01
Partire da ambito, ruolo e finalità prevista
La stessa tecnologia può generare obblighi diversi a seconda di come viene immessa sul mercato o utilizzata. Un’organizzazione può essere fornitore, deployer, importatore, distributore o rappresentante autorizzato. Questa analisi va documentata per ogni sistema AI.
Il primo risultato operativo è quindi un inventario AI con responsabili, casi d’uso, dipendenze da modelli e fornitori, persone interessate, area geografica e stato nel ciclo di vita.
- Registrare sistema e finalità aziendale
- Identificare il ruolo nella catena del valore
- Conservare la motivazione di inclusioni ed esclusioni
02
Tradurre i requisiti in controlli ed evidenze
Dopo aver definito ambito e rischio, ogni requisito applicabile va collegato a un controllo, un responsabile e un’evidenza. A seconda del caso possono rientrare supervisione umana, documentazione tecnica, governance dei dati, log, trasparenza, gestione del rischio o monitoraggio post-commercializzazione.
Un programma difendibile separa fatti, interpretazione e decisioni organizzative, conservando fonti, date e versioni.
03
Gestire la compliance come ciclo monitorato
L’AI Act è entrato in vigore il 1° agosto 2024 e le sue disposizioni si applicano per fasi. Linee guida, standard e materiali attuativi continuano a evolvere: i registri di compliance devono quindi avere trigger di revisione.
Un processo utile rileva una modifica ufficiale, la verifica, individua sistemi e controlli interessati, crea azioni con responsabili e conserva le evidenze.