Perché è importante il monitoraggio continuo dei sistemi di IA? L'articolo 72 dell'AI Act spiegato in parole semplici
Perché è importante il monitoraggio continuo dei sistemi di IA? Perché un sistema di IA non resta uguale dopo il rilascio. I dati reali cambiano, l'uso cambia e le prestazioni possono peggiorare. Il monitoraggio continuo è cruciale per mantenere l'IA aggiornata e performante. Serve anche a individuare per tempo errori e danni.
Per i sistemi di IA ad alto rischio non è solo una buona pratica: è un obbligo dell'AI Act, il regolamento (UE) 2024/1689. Il fornitore istituisce un sistema di monitoraggio successivo all'immissione sul mercato (articolo 72). Il deployer monitora il funzionamento del sistema (articolo 26, paragrafo 5). Gli incidenti gravi si segnalano entro 15, 10 o 2 giorni (articolo 73).
La risposta al quiz. Molti test a scelta multipla fanno questa domanda. La risposta giusta è: «è cruciale per mantenere l'IA aggiornata e performante». Le altre opzioni sono sbagliate. Il monitoraggio non serve solo ai sistemi molto semplici. Non serve solo a controllare i costi. E un sistema addestrato non funziona da solo per sempre.
Questa pagina segue il testo consolidato in vigore dal 27 luglio 2026 (CELEX 02024R1689-20260727), modificato dal regolamento (UE) 2026/1744.
Articolo 72: il monitoraggio successivo all'immissione sul mercato effettuato dal fornitore
L'articolo 3, punto 3, definisce il fornitore. È chi sviluppa un sistema di IA o lo fa sviluppare. Poi lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.
L'articolo 72, paragrafo 1, chiede al fornitore di istituire e documentare un sistema di monitoraggio successivo all'immissione sul mercato. Il sistema deve essere proporzionato alla natura della tecnologia e ai rischi. Secondo il paragrafo 2, il sistema «raccoglie, documenta e analizza attivamente e sistematicamente i dati pertinenti» sulle prestazioni dei sistemi di IA ad alto rischio. Lo fa «per tutta la durata del loro ciclo di vita».
I dati possono arrivare dai deployer o da altre fonti. Servono al fornitore per valutare se il sistema rispetta ancora i requisiti del capo III, sezione 2. Se del caso, il monitoraggio analizza anche l'interazione con altri sistemi di IA.
Il paragrafo 3 aggiunge un documento: il piano di monitoraggio successivo all'immissione sul mercato. Il piano fa parte della documentazione tecnica dell'Allegato IV, punto 9. Il nostro modello gratuito di documentazione tecnica dell'Allegato IV copre anche questo punto.
Un modello ufficiale del piano non esiste ancora. Il paragrafo 3 chiede alla Commissione di adottare orientamenti, «compreso un modello», entro il 2 settembre 2027. Il testo del 2024 prevedeva un atto di esecuzione entro il 2 febbraio 2026. Lo ha cambiato il regolamento (UE) 2026/1744.
Il paragrafo 4 evita i doppioni. Alcuni prodotti dell'Allegato I, sezione A, hanno già un sistema e un piano di monitoraggio previsti dalla propria normativa. Il loro fornitore può integrarvi gli elementi dell'AI Act, purché il livello di protezione sia equivalente. La stessa possibilità vale per gli istituti finanziari che immettono sul mercato o mettono in servizio sistemi dell'Allegato III, punto 5.
Articolo 26, paragrafo 5: cosa monitora il deployer
Il deployer è chi usa un sistema di IA sotto la propria autorità, per esempio un'azienda che usa un software di selezione dei CV. L'articolo 26, paragrafo 5, gli chiede quattro cose:
- monitorare il funzionamento del sistema «sulla base delle istruzioni per l'uso» e, se del caso, informare i fornitori;
- se l'uso secondo le istruzioni può comportare un rischio (articolo 79, paragrafo 1), informare senza indebito ritardo il fornitore o il distributore. Informare anche l'autorità di vigilanza del mercato e sospendere l'uso del sistema;
- se individua un incidente grave, informare immediatamente, in primo luogo, il fornitore, poi l'importatore o il distributore e le autorità di vigilanza del mercato;
- se non riesce a raggiungere il fornitore, applicare l'articolo 73 «mutatis mutandis»: le regole di segnalazione valgono per il deployer, con gli adattamenti necessari.
Il paragrafo 6 aggiunge un obbligo sui log. Il deployer conserva i log generati automaticamente dal sistema, nella misura in cui sono sotto il suo controllo. Li conserva per almeno sei mesi, salvo diversa disposizione del diritto dell'Unione o nazionale.
Per i deployer che sono istituti finanziari vale una regola speciale (paragrafo 5, secondo comma). Il loro obbligo di monitoraggio si considera soddisfatto se rispettano le regole di governance interna del diritto dei servizi finanziari.
Articolo 73: incidenti gravi e scadenze di segnalazione
L'articolo 3, punto 49, definisce l'incidente grave. È un incidente o malfunzionamento di un sistema di IA che, direttamente o indirettamente, causa una delle conseguenze seguenti:
- a) il decesso di una persona o gravi danni alla salute di una persona;
- b) una perturbazione grave e irreversibile della gestione o del funzionamento delle infrastrutture critiche;
- c) la violazione degli obblighi a norma del diritto dell'Unione intesi a proteggere i diritti fondamentali;
- d) gravi danni alle cose o all'ambiente.
Il fornitore segnala l'incidente alle autorità di vigilanza del mercato dello Stato membro in cui è avvenuto. Ogni termine decorre da quando il fornitore o, se del caso, il deployer ne è venuto a conoscenza:
| Caso | Termine massimo | Articolo |
|---|---|---|
| Incidente grave, regola generale | Immediatamente dopo aver stabilito il nesso causale, o la sua ragionevole probabilità, e comunque entro 15 giorni dalla conoscenza dell'incidente | Art. 73, par. 2 |
| Infrazione diffusa, o perturbazione grave e irreversibile di infrastrutture critiche (articolo 3, punto 49, lettera b) | Immediatamente, e comunque entro 2 giorni dalla conoscenza dell'incidente | Art. 73, par. 3 |
| Decesso di una persona | Immediatamente dopo aver stabilito o sospettato un nesso causale, e comunque entro 10 giorni dalla conoscenza dell'incidente | Art. 73, par. 4 |
Per rispettare la scadenza, il fornitore o il deployer può presentare prima una relazione iniziale incompleta e poi quella completa (paragrafo 5). Il periodo per la segnalazione tiene conto anche della gravità dell'incidente (paragrafo 2).
Dopo la segnalazione il fornitore svolge senza indugio le indagini necessarie. Le indagini comprendono una valutazione del rischio dell'incidente e misure correttive. Prima di averne informato le autorità competenti, non modifica il sistema in un modo che possa incidere sulla successiva valutazione delle cause (paragrafo 6).
C'è un aiuto per prepararsi. Il 26 settembre 2025 la Commissione ha pubblicato in consultazione una bozza di orientamenti e un modello di segnalazione per gli incidenti gravi.
Promemoria: chi ha quali obblighi di monitoraggio
Questa tabella riassume gli articoli 19, 20, 26, 72 e 73 per i sistemi di IA ad alto rischio. È un riassunto, non un modulo ufficiale.
| Tema | Fornitore | Deployer |
|---|---|---|
| Monitoraggio | Istituisce e documenta un sistema di monitoraggio successivo all'immissione sul mercato e il relativo piano (art. 72, par. 1 e 3) | Monitora il funzionamento sulla base delle istruzioni per l'uso (art. 26, par. 5) |
| Dati e log | Raccoglie e analizza i dati sulle prestazioni per tutto il ciclo di vita (art. 72, par. 2). Conserva i log sotto il suo controllo per almeno sei mesi (art. 19, par. 1) | Conserva i log sotto il suo controllo per almeno sei mesi (art. 26, par. 6) |
| Rischio durante l'uso | Se viene a conoscenza di un rischio (art. 79, par. 1), indaga sulle cause, se del caso con il deployer che ha effettuato la segnalazione, e informa le autorità di vigilanza del mercato (art. 20, par. 2) | Informa senza indebito ritardo il fornitore o il distributore e l'autorità di vigilanza del mercato, e sospende l'uso (art. 26, par. 5) |
| Incidente grave | Lo segnala all'autorità di vigilanza del mercato entro 15, 10 o 2 giorni, poi svolge le indagini (art. 73) | Informa immediatamente, in primo luogo, il fornitore, poi l'importatore o il distributore e le autorità di vigilanza del mercato (art. 26, par. 5) |
Da quando si applicano gli articoli 72, 73 e 26?
Il regolamento si applica dal 2 agosto 2026 (articolo 113). Gli articoli 72 e 73 si trovano nel capo IX, la cui applicazione l'articolo 113 non posticipa.
Con il regolamento (UE) 2026/1744, il capo III, sezioni 1, 2 e 3, ha date di applicazione posticipate. Si applica dal 2 dicembre 2027 ai sistemi dell'Allegato III e dal 2 agosto 2028 a quelli dell'Allegato I. Queste sezioni contengono le regole di classificazione dell'articolo 6 e gli obblighi degli articoli 19, 20 e 26.
Attenzione ai sistemi già sul mercato. Alcuni sistemi ad alto rischio sono stati immessi sul mercato o messi in servizio prima della data di applicazione del capo III. Il regolamento si applica a loro solo se, da quella data, la loro progettazione cambia in modo significativo. In ogni caso, i fornitori e i deployer dei sistemi destinati alle autorità pubbliche devono adeguarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2).
Come impostare il monitoraggio continuo: cinque passi pratici
Questi passi sono una buona pratica, non un elenco previsto dalla legge. Gli obblighi di legge sono quelli delle sezioni precedenti.
- Fai l'inventario dei sistemi di IA che usi o sviluppi. Verifica quali rientrano nell'Allegato III (Allegato 3).
- Per ogni sistema, annota il tuo ruolo: fornitore, deployer o entrambi.
- Se sei fornitore, scrivi il piano di monitoraggio successivo all'immissione sul mercato e inseriscilo nella documentazione tecnica. Indica quali dati raccogli, da quali fonti e chi li analizza.
- Se sei deployer, leggi le istruzioni per l'uso. Decidi chi controlla il sistema, cosa guarda e con quale frequenza.
- Prepara ora la procedura per gli incidenti gravi: chi decide, chi segnala ed entro quanti giorni. Conserva le prove di ogni controllo e di ogni segnalazione.
Come ti aiuta LandingRed
LandingRed tiene per ogni sistema di IA un piano di monitoraggio successivo all'immissione sul mercato. Gli allarmi di soglia critici aprono automaticamente un incidente, con la scadenza dell'articolo 73 già calcolata. LandingRed non invia la segnalazione all'autorità. Registra il riferimento che l'autorità ti comunica.
Approfondisci nella pagina di LandingRed sull'AI Act oppure parti dall'autovalutazione gratuita: in circa cinque minuti stima esposizione e obblighi secondo l'AI Act.
Domande frequenti sul monitoraggio continuo dei sistemi di IA
Perché è importante il monitoraggio continuo dei sistemi di IA?
Perché le prestazioni di un sistema di IA possono cambiare dopo il rilascio. Il monitoraggio continuo mantiene l'IA aggiornata e performante e permette di individuare per tempo errori e danni. Per i sistemi ad alto rischio è un obbligo: articolo 72 per il fornitore, articolo 26, paragrafo 5, per il deployer.
Chi deve fare il monitoraggio successivo all'immissione sul mercato?
Il fornitore del sistema di IA ad alto rischio (articolo 72). Il deployer non gestisce il sistema di monitoraggio del fornitore. Monitora il funzionamento del sistema sulla base delle istruzioni per l'uso e, se del caso, informa il fornitore (articolo 26, paragrafo 5).
Esiste un modello ufficiale del piano di monitoraggio?
Non ancora. L'articolo 72, paragrafo 3, chiede alla Commissione orientamenti, compreso un modello, entro il 2 settembre 2027. In ogni caso il piano fa parte della documentazione tecnica dell'Allegato IV, punto 9.
Entro quanti giorni si segnala un incidente grave?
Immediatamente dopo aver stabilito il nesso causale, o la sua ragionevole probabilità. Al più tardi entro 15 giorni da quando il fornitore o il deployer ne è venuto a conoscenza. Il limite è di 10 giorni in caso di decesso. È di 2 giorni per un'infrazione diffusa o una perturbazione grave e irreversibile di infrastrutture critiche (articolo 73).
Da quando si applicano gli obblighi di monitoraggio?
Gli articoli 72 e 73 sono nel capo IX, la cui applicazione l'articolo 113 non posticipa: si applicano dal 2 agosto 2026. L'articolo 26, sugli obblighi del deployer, è nel capo III, sezione 3. Si applica dal 2 dicembre 2027 ai sistemi dell'Allegato III e dal 2 agosto 2028 a quelli dell'Allegato I.
Risorse correlate
- Come monitorare i sistemi di IA secondo l'AI Act: le dieci dimensioni
- Allegato 3 (Allegato III): gli 8 settori ad alto rischio
- Modello di documentazione tecnica dell'Allegato IV
- LandingRed per l'AI Act
Queste sono informazioni, non una consulenza legale. Fanno fede solo i testi pubblicati nella Gazzetta ufficiale dell'Unione europea.
Il tuo sistema è ad alto rischio? Prima di impostare il monitoraggio, verifica la classificazione. Fai l'autovalutazione gratuita.
Rivisto e pubblicato sotto la responsabilità editoriale di AB Corporate Advisory S.R.L.
LandingRed automatizza tutto questo
Smetti di gestire la conformità in fogli di calcolo. Classifica, documenta, valuta e monitora i tuoi sistemi di IA da un'unica piattaforma.