Articolo 26 dell'Atto AI dell'UE: Obblighi del Deployer per l'AI ad Alto Rischio

Chi è un Deployer?

Un deployer è qualsiasi persona fisica o giuridica che utilizza un sistema AI sotto la propria autorità nell'ambito di un'attività professionale (le persone che utilizzano l'AI per motivi personali, non professionali, sono escluse).

Gli obblighi del deployer si affiancano, e non sostituiscono, gli obblighi del fornitore. Il fornitore costruisce e documenta il sistema; il deployer è responsabile di come viene effettivamente utilizzato. Se un deployer modifica sostanzialmente un sistema ad alto rischio o ci mette il proprio nome, può anche assumere obblighi del fornitore ai sensi dell'articolo 25.

I Doveri Principali del Deployer

L'articolo 26 impone un set definito di obblighi operativi ai deployer di sistemi AI ad alto rischio:

• Utilizzare secondo le istruzioni — adottare misure tecniche e organizzative adeguate per utilizzare il sistema in conformità con le istruzioni del fornitore per l'uso
• Assegnare un controllo umano competente — affidare il controllo a persone fisiche che abbiano la necessaria competenza, formazione, autorità e supporto per esercitarlo ai sensi dell'articolo 14
• Controllare i dati di input — quando il deployer controlla i dati di input, assicurarsi che siano rilevanti e sufficientemente rappresentativi in vista dello scopo previsto del sistema
• Monitorare l'operazione — monitorare l'operazione del sistema rispetto alle istruzioni per l'uso e informare il fornitore o il distributore se si verifica un rischio
• Conservare i log generati automaticamente — conservare i log che il sistema genera automaticamente, nella misura in cui sono sotto il controllo del deployer, per almeno sei mesi (a meno che un periodo più lungo non sia stabilito da altre leggi dell'Unione o nazionali)
• Informare i lavoratori e i rappresentanti — prima di mettere in servizio un sistema ad alto rischio sul luogo di lavoro, informare i lavoratori interessati e i loro rappresentanti che saranno soggetti al sistema
• Valutazione di impatto sulla protezione dei dati — quando rilevante, utilizzare le informazioni fornite ai sensi dell'articolo 13 per effettuare una valutazione di impatto sulla protezione dei dati ai sensi del GDPR
• Sospendere e informare in caso di rischio grave — quando il sistema presenta un rischio per la salute, la sicurezza o i diritti fondamentali, o si verifica un incidente grave, sospendere l'uso, informare il fornitore, il distributore e le autorità competenti e cooperare

Il Pavimento di Conservazione dei Log di Sei Mesi

I deployer devono conservare i log generati automaticamente dal sistema AI ad alto rischio per un periodo appropriato allo scopo previsto e, in ogni caso, per almeno sei mesi — a meno che un periodo di conservazione più lungo non sia richiesto dalle leggi dell'Unione o nazionali applicabili.

Ciò si applica ai log che sono sotto il controllo del deployer. È il corrispettivo del lato deployer della progettazione di registrazione del fornitore ai sensi degli articoli 12 e 19: il fornitore costruisce la capacità di registrazione e il deployer è responsabile della conservazione e della produzione effettiva dei registri risultanti. Le regole di settore (ad esempio nel settore finanziario o sanitario) spesso stabiliscono un pavimento più lungo, quindi trattare i sei mesi come il minimo, non come l'obiettivo.

Le autorità pubbliche che agiscono come deployer hanno obblighi di trasparenza e registrazione aggiuntivi ai sensi degli articoli 26 e 49.