Articolo 10 dell'AI Act: requisiti per i dati di addestramento e applicazione pratica

Ambito e definizione dell'articolo 10

L'articolo 10 del Regolamento (UE) 2024/1689, noto come AI Act, stabilisce i requisiti specifici per i set di dati di addestramento, validazione e test utilizzati nello sviluppo di sistemi di IA ad alto rischio. L'obiettivo è garantire che questi sistemi si basino su dati di alta qualità che minimizzino i rischi per la salute, la sicurezza e i diritti fondamentali.

Questo articolo si applica ai sistemi di IA ad alto rischio che utilizzano tecniche di addestramento dei modelli. Se il sistema non impiega tali tecniche, i requisiti si limitano esclusivamente ai set di dati di test. La norma richiede che i dati soddisfino criteri di pertinenza, rappresentatività, accuratezza e completezza, adattati allo scopo previsto del sistema.

La distinzione tra sistemi che impiegano tecniche di addestramento dei modelli e quelli che non lo fanno è cruciale per determinare l'ampiezza degli obblighi normativi. Quando un sistema di intelligenza artificiale ad alto rischio non si basa su algoritmi di apprendimento automatico che richiedono set di dati di addestramento o validazione, il perimetro di applicazione dell'articolo 10 si restringe significativamente. In tali casi, l'attenzione regolatoria si concentra esclusivamente sulla qualità dei set di dati di test, garantendo che la valutazione finale del sistema avvenga su basi solide e affidabili. Questa limitazione riflette la logica sottostante alla norma: i requisiti di qualità dei dati sono proporzionali al ruolo che tali dati svolgono nel ciclo di vita del sistema. Pertanto, i fornitori devono analizzare attentamente l'architettura tecnica del proprio sistema per identificare se e in quale fase vengono utilizzati dati per l'addestramento o la validazione, al fine di applicare correttamente i criteri di pertinenza, rappresentatività, accuratezza e completezza solo dove necessario. Tale approccio evita oneri sproporzionati per sistemi che non dipendono da processi di apprendimento, mantenendo al contempo un livello di garanzia elevato per la fase di verifica finale.

I quattro criteri di qualità dei dati

La legge definisce quattro pilastri fondamentali per la qualità dei dati. In primo luogo, la pertinenza: i dati devono essere adeguati allo scopo specifico del sistema. In secondo luogo, la rappresentatività: i set devono riflettere adeguatamente le persone o i gruppi su cui verrà utilizzato il sistema, incluse le loro proprietà statistiche.

In terzo luogo, l'accuratezza: i dati devono essere privi di errori nella misura del possibile. In quarto luogo, la completezza: i dati devono essere completi per lo scopo perseguito. Questi criteri possono essere soddisfatti a livello di set individuali o mediante la combinazione di più set di dati. La governance dei dati deve includere processi di raccolta, preparazione, annotazione e valutazione dei bias.

La flessibilità offerta dalla possibilità di soddisfare i criteri di qualità mediante la combinazione di più set di dati introduce una complessità operativa significativa per i fornitori. Invece di richiedere che ogni singolo dataset sia autonomamente perfetto, la norma consente di compensare le lacune di un set con i punti di forza di un altro, purché l'insieme complessivo soddisfi i requisiti legali. Questo approccio richiede una governance dei dati sofisticata, capace di tracciare come i diversi contributi di dati interagiscono tra loro per raggiungere l'obiettivo di rappresentatività e accuratezza. I fornitori devono documentare chiaramente quali set sono stati combinati, quali criteri specifici sono stati soddisfatti da ciascun componente e come la combinazione finale garantisce che il sistema non presenti bias sistematici. Inoltre, la pertinenza deve essere valutata non solo per i singoli dataset, ma anche per la loro aggregazione, assicurando che la miscela di dati non introduca distorsioni o incoerenze rispetto allo scopo previsto del sistema. Questa strategia di integrazione dei dati deve essere supportata da processi di annotazione e preparazione coerenti, che garantiscano l'interoperabilità e la coerenza semantica tra i diversi fonti di informazione.

Governance e gestione dei bias

L'articolo 10, paragrafo 2, richiede pratiche di governance dei dati che affrontino dalle opzioni di progettazione all'identificazione delle lacune. È obbligatorio esaminare i possibili bias che possano influire sulla salute, sulla sicurezza o sui diritti fondamentali, in particolare quando i risultati dei dati influenzano gli input per operazioni future.

I fornitori devono implementare misure per rilevare, prevenire e mitigare questi bias. La documentazione deve includere ipotesi su ciò che i dati rappresentano e una valutazione della disponibilità e idoneità dei set. Questa governance non è opzionale, ma un requisito legale vincolante per la conformità del sistema.

L'obbligo di esaminare i possibili bias che influenzano la salute, la sicurezza o i diritti fondamentali assume una rilevanza particolare quando i risultati dei dati alimentano operazioni future del sistema. In questi scenari, un bias non corretto può propagarsi e amplificarsi nel tempo, creando un ciclo di feedback che peggiora le prestazioni del sistema e aumenta i rischi per gli utenti. La governance dei dati deve quindi includere meccanismi di monitoraggio continuo che non si limitino alla fase di sviluppo, ma estendano la vigilanza all'intero ciclo di vita del sistema. I fornitori sono tenuti a implementare procedure che consentano di rilevare tempestivamente eventuali deviazioni dalle ipotesi iniziali formulate durante la progettazione, adattando le misure di mitigazione in base alle nuove evidenze. La documentazione di queste attività deve essere dettagliata e accessibile, permettendo alle autorità di regolamentazione di verificare che il processo di gestione dei bias sia dinamico e reattivo. Inoltre, la valutazione dell'idoneità dei set di dati deve considerare non solo la loro qualità intrinseca, ma anche la loro capacità di supportare decisioni future che potrebbero avere impatti significativi sui diritti fondamentali delle persone interessate.

Eccezioni per i dati sensibili

Il paragrafo 5 consente il trattamento eccezionale di categorie speciali di dati personali (dati sensibili) solo se strettamente necessario per rilevare e correggere i bias. Questa eccezione è soggetta a condizioni rigorose per proteggere i diritti e le libertà fondamentali.

Tra le condizioni rientra l'impossibilità di raggiungere l'obiettivo mediante dati sintetici o anonimizzati, l'applicazione di misure di sicurezza all'avanguardia (come la pseudonimizzazione) e il divieto di trasmettere questi dati ad altre parti. I dati devono essere eliminati una volta corretto il bias o terminato il periodo di conservazione, a seconda di quale evento si verifichi per primo.

La condizione che il trattamento di dati sensibili sia strettamente necessario per rilevare e correggere i bias impone una rigorosa analisi di proporzionalità da parte dei fornitori. Prima di procedere con l'uso di categorie speciali di dati personali, è obbligatorio dimostrare che alternative meno intrusive, come l'uso di dati sintetici o anonimizzati, non sono in grado di raggiungere l'obiettivo prefissato. Questa valutazione deve essere documentata in modo trasparente, evidenziando i tentativi effettuati e le ragioni tecniche o metodologiche per cui tali alternative sono risultate insufficienti. L'applicazione di misure di sicurezza all'avanguardia, come la pseudonimizzazione, non è un semplice requisito formale, ma uno strumento fondamentale per ridurre il rischio di re-identificazione e proteggere la privacy degli individui. Inoltre, il divieto di trasmettere questi dati a terze parti rafforza il principio di minimizzazione, assicurando che l'accesso ai dati sensibili sia limitato al minimo indispensabile per la correzione del bias. La pianificazione della eliminazione dei dati, legata al momento in cui il bias è corretto o termina il periodo di conservazione, richiede una gestione attenta dei tempi e delle responsabilità, garantendo che la distruzione avvenga in modo sicuro e irreversibile.

Documentazione e collegamento con l'articolo 9

La documentazione della cura dei dati è un requisito chiave. Devono essere registrati le informazioni sui processi di raccolta, le decisioni di esclusione e la valutazione della qualità. Questa documentazione non è un fine in sé, ma uno strumento per dimostrare la conformità alle autorità di regolamentazione.

La documentazione dei dati deve essere collegata al sistema di gestione del rischio dell'articolo 9. I bias identificati nei dati sono rischi che devono essere gestiti nel ciclo di vita del sistema. La tracciabilità consente di auditare come sono stati mitigati i rischi associati alla qualità dei dati.

La documentazione della cura dei dati funge da ponte tra i requisiti tecnici dell'articolo 10 e il sistema di gestione del rischio dell'articolo 9, creando un ecosistema di conformità integrato. I registri che descrivono i processi di raccolta, le decisioni di esclusione e le valutazioni di qualità non sono semplici archivi amministrativi, ma elementi attivi del processo decisionale del fornitore. Essi permettono di tracciare la catena di custodia dei dati, dalla loro origine fino all'integrazione nel sistema, fornendo una base solida per le audit di conformità. La tracciabilità dei bias identificati e delle misure adottate per mitigarli consente di dimostrare che i rischi associati alla qualità dei dati sono stati gestiti in modo proattivo e continuo. Questa integrazione è essenziale per garantire che le autorità di regolamentazione possano verificare non solo la conformità formale, ma anche l'efficacia sostanziale delle misure implementate. Inoltre, la documentazione deve essere aggiornata regolarmente per riflettere eventuali cambiamenti nei set di dati o nelle strategie di mitigazione, assicurando che il sistema di gestione del rischio rimanga allineato con la realtà operativa del sistema di intelligenza artificiale.

Checklist di conformità e sanzioni

Per dimostrare la conformità, i fornitori devono mantenere una checklist operativa che verifichi ogni criterio dell'articolo 10. Ciò include la validazione della rappresentatività, la documentazione delle misure di mitigazione dei bias e la giustificazione dell'uso di dati sensibili, se applicabile.

Il mancato rispetto dei requisiti dell'AI Act può comportare sanzioni significative. Sebbene l'articolo 10 non specifichi multe dirette, il suo mancato rispetto influisce sulla conformità generale del sistema ad alto rischio, il che può portare a sanzioni ai sensi dell'articolo 99, che stabilisce multe fino a 35 milioni di euro o il 7% del fatturato globale annuo per le violazioni più gravi.

La checklist di conformità operativa deve essere progettata per essere dinamica e adattabile alle specifiche caratteristiche di ciascun sistema di intelligenza artificiale ad alto rischio. Non si tratta di un elenco statico di caselle da spuntare, ma di uno strumento di gestione che guida i fornitori attraverso una serie di verifiche critiche, dalla validazione della rappresentatività statistica alla giustificazione dell'uso di dati sensibili. Ogni voce della checklist deve essere supportata da evidenze documentali concrete, come report di analisi, registri di pulizia dei dati o certificazioni di sicurezza, che dimostrino l'effettiva attuazione dei requisiti legali. La documentazione delle misure di mitigazione dei bias è particolarmente importante, poiché deve mostrare non solo che i bias sono stati identificati, ma anche che sono state adottate azioni efficaci per ridurne l'impatto. In caso di ispezione da parte delle autorità, la capacità di presentare una checklist completa e ben documentata può fare la differenza tra una conformità dimostrata e una presunta. Inoltre, la checklist deve essere integrata nei processi interni di audit e revisione, assicurando che la conformità non sia un evento isolato, ma una pratica continua che accompagna l'intero ciclo di vita del sistema.

Continua a esplorare

Correzioni e trasparenza

Se trovi un dato errato o non aggiornato, inviaci la pagina e la fonte da verificare.