Checklist della documentazione tecnica

Una documentazione efficace copre i requisiti dell'AI Act e collega ogni affermazione alla versione del sistema e alla prova che la supporta. Il fornitore di un sistema di IA ad alto rischio deve prepararla prima dell'immissione sul mercato o della messa in servizio, mantenerla aggiornata e renderla abbastanza chiara da consentire la valutazione della conformità.

L'articolo 11 e l'allegato IV costituiscono la struttura di base. Il regolamento (UE) 2026/1744 mantiene l'allegato IV come contenuto minimo, consentendo a PMI, start-up e piccole imprese a media capitalizzazione di usare un modulo semplificato della Commissione quando sarà disponibile. È semplificata la presentazione, non la necessità di dimostrare la conformità. Conferma prima confine del sistema, ruolo e classificazione.

Ambito e controllo

• [ ] Assegnare un identificatore stabile, indicare il fornitore e la versione di produzione coperta.
• [ ] Descrivere finalità, utenti, persone interessate, contesto e usi esclusi.
• [ ] Motivare ruolo e classificazione ad alto rischio rispetto all'allegato I o III.
• [ ] Nominare un responsabile generale e il proprietario fattuale di ogni prova.
• [ ] Creare un indice con requisito, fonte, versione, stato, revisore e trigger di aggiornamento.

Sistema, sviluppo e architettura

• [ ] Registrare versioni, forme di distribuzione, condizioni operative, hardware, software, interfacce e dipendenze.
• [ ] Versionare architettura, metodi di sviluppo, decisioni progettuali e attività di terzi.
• [ ] Descrivere acquisizione, preparazione, qualità e governance dei dati, ove pertinenti.
• [ ] Spiegare output, limiti, qualità attesa e influenza sulle decisioni.
• [ ] Conservare le modifiche di sviluppo e il processo controllato per le modifiche successive.

I diagrammi devono avere data e versione. La documentazione del vendor non prova il funzionamento della propria configurazione.

Prestazioni, rischi e controlli

• [ ] Documentare capacità, limiti, accuratezza, robustezza e cybersicurezza.
• [ ] Conservare metriche, soglie, dati e condizioni di test, risultati ed esclusioni note.
• [ ] Valutare i rischi prevedibili per salute, sicurezza e diritti fondamentali.
• [ ] Registrare controlli, rischio residuo, proprietari e autorità di accettazione.
• [ ] Descrivere sorveglianza umana, avvisi, intervento, escalation, logging e tracciabilità.
• [ ] Collegare gli articoli 8–15 ai controlli e alle prove.

Una percentuale di accuratezza senza compito, popolazione, versione dei dati, metrica e data è incompleta. Il registro dei rischi spiega la decisione; test, approvazioni, istruzioni e log dimostrano l'esecuzione.

Conformità, ciclo di vita e verifica finale

• [ ] Identificare norme applicate, edizione e ambito; motivare deviazioni e prove alternative.
• [ ] Conservare valutazione di conformità, dichiarazione UE e dati dell'organismo notificato, se presente.
• [ ] Tenere la cronologia delle modifiche e verificare per ogni release la corrispondenza con la produzione.
• [ ] Registrare monitoraggio post-commercializzazione, reclami, incidenti, deriva e azioni correttive.
• [ ] Verificare che ogni affermazione abbia una fonte controllata e che le versioni siano coerenti.
• [ ] Assegnare a ogni lacuna un proprietario, controllo provvisorio, decisione di rischio e scadenza.

La documentazione riguarda il sistema completo nel suo contesto, non solo il modello. Una policy non è prova di esecuzione e il fascicolo non termina al lancio. Dopo il regolamento (UE) 2026/1744, le regole pertinenti si applicano ai sistemi autonomi dell'allegato III dal 2 dicembre 2027 e ai sistemi incorporati nei prodotti dell'allegato I dal 2 agosto 2028; verifica sempre le disposizioni transitorie specifiche.

Fonti

• Regolamento (UE) 2024/1689, articoli 9, 11, 16–18 e 72 e allegato IV.
• Regolamento (UE) 2026/1744, modifica dell'articolo 11 e calendario.
• Commissione europea, “Navigating the AI Act”.