La consultazione pubblica è attiva dal 18/02/2025 al 20/03/2025.
Questo argomento accoglie i commenti relativi al capitolo 5. Conformità delle soluzioni di IA.
I commenti dovranno includere il numero del paragrafo o sotto-paragrafo (se presente) e un riferimento puntuale al brano di testo al quale si riferiscono (ad esempio paragrafo 4.3, terzo capoverso).
Segnalo l’assenza di una guida chiara su come determinare il “livello di rischio” di un sistema di IA, passaggio fondamentale per capire quali requisiti dell’AI Act si applicano. La sezione assume che le PA sappiano già come classificare il rischio, ma questo processo richiede competenze specifiche e non è sempre intuitivo. Suggerirei di aggiungere una checklist o un diagramma di flusso che guidi le PA nella classificazione del rischio.
Inoltre, la sezione potrebbe essere resa più pratica fornendo esempi concreti di come adempiere ai requisiti dell’AI Act. Ad esempio, per il requisito della “trasparenza”, si potrebbero illustrare diverse tecniche per rendere più comprensibili le decisioni dei sistemi di IA, con esempi specifici per diversi tipi di modelli.
Per quanto riguarda le PA che agiscono come fornitori di sistemi di IA, sarebbe utile fornire indicazioni più dettagliate su come documentare il sistema di monitoraggio successivo all’immissione sul mercato, un obbligo previsto dall’AI Act. La sezione attuale fornisce solo una panoramica generale.
Infine, la sezione potrebbe beneficiare di una maggiore enfasi sulla necessità di una stretta collaborazione tra diversi ruoli all’interno della PA (es. responsabili della protezione dei dati, esperti di sicurezza, esperti legali, responsabili dell’innovazione) per garantire la conformità delle soluzioni di IA. Questa collaborazione multidisciplinare è essenziale per affrontare le complesse sfide legali, etiche e tecniche poste dall’IA.
Proposte di modifica strutturale:
Un aspetto quasi del tutto trascurato dal punto di vista PRATICO (copia e incolla dal GDPR, purtroppo) è sempre quello tecnologico-ingegneristico, in particolare per quanto riguarda la “teoria dei sistemi” (= un sistema IT per poter risultare “sicuro” deve poter essere osservabile e controllabile). Il percorso di compliance quindi non può prescindere dal contributo effettivo di professionisti IT con importante specializzazione nel settore dell’intelligenza artificiale. Mi auguro non venga fatto lo stesso errore che i “padri” del GDPR hanno compiuto, ovvero il quasi totale disinteresse nel prevedere l’obbligatorietà di applicazione di una norma ISO a supporto (27001 ed oggi la 42001) a mezzo di perizia tecnica verticale, relativa all’istanza specifica e magari GIURATA ! Ideale il contributo da parte degli ingegneri ICT libero professionisti. Grazie
Il ricorso all’uso di un sistema di IA , in funzione dei rischi associati alla medesime, con riferimento particolare a quelle ad alto rischio, richiede la necessità di un’accurata, preliminare fase di valutazione, ove ricorre necessario assicurare una congiunta cooperazione, seppur nel rispetto delle proprie responsabilità, tra un dato committente e un fornitire, al fine primario di assicurare il rispetto delle norme disciplinate nell’ambito del RegolamentoEuropeo in materia di ACTIA, la cui primaria prerogativa risulti essere finalizzata a garantire la massima sicurezza degli utilizzatori. Tale requisito di fatto come dettato dal medesimo Regolamento lo si può raggiungere solo qualora il centro candidabile risulti essere in grado di assicurare requisiti organizzativi strutturali e del personale, nonchè strumentali idonei per garantire la sicurezza dei pazienti e l’affidabilità dei dati raccolti.
Tale fase preliminare non a caso risulti essere caratterizzata da una serie di attività che vedono la raccolta di determinate documentazioni la cui importanza la si può attribuire alla caratteristica standardizzata degli stessi, in ottemperanza alle linee direttrici emesse in capo all’Agud, in attuazione alle norme disciplinate dal Regolamento che dettano gli obblighi in capo al promotore di selezionare centri, idonei nel rispetto di appositi requisiti, che peraltro risultino essere anche subordinati alla categoria dei pazienti trattati, riponendo particolare importanza a quella vulnerabile. Fermo stando la modulistica sopracitata, volendo descrivere la documentazione oggetto di raccolta in una prima fase di fattibilità, nel rispetto di un dato ordine, subordinato alle rispettive responsabilità assunte man mano sempre più definite in capo agli attori sopracitati, citiamo:
autore)
Un accordo di confidenzialita che consenta alle parti interessate, con riferimento particolare al committente nonché al fornitore interessato, incluso l 'utilizzatore terzo in caso di attività commerciali che presuppongano opportunità di impiego del medesimo sistema, ove assicurare adeguate attribuzioni di responsabilità in merito, nel rispetto della normativw vigente in materia, che sia peraltro attinente anche al contesto meramente specifico di impiego. Resta intesa la finalita di tutela della riservatezza delle informazioni senza che possa sussistere un rischio di violazione, in ottemperanza alla normativa in materia di proprietà intellettuale, valorizzando e tutelando il diritto morale e patrimoniale del prodotto, fermo restando il valore economico qualora sussistano finalita di brevettazione o registrazione del prodotto, ai sensi della normativa in materia di proprietà industriale.
Gli aspetti inerenti una prima fase di valutazione, non possono che richiedere idonea raccolta documentale che sia corrispettiva e commisurata a ciascuna fase di sviluppo del prodotto, dalla fase di fattibilita iniziale, avendo cura di assicurare una raccolta dati accurata circa le finalità che sinintenda adempiere nonché gli interventi da porre in essere, per poi fare seguito alla definizione dei requisiti, sia essi funzionali, non funzionali, tecnici o ancora inversi al fine di avviare un idonea fase di panificazione volta alla realizzazione di un dato progetto, nell’ambito del quale, a seguito della definzione degli interventi da porre in essere al fine di realizzare il progetto, si acquisice la possibilita di determinazione dei rispettivi obiettivi, sulla base dei requisiti.
Al fine di determinare la conformita delle soluzioni di IA, una prerogativa primaria da adempiere risulti essere relata alla necessità di avvalersi di idonei test finalizzati a testare la rispettiva validazione, dovendo rigorosamente vantare di una data appropriatezza in termini di requisiti tecnici e di prestazione, dei quali assicurare apposite documentazioni inerenti il rispetto a determinati standard di qualità, emessi da un ente indipendente, ovvero dalla stessa Autorità previa definicione di un apposito apparato normativo volto alla trasmissione della rispettuva richiesta di validazione. Nell’ambito di quest’ultima risulti essere sempre necessario assicurare idonee responsabilità e compiti.
paragrafo 5.3, pag 34: si fa riferimento alla verifica preliminare di adozione di sistemi di AI da terzi. E’ scontato, ma forse sarebbe meglio esplicitare che per i fornitori in essere va fatta una ricognizione come si fece dopo il GDPR. Forse le linee guida potranno esplicitare meglio come comportarsi nel caso in cui da questa ricognizione si riscontrino difformità.
In riferimento a “Le PA che adottano sistemi di IA DEVONO agire nel pieno rispetto della normativa nazionale ed unionale in materia di IA, con particolare riferimento all’AI Act”:
Come fatto per il Cloud, il Procurement ed altri servizi, sarebbe molto utile, sotto ogni punto di vista, poter contare su un sistema di qualificazione/certificazione delle soluzioni IA, senza demandare alle PA, anche piccole e non dotate di adeguate competenze, dell’onere di valutare il rispetto dell’AI Act ed altre norme tecniche.
Con riferimento alla valutazione della conformità, suggerisco la definizione di linee guida e manuali che siano caratterizzati da requisiti specifici al fine di assicurare standard di riferimento ai fini della valutazione della rispettiva conformità, realizzando per ciascun prototipo di prodotto un apposito manuale procedurale o protocollo caratterizzato da una rispettiva strutturazione che possa consentire di appurare l’effettiva integrità e appropriatezza di realizzazione di un dato sistema, assicurando accyrate descrizioni circa ciascuna fase che lo possa interessare.
Sempre facendo seguito alla valutazione della conformità, suggerirei la realizzazione di un apposita checklist al fine di assicurare il rispetto di requisiti necessari per conformare il sistema di IA a quello disciplinato nell’ambito del regolamento europeo, con necessità pertanto di potersi avvalere di una persona qualificata e responsabile della valutazione medesima e della rispettiva generazione di appositi certificati di conformità, che siano peraltro anche emesso da un organismo indipendente , senza che possano sussistere rischi di conflitti di interessi, inerenti anche la gestione dei rischi in merito ai quali la PA risulti essere necessario assicuri un sistema di valutazione idoneo silla base delle rispettive responsabilita. Queste ultime anche per quanto concerne l’attività di deployer o fornitore, avendo cura di assicurare dettagliate elencazioni in merito ai servizi in cloud, idonee definizioni del rispetto di sistemi di sicurezza volti a tutelare accessi non consoni, oltre alla necessaria altrettanto documentazione circa informazioni inerenti gli stessi fornitori di servivi in coud e delle responsabilità ai fini della rispettiva gestione, nell’ambito di una data PA.
Per quanto concerne le opportunità di riutilizzo sarebbe congruo definirne i contesti, nonché le condizioni necessarie per tali fini, previa altrettanta definizione di una pricedura dedicata alla valutazione, che sia parte interagente di un apparato normativo, con la necessità di assicurarne sempre idonea indipendenza avvalendosi di personale coinvolto nella valutazione del grado di qualita al fine di emettere appositi certificati di qualita che abbiano il fine di giustificarne il riuso
Suggerisco all’Agid la possibilità di usufruire di un sistema di trasmissione ai fini della presa in carico della richiesta sia per un primo uso che non, con emissione pertanto di delibere autorizzative a seguito della valutazione anche di esemplari oggetto di impiego.
Per quanto concerne le funzioni di monitoraggio, si può certamente ritenere che rientrino nell’ambito dei doveri primari di un dato titolare di un software dotato di sistemi di IA, in qualità di responsabile della gestione di un sistema di IA, nell’ottica di assicurare una costante verifica e controllo dell’appropriatezza della conduzione di una sperimentazione clinica in conformità al Regolamento Europeo in materia, incluse le normative vigenti applicabili. Ciò detto, è necessario tener presente, che un dato provuder debba assicurare un apposito primario piano di monitoraggio che sia direttamente subordinato e proporzionato alla complessità e ai rischi associati alla conduzione di un sistema di IA, oltre che assicurare adeguato personale in possesso delle qualifiche e dell’esperienza necessarie per adempiere alle funzioni di monitoraggio previste. Queste ultime in particolare interessano l’appropriatezza degli accordi contrattuali, al fine di assicurare possano di fatto essere conformi alla normativa vigente in materia, con riferimento particolare alla necessita di assicurare debita garanzia circa le cause alla base della stipula del contratto, in riferimento alla quale dedurre appropriaitezza rispetto anche alle funzionalita che si intende adempiere con dato sistema di IA e le responsabilità disciplinate nel medesimo, avendo cura di assicurare in modo chiaro l’eventuale concessione ovvero la licenza o ancora, la cessione e la rispettiva durata prevista, le responsabilità in capo al cessionario e all’acquirente, inclusi i vincoli, con riferimento particolare alla mancata possibilità di divulgazione a terzi non autorizzati o ancora la concessione della licenza a soggetti terzi non inclusi negli ambiti contrattuali. Vista la natura patrimoniale del prodotto associata al rispetto di obblighi in materia di diritto di autore, ricorrono obblighi di chiara definizione dell’apparato dedicato alle clausule in merito al rispettivo impiego, tutelando il diritto di autore in merito, nonché il valore patrimoniale che ne consegue, salvo i casi di registrazione o brevettazione del bene, conferendone un’opportunità di imprenditoria che ne comporti il rispetto del diritto della proprietà industriale. Rientrano pertanto le necessita di documentazione e successiva verifica mediante attività di monitoraggio anche gli adempimenti in esso disciplinati, in merito ai quali si fa pertanto debito riferimento alle funzionalità per le quali risulti essere dedicato il sistema di IA la cui finalità sicuramente risulti essere subordinata alla necessità di verificare il rispetto dei requisiti tecnici, funzionali e non funzionali nonché inversi, garantendone pertanto un impiego di algoritmi consono rispetto alle finalità per le quali risulti essere stato autorizzato.
Come anticipato, viste le necessità di assicurare piena tutela dei diritti fondamentali dei cittadini, ne ricorre la necessità di garantire misure di monitoraggio finalizzate ad assicurare anche il corretto adempimento degli obblighi contrattuali pattuiti, potendo pertanto configurare nell’ambito di impiego di un sistema di IA ai fini del miglioramento della pratica clinica e pertanto in campo sanitario, una necessità qualora ci si avvale dei suddetti sistemi ai fini della valutazione delle capacita diagnostiche di una data prestazione erogata mediante l’uso di dispositivi medici realizzati mediante il ricorso a software caratterizzati da meccanismi di machine learning ai fini della rilevazione di input che, mediante appositi sistemi di Deep learning e nodi neurali, assicurino l’emissione di promot a seguito della classificazione del dato nell’ambito di apposita categorie identififate, consentendone un’efficace ed efficiente diagnosi, alla base di soluzioni innovative alla base di un effettivo miglioramento della pratica clinica, fermo restando medesime opportunità innovative qualora il software sia dedicato all’identificazione di un meccanismo d’azione mirato, grazie all’acquisizione di metadati di derivazione da referti diagnostici che ne consentano di identificare il meccanismo d’azione per una successiva identificazione appropriata del miglior farmaco biotecnologico dotato di proprietà mirate ai fini della risoluzione della malattia.
Si chiede di integrare al Par. 5.2, quinto capoverso, pag. 34, il testo riportato tra virgolette nella seguente frase:
Le PA deployer affidano la sorveglianza umana dei sistemi di IA ad alto rischio al RTD e al suo Ufficio (UTD) “e/o ad eventuali Uffici che hanno competenze avanzate nel campo dell’AI”, come sopra già chiarito, DEVONO garantire che il personale incaricato possieda le competenze, l’esperienza e l’autorità necessarie per svolgere tale funzione in modo efficace
Questo consente di avvalersi delle competenze degli specialisti già presenti nelle PA che già si occupano di accettazione, controllo e monitoraggio degli applicativi AI in uso.
In Sanità, gli applicativi di IA possono essere sanitari o non. Quelli sanitari, autonomi o a supporto delle apparecchiature mediche, sono generalmente dispositivi medici. Per gli aspetti normativi (marchio CE) sono seguiti dai Servizi di Ingegneria Clinica, mentre della loro accettazione, del loro monitoraggio e controllo e della formazione degli operatori sanitari (personale dirigente e del comparto), già se ne occupano i Servizi di Fisica Sanitaria. L’IA è da tempo gestita e monitorata dai fisici medici, in particolare quando è presente nei sistemi di imaging, di diagnostica, di terapia e rivolti al supporto/protezione dei lavoratori, dei pazienti e della popolazione. I Servizi di Fisica Sanitaria sono inoltre coinvolti nella ricerca e sviluppo dei sistemi IA, collaborando con le aziende del settore, gli Enti di Ricerca. Non a caso, il premio Nobel per l’IA è stato assegnato a alla Fisica.
L’AIFM (Associazione Italiana di Fisica Medica) non considera pertanto rispondente alla realtà e corretto quanto indicato nel Paragrafo 5.2, quinto capoverso, Pag. 34. Chiede pertanto di integrare il testo del documento con questa frase: .… Nel caso di sistemi clinico-sanitari con IA ad alto rischio”, le PA deployer affidano la “sorveglianza umana” ai fisici medici dei servizi di fisica sanitaria che possiedono le competenze e l’esperienza per svolgere tale funzione in modo efficace. …
Analizzando il Capitolo 5 della bozza e pur apprezzando il lavoro svolto nel definire le responsabilità per la conformità con l’AI Act, ritengo necessarie alcune modifiche per garantire il pieno allineamento con il Regolamento UE 2024/1689 e una maggiore chiarezza operativa. Per quanto segue:
Il paragrafo introduttivo dovrebbe essere integrato specificando che l’AI Act si applica con tempistiche diverse (si veda ciò alla luce del lavoro di standardizzazione ora in atto presso la CEN/CENELEC JTC21). Propongo di aggiungere:
“Le PA DEVONO tenere presente che le disposizioni dell’AI Act entrano in vigore con tempistiche differenziate: i divieti di cui all’art. 5 sono già in vigore dal 2 febbraio 2025, mentre la maggior parte delle disposizioni, incluse quelle sui sistemi ad alto rischio, saranno applicabili dal 2 agosto 2026. In questa fase transitoria, le PA DOVREBBERO comunque iniziare ad adottare misure preparatorie per garantire la conformità.”
Nella sezione sui ruoli, suggerisco di precisare meglio le circostanze in cui una PA deployer diventa fornitore:
“Le PA DEVONO essere consapevoli che, anche quando operano come deployer, possono assumere le responsabilità del fornitore in tre specifiche circostanze previste dall’art. 25 dell’AI Act: quando appongono il proprio nome o marchio a un sistema già sul mercato; quando apportano una ‘modifica sostanziale’ a un sistema già sul mercato che continua a essere ad alto rischio; o quando modificano la finalità di un sistema non ad alto rischio rendendolo ad alto rischio.”
Nel sottosezione 5.1, propongo di integrare gli obblighi per le PA che agiscono come fornitori di sistemi ad alto rischio, aggiungendo:
“Le PA che operano come fornitori di sistemi di IA ad alto rischio DEVONO istituire e documentare un sistema di gestione della qualità conforme all’art. 17 dell’AI Act. Tale sistema DEVE prevedere una strategia per la conformità normativa, procedure per il controllo della progettazione, un quadro di responsabilità della dirigenza, nonché procedure per la gestione delle risorse e della documentazione.”
Si noti che tale sistema di gestione sarà presto anche proposto in un standard presso la CEN/CENELEC JTC21, ma che tuttavia tale standard non sarà univoco (e si consideri inoltre che standard apparentemente simili, come la ISO/IEC 42001, possono differire sostanzialmente dalla definizione di QMS - quality management system - preposto nell’EU AI Act)
Nella sezione sulla valutazione dell’impatto sui diritti fondamentali (FRIA), credo che occorra precisare l’ambito soggettivo di applicazione:
“La valutazione dell’impatto sui diritti fondamentali (FRIA) è obbligatoria per le PA che sono organismi pubblici o entità private che forniscono servizi pubblici, nonché per le PA che utilizzano sistemi di IA ad alto rischio nell’ambito bancario e assicurativo. Le PA DEVONO notificare i risultati della FRIA all’autorità di vigilanza del mercato pertinente.”
La sezione sui modelli GPAI con rischio sistemico è troppo generica e dovrebbe essere ampliata:
“Le PA che intendono utilizzare sistemi basati su modelli GPAI con rischio sistemico DEVONO verificare che il fornitore abbia soddisfatto non solo gli obblighi generali dell’art. 53, ma anche i requisiti specifici dell’art. 55 relativi alla valutazione e mitigazione dei rischi sistemici, inclusi test avversariali documentati, valutazione dei rischi a livello UE, reportistica sugli incidenti gravi e protezione adeguata contro le minacce informatiche. Le PA DOVREBBERO consultare il Registro UE dei modelli GPAI con rischio sistemico prima di adottarli.”
Manca completamente un riferimento al Registro UE (si veda articolo 49 e 71). Suggerisco di aggiungere:
“Le PA che operano come fornitori di sistemi di IA ad alto rischio DEVONO registrarli nella banca dati UE prima di immetterli sul mercato, fornendo le informazioni richieste dall’Allegato VIII. Le PA che operano come deployer di sistemi di IA ad alto rischio e sono autorità pubbliche DEVONO registrarsi e registrare l’utilizzo di tali sistemi nella banca dati UE. La registrazione dei sistemi di IA ad alto rischio utilizzati nell’ambito di applicazione della legge, controllo delle frontiere, migrazione e gestione dell’asilo avviene in una sezione non pubblica della banca dati.”
In 5.3, parlando di documentazione tecnica e non solo, propongo di aggiungere:
“Le PA che agiscono come deployer DEVONO verificare che i sistemi ad alto rischio siano marcati CE e accompagnati da una dichiarazione di conformità UE. Per i sistemi che rientrano nella lista dell’Allegato III, le PA DEVONO verificare che il fornitore abbia seguito la procedura di valutazione della conformità appropriata, sia basata sul controllo interno (Allegato VI) che con il coinvolgimento di un organismo notificato (Allegato VII), a seconda dei casi.”
Nella sottosezione 5.4, sarebbe opportuno specificare meglio i tempi di conservazione:
“Per i sistemi ad alto rischio, le registrazioni automatiche degli eventi (log) DEVONO essere conservate per un periodo di almeno sei mesi dalla messa in servizio del sistema, salvo diversa disposizione della legislazione dell’Unione o nazionale. Le PA che operano come fornitori DEVONO conservare la documentazione tecnica per un periodo di dieci anni dopo l’immissione sul mercato del sistema.”
5.2 MISURE DI SORVEGLIANZA
È consigliabile eliminare l’espressione “se necessario” nella parte in cui è previsto l’intervento umano sulle decisioni generate dall’AI: l’intervento umano deve essere sempre garantito e l’IA non deve mai sostituirsi all’uomo, come previsto anche dalle Linee Guida del Vaticano richiamate a pag.37.
Inoltre, si suggerisce di specificare il necessario ruolo di supervisione dell’utilizzo dell’AI da parte di ogni responsabile dei servizi, anziché centralizzare la responsabilità della sorveglianza umana in capo soltanto al RTD ed al suo Ufficio (UTD). (IDEM PUNTO 4.1)
5.4 CONSERVAZIONE DELLA DOCUMENTAZIONE
Si suggerisce di sostituire l’espressione “periodo congruo” con un’indicazione più specifica, predeterminando l’ampiezza di tale periodo in base al risultato desiderato.
In luogo a una mera indicazione per le PA di verificare se i sistemi di IA rientrano nell’ambito di applicazione del Regolamento, sarebbe stato più utile dare indicazioni in tal senso attraverso una check list dedicata o attraverso una valutazione svolta da un singolo ente, al fine di assicurare una interpretazione standardizzata a livello nazionale.
[5.4] Così come redatte, le indicazioni sulla conservazione della documentazione rischiano di non fornire alle PA alcuna indicazione aggiuntiva, rinviando ciecamente alle disposizioni del CAD e alle linee guida AgID o facendo riferimento a un “periodo congruo” di conservazione. L’utilità di tale paragrafo, così come impostato, è dunque dubbia.
Nella lettura abbiamo ritenuto che il passaggio iniziale non sia chiaro: la PA è considerata un provider quando le sue attività includono “lo sviluppo e la messa a disposizione mediante riuso di sistemi di IA ivi comprese le liste di prompt”. Non è chiaro cosa si intenda in questo contesto “le liste di prompt” (ad esempio un dataset di Q&A da somministrare al modello per svolgere attività di fine-tuning).
Sottosezione 5.1
In caso di strumenti liberi e open source, riteniamo occorra indicare nella documentazione i casi di riuso previsti (anche in forma non esaustiva) per guidare il ri-utilizzatore nell’adattare lo strumento al nuovo contesto.
Nel paragrafo 5.2 - Misure di sorveglianza, dove si parla di audit e monitoraggio dei sistemi suggerisco la seguente aggiunta:
Le PA devono predisporre strumenti di monitoraggio e soluzioni nazionali o europee che fungano da filtri di sicurezza per intercettare eventuali tentativi di fuoriuscita di dati sensibili attraverso i sistemi di IA, assicurando che le informazioni trattate siano conformi ai regolamenti sulla protezione dei dati.
Si potrebbe introdurre nel monitoraggio dei sistemi di AI il concetto di riproducibilità dei risultati nei sistemi che prendono decisioni. Sottolineerebbe che il monitoraggio non dovrebbe solo tracciare le prestazioni e gli esiti dell’IA, ma anche la capacità di comprendere e potenzialmente ricostruire il ragionamento alla base di decisioni passate.
L’AI Act, per i sistemi ad alto rischio, richiede la registrazione e conservazione dei dati per garantire la trasparenza e la responsabilità. Questo implica che gli input originali e le decisioni prese dall’IA devono essere documentati e archiviati, consentendo così la verifica e la riproducibilità delle decisioni nel tempo.
Il concetto di “replay”, opportunamente declinato potrebbe avere una incidenza anche nelle sezioni del rischio (ad alto rischio coerentemente con AI Act) oltre che nella parte di governance dei dati intesi come storicizzazione degli input.
(Punto 5 Linee Guida)
L’adozione dell’IA nella Pubblica Amministrazione deve avvenire nel pieno rispetto delle normative nazionali ed europee, in particolare dell’AI Act. Federmanager ritiene che il rispetto della conformità normativa non debba essere visto solo come un obbligo formale, ma come un elemento strategico per garantire affidabilità, trasparenza e sicurezza nell’utilizzo dei sistemi IA nei servizi pubblici.
Il settore industriale ha già sviluppato modelli di gestione della conformità per garantire l’aderenza delle tecnologie AI ai requisiti normativi, etici e di sicurezza. Federmanager propone di applicare questi approcci anche nella PA, supportando le amministrazioni nella verifica e nell’implementazione di soluzioni IA conformi e sicure.
Le Linee Guida richiedono che la PA monitori il ciclo di vita delle soluzioni IA, per garantire trasparenza, affidabilità e conformità ai principi normativi ed etici.
I dirigenti industriali possono supportare la PA attraverso:
L’AI Act impone alle PA di adottare misure di sorveglianza sui sistemi IA, garantendo che l’intervento umano sia sempre possibile nei processi automatizzati.
Nel settore privato, la supervisione dei sistemi IA segue modelli consolidati che possono essere applicati alla PA, tra cui:
Le PA che utilizzano sistemi IA sviluppati da fornitori esterni devono verificare che tali soluzioni siano conformi agli obblighi dell’AI Act, soprattutto per quanto riguarda la gestione del rischio nei sistemi ad alto rischio.
Federmanager ritiene fondamentale rafforzare i meccanismi di auditing e certificazione dei fornitori IA, prendendo ispirazione dai processi di controllo qualità e compliance già adottati nel settore privato. In particolare:
Le PA devono garantire la corretta conservazione della documentazione relativa ai sistemi IA, in conformità alle normative sulla gestione documentale e protezione dei dati.
Nel settore industriale, la gestione della documentazione segue criteri di trasparenza, sicurezza e tracciabilità, che possono essere replicati nella PA per:
Federmanager sostiene che la conformità normativa non debba essere un ostacolo, ma un elemento strategico per garantire l’adozione responsabile dell’IA nella PA. L’esperienza del settore industriale nella gestione della compliance e nella valutazione dei fornitori può rappresentare un contributo essenziale per rafforzare la governance dell’IA nel settore pubblico.
Proposte chiave:
Sistema di monitoraggio e audit continuo per garantire trasparenza e affidabilità delle soluzioni IA.
Supervisione umana rafforzata, con formazione specifica per il personale PA.
Obbligo di certificazione per i fornitori IA, con controlli di conformità rigorosi.
Adozione di sistemi di gestione documentale avanzati, per garantire tracciabilità e sicurezza dei dati.
Federmanager si propone come interlocutore strategico per supportare la PA nella definizione di modelli di conformità IA efficienti e sostenibili, garantendo innovazione, sicurezza e trasparenza nell’uso dell’IA nei servizi pubblici.