Sistema di gestione del rischio AI: da dove partire

Se hai un sistema IA ad alto rischio, l'art. 9 del Regolamento (UE) 2024/1689 (AI Act) ti chiede un sistema di gestione del rischio. Non un allegato da compilare e archiviare: un processo che vive per tutto il ciclo di vita del sistema. Chi lo tratta come un documento una tantum lo sta già facendo male.

Cosa dice davvero l'art. 9

L'art. 9 dell'AI Act descrive il sistema di gestione del rischio come un "processo iterativo continuo" da eseguire per l'intero ciclo di vita del sistema IA ad alto rischio, con riesami e aggiornamenti sistematici. Non basta farlo una volta in fase di progettazione: va ripetuto.

Le fasi minime richieste sono quattro. Identificazione dei rischi noti e ragionevolmente prevedibili che il sistema può generare per salute, sicurezza o diritti fondamentali. Stima e valutazione di quei rischi, anche sulla base dei dati raccolti dal monitoraggio post-market. Adozione di misure di gestione appropriate. Verifica dell'efficacia di queste misure dopo la messa in servizio, con eventuale revisione del sistema di gestione stesso alla luce dei dati raccolti.

l'art. 9 richiede esplicitamente che il sistema di gestione del rischio tenga conto delle informazioni raccolte tramite il monitoraggio post-market previsto dall'art. 72 dell'AI Act. Le due cose sono collegate per obbligo, non per buon senso.

Non sostituisce la valutazione rischi del Regolamento Macchine

Se produci macchine con componenti IA, hai già un obbligo di valutazione dei rischi ai sensi del Reg. (UE) 2023/1230. Quella valutazione copre la sicurezza fisica: schiacciamento, taglio, folgorazione, tutto ciò che può fare male a un corpo umano vicino alla macchina.

Il sistema di gestione del rischio dell'art. 9 AI Act copre un perimetro diverso: rischi per salute, sicurezza e diritti fondamentali generati specificamente dal comportamento del sistema IA. Pensa a un sistema di visione artificiale che classifica male un pezzo e fa proseguire un ciclo che non dovrebbe proseguire. Non è un rischio meccanico, è un rischio algoritmico con conseguenze fisiche.

I due processi si sovrappongono nel punto di contatto: dove il componente IA interagisce con parti meccaniche pericolose. Ma restano due processi distinti, con logiche e responsabili spesso diversi in azienda. Non puoi archiviare l'art. 9 dentro il fascicolo tecnico del Regolamento Macchine e considerarlo assolto.

Il monitoraggio post-market è la fase che salti a tuo rischio

La fase più sottovalutata è l'ultima: la verifica dopo la messa in servizio. Molte aziende costruiscono un bel processo di identificazione e stima in fase di progettazione, poi il sistema va in produzione e nessuno lo tocca più fino al prossimo audit.

Il problema è strutturale. Un sistema IA che funziona bene in laboratorio può derivare in produzione: cambia la distribuzione dei dati in ingresso, cambiano le condizioni operative, cambia il comportamento del modello nel tempo. Senza un monitoraggio post-market attivo, non lo sai finché non succede qualcosa di visibile.

l'art. 9 collega esplicitamente la revisione del sistema di gestione del rischio ai dati del monitoraggio post-market ex art. 72. Se non hai un processo di raccolta dati post-market funzionante, il tuo sistema di gestione del rischio è incompleto per definizione, non solo migliorabile.

Cosa significa per te

• Non trattare l'art. 9 come un documento: assegna un responsabile e una cadenza di riesame, anche solo trimestrale.
• Tieni separati (ma collegati) il registro rischi IA e la valutazione rischi del Reg. (UE) 2023/1230: stessa macchina, due logiche diverse.
• Costruisci fin da subito il canale di raccolta dati post-market: senza quello, la fase di verifica dell'art. 9 non esiste.
• Documenta ogni ciclo di revisione: data, dati esaminati, decisione presa. È quello che un organismo di controllo vorrà vedere.
• Verifica il testo completo dell'art. 9 su EUR-Lex prima di impostare il processo: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689

Clausify verifica che i manuali tecnici documentino correttamente anche questi processi, non solo i contenuti richiesti dalla EN IEC/IEEE 82079-1.