EU AI Act: La Commissione Europea Emana Linee Guida sul Reporting degli Incidenti
Il 26 settembre 2025, la Commissione Europea (CE) ha pubblicato una bozza di linee guida sui requisiti di reporting degli incidenti gravi per i sistemi di intelligenza artificiale ad alto rischio ai sensi dell’EU AI Act. Per le organizzazioni che sviluppano o implementano sistemi di IA che potrebbero rientrare nell’ambito di applicazione di questa normativa, comprendere questi nuovi obblighi di reporting è essenziale per la pianificazione della conformità.
Principali Aspetti da Ricordare
- La Commissione ha pubblicato un modello di reporting degli incidenti e un documento di orientamento il 26 settembre 2025.
- I fornitori di sistemi di IA ad alto rischio saranno tenuti a segnalare “incidenti gravi” alle autorità nazionali.
- I termini di reporting variano da due (2) a quindici (15) giorni a seconda della gravità e del tipo di incidente.
- La consultazione pubblica è aperta fino al 7 novembre 2025.
Comprendere il Quadro di Reporting degli Incidenti
L’Articolo 73 dell’EU AI Act stabilisce un sistema di reporting a più livelli per gli incidenti gravi che coinvolgono sistemi di IA ad alto rischio. Sebbene tali requisiti non entreranno in vigore fino ad agosto 2026, le nuove linee guida forniscono preziose indicazioni sulle aspettative della Commissione.
Il quadro di reporting serve a diversi scopi: creare un sistema di allerta precoce per modelli dannosi, stabilire una chiara responsabilità per fornitori e utenti, consentire misure correttive tempestive e promuovere la trasparenza per costruire fiducia pubblica nelle tecnologie IA.
Cosa Qualifica un “Incidente Grave”?
Ai sensi dell’Articolo 3(49) della legge, un incidente grave si verifica quando un incidente o malfunzionamento di un sistema di IA porta direttamente o indirettamente a:
- Decesso di una persona o grave danno alla salute di una persona;
- Interruzione grave e irreversibile di infrastrutture critiche;
- Violazione degli obblighi di diritti fondamentali ai sensi della legge UE;
- Danno grave a beni o all’ambiente.
È particolarmente importante notare l’accento posto sulle causalità sia dirette che indirette. Ad esempio, un sistema di IA che fornisce un’analisi medica errata che porta a danni ai pazienti attraverso decisioni successive dei medici sarebbe considerato un incidente grave indiretto. Ciò implica che le organizzazioni devono tenere conto degli effetti a valle nei loro quadri di gestione del rischio.
Intersezione con i Regimi di Reporting Esistenti
Per i clienti che gestiscono più quadri di conformità, le linee guida forniscono chiarimenti benvenuti sugli obblighi di reporting sovrapposti. I sistemi di IA ad alto rischio già soggetti a obblighi di reporting equivalenti ai sensi di altre leggi UE (come NIS2, DORA o CER) devono generalmente segnalare solo le violazioni dei diritti fondamentali ai sensi dell’AI Act.
Questo riflette il tentativo della Commissione di ridurre i oneri di reporting duplicati, anche se l’implementazione pratica richiede ancora una coordinazione attenta tra i team di governance dell’IA, legali e di conformità.
Implicazioni Pratiche per le Organizzazioni
Le organizzazioni dovrebbero iniziare a mappare i propri sistemi IA rispetto ai criteri ad alto rischio e preparare processi interni per la rilevazione, investigazione e reporting degli incidenti. I punti chiave da considerare includono:
- Stabilire chiari protocolli di risposta agli incidenti;
- Implementare sistemi di monitoraggio per rilevare potenziali incidenti gravi;
- Sviluppare procedure di indagine che preservino le prove;
- Creare team interdisciplinari per gestire gli obblighi di reporting;
- Aggiornare le valutazioni dei rischi per tenere conto degli scenari di incidenti gravi.
Prossimi Passi
Si invita le organizzazioni a partecipare alla consultazione pubblica, che rimarrà aperta fino al 7 novembre 2025. La Commissione cerca in particolare feedback ed esempi riguardo l’interazione con altri regimi di reporting.
Le organizzazioni dovrebbero anche iniziare a rivedere i propri quadri di governance dell’IA per garantire di poter implementare efficacemente questi requisiti di reporting quando diventeranno applicabili nell’agosto 2026.
