Incidenti gravi di IA: le previste linee guida dell'UE sugli obblighi di segnalazione stabiliscono nuovi standard per la conformità all'IA

Obblighi di segnalazione di incidenti gravi di IA
Categorie:
Immagine di  Aristotelis Zervos

Aristotelis Zervos

Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei datiConformità informatica e regolamentazione dell'IA.

Il 26 settembre 2025, la Commissione europea ha pubblicato un documento pubblico Consultazione a Linee guida e un modulo di segnalazione per gli "incidenti gravi di IA" in conformità con il Regolamento (UE) 2024/1689 sull'IA. L'obiettivo è quello di chiarire la gestione degli incidenti gravi che coinvolgono sistemi di IA ad alto rischio prima che gli obblighi di segnalazione diventino obbligatori a partire dall'agosto 2026. L'iniziativa integra il regolamento AI con linee guida pratiche per fornitori e operatori.

Quadro giuridico: Articolo 73 del regolamento AI

Ai sensi dell'articolo 73, i fornitori di sistemi di IA ad alto rischio sono tenuti a segnalare senza indugio gli incidenti gravi alle autorità nazionali di vigilanza del mercato. Un "incidente grave di IA" comprende, in particolare, eventi che

  • la morte o la grave compromissione della salute di una persona,
  • un'interruzione significativa di infrastrutture critiche o
  • causano o possono causare gravi violazioni dei diritti fondamentali.


Anche gli operatori sono tenuti a fare rapporto in alcuni casi. Ad esempio, se dispongono di informazioni rilevanti per la sicurezza che il fornitore non possiede.

La formulazione dell'articolo 73 prevede che, in caso di incidente grave, si proceda come segue:

  1. Definizione di "incidente grave" in relazione a un sistema di IA.
  2. Obbligo di segnalare tali incidenti da parte dei fornitori e, in alcuni casi, anche degli operatori o dei rappresentanti.
  3. Requisiti temporali per la segnalazione (entro determinate scadenze dal momento in cui se ne viene a conoscenza).
  4. Informazioni obbligatorie da fornire nel rapporto (ad es. identificazione del sistema, descrizione dell'incidente, effetti, misure).
  5. Cooperazione con le autorità di sorveglianza del mercato e gli organismi nazionali, nonché con la Commissione e il Consiglio dell'AI, ove opportuno.
  6. Obblighi speciali di segnalazione alla Commissione per i modelli a rischio sistemico (ad esempio, AI generative di grandi dimensioni).


È importante notare che questo obbligo di rendicontazione si aggiunge ad altri obblighi di rendicontazione o di Obbligo di informazione (ad esempio, nella legge sulla protezione dei dati, in caso di incidenti di sicurezza informatica).

La Commissione sottolinea il coordinamento con gli obblighi di comunicazione esistenti, ad esempio ai sensi della direttiva NIS2, della legge sulla resilienza operativa digitale (DORA) o del regolamento generale sulla protezione dei dati. L'obiettivo è evitare la doppia segnalazione e creare procedure coerenti. Allo stesso tempo, l'obiettivo è quello di collegarsi agli standard internazionali, come l'AI Incidents Monitor dell'OCSE.

Contenuto della bozza di linee guida sugli obblighi di comunicazione

La bozza contiene:

  • Definizione dei termini: Chiarimenti su "incidente grave", "malfunzionamento", "comportamento inatteso" e "calo di precisione".
  • Esempi: Scenari pratici, come errori di classificazione, reazioni impreviste del sistema o perdite significative di accuratezza.
  • Processo di rendicontazione: Tempi, responsabilità e canali di comunicazione tra fornitori, operatori, autorità e Commissione.
  • Struttura della forma: Modulo di segnalazione standardizzato con informazioni obbligatorie graduali, che dovrebbe anche garantire la compatibilità internazionale.


Resta da vedere quanto dettagliate debbano essere le informazioni e in che misura siano ammesse le notifiche provvisorie.

Suggerimento per il collegamento: Avviata la seconda fase del regolamento sull'intelligenza artificiale: cosa si applicherà a partire dall'agosto 2025?

Questioni legali aperte in merito all'"incidente grave di IA"

Il progetto solleva una serie di difficili questioni legali e pratiche:

Definizione di "incidente grave di IA"

Un'area di tensione fondamentale è rappresentata dalla definizione precisa degli incidenti da segnalare. Anche formulazioni come "riduzione significativa dell'accuratezza", "comportamento inatteso" o "guasto del sistema" lasciano un notevole margine di discrezionalità. Gli operatori e i fornitori devono sviluppare criteri per applicare in modo affidabile questi termini standardizzati.

Il Linee guida potrebbero introdurre soglie più ampie, ad esempio di tipo quantitativo. In questo modo, però, si corre il rischio che gli incidenti legittimi non vengano segnalati perché non superano la soglia. Oppure che ci siano molte false segnalazioni.

Responsabilità dei fornitori e degli operatori

La ripartizione degli obblighi di segnalazione tra fornitori, operatori e altre parti interessate non è banale. Gli operatori spesso non sono in grado di ottenere una conoscenza tecnica sufficiente per identificare le cause specifiche. Al contrario, i fornitori spesso non hanno accesso diretto a tutte le condizioni operative reali.

Il Linee guida deve quindi disciplinare chiaramente in quali casi il solo fornitore è obbligato alla comunicazione e in quali casi deve essere coinvolto l'operatore (ad esempio, come soggetto obbligato alla comunicazione o come soggetto obbligato a fornire informazioni).

Soglie di rendicontazione, scadenze e completezza dei dati.

Le scadenze per la segnalazione degli incidenti svolgono un ruolo centrale. La bozza specifica le scadenze per la segnalazione. Tuttavia, non è chiaro quanto sia realistico rispettare queste scadenze in sistemi complessi di IA. Nelle situazioni in cui le cause devono essere identificate solo dopo un'analisi dettagliata, c'è il rischio che il rapporto originale sia incompleto o debba essere successivamente modificato.

Si pone anche la questione di quanto debba essere completa la prima notifica. Ad esempio, tutte le informazioni devono essere disponibili al momento della notifica o è possibile effettuare una notifica preliminare da integrare successivamente?

Interfacce con la legge sulla protezione dei dati e sulla sicurezza

Molti incidenti di IA potrebbero essere classificati contemporaneamente come violazioni di dati (ad esempio, classificazione errata di persone) o come incidenti di sicurezza. Esiste il rischio di obblighi di segnalazione contraddittori e di incoerenze tra le responsabilità.

Raccomandazioni per l'azione pratica

1. sviluppo di un sistema di gestione degli incidenti

Le aziende devono adattare le loro strutture di compliance:

  • Definizione dei criteri di rendicontazione interna,
  • Regole di responsabilità e percorsi di escalation,
  • tracciabilità tecnica e Documentazione,
  • Formazione dei dipendenti interessati.

2. partecipazione al Consultazione

Il Consultazione funziona fino a quando 7 novembre 2025. I fornitori, gli operatori e le associazioni di settore dovrebbero sfruttare l'opportunità di fornire un feedback pratico e di migliorare la progettazione del sistema. Linee guida per contribuire a plasmare il futuro.

3. integrazione nei sistemi di conformità esistenti

Le strutture di reporting dell'IA dovrebbero essere collegate ai processi di protezione dei dati e di cyber compliance, al fine di creare processi e sinergie coerenti.

4. voto internazionale

Per i fornitori multinazionali, si raccomanda un sistema di reporting centralizzato che tenga conto delle differenze nazionali e che mappi i formati di reporting internazionali.

Il Linee guida per la segnalazione di incidenti gravi di IA sono un passo importante verso l'attuazione pratica della legge sull'IA. Avranno un impatto decisivo sulle modalità di gestione dei rischi legati all'IA.

In pratica, vale quanto segue: è il momento giusto per rivedere i processi interni, stabilire i canali di segnalazione e partecipare attivamente alla Consultazione partecipare. Questo è l'unico modo per garantire che le specifiche finali rimangano praticabili, conformi alla legge e tecnologicamente fattibili.

Fonte: Consultazione mirata delle parti interessate sulla bozza di linee guida della Commissione sull'articolo 73 della legge sull'IA - Segnalazione di incidenti (sistemi di IA ad alto rischio)

Soluzione pratica: governance dell'IA con Ailance

I nuovi obblighi di rendicontazione previsti dal regolamento sull'IA lo dimostrano chiaramente: Le aziende hanno bisogno di un sistema di governance dell'IA strutturato, tracciabile e a prova di audit. Con Governance Ailance AI 2B Advice offre una soluzione collaudata per l'attuazione dei requisiti normativi.Ailance vi supporta con:

  • il Classificazione del rischio e Documentazione dei sistemi di intelligenza artificiale,

  • il Riconoscimento e valutazione degli incidenti gravi,

  • il Integrazione degli obblighi di rendicontazione nei flussi di lavoro di conformità esistenti,

  • il Creazione di report conformi per le autorità e gli organi di vigilanza,

  • e il Capacità di governance e di audit in corso delle vostre applicazioni AI.

Modellate la vostra conformità all'IA in modo proattivo, prima che gli obblighi di rendicontazione diventino un peso.

Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPRconformità informatica e governance dell'IA. Pubblica regolarmente articoli di approfondimento sulla regolamentazione dell'IA, sulla conformità al GDPR e sulla gestione del rischio. Per saperne di più su di lui, visitate il sito Pagina del profilo dell'autore.

Tag:
Condividi questo post :