Articolo 12 — Conservazione delle registrazioni (Regolamento UE sull'IA)

Articolo 12 del Regolamento (UE) 2024/1689 — Conservazione delle registrazioni. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 12 del Regolamento (UE) 2024/1689 stabilisce requisiti obbligatori di conservazione delle registrazioni per i sistemi di IA ad alto rischio. L'articolo si trova nel Titolo III, Capitolo 2, che stabilisce i requisiti tecnici e di governance che i sistemi di IA ad alto rischio devono soddisfare prima di essere immessi sul mercato UE o messi in servizio.

L'obbligo fondamentale è che i sistemi di IA ad alto rischio debbano essere progettati e sviluppati con capacità di registrazione che consentano la registrazione automatica degli eventi — comunemente denominati log — per tutto il periodo operativo del sistema. Questi log servono a un duplice scopo: supportare il monitoraggio post-commercializzazione da parte del fornitore ai sensi dell'Articolo 72, e consentire alle autorità nazionali competenti di esercitare le loro funzioni di vigilanza e di indagine.

L'Articolo 12(2) specifica che le capacità di registrazione devono, come minimo, registrare il periodo di ciascun utilizzo del sistema (data e ora di inizio e fine), la banca dati di riferimento rispetto alla quale sono stati verificati i dati di input ove applicabile, i dati di input che hanno portato a un determinato output o risultato, e — nel caso di sistemi di identificazione biometrica — l'identità delle persone fisiche coinvolte nella verifica dei risultati.

L'articolo pone l'obbligo di progettazione direttamente sui fornitori. La registrazione deve essere integrata nel sistema fin dalla costruzione, non aggiunta retroattivamente. Ciò riflette la più ampia filosofia by-design del Regolamento. I deployment che utilizzano questi sistemi hanno obblighi complementari ai sensi dell'Articolo 26 di conservare i log generati durante il loro utilizzo del sistema, nella misura in cui tali log siano sotto il loro controllo.

Cosa significa in pratica

Per i fornitori che sviluppano o immettono sul mercato UE sistemi di IA ad alto rischio, l'Articolo 12 richiede che le decisioni a livello ingegneristico vengano prese durante la fase di progettazione, non dopo il deployment. La registrazione deve essere una caratteristica architetturale del prodotto.

Parti interessate. Qualsiasi organizzazione che sviluppa, immette sul mercato o mette in servizio un sistema di IA ad alto rischio come definito ai sensi dell'Articolo 6 e dell'Allegato III è soggetta all'Articolo 12. Ciò include sistemi utilizzati nella selezione del personale, nel credit scoring, nell'identificazione biometrica, nella gestione delle infrastrutture critiche, nella valutazione educativa, nell'applicazione della legge, nel controllo delle frontiere e nell'amministrazione della giustizia, tra gli altri. I deployment — organizzazioni che utilizzano il sistema di IA ad alto rischio di un fornitore nel proprio contesto — hanno obblighi secondari di conservazione dei log che controllano.

Azioni concrete richieste. Un fornitore deve implementare una registrazione automatica che acquisisca i punti dati richiesti senza intervento manuale. Ad esempio, un fornitore di uno strumento di screening CV assistito dall'IA deve garantire che il sistema registri ogni sessione di reclutamento, la versione del set di dati utilizzata per addestrare o calibrare il modello e gli input (profili dei candidati) che hanno generato ciascun output (classifica o raccomandazione). Un deployment che utilizza tale strumento deve conservare quei log e renderli disponibili alle autorità su richiesta.

Utilità investigativa. I log esistono principalmente per consentire un'analisi retrospettiva. Se un sistema produce un risultato discriminatorio o causa un danno, le autorità di regolamentazione devono essere in grado di ricostruire quanto accaduto. I log incompleti, sovrascritti o inaccessibili vanificano questo scopo ed espongono sia il fornitore che il deployment a rischi di enforcement.

Proporzionalità. L'ambito specifico di ciò che deve essere registrato è calibrato in base al tipo di sistema. I sistemi biometrici affrontano i requisiti più granulari. I fornitori dovrebbero documentare le loro scelte progettuali di registrazione nella documentazione tecnica come richiesto dall'Articolo 11.

Obblighi principali

• Registrazione per progettazione. I sistemi di IA ad alto rischio devono essere progettati e sviluppati con capacità automatiche di registrazione degli eventi integrate nell'architettura del sistema prima dell'immissione sul mercato o del deployment.
• Contenuto minimo dei log. I log devono acquisire, come minimo: il periodo operativo di ogni sessione d'uso, la banca dati di riferimento utilizzata per la verifica dell'input ove applicabile, i dati di input che hanno prodotto ciascun output o decisione, e — per i sistemi di identificazione biometrica — le identità delle persone fisiche che hanno verificato i risultati.
• Conservazione dei log da parte dei deployment. I deployment devono conservare i log generati durante il loro utilizzo di un sistema di IA ad alto rischio per il periodo richiesto dalla legge applicabile e, come minimo, per la durata necessaria a supportare il monitoraggio post-commercializzazione e le indagini normative.
• Accessibilità alle autorità. I log devono essere disponibili alle autorità nazionali competenti su richiesta per facilitare la vigilanza di supervisione, le indagini sugli incidenti e le attività di sorveglianza del mercato.
• Tracciabilità degli output. Il sistema di registrazione deve consentire la ricostruzione di una catena causale da un input specifico a un output specifico, supportando la responsabilità e il diritto alla spiegazione laddove applicabile.
• Allineamento con la documentazione tecnica. L'architettura di registrazione e il suo ambito devono essere descritti nella documentazione tecnica mantenuta ai sensi dell'Articolo 11, garantendo la coerenza tra il sistema come progettato e il sistema come monitorato.

Relazione con altri articoli

L'Articolo 12 non può essere letto in isolamento. Opera come parte di una rete di requisiti interconnessi nel Titolo III, Capitolo 2.

L'Articolo 9 (Sistema di gestione dei rischi) stabilisce il quadro generale in cui si inserisce la registrazione — i log generano i dati operativi necessari per identificare e valutare i rischi nel deployment nel mondo reale.

L'Articolo 11 (Documentazione tecnica) richiede ai fornitori di documentare l'architettura e le capacità di registrazione come parte del più ampio fascicolo tecnico presentato agli organismi notificati o conservato per l'ispezione normativa.

L'Articolo 17 (Sistema di gestione della qualità) richiede ai fornitori di mantenere un sistema di gestione della qualità che integri la registrazione nei più ampi controlli operativi e nelle procedure di azioni correttive.

L'Articolo 26 (Obblighi dei deployment) assegna ai deployment l'obbligo di conservare i log sotto il loro controllo e di cooperare con i fornitori e le autorità, rendendo l'Articolo 12 una responsabilità condivisa lungo la catena di fornitura.

L'Articolo 72 (Monitoraggio post-commercializzazione) è il destinatario a valle dei log dell'Articolo 12 — il sistema di monitoraggio si basa sui log operativi per rilevare il degrado delle prestazioni, gli output inattesi e i rischi emergenti dopo il deployment.

L'Articolo 73 (Segnalazione di incidenti gravi) utilizza i dati dei log come prova primaria quando i fornitori sono tenuti a segnalare gravi malfunzionamenti o incidenti alle autorità di sorveglianza del mercato.

Calendario di conformità

Il Regolamento UE sull'IA (Regolamento 2024/1689) è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta Ufficiale dell'Unione Europea.

L'applicazione del Regolamento è graduale:

• 2 febbraio 2025 — Sono diventati applicabili i divieti sulle pratiche di IA a rischio inaccettabile (Titolo II, Articolo 5).
• 2 agosto 2025 — Sono diventate applicabili le norme sui modelli di IA di uso generale (Titolo VIII) e gli obblighi di governance (Titolo III, Capitolo 4 sugli organismi notificati; Titolo VI sulla governance).
• 2 agosto 2026 — Gli obblighi per i sistemi di IA ad alto rischio elencati nell'Allegato III iniziano ad applicarsi per la maggior parte delle categorie. L'Articolo 12 rientra in questa fase. I fornitori e i deployment di sistemi di IA ad alto rischio devono avere capacità di registrazione conformi in vigore entro questa data.
• 2 agosto 2027 — Scadenza prorogata per i sistemi di IA ad alto rischio coperti dalla legislazione settoriale di armonizzazione dell'Unione esistente elencata nell'Allegato I (ad es. macchine, dispositivi medici), che concede a quei settori ulteriore tempo per adeguare i quadri esistenti di valutazione della conformità.

Le organizzazioni che sviluppano sistemi di IA ad alto rischio dovrebbero trattare il 2 agosto 2026 come la scadenza di conformità definitiva per i requisiti di registrazione dell'Articolo 12, con la progettazione e i test dell'infrastruttura di registrazione completati con largo anticipo per consentire le procedure di valutazione della conformità ai sensi dell'Articolo 43.