Modello di documentazione tecnica Allegato IV

L'articolo 11 del Regolamento IA UE richiede ai fornitori di sistemi di IA ad alto rischio di redigere la documentazione tecnica. Devono farlo prima che il sistema sia immesso sul mercato o messo in servizio. La documentazione deve restare aggiornata. I fornitori devono metterla a disposizione delle autorità competenti su richiesta.

L'allegato IV elenca le informazioni minime che la documentazione deve contenere, a seconda del sistema. Qui sotto trovi ciascuno dei nove punti, riassunto con indicazioni. Il modello completo è il DOCX qui sopra.

Vai all'esempio pratico

Allegato IV o allegato 4?

Sono lo stesso allegato. Il testo ufficiale del regolamento (UE) 2024/1689 usa il numero romano: «allegato IV». «Allegato 4» indica lo stesso allegato in cifre arabe. Il suo titolo è «Documentazione tecnica di cui all'articolo 11, paragrafo 1». Anche altri atti dell'UE hanno un allegato IV, ma su un altro tema. Nel regolamento (UE) 2024/2847 (regolamento sulla ciberresilienza), l'allegato IV elenca i prodotti con elementi digitali critici. La documentazione tecnica dei modelli di IA per finalità generali si trova invece negli allegati XI e XII.

Sezione 1: Descrizione generale del sistema di IA

Questa sezione stabilisce identità e ambito del sistema. Includi:

• Finalità prevista — Cosa fa il sistema, a chi è destinato e il contesto specifico di utilizzo
• Nome del fornitore — Il nome del fornitore. L'allegato IV chiede solo il nome. L'indirizzo di contatto va sul sistema o sul suo imballaggio (articolo 16, lettera b)) e nella dichiarazione di conformità UE (allegato V, punto 2)
• Versione del sistema — Versione corrente e relazione con le versioni precedenti
• Interazioni hardware e software — Come il sistema interagisce con altri hardware, software o sistemi di IA non parte del sistema stesso
• Versioni di software e firmware — Tutti i numeri di versione rilevanti e i requisiti di aggiornamento
• Forme di distribuzione — Come il sistema è erogato (pacchetto software, integrato in hardware, API, download, ecc.)
• Requisiti hardware — L'hardware su cui il sistema è destinato a funzionare
• Interfaccia utente — Descrizione di base dell'interfaccia fornita al deployer
• Istruzioni per l'uso — Le istruzioni per l'uso destinate al deployer e, se applicabile, una descrizione di base dell'interfaccia utente

Sezione 2: Descrizione dettagliata degli elementi del sistema e del processo di sviluppo

La sezione più sostanziale. Documenta:

• Metodi di sviluppo — Passi compiuti, incluso l'uso di sistemi pre-addestrati o strumenti di terze parti e come sono stati integrati o modificati
• Specifiche di progettazione — Logica generale, scelte progettuali principali con motivazione, ipotesi, scelte di classificazione, target di ottimizzazione e qualità attesa dell'output
• Architettura del sistema — Come i componenti software si basano l'uno sull'altro, integrazione nell'elaborazione complessiva e risorse computazionali utilizzate
• Requisiti dei dati — Metodologie di addestramento, descrizioni dei dataset, provenienza, ambito, caratteristiche, metodi di acquisizione, procedure di etichettatura e metodi di pulizia dei dati
• Valutazione della sorveglianza umana — Misure necessarie ai sensi dell'Articolo 14 e misure tecniche per l'interpretazione dell'output
• Modifiche pre-determinate — Se applicabile, descrivi eventuali modifiche pianificate al sistema e come sarà mantenuta la conformità continua
• Validazione e test — Procedure, dati di convalida e di prova e metriche, anche per gli impatti potenzialmente discriminatori. I log delle prove e tutte le relazioni di prova, corredati di data e firma delle persone responsabili
• Misure di cibersicurezza — Le misure di cibersicurezza adottate

Sezione 3: Monitoraggio, funzionamento e controllo

Dettaglia le caratteristiche operative del sistema:

• Capacità e limiti delle prestazioni
• Gradi di accuratezza per persone o gruppi specifici a cui il sistema è destinato e accuratezza complessiva attesa
• Esiti indesiderati prevedibili e fonti di rischio per salute, sicurezza, diritti fondamentali e discriminazione
• Misure di sorveglianza umana ai sensi dell'Articolo 14
• Misure tecniche che consentono ai deployer di interpretare l'output
• Specifiche dei dati di input ove pertinenti

Sezione 4: Adeguatezza delle metriche di prestazione

Descrivi perché le metriche di prestazione scelte sono adeguate per il sistema di IA specifico. Spiega la ragione della scelta di alcune metriche rispetto ad altre e come catturino in modo significativo le prestazioni del sistema nel suo contesto previsto.

Sezione 5: Sistema di gestione dei rischi

Fornisci una descrizione dettagliata del sistema di gestione dei rischi istituito ai sensi dell'Articolo 9. È un processo continuo e iterativo che attraversa l'intero ciclo di vita e deve includere:

• Identificazione e analisi dei rischi noti e ragionevolmente prevedibili
• Stima e valutazione dei rischi derivanti dall'uso previsto e dall'uso improprio ragionevolmente prevedibile
• Valutazione dei rischi dall'analisi dei dati raccolti tramite il monitoraggio post-commercializzazione
• Adozione di misure adeguate di gestione dei rischi

Sezione 6: Modifiche del ciclo di vita

Descrivi le modifiche pertinenti che il fornitore apporta al sistema durante il suo ciclo di vita. Così le autorità dispongono di uno storico tracciabile di come è cambiato il sistema.

Sezione 7: Norme e specifiche tecniche

Elenca tutte le norme armonizzate applicate, in tutto o in parte, con riferimenti alla loro pubblicazione nella Gazzetta ufficiale dell'UE. Quando non sono state applicate norme armonizzate:

• Fornisci una descrizione dettagliata delle soluzioni adottate per soddisfare i requisiti del Capo III, Sezione 2
• Elenca tutte le altre norme e specifiche tecniche pertinenti applicate

Sezione 8: Dichiarazione UE di conformità

Includi una copia della dichiarazione di conformità UE di cui all'articolo 47. Il fornitore la tiene opportunamente aggiornata. Resta a disposizione delle autorità nazionali competenti per 10 anni dopo l'immissione sul mercato o la messa in servizio del sistema.

Sezione 9: Valutazione delle prestazioni post-commercializzazione

Descrivi il sistema in atto per valutare le prestazioni del sistema di IA nella fase successiva all'immissione sul mercato, come richiesto dall'Articolo 72. Deve includere:

• Il piano di monitoraggio successivo all'immissione sul mercato di cui all'articolo 72, paragrafo 3, su cui si basa il sistema di monitoraggio
• Come il sistema di monitoraggio raccoglie, documenta e analizza i dati sulle prestazioni del sistema lungo l'intero ciclo di vita (articolo 72, paragrafo 2)

Esempio pratico: un sistema di screening dei CV (allegato III, punto 4, lettera a))

Questo esempio è fittizio e illustrativo. Il sistema, il fornitore e ogni cifra sono inventati.

L'allegato III, punto 4, lettera a), riguarda «i sistemi di IA destinati a essere utilizzati per l'assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare o filtrare le candidature e valutare i candidati». Il nostro sistema fittizio analizza le candidature e mostra ai selezionatori una rosa di candidati ordinata per punteggio. Ogni decisione spetta ai selezionatori. Il fornitore tratta il sistema come ad alto rischio e lo documenta secondo l'allegato IV.

Punto 2, lettera b): specifiche di progettazione

le specifiche di progettazione del sistema, vale a dire la logica generale del sistema di IA e degli algoritmi; le principali scelte di progettazione, comprese le motivazioni e le ipotesi formulate, anche per quanto riguarda le persone o i gruppi di persone sui quali il sistema è destinato a essere utilizzato; le principali scelte di classificazione; gli aspetti che il sistema è progettato per ottimizzare e la pertinenza dei diversi parametri; la descrizione dell'output atteso e della qualità dell'output del sistema; le decisioni in merito a eventuali compromessi posti in essere con riguardo alle soluzioni tecniche adottate per soddisfare i requisiti di cui al capo III, sezione 2;

Cosa scrive il fornitore fittizio:

• Logica generale — La versione 2.1 scompone ogni CV in competenze, qualifiche, anni di esperienza e lingue. Un modello di ranking assegna a ogni candidatura un punteggio rispetto ai criteri che il selezionatore fissa per la posizione.
• Scelte di progettazione e ipotesi — Il sistema è destinato a chi si candida per ruoli d'ufficio nell'UE. Nome, foto, data di nascita, indirizzo e nazionalità vengono rimossi prima dell'attribuzione del punteggio. Presumiamo che i CV siano in inglese, italiano o tedesco.
• Principali scelte di classificazione — Ogni candidatura riceve un punteggio da 0 a 100 e una di tre fasce: corrispondenza forte, corrispondenza possibile o da rivedere manualmente. Il sistema non ha una classe di rifiuto.
• Cosa ottimizza — Il modello ottimizza la concordanza con le rose di candidati stilate in passato dai selezionatori. Le qualifiche richieste hanno il peso maggiore. Gli anni di esperienza contano fino a dieci, per limitare gli effetti legati all'età.
• Output atteso e compromessi — L'output è una rosa di candidati ordinata, con i tre fattori alla base di ogni punteggio. Abbiamo scelto un modello più semplice e spiegabile invece di uno leggermente più accurato, così i selezionatori possono verificare ogni classifica (articoli 13 e 14).

Punto 2, lettera d): requisiti in materia di dati

ove pertinente, i requisiti in materia di dati mediante schede tecniche che descrivono le metodologie e le tecniche di addestramento e i set di dati di addestramento utilizzati, comprese una descrizione generale di tali set di dati e le informazioni sulla loro origine, sul loro ambito di applicazione e sulle loro principali caratteristiche; le modalità di ottenimento e di selezione dei dati; le procedure di etichettatura, ad esempio per l'apprendimento supervisionato, e le metodologie di pulizia dei dati, ad esempio il rilevamento di valori anomali (outlier);

Cosa scrive il fornitore fittizio:

• Set di dati di addestramento — 120.000 candidature per 1.400 posizioni d'ufficio, dal 2021 al 2024, in Italia, Germania e Irlanda. Ogni record abbina il CV scomposto alla decisione del selezionatore sulla rosa di candidati.
• Origine e selezione — Tre datori di lavoro hanno fornito i dati sulla base di accordi scritti. Abbiamo escluso le posizioni con meno di 20 candidati e le candidature che nessun selezionatore aveva esaminato.
• Procedura di etichettatura — L'etichetta è la decisione originale del selezionatore sulla rosa di candidati. Due revisori formati hanno ricontrollato un campione di 5.000 record. Un terzo revisore ha risolto i disaccordi.
• Pulizia dei dati — Abbiamo rimosso le candidature duplicate e i file illeggibili. I valori non plausibili, come 60 anni di esperienza, sono stati segnalati e verificati a mano. Abbiamo eliminato i campi sulle pause di carriera, un possibile indicatore indiretto del genere.
• Collegamento alla governance dei dati — L'esame delle possibili distorsioni ai sensi dell'articolo 10, paragrafo 2, lettera f), è conservato nel fascicolo sulla governance dei dati. I risultati di accuratezza per sottogruppo vanno al punto 2, lettera g), e al punto 3.

Il resto del fascicolo si basa su queste voci. La sorveglianza umana va al punto 2, lettera e), e le prove al punto 2, lettera g). Il sistema di gestione dei rischi va al punto 5, le modifiche al punto 6.

Questi requisiti si applicano dal 2 dicembre 2027 ai sistemi ad alto rischio dell'articolo 6, paragrafo 2, e dell'allegato III. Lo prevede l'articolo 113, lettera c), punto i). Per l'allegato III, punti da 2 a 8, il fornitore segue il controllo interno dell'allegato VI (articolo 43, paragrafo 2).

Questo esempio copre solo il punto 2, lettere b) e d). Non è un fascicolo completo dell'allegato IV e non dimostra la conformità di alcun sistema. Sono informazioni, non consulenza legale.

Generatore dell'allegato IV

LandingRed redige una bozza della documentazione tecnica dell'allegato IV dalla scheda del sistema di IA che già tieni nel suo inventario. Attinge anche ai dati collegati a quel sistema: valutazione dei rischi, governance dei dati, sorveglianza umana e cibersicurezza. Tra i dati collegati rientrano anche il piano di monitoraggio successivo all'immissione sul mercato e la dichiarazione di conformità UE.

Se ai tuoi dati manca un'informazione, il generatore riceve l'istruzione di lasciare un segnaposto visibile da completare. Controlla ogni bozza prima di farvi affidamento. Ogni sezione redatta dall'IA è contrassegnata come bozza e registra quale modello l'ha prodotta e quando.

Una bozza redatta dall'IA rientra nel calcolo della completezza solo dopo che una persona l'ha rivista e modificata. In tutti i piani puoi scrivere tu ogni sezione nell'editor integrato. Ogni approvazione salva un'istantanea fissa, sigillata con hash.

Scopri come la documentazione si inserisce nel resto del flusso di lavoro nella pagina sulla conformità all'AI Act dell'UE.

Il generatore produce una bozza da rivedere. Il fornitore resta responsabile del contenuto. Non è un modulo o un modello ufficiale.

Domande frequenti

Che cos'è l'Allegato IV dell'AI Act?

L'allegato IV elenca il contenuto minimo della documentazione tecnica di un sistema di IA ad alto rischio. Il fornitore la redige prima dell'immissione sul mercato o della messa in servizio del sistema e la mantiene aggiornata (articolo 11, paragrafo 1). L'allegato IV comprende nove punti, dalla descrizione generale del sistema al piano di monitoraggio successivo all'immissione sul mercato.

Chi deve redigere la documentazione tecnica dell'Allegato IV?

La redige il fornitore del sistema di IA ad alto rischio (articolo 11, paragrafo 1). Gli importatori verificano che il fornitore l'abbia redatta secondo l'articolo 11 e l'allegato IV (articolo 23, paragrafo 1, lettera b)). Per l'allegato III, punti da 2 a 8, i fornitori seguono il controllo interno dell'allegato VI, senza un organismo notificato (articolo 43, paragrafo 2). Un organismo notificato interviene nella procedura dell'allegato VII (articolo 43, paragrafo 1). Può intervenire anche nella procedura settoriale per i prodotti di cui all'allegato I, sezione A (articolo 43, paragrafo 3).

Quando deve essere pronta la documentazione tecnica?

Prima che il sistema di IA ad alto rischio sia immesso sul mercato o messo in servizio. I fornitori devono poi mantenerla aggiornata per tutto il ciclo di vita del sistema. Gli obblighi ad alto rischio dell'Allegato III si applicano dal 2 dicembre 2027. I fornitori dovrebbero quindi trattare la documentazione come un'attività di progettazione, non come una corsa dell'ultima settimana.

Esiste una versione semplificata per PMI, start-up e piccole imprese a media capitalizzazione?

Sì. L'articolo 11, paragrafo 1, consente a PMI, start-up comprese, e piccole imprese a media capitalizzazione di fornire gli elementi dell'allegato IV in modo semplificato. La Commissione deve definire per loro un modulo di documentazione tecnica semplificata. Un'impresa che sceglie il modo semplificato deve usare quel modulo, e gli organismi notificati devono accettarlo. Il nostro DOCX gratuito non è quel modulo.

L'AI Act prescrive un formato per la documentazione dell'Allegato IV?

Il regolamento prescrive il contenuto, non un formato generale. C'è un'eccezione per PMI, start-up e piccole imprese a media capitalizzazione (articolo 11, paragrafo 1). Se scelgono il modo semplificato, devono usare il modulo della Commissione. Il nostro DOCX gratuito segue i nove punti dell'allegato IV. LandingRed può anche redigere una bozza della documentazione dal tuo inventario dei sistemi di IA, che poi rivedi e modifichi.

Risorse correlate

• Guida alla classificazione ad alto rischio dell'Allegato III — verifica se il tuo sistema è ad alto rischio
• Documentazione dei modelli e data lineage: cosa chiede l'allegato IV, punto 2, lettera d)
• Autovalutazione gratuita del rischio AI Act — ottieni un report di preparazione condivisibile