Il software di governance dell'IA aiuta le organizzazioni a gestire le policy, i controlli, la documentazione, la classificazione del rischio, i flussi di lavoro di revisione e le prove di audit necessarie per i sistemi di intelligenza artificiale. La Smart Integrity Platform supporta l'inventario dei sistemi di IA, la classificazione del rischio, la governance dei modelli, i flussi di lavoro di audit, la revisione della documentazione e la conformità normativa dell'IA.

Una piattaforma di conformità AI aiuta i team a organizzare i sistemi AI, classificare i rischi, documentare i controlli, assegnare attività di revisione e preparare prove per revisioni interne o normative. SIP collega la documentazione AI da strumenti come Confluence e SharePoint con flussi di lavoro di governance e reportistica audit-ready.

Il software di audit AI aiuta le organizzazioni a raccogliere, organizzare e revisionare le prove relative ai sistemi AI. SIP supporta i flussi di lavoro di audit collegando in un'unica piattaforma la documentazione sorgente, le informazioni sul modello, i questionari sui rischi, le fasi di revisione umana e i registri di conformità.

Il software di inventario AI aiuta le organizzazioni a creare e mantenere un elenco di sistemi AI utilizzati in tutta l'azienda. SIP supporta i flussi di lavoro di inventario AI collegando la documentazione esistente, identificando i dettagli del sistema e aiutando i team a tenere traccia dello scopo, della proprietà, del livello di rischio e dello stato di revisione.

I sistemi di IA ad alto rischio dovrebbero recare la marcatura CE per indicare la loro conformità al presente regolamento, in modo che possano circolare liberamente all'interno del mercato interno. Per i sistemi di IA ad alto rischio integrati in un prodotto, dovrebbe essere apposta una marcatura CE fisica, che può essere integrata da una marcatura CE digitale. Per i sistemi di IA ad alto rischio forniti esclusivamente in forma digitale, dovrebbe essere utilizzata una marcatura CE digitale. Gli Stati membri non dovrebbero creare ostacoli ingiustificati all'immissione sul mercato o alla messa in servizio di sistemi di IA ad alto rischio che siano conformi ai requisiti stabiliti nel presente regolamento e recanti la marcatura CE. Prima di iniziare, è necessario determinare se la propria IA è “ad alto rischio”. Categorie dell'Allegato III: Comprende l'IA per il reclutamento (selezione dei CV), la valutazione del credito, l'istruzione (valutazione) o le infrastrutture critiche. Prodotti dell'Allegato I: Se la propria IA è un componente di sicurezza di un prodotto che richiede già una marcatura CE (ad esempio, dispositivi medici o macchinari), è automaticamente ad alto rischio.

Per superare la valutazione, la vostra AI Governance deve dimostrare la conformità in queste aree:

1. Sistema di gestione dei rischi (art. 9): Un processo continuo per identificare e mitigare i rischi.

2. Governance dei dati (art. 10): Dimostrare che i dati relativi alla formazione e ai test sono “pertinenti, rappresentativi e privi di errori”.”

3. Documentazione tecnica (Art. 11 e Allegato IV): Un file massiccio (spesso più di 200 pagine) che descrive in dettaglio l'architettura, gli algoritmi e il consumo energetico.

4. Supervisione umana (art. 14): Progettare l'interfaccia utente in modo che un essere umano possa “fermare” o escludere l'IA in qualsiasi momento.

Il modo in cui si ottiene il punteggio dipende dal caso d'uso specifico dell'IA: Controllo interno (autovalutazione): Per la maggior parte dei sistemi dell'Allegato III (come gli strumenti di gestione delle risorse umane o del credito), è possibile eseguire la valutazione da soli, a condizione che si seguano gli “standard armonizzati” (come la norma ISO 42001).

Valutazione di terza parte (organismo notificato): Obbligatorio per l'identificazione biometrica o se non si seguono standard armonizzati. Dovete assumere un “organismo notificato” autorizzato dall'UE per verificare la vostra tecnologia.

Una volta dimostrata la conformità, si firma un documento legale formale (la dichiarazione di conformità) che attesta la conformità del sistema a tutte le leggi dell'AI Act e ad altre leggi europee pertinenti (come il Cyber Resilience Act). Con questa firma vi assumete la piena responsabilità legale.

Apposizione del marchio CE (Art. 48) Prodotti digitali: Per i SaaS, il marchio CE deve essere visibile nell'interfaccia digitale (ad esempio, nella schermata di accesso o nella sezione “Informazioni”).

Prodotti fisici: Se incorporato nell'hardware, deve essere presente sul prodotto o sulla confezione.

Numero ID: se è stato coinvolto un organismo notificato, il suo numero ID a 4 cifre deve apparire accanto al logo CE.

Registrazione nel database dell'UE Prima che l'IA diventi operativa, è necessario registrare il fornitore e il sistema nel database ufficiale dell'UE per i sistemi di IA ad alto rischio.

1. 2 agosto 2026: questa è la “Hard Deadline”. Dopo questa data, tutti i nuovi sistemi di IA ad alto rischio immessi sul mercato dovranno avere il marchio CE.

2. Il collo di bottiglia dell“”organismo notificato": Se avete bisogno di un audit di terza parte, iniziate subito. All'inizio del 2026, i tempi di attesa supereranno i 12 mesi a causa della carenza di auditor autorizzati.

Dal punto di vista legale, l'AI Governance prevista dall'AI Act è un sistema obbligatorio di controlli interni e responsabilità progettato per garantire che l'intelligenza artificiale sia sicura, trasparente e conforme durante il suo intero ciclo di vita. La legge sposta la supervisione dell'intelligenza artificiale da linee guida etiche volontarie a un quadro vincolante di “sicurezza del prodotto”, richiedendo alle organizzazioni di mantenere una rigorosa gestione del rischio, standard di qualità dei dati e supervisione umana. Per i sistemi “ad alto rischio”, questa governance è il prerequisito legale per ottenere la marcatura CE, che comporta tracce di controllo permanenti e documentazione tecnica per dimostrare l'allineamento normativo. In definitiva, serve come “sistema operativo” che collega la responsabilità aziendale con la trasparenza tecnica per evitare danni algoritmici e ingenti sanzioni finanziarie.

La legge UE sull'IA e il GDPR sono quadri normativi complementari: mentre il GDPR tutela la privacy dei dati personali, la legge sull'IA funge da normativa sulla sicurezza dei prodotti per i sistemi stessi. Essi si sovrappongono in modo significativo in ambiti ad alto rischio come il processo decisionale automatizzato, dove le aziende devono spesso condurre sia una valutazione d'impatto sulla protezione dei dati (DPIA) sia una valutazione d'impatto sui diritti fondamentali (FRIA). Fondamentalmente, la legge sull'IA include una specifica "deroga" che consente il trattamento di dati sensibili per individuare e correggere i pregiudizi algoritmici, che altrimenti sarebbe vietato dal GDPR. La conformità non è una scelta "o l'uno o l'altro": per evitare multe che nel 2026 potranno arrivare fino al 7% del fatturato, le organizzazioni devono garantire che la loro governance dell'IA soddisfi contemporaneamente entrambe le normative.

In base all'AI Act, i chatbot devono essere progettati per informare immediatamente gli utenti che stanno interagendo con un'IA, garantendo la trasparenza fin dalla prima interazione. Se il sistema genera testo, immagini o audio sintetici, questo contenuto deve essere contrassegnato in un formato leggibile dalla macchina per rimanere riconoscibile come prodotto dall'IA. Inoltre, se il vostro chatbot utilizza il riconoscimento delle emozioni per adattare le sue risposte in base all'umore dell'utente, questa capacità specifica deve essere chiaramente indicata. Il mancato rispetto di questi standard di trasparenza entro la scadenza dell'agosto 2026 può comportare multe significative, fino a 15 milioni di euro o 3% del fatturato globale.

La legge europea sull'IA stabilisce una struttura di ammende graduali, in cui le violazioni più gravi che coinvolgono pratiche vietate di IA possono raggiungere 35 milioni di euro o 7% del fatturato annuo globale. Per il mancato rispetto degli obblighi “ad alto rischio” o delle norme sulla trasparenza, le aziende rischiano sanzioni fino a 15 milioni di euro o 3% di fatturato, mentre fornire informazioni fuorvianti alle autorità di regolamentazione può costare fino a 7,5 milioni di euro. Per proteggere l'innovazione, la legge applica il principio del “minore tra i due” per le PMI e le startup, garantendo che le multe siano proporzionate alle dimensioni dell'azienda.

Le aziende al di fuori dell'UE si chiedono se sono interessate semplicemente perché la loro produzione è utilizzata da qualcuno all'interno dell'UE (la risposta è quasi sempre affermativa).

Un inventario di sistemi di IA è un registro strutturato di sistemi di IA, modelli, casi d'uso, proprietari, documentazione, livelli di rischio e stato di conformità. Aiuta le organizzazioni a capire dove viene utilizzata l'IA e quali sistemi potrebbero richiedere ulteriori revisioni, controlli o documentazione.

La classificazione del rischio dell'IA è il processo di categorizzazione dei sistemi di IA per livello di rischio in base al loro scopo, caso d'uso, impatto e requisiti normativi. SIP supporta i flussi di lavoro di classificazione del rischio dell'IA per sistemi di IA proibiti, ad alto rischio, a rischio limitato e a rischio minimo.

Il software di conformità AI supporta i flussi di lavoro dell'AI Act UE aiutando i team a classificare i sistemi AI, documentare i controlli sul rischio, gestire le prove di supervisione umana, preparare la documentazione tecnica, organizzare i registri di audit e rivedere i requisiti dei sistemi AI ad alto rischio.

Gli strumenti di governance dell'IA supportano la governance dei modelli aiutando i team a documentare lo scopo del modello, le fonti dei dati, i controlli tecnici, le valutazioni dei rischi, la proprietà, le approvazioni, le esigenze di monitoraggio e le decisioni di revisione. SIP collega questi record con flussi di lavoro di conformità più ampi.

La gestione del rischio dei modelli per i sistemi di intelligenza artificiale significa identificare, valutare, controllare e monitorare i rischi che possono derivare dalla progettazione del modello di intelligenza artificiale, dalla qualità dei dati, dal dispiegamento, dai pregiudizi, dalle prestazioni o dall'uso improprio. SIP supporta la gestione del rischio dei modelli attraverso questionari sui rischi, revisione della documentazione e flussi di lavoro per le attività.