Articolo 19 — Registri generati automaticamente (Regolamento UE sull'IA)

Articolo 19 del Regolamento (UE) 2024/1689 — Registri generati automaticamente. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 19 del Regolamento (UE) 2024/1689 stabilisce un obbligo di registrazione che opera su due livelli: un obbligo in fase di progettazione a carico dei fornitori e un obbligo operativo a carico dei responsabili del dispiegamento.

Dal lato del fornitore, l'Articolo 19(1) richiede che i sistemi di IA ad alto rischio siano tecnicamente in grado di generare automaticamente registri della loro operatività per tutto il loro ciclo di vita. I fornitori devono integrare questa capacità nel sistema nella misura in cui ciò sia tecnicamente fattibile, garantendo che gli eventi possano essere registrati senza intervento manuale. Ciò si collega direttamente al più ampio quadro di trasparenza e tracciabilità del Titolo III.

Dal lato del responsabile del dispiegamento, l'Articolo 19(2) richiede che i responsabili del dispiegamento conservino i registri generati automaticamente dai sistemi di IA ad alto rischio che operano. Il periodo minimo di conservazione è di sei mesi, a meno che il diritto dell'Unione o il diritto applicabile degli Stati membri non prescriva un periodo più lungo. La normativa specifica del settore — ad esempio in ambito finanziario, sanitario o delle infrastrutture critiche — prevarrà frequentemente su questo minimo predefinito.

I registri contemplati dall'Articolo 19 assolvono molteplici finalità di conformità: supportano il monitoraggio post-commercializzazione ai sensi dell'Articolo 72, facilitano la segnalazione degli incidenti ai sensi dell'Articolo 73 e forniscono la base probatoria necessaria alle autorità nazionali competenti quando conducono la sorveglianza del mercato ai sensi del Capitolo VI. L'articolo non prescrive di per sé il preciso formato tecnico o la granularità dei registri, lasciando questi dettagli alle norme armonizzate e ai requisiti di documentazione tecnica dell'Articolo 11 e dell'Allegato IV.

Cosa significa in pratica

Per le organizzazioni che dispiegano sistemi di IA ad alto rischio, l'Articolo 19 introduce un concreto obbligo di conservazione dei dati che deve essere integrato nei processi operativi fin dal primo giorno di dispiegamento.

I responsabili del dispiegamento devono innanzitutto verificare che il sistema di IA che utilizzano sia tecnicamente in grado di generare registri automaticamente. Se un fornitore consegna un sistema privo di questa capacità laddove essa sia tecnicamente fattibile, il fornitore è inadempiente ai propri obblighi — ma il responsabile del dispiegamento conserva comunque la responsabilità di condurre un'adeguata due diligence prima del dispiegamento, come richiesto dall'Articolo 26.

In pratica, ciò significa che i responsabili del dispiegamento dovrebbero richiedere ai fornitori una documentazione chiara che confermi la presenza della funzionalità di registrazione, descriva quali eventi vengono registrati e specifichi il formato dei registri. Questa documentazione dovrebbe fare parte degli accordi contrattuali tra fornitore e responsabile del dispiegamento.

Una volta in funzione, i responsabili del dispiegamento devono implementare una politica di conservazione dei registri che copra almeno sei mesi. Per le organizzazioni che operano in settori regolamentati, questa base di riferimento è quasi sempre estesa: un ospedale che dispieghi uno strumento diagnostico assistito dall'IA dovrà allineare la conservazione dei registri alla normativa sui documenti sanitari; una banca che dispieghi un sistema di credit scoring basato sull'IA deve tenere conto delle norme sui servizi finanziari in materia di conservazione dei documenti, che spesso richiedono diversi anni di conservazione.

I passi operativi concreti includono: designare la responsabilità per l'archiviazione dei registri e i controlli degli accessi, garantire che i registri siano a prova di manomissione e archiviati in modo sicuro, stabilire processi per il recupero tempestivo dei registri in risposta a una richiesta normativa o a un'indagine su un incidente, e documentare la politica di conservazione nell'ambito del più ampio quadro di governance dell'IA dell'organizzazione.

I registri devono contenere informazioni sufficienti per ricostruire gli input forniti al sistema, gli output generati, la versione del modello in uso e i tempi delle operazioni — consentendo una significativa revisione post-hoc.

Obblighi principali

• I fornitori devono progettare e costruire sistemi di IA ad alto rischio in modo che siano tecnicamente in grado di generare automaticamente registri della loro operatività, nella misura in cui ciò sia tecnicamente fattibile, per la durata del ciclo di vita operativo del sistema.
• I responsabili del dispiegamento devono conservare i registri generati automaticamente dai sistemi di IA ad alto rischio che operano per un minimo di sei mesi dalla data di generazione, o per un periodo più lungo se richiesto dal diritto dell'Unione o degli Stati membri applicabile.
• I responsabili del dispiegamento devono garantire che i registri conservati siano accessibili, sicuri e in grado di essere forniti alle autorità nazionali competenti su richiesta durante la sorveglianza del mercato o le indagini sugli incidenti.
• I fornitori devono documentare la capacità di registrazione del loro sistema — incluso cosa viene registrato, il formato dei registri e qualsiasi limitazione tecnica nota — come parte della documentazione tecnica richiesta ai sensi dell'Articolo 11 e dell'Allegato IV.
• Laddove la normativa specifica del settore imponga requisiti di conservazione più stringenti o più lunghi, i responsabili del dispiegamento devono applicare tali requisiti in aggiunta alla base di riferimento di sei mesi e in sua sostituzione.
• I responsabili del dispiegamento devono garantire che l'infrastruttura di registrazione sia mantenuta per tutto il periodo di utilizzo del sistema di IA ad alto rischio e che l'integrità dei registri sia protetta contro la manomissione o la cancellazione involontaria.

Relazione con altri articoli

L'Articolo 19 si trova nel Capitolo 3 del Titolo III e deve essere letto come parte di un quadro integrato di tracciabilità piuttosto che come un obbligo isolato.

Si collega direttamente all'Articolo 12 (Conservazione dei registri), che richiede che i sistemi di IA ad alto rischio siano progettati per consentire la conservazione dei registri della loro operatività, e all'Articolo 11 e all'Allegato IV, che specificano quale documentazione tecnica i fornitori devono mantenere, incluse le descrizioni della capacità di registrazione.

L'Articolo 19 confluisce nell'Articolo 72 (Monitoraggio post-commercializzazione), che richiede ai fornitori di monitorare attivamente le prestazioni del sistema sul campo — i registri sono la principale fonte di dati per questo monitoraggio. Costituisce anche il fondamento dell'Articolo 73 (Segnalazione degli incidenti gravi), dove i registri forniscono la base probatoria per comprendere cosa è accaduto durante un incidente.

I registri conservati ai sensi dell'Articolo 19 sono tra i documenti che le autorità nazionali competenti possono richiedere quando esercitano i loro poteri di sorveglianza del mercato ai sensi degli Articoli 74 e 75. Infine, la ripartizione delle responsabilità tra fornitori e responsabili del dispiegamento articolata nell'Articolo 19 riflette il quadro più ampio stabilito dall'Articolo 25 (Responsabilità lungo la catena del valore) e dall'Articolo 26 (Obblighi dei responsabili del dispiegamento).

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, avviando un calendario di applicazione graduale.

L'Articolo 19 rientra nel Titolo III, Capitolo 3, che disciplina gli obblighi per i fornitori e i responsabili del dispiegamento di sistemi di IA ad alto rischio. La data di applicazione generale per gli obblighi relativi ai sistemi di IA ad alto rischio — incluso l'Articolo 19 — è il 2 agosto 2026 per i sistemi elencati nell'Allegato III (applicazioni ad alto rischio in aree quali istruzione, occupazione, servizi essenziali e contrasto alla criminalità). Per i sistemi di IA ad alto rischio disciplinati dall'Allegato I (componenti di sicurezza di prodotti regolamentati dalla legislazione di armonizzazione dell'Unione esistente), gli obblighi si applicano dal 2 agosto 2027, in linea con il rinnovo o il primo rilascio delle pertinenti valutazioni di conformità dei prodotti.

I traguardi di applicazione precedenti includono il divieto di pratiche di IA a rischio inaccettabile (Articolo 5), applicato dal 2 febbraio 2025, e gli obblighi relativi ai modelli di IA per uso generale (Titolo VII), applicati dal 2 agosto 2025.

Le organizzazioni che dispiegano sistemi di IA ad alto rischio dovrebbero considerare la data del 2 agosto 2026 come il termine di conformità definitivo per gli obblighi dell'Articolo 19, ma dovrebbero iniziare a progettare politiche di conservazione dei registri, rivedere i contratti con i fornitori e allinearsi con le leggi di conservazione specifiche del settore con largo anticipo — la complessità della governance dei dati aziendali rende strutturalmente difficile la conformità dell'ultimo minuto.