IA ad alto rischio: obblighi del deployer

Cos’è IA ad alto rischio: obblighi del deployer?

Un sistema di intelligenza artificiale ad alto rischio deve soddisfare sette requisiti prima del lancio e la maggior parte di essi spetta al fornitore dimostrarlo. Eseguirai la revisione, lato deployer, di un sistema utilizzato per le revisioni delle prestazioni dei dipendenti, controllerai le prove del fornitore area per area e troverai le lacune che bloccano il lancio. Partirai sapendo quali sono i tuoi compiti come deployer, come informare i lavoratori e assegnare la supervisione umana.

Cosa imparerai in IA ad alto rischio: obblighi del deployer

• Identificare le sette aree di requisiti per i sistemi di IA ad alto rischio ai sensi della legge sull’IA dell’UE
• Condurre una valutazione di conformità per un'implementazione di IA ad alto rischio
• Riconoscere che la supervisione umana non può essere sostituita da parametri di precisione
• Comprendere che un datore di lavoro deve informare i lavoratori prima di utilizzare l’intelligenza artificiale ad alto rischio sul lavoro
• Rispondere correttamente quando vengono scoperte lacune di conformità prima della distribuzione

IA ad alto rischio: obblighi del deployer — Fasi della formazione

1. Requisiti dell'IA ad alto rischio

   High-risk AI systems have the strictest obligations under the EU AI Act. The system itself must meet requirements across seven areas (Articles 9-15), and it is the provider's job to meet them (Article 16). As the deployer, you should see the provider's evidence of each before use, then meet your own duties under Article 26: Risk management - Identify and mitigate risks throughout the system lifecycle Data governance - Ensure training data is relevant, representative, and free from bias Technical documentation - Maintain detailed documentation of the system's design and function Record-keeping - Enable audit trails and automatic logging Transparency - Provide clear information and instructions for use to deployers Human oversight - Ensure humans can effectively supervise the system Accuracy, robustness, and cybersecurity - Meet performance and security standards This exercise walks through a deployer's review of a real deployment: checking the provider's evidence and closing the gaps that are yours.

2. E-mail dal CISO

   Arriva un'e-mail da James Morton, CISO del Gruppo Pinnacle. Il fornitore di intelligenza artificiale ha fornito il sistema di revisione delle prestazioni dei dipendenti e Alice deve completare la revisione della conformità prima che diventi operativa. L'e-mail si collega direttamente al registro dei sistemi AI sul portale di governance.

3. Registro dei sistemi di intelligenza artificiale

   Il registro dei sistemi AI viene caricato con tre voci: PerformanceAI (il nuovo sistema ad alto rischio contrassegnato per la revisione), più due sistemi già conformi (EmailGuard e ChatAssist). Il registro tiene traccia del livello di rischio, dello stato di conformità e della cronologia degli audit per ogni sistema di intelligenza artificiale del Pinnacle Group.

4. Valutazione della conformità

   The PerformanceAI system has clear gaps in its compliance status: a FRIA is not required for a private employer, but the affected workers have not yet been informed, no human reviewer has been assigned, and data governance is still pending review. Alice clicks Run Compliance Assessment inside the PerformanceAI entry to open the detailed checklist for this system.

5. Segnala le lacune

   Alice analizza ogni sezione dei requisiti e contrassegna solo gli elementi che NON sono soddisfatti. La data governance presenta una lacuna irrisolta: la rappresentatività dei dati di formazione tra i dati demografici dei dipendenti non è mai stata valutata. La supervisione umana ne ha un'altra: a nessun revisore umano qualificato è stata assegnata l'autorità di sostituzione. Le restanti sezioni sono in buone condizioni e non necessitano di alcuna segnalazione. Durante la revisione, Alice incontra una nota del fornitore: 'La supervisione umana non è necessaria perché l'algoritmo ha una precisione del 99,2% nel punteggio delle prestazioni'. Questa affermazione deve essere valutata rispetto a quanto effettivamente richiesto dalla legge UE sull’IA.

6. Requisito di supervisione umana

7. Lacune critiche identificate

   La revisione della conformità ha evidenziato tre lacune critiche che devono essere risolte prima che PerformanceAI possa entrare in funzione: Lavoratori non informati - L'articolo 27 della FRIA non si applica a un datore di lavoro privato, ma l'articolo 26, paragrafo 7 sì: prima che un sistema ad alto rischio venga utilizzato sul lavoro, il datore di lavoro deve informare i rappresentanti dei lavoratori e i lavoratori interessati. Ciò non è accaduto. Nessun revisore umano designato - A nessuna persona è stata assegnata l'autorità e la formazione per sovrascrivere i punteggi delle prestazioni dell'IA. L'articolo 26, paragrafo 2, impone al deployer di assegnare la supervisione a persone con competenza, formazione e autorità per esercitarla (articolo 14). Rappresentanza dei dati non valutata - La rappresentatività dei dati sulla formazione non è stata valutata rispetto ai dati demografici dei dipendenti, creando un potenziale rischio di distorsione. L'articolo 10 è un dovere del fornitore, quindi Pinnacle deve richiedere la documentazione sulla governance dei dati di PerformanceAI Inc. prima del lancio. Ognuna di queste lacune rappresenta un fallimento di conformità legale. Il sistema non potrà essere implementato fino a quando non saranno risolti tutti e tre i problemi.

8. E-mail di riparazione

   Alice redige un'e-mail al CISO descrivendo in dettaglio le lacune di conformità e raccomandando di rinviare il lancio finché tutti i problemi non saranno risolti.

9. Conformità prima della distribuzione

   High-risk AI deployment is not just 'install and configure.' It is a structured compliance process with ongoing obligations. The seven requirement areas are not checkboxes to rush through - they protect people affected by AI decisions. Key takeaways: All seven requirement areas must be independently satisfied before deployment, and the deployer should see the provider's evidence for each: risk management, data governance, technical documentation, record-keeping, transparency, human oversight, and accuracy/robustness/cybersecurity. Inform workers first. Before using high-risk AI at work, the employer must inform workers' representatives and the affected workers (Article 26(7)). A FRIA is mandatory only for public bodies, public-service providers and credit-scoring and life and health insurance deployers (Article 27). Human oversight cannot be replaced by accuracy . Even a 99.9% accurate system requires a designated human with override authority. If your compliance review finds gaps, the correct response is to delay deployment until they are resolved - not to deploy and fix later.