Articolo 10 del Regolamento (UE) 2024/1689 — Dati e governance dei dati. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.
Sintesi del testo ufficiale
L'Articolo 10 del Regolamento (UE) 2024/1689 (il Regolamento UE sull'IA), situato nel Titolo III, Capitolo 2, stabilisce requisiti obbligatori di governance dei dati per i fornitori di sistemi di IA ad alto rischio. L'articolo si applica ai set di dati di addestramento, validazione e test utilizzati nello sviluppo di tali sistemi.
Ai sensi dell'Articolo 10(2), le pratiche di governance dei dati devono riguardare: le scelte progettuali alla base della raccolta dei dati; le operazioni di preparazione dei dati, inclusa l'annotazione, l'etichettatura, la pulizia, l'arricchimento e l'aggregazione; la formulazione di ipotesi rilevanti riguardo all'uso previsto; e un esame dei possibili pregiudizi che potrebbero incidere sulla salute, sulla sicurezza o sui diritti fondamentali.
L'Articolo 10(3) richiede che i set di dati di addestramento, validazione e test siano soggetti a pratiche appropriate di gestione dei dati e siano pertinenti, rappresentativi, privi di errori e completi rispetto alla finalità prevista. Laddove la completa assenza di errori non sia raggiungibile, i fornitori devono documentare gli errori residui e il loro potenziale impatto.
L'Articolo 10(4) affronta il trattamento di categorie particolari di dati personali — come definiti nell'Articolo 9 del Regolamento (UE) 2016/679 (GDPR) e nell'Articolo 10 del Regolamento (UE) 2018/1725 — limitando strettamente tale trattamento al monitoraggio e alla correzione dei pregiudizi, soggetto a salvaguardie appropriate. L'Articolo 10(5) prevede che gli Stati membri possano stabilire condizioni specifiche per il trattamento di dati personali sensibili nell'interesse pubblico ai fini dello sviluppo dell'IA, soggette a condizioni rigorose. L'Articolo 10(6) chiarisce che i requisiti sui set di dati si applicano proporzionalmente ai fornitori che utilizzano set di dati preesistenti che non hanno raccolto originariamente, nella misura in cui tale esame è tecnicamente fattibile.
Cosa significa in pratica
L'Articolo 10 pone obblighi concreti su qualsiasi organizzazione che sviluppi o impieghi un sistema di IA ad alto rischio nell'UE. In pratica, la conformità richiede di stabilire e mantenere un programma strutturato di governance dei dati che si estenda all'intero ciclo di vita dello sviluppo.
Per un fornitore che sviluppa uno strumento di selezione assistita dall'IA per il reclutamento (un sistema dell'Allegato III, punto 4), l'Articolo 10 richiede di documentare perché sono stati scelti set di dati specifici, quali fasi di pre-elaborazione sono state applicate e come i set di dati coprono la diversità demografica del bacino di candidati previsto. Se i dati di addestramento sottorappresentano i candidati di determinati contesti regionali o etnici, il fornitore deve identificare questa lacuna, valutare il rischio di pregiudizio per la parità di trattamento, e correggere il set di dati o implementare mitigazioni tecniche — il tutto tracciabile nella documentazione tecnica richiesta dall'Articolo 11.
Per un fornitore che integra un modello o un set di dati IA di terze parti, l'Articolo 10(6) richiede comunque un esame del miglior sforzo possibile delle proprietà dei dati pre-costruiti rispetto al caso d'uso previsto. Affidarsi alla scheda dati del fornitore upstream non è sufficiente da solo; i fornitori a valle devono validare che le proprietà dei dati siano allineate al loro specifico contesto di deployment.
In pratica, i team di conformità dovrebbero: mantenere un piano di gestione dei dati per sistema; istituire registri di provenienza dei dati; eseguire valutazioni documentate dei pregiudizi e della rappresentatività nelle fasi di addestramento, validazione e test; e garantire che qualsiasi utilizzo di dati personali sensibili per la correzione dei pregiudizi sia coperto da una base giuridica e da controlli di accesso appropriati. Questi registri fanno parte della documentazione tecnica che deve essere disponibile alle autorità nazionali competenti su richiesta.
Obblighi principali
- Quadro di governance dei dati: Stabilire pratiche documentate di governance e gestione dei dati che coprano tutte le fasi — addestramento, validazione e test — prima di immettere un sistema di IA ad alto rischio sul mercato.
- Criteri di qualità dei set di dati: Garantire che i set di dati soddisfino quattro criteri di qualità cumulativi: pertinenza rispetto alla finalità prevista, rappresentatività del contesto di deployment, assenza di errori (o tassi di errori residui documentati) e completezza.
- Esame dei pregiudizi: Condurre e documentare un esame dei set di dati per pregiudizi che potrebbero portare a discriminazioni o rischi per la salute, la sicurezza o i diritti fondamentali, applicando misure correttive laddove i pregiudizi vengano identificati.
- Documentazione della preparazione dei dati: Registrare tutte le operazioni di preparazione dei dati — annotazione, etichettatura, pulizia, arricchimento e aggregazione — insieme alle ipotesi e alle scelte progettuali che le hanno determinate.
- Uso limitato di dati sensibili: Trattare categorie particolari di dati personali solo per il rilevamento e la correzione dei pregiudizi, soggetti a salvaguardie equivalenti al GDPR, e solo laddove strettamente necessario e proporzionato.
- Set di dati di terze parti e preesistenti: Condurre un esame proporzionato e tecnicamente fattibile di qualsiasi set di dati preesistente o di terze parti per verificare che soddisfino i requisiti pertinenti allo specifico caso d'uso del fornitore.
Relazione con altri articoli
L'Articolo 10 si trova al centro del quadro dei requisiti per l'IA ad alto rischio e si collega direttamente a diverse altre disposizioni. L'Articolo 9 (sistema di gestione dei rischi) alimenta l'Articolo 10: i rischi identificati attraverso la governance dei dati — come i pregiudizi del set di dati — devono essere gestiti attraverso il processo iterativo di gestione dei rischi. L'Articolo 11 (documentazione tecnica) e l'Allegato IV richiedono ai fornitori di registrare le scelte di governance dei dati e le caratteristiche dei set di dati come parte della documentazione di conformità esaminata dagli organismi notificati o autovalutata.
L'Articolo 13 (trasparenza e fornitura di informazioni) si basa sulla documentazione dei dati per consentire istruzioni per l'uso significative, in particolare riguardo alle limitazioni note derivanti da lacune nella qualità dei dati. L'Articolo 17 (sistema di gestione della qualità) richiede che la governance dei dati sia istituzionalizzata nell'ambito dei più ampi processi di qualità del fornitore.
Per i sistemi che trattano dati personali, l'Articolo 10 si interseca con gli obblighi del GDPR — l'Articolo 5 (principi di qualità dei dati) e l'Articolo 25 (protezione dei dati fin dalla progettazione) sono requisiti complementari che i fornitori devono soddisfare in parallelo. L'Articolo 10(4) fa espresso riferimento al Regolamento (UE) 2016/679 e al Regolamento (UE) 2018/1725 per delimitare il trattamento consentito di dati sensibili.
Calendario di conformità
Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta Ufficiale dell'UE (GU L 2024/1689, 12 luglio 2024). L'Articolo 10 segue il calendario di applicazione graduale applicabile ai sistemi di IA ad alto rischio:
- 2 febbraio 2025: Sono diventati esecutivi i divieti sulle pratiche di IA a rischio inaccettabile (Articolo 5); nessun obbligo diretto ai sensi dell'Articolo 10 in questa fase.
- 2 agosto 2025: Sono diventati applicabili i requisiti per i modelli GPAI (Titolo VIII); le autorità nazionali di sorveglianza del mercato hanno assunto responsabilità operative per la vigilanza sui sistemi ad alto rischio.
- 2 agosto 2026: L'Articolo 10 diventa pienamente esecutivo per i sistemi di IA ad alto rischio elencati nell'Allegato III (applicazioni ad alto rischio di uso generale, inclusa l'identificazione biometrica, le infrastrutture critiche, l'istruzione, l'occupazione, i servizi essenziali, l'applicazione della legge, la migrazione e la giustizia). I fornitori devono avere la governance dei dati conforme documentata e in vigore entro questa data.
- 2 agosto 2027: L'Articolo 10 diventa esecutivo per i sistemi di IA ad alto rischio disciplinati dall'Allegato I (legislazione sulla sicurezza dei prodotti, incluse macchine, dispositivi medici, veicoli e aviazione). Questi sistemi devono soddisfare tutti i requisiti di governance dei dati nell'ambito delle loro valutazioni di conformità del prodotto entro questa scadenza prorogata.
Si raccomanda vivamente ai fornitori di avviare le valutazioni dei gap della governance dei dati con largo anticipo rispetto alla scadenza applicabile, poiché la correzione dei set di dati di addestramento e l'approvvigionamento di dati conformi di terze parti possono richiedere tempi significativi.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
L'Articolo 10 richiede ai fornitori di sistemi di IA ad alto rischio di implementare pratiche di governance e gestione dei dati relative ai set di dati di addestramento, validazione e test. Ciò include garantire che i set di dati siano pertinenti, rappresentativi, privi di errori e completi rispetto alla finalità prevista. I fornitori devono inoltre esaminare i dati per individuare potenziali pregiudizi e documentare le scelte di raccolta ed elaborazione dei dati.
L'Articolo 10 si applica ai fornitori — persone fisiche o giuridiche che sviluppano o fanno sviluppare sistemi di IA ad alto rischio per immetterli sul mercato o metterli in servizio con il proprio nome o marchio. Riguarda qualsiasi sistema di IA ad alto rischio elencato nell'Allegato III o negli allegati dei settori regolamentati, indipendentemente dal fatto che il fornitore sia stabilito all'interno o all'esterno dell'UE.
Esistono eccezioni limitate per i modelli open source, ma i fornitori che immettono sul mercato UE sistemi di IA ad alto rischio utilizzando componenti open source rimangono responsabili della conformità all'Articolo 10 riguardo ai dati di addestramento, validazione e test che utilizzano o curano per quel sistema.
L'Articolo 10 si applica ai sistemi di IA ad alto rischio ai sensi dell'Allegato III (esclusi gli enti creditizi) a partire dal 2 agosto 2026. Per i sistemi di IA ad alto rischio disciplinati da specifica legislazione di armonizzazione dell'Unione elencata nell'Allegato I, la scadenza è prorogata al 2 agosto 2027. Le autorità nazionali di sorveglianza del mercato hanno assunto responsabilità di vigilanza a partire dal 2 agosto 2025.
Il regolamento non definisce una soglia statistica fissa. I fornitori devono dimostrare, attraverso un'analisi documentata, che i dati di addestramento coprono le condizioni geografiche, demografiche, contestuali e operative di deployment previste. Le lacune di rappresentatività devono essere identificate, valutate per il rischio di pregiudizio e mitigate attraverso misure tecniche o salvaguardie compensative documentate nel fascicolo tecnico.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.