Checklist di registrazione e conservazione

Una checklist efficace rende la tracciabilità un'attività operativa ordinaria. Identificate prima il sistema IA completo, la finalità prevista, il ruolo dell'azienda, la classificazione e i registri realmente sotto il vostro controllo. Definite poi il minimo necessario per spiegare risultati rilevanti, modifiche, azioni umane, controlli e incidenti. Assegnate raccolta, accesso, revisione, conservazione e cancellazione e verificate che un revisore autorizzato possa ricostruire i fatti.

Per i sistemi IA ad alto rischio, l'articolo 12 dell'AI Act richiede la registrazione automatica degli eventi durante la vita del sistema. Gli articoli 19 e 26 impongono a fornitori e deployer di conservare i log generati automaticamente sotto il loro controllo per un periodo adeguato e, in generale, almeno sei mesi, salvo diversa disciplina applicabile. Non è un'autorizzazione a registrare tutto o conservare tutto senza limiti.

1. Confermare l'ambito

• [ ] Documentare nome, titolare, finalità, utenti, persone interessate, input, output e decisioni.
• [ ] Mappare modelli, fonti, regole, passaggi umani, integrazioni e azioni successive.
• [ ] Registrare ruolo, analisi dell'alto rischio, ipotesi, approvazione e trigger di rivalutazione.
• [ ] Separare log controllati da azienda, cliente e vendor e identificare regole privacy, sicurezza, lavoro, settore e contratti.

2. Definire domande ed eventi minimi

• [ ] Collegare ogni domanda investigativa o di audit a un tipo di evento e ai campi minimi.
• [ ] Includere versioni di sistema, modello e configurazione, timestamp e identificatori di correlazione.
• [ ] Registrare controlli, errori, eccezioni, interventi umani, modifiche, reclami e rimedi.
• [ ] Versionare lo schema e testare automaticamente i campi obbligatori.

Un record utile risponde a una domanda. La telemetria di disponibilità raramente dimostra quale versione abbia prodotto un risultato. Memorizzare prompt, documenti, risposte e identità per impostazione predefinita può aumentare il rischio: usate riferimenti protetti, hash, riepiloghi o campioni limitati quando bastano.

3. Assegnare le responsabilità

• [ ] Nominare un responsabile per ogni sistema.
• [ ] Assegnare strumentazione all'ingegneria; finalità e modifiche al prodotto; modelli e valutazioni ai team ML; accesso e integrità alla sicurezza; minimizzazione alla privacy; requisiti e test alla conformità.
• [ ] Documentare espressamente i confini di clienti e fornitori.

4. Integrare le prove nella delivery

• [ ] Collegare ambito, classificazione, versioni e valutazioni alla release.
• [ ] Fare emettere alla pipeline identificatori, approvazioni, stato dei controlli e riferimento di rollback.
• [ ] Acquisire automaticamente eccezioni, interventi, reclami e incidenti; rivalutare ogni modifica sostanziale.

Le prove devono nascere dove si decide. Automatizzate la completezza di routine e riservate il giudizio umano a modifiche ed eccezioni rilevanti.

5. Proteggere accesso e integrità

• [ ] Classificare i registri, separare accesso operativo e investigativo, applicare privilegio minimo, autenticazione, cifratura e log degli accessi.
• [ ] Governare esportazione, protezione da alterazioni, conservazione per incidenti e documentazione dello schema.

6. Conservare e cancellare per classe

• [ ] Definire finalità, inizio, data di cancellazione e minimo degli articoli 19 o 26 quando applicabile.
• [ ] Conciliare minimizzazione, norme settoriali, contratti, incidenti e blocchi.
• [ ] Includere archivi principali, analytics, esportazioni, repliche e backup; approvare eccezioni e testare la cancellazione.

“Almeno sei mesi” non è un termine universale: riguarda specifici log automatici ad alto rischio sotto il controllo dell'operatore.

7. Riesaminare ed escalare

• [ ] Attivare la revisione per modifiche rilevanti, identificatori mancanti, controlli falliti, override anomali, prestazioni inattese o uso non autorizzato.
• [ ] Definire destinazione, gravità, tempo, decisore e prova di chiusura per ogni trigger.
• [ ] Monitorare rimedi aperti, trend e campioni basati sul rischio.

8. Testare la catena probatoria

• [ ] Ricostruire una release, un risultato e un'eccezione fino alla chiusura.
• [ ] Verificare accesso, esportazione e cancellazione in tutte le copie governate.
• [ ] Documentare lacune, responsabili, scadenze e nuovi test.

Il test dovrebbe essere svolto da chi non ha creato il fascicolo. Se servono messaggi privati o la memoria di una persona, il processo non è ripetibile.

Avvio in una settimana

Scegliete un flusso importante. Documentate ambito, ruolo, classificazione, domande, fornitori e lacune. Concordate schema, responsabilità, accesso, conservazione e trigger. Testate una ricostruzione, create un breve piano correttivo e riusate il modello sul rischio successivo.

Dopo la modifica del 2026, le regole per gli usi dell'allegato III si applicano dal 2 dicembre 2027 e quelle per sistemi integrati nei prodotti regolamentati dell'allegato I dal 2 agosto 2028.

FAQ

Qual è lo scopo pratico?

Consentire a un revisore autorizzato di ricostruire attività, controlli, azioni umane, modifiche e seguito rilevanti, non massimizzare i dati raccolti.

Occorre conservare tutti i prompt e le risposte?

No. Scegliete i campi in base a una finalità definita e usate metadati minimizzati, riferimenti protetti, hash o campioni limitati quando sufficienti.

Come provarne l'efficacia?

Con test di ricostruzione, accesso, esportazione e cancellazione, lacune documentate e nuovi test dopo la correzione.

Fonti

• Regolamento (UE) 2024/1689 consolidato al 27 luglio 2026, in particolare articoli 12, 19 e 26.
• Regolamento (UE) 2026/1744 sulle date modificate.
• Commissione europea, “AI Act”, calendario e quadro aggiornati.