Diverse Autorità ed Agenzie di Paesi dell’Unione europea hanno pubblicato negli ultimi mesi linee guida, documenti interpretativi, analisi e valutazioni di varia natura con riferimento alle previsioni di cui alla normativa in materia di intelligenza artificiale di cui al Reg. UE 2024/1689 (AI Act), al fine di supportare organizzazioni e professionisti nell’interpretazione e nell’applicazione coerente delle previsioni del Regolamento stesso.
Indice degli argomenti
Perché le linee guida AESIA contano nel percorso dell’AI Act
Tra queste, uno dei contributi più interessanti e completi è quello elaborato nel dicembre 2025 da AESIA (Agencia Española de Supervisión de la Inteligencia Artificial, Agenzia Spagnola per la Supervisione dell’Intelligenza Artificiale).
Tale Agenzia ha infatti reso disponibile un set di 15 linee guida tecniche, dettagliate e ricche di esempi, nonché corredate da una serie di checklist volte a supportare l’adozione conforme di soluzioni intelligenti.
Le linee guida sono state elaborate nel contesto del progetto pilota spagnolo di spazio di sperimentazione normativa in materia di IA (cd. Sandbox AI) e sviluppate grazie alla collaborazione tra la Secretaría de Estado de Digitalización e Inteligencia Artificial, quale promotrice dell’iniziativa, e i partecipanti a vario titolo alla stessa, con il supporto di ulteriori soggetti terzi.
A fronte di circa quaranta proposte presentate, sono stati selezionati 12 sistemi ad alto rischio in diversi settori: accesso ai servizi, biometria, lavoro, infrastrutture critiche, sanitario, macchine.
Nonostante non siano vincolanti, le linee guida forniscono interpretazioni e raccomandazioni pratiche allineate con i requisiti regolatori, preziose in attesa dell’approvazione di previsioni armonizzate e orientamenti della Commissione.
In considerazione della costante evoluzione del quadro normativo ed in coerenza con le modifiche proposte dal c.d. Digital Omnibus sull’IA, esse sono da considerarsi quale strumento in continuo aggiornamento.
Come sono organizzate le linee guida AESIA
Le linee guida, disponibili al momento in spagnolo, hanno un taglio pratico e ricco di dettagli e sono divise in vari documenti:
- 2 guide di carattere introduttivo;
- 13 guide tecniche, ciascuna delle quali è riferibile a specifici adempimenti di cui all’AI Act;
- 12 checklist, corredate da un manuale d’uso e da un esempio illustrativo.
Più nel dettaglio, si articolano come segue.
Introduzione e casi d’uso: il punto di partenza
Introduzione al Regolamento, che ne approfondisce terminologia, principi ed altri aspetti essenziali per fornire al lettore gli strumenti indispensabili a comprendere la normativa e le linee guida stesse.
Tra i temi: ambito di applicazione, ruoli e responsabilità nella catena del valore, adempimenti connessi a specifiche tipologie di soluzioni di IA e sintesi degli obblighi più rilevanti in linea con il livello di rischio posto dal sistema, con rinvii alle guide dedicate e alle deadline di applicazione della normativa.
Guida pratica ed esempi, che raccoglie casi d’uso rappresentativi di sistemi di IA ad alto rischio, finalizzati a comprendere meglio gli elementi essenziali dell’AI Act e a facilitare la comprensione delle linee guida.
Due in particolare accompagnano la lettura dell’intero documento: un dispositivo medico volto a supportare la gestione di malattie croniche (microinfusore di insulina intelligente) e un sistema di identificazione biometrica sul luogo di lavoro per finalità di controllo delle presenze.
Valutazione di conformità: cosa cambia per i fornitori
Guida alla valutazione della conformità, procedura atta a dimostrare se i requisiti relativi a un sistema ad alto rischio, di cui al capo III, sez. 2, sono stati soddisfatti.
Si tratta di un’attività in capo al fornitore, anche laddove deleghi lo sviluppo a terzi. La guida inquadra le modalità di realizzazione della valutazione di conformità dei sistemi ad alto rischio mediante:
- controllo interno del fornitore, ai sensi dell’Allegato VI; oppure
- intervento di un organismo notificato, ai sensi dell’Allegato VII.
Sistema di gestione della qualità: l’impianto organizzativo
Guida al sistema di gestione della qualità, inteso secondo lo standard di riferimento ISO 9001 quale insieme di processi progettati per consentire a un’organizzazione di migliorare continuamente le proprie prestazioni complessive.
La guida facilita la comprensione dell’art. 17 AI Act e ne supporta l’implementazione, analizzandone ad una ad una le componenti.
Sottolinea inoltre che numerosi elementi che costituiscono un sistema di gestione della qualità sono già trattati nelle ulteriori guide elaborate da AESIA, come il sistema di gestione dei rischi.
Infine, non definisce un formato specifico per le componenti del sistema di gestione, ma lascia scelta autonoma a ciascuna organizzazione circa i mezzi più adeguati a documentarlo (ad esempio politiche interne, procedure tecniche, allegati) e i profili di responsabilità da assegnare a ciascun soggetto interno.
Gestione dei rischi: metodo e misure lungo il ciclo di vita
Guida al sistema di gestione dei rischi, che propone metodologie volte a identificare, analizzare e contenere i rischi posti dalle soluzioni di IA, con particolare attenzione a quelli che possono incidere su salute, sicurezza e diritti fondamentali.
Le misure sono di carattere tecnico e organizzativo e mirano a mitigare i rischi lungo tutto il ciclo di vita del sistema di IA in via proporzionale alla gravità, al possibile impatto e al costo della loro attuazione.
La valutazione dovrebbe includere:
- determinazione della propensione al rischio;
- contesto in cui il sistema è progettato, sviluppato e utilizzato;
- identificazione dei rischi potenziali e loro documentazione;
- analisi delle componenti del sistema e delle minacce associate, tenuto conto del contesto interno ed esterno;
- analisi di probabilità e impatto;
- mitigazione mediante misure tecniche e organizzative, oppure decisioni di accettazione, evitamento o trasferimento del rischio.
La guida propone un elenco di elementi rilevanti nell’analisi del contesto interno ed esterno, delle componenti più comuni dei sistemi di IA, dei tipi di rischi più comuni, dei controlli più significativi e degli indicatori di efficacia, con esempi pratici utili all’interprete.
Sorveglianza umana: garantire controllo e autonomia
Guida sulla sorveglianza umana, per assicurare che il funzionamento dei sistemi sia adeguatamente sorvegliato e non comprometta l’autonomia umana, anche in coerenza con i requisiti di trasparenza e gestione dei rischi.
Le modalità di supervisione vanno considerate sin dal primo disegno del sistema, in coerenza con i rischi posti dallo stesso e con le capacità di cui è dotato.
La guida si conclude con la proposta di misure applicabili per soddisfare il requisito di sorveglianza umana e un rinvio alla documentazione tecnica necessaria a dimostrare il corretto adempimento.
Dati e governance: qualità, bias e categorie particolari
Guida su dati e governo dei dati, che propone un modello di implementazione volto a perseguire un’adeguata governance dei dati, in considerazione di quanto richiesto all’art. 10 dell’AI Act e di ulteriori integrazioni utili per assicurare completezza e coerenza del processo.
Le fasi delineate includono:
- definizione delle informazioni necessarie;
- raccolta dei dati;
- preparazione dei dati;
- misurazione e miglioramento della qualità dei dati;
- analisi delle distorsioni dei dati;
- trattamento di categorie particolari di dati personali.
Tra gli allegati si trovano esemplificazioni su metodi di raccolta, criteri di qualità e loro dimensioni, distorsioni dei dati (cause, tecniche di valutazione dei bias, misure di trattamento dei bias).
Trasparenza: istruzioni d’uso e informazioni da rendere
Guida sulla trasparenza, che articola le previsioni relative a disegno e sviluppo di sistemi trasparenti attraverso:
- definizione dei contenuti delle istruzioni d’uso;
- indicazione delle informazioni specifiche da rendere (dati di contatto, caratteristiche, capacità e limitazioni, variazioni, sorveglianza umana, ecc.);
- misure applicabili per perseguire la trasparenza, corredate da esempi pratici.
Accuratezza, robustezza e cybersicurezza: requisiti tecnici e log
Guida sull’accuratezza, Guida sulla robustezza e Guida sulla cybersicurezza affrontano i temi connessi a:
- definizione di un livello adeguato di accuratezza, da mantenersi lungo tutto il ciclo di vita con misure tecniche proporzionate;
- perseguimento di un livello adeguato di robustezza, con valutazioni su resistenza a errori, guasti e incoerenze, piani di resilienza, backup e test, e precisazioni per i sistemi che proseguono l’apprendimento dopo la messa in servizio;
- definizione di livelli di sicurezza informatica adeguati, con misure per prevenire e controllare manipolazioni dei dati, proteggere verso attacchi comuni e gestire eventuali difetti del sistema.
Strettamente connessa a tali guide è la Guida sulla gestione delle registrazioni, intese come raccolta automatica degli eventi log nel ciclo di vita del sistema.
La guida indica quali informazioni devono essere raccolte e documentate, nonché le modalità di conservazione ed eliminazione delle stesse.
Incidenti e monitoraggio post-mercato: gestione e indicatori
Guida sulla notifica di incidenti gravi, volta a supportare l’individuazione del corretto processo di gestione degli incidenti gravi.
Guida sul monitoraggio post immissione sul mercato, dedicata alla definizione di un sistema di sorveglianza post-immissione proporzionato alle caratteristiche del sistema di IA.
Il sistema è alimentato da indicatori selezionati (ad esempio alert automatizzati o interfacce di analisi a disposizione del personale) e da dati forniti dai deployer, ed è attuato tramite un monitoraggio continuo e/o periodico.
La guida contiene anche un approfondimento sui diversi indicatori di monitoraggio, in chiave esemplificativa e non esaustiva.
Documentazione tecnica e checklist: la parte “operativa”
Guida sulla documentazione tecnica, dedicata all’elaborazione, alla conservazione e all’aggiornamento della documentazione tecnica di un sistema di IA, inclusi i contenuti minimi.
A completamento, nel set di documenti è disponibile un insieme di checklist di autovalutazione dedicate a ciascuno dei temi affrontati nelle guide: qualità, gestione dei rischi, sorveglianza umana, governo del dato, trasparenza, accuratezza, robustezza e cybersicurezza, log, gestione degli incidenti, monitoraggio post immissione sul mercato, documentazione tecnica, con un esempio pratico illustrativo.
Perché sono utili per chi progetta e gestisce IA
Le linee guida di AESIA possono essere considerate strumenti di supporto efficaci nella progettazione e gestione di sistemi di IA, grazie alla loro struttura modulare, all’attenzione agli aspetti tecnici e organizzativi e all’inclusione di numerosi esempi pratici, che facilitano l’interpretazione e l’implementazione del quadro regolatorio europeo in materia di IA.
