistemi dell'Allegato III, 2 agosto 2028 per quelli incorporati in prodotti già regolamentati.

Gli obblighi che si applicano già oggi a tutti — divieti, trasparenza, alfabetizzazione — sono altri, e non contengono nessun obbligo di registro: l'elenco, con le date, è in Il calendario dell'AI Act.