Industries We Serve

Che cosa rientra nell'ambito di applicazione e come viene classificato

• La valutazione del merito creditizio e il credit scoring delle persone fisiche sono indicati nell'allegato III, punto 5, lettera b). Accanto vi figurano la valutazione del rischio e la tariffazione nelle assicurazioni vita e malattia.
• Il rilevamento delle frodi, il monitoraggio antiriciclaggio delle transazioni e il rischio di modello interno restano, nella maggior parte delle configurazioni, fuori dall'allegato III e sono raggiunti invece attraverso MaRisk e DORA.
• L'articolo 6, paragrafo 3, consente a un sistema elencato nell'allegato III di restare fuori dalla categoria ad alto rischio quando non influenza materialmente l'esito di una decisione. Se ciò valga è un accertamento da compiere per ciascun sistema, da documentare e non da presumere.

Le scadenze applicabili

• 18 Dic 2025 DORA — Orientamenti della BaFin sui rischi TIC nell'uso dell'IA presso le entità finanziarie (già applicabile)
• 29 Lug 2026 KI-MIG — Inizio dell'applicazione, dopo la pubblicazione nel Bundesgesetzblatt del 28 luglio 2026 (già applicabile)
• 2 Dic 2027 EU AI Act — Obblighi per l'alto rischio relativi ai sistemi autonomi dell'allegato III

Che cosa chiede di vedere un'autorità di vigilanza

• Un fascicolo di conformità per ciascun sistema ad alto rischio: gestione dei rischi, governance dei dati, documentazione tecnica, registrazione e la sorveglianza umana effettivamente in essere.
• Per la BaFin ai sensi di DORA, ogni sistema di IA iscritto nell'inventario degli asset TIC con supervisione del ciclo di vita — dall'acquisizione dei dati fino alla dismissione — e riportato nel registro delle informazioni.
• La prova che i documenti GDPR, DORA ed EU AI Act esistono separatamente. Una DPIA ai sensi dell'articolo 35 non è un fascicolo di conformità, e nessuno dei due assolve l'altro.

Che cosa fornisce Alleina a questo scopo

Due trappole che questo settore incontra più spesso. Una modifica sostanziale fa ripartire il termine di conformità, perciò un sistema che si affida al regime transitorio per i modelli già immessi sul mercato può perderlo con un normale riaddestramento. E quando la documentazione di conformità di un fornitore terzo è incompleta, gli obblighi dell'istituto deployer non vengono meno — trasmettere la documentazione non trasmette con essa la responsabilità.

Che cosa rientra nell'ambito di applicazione e come viene classificato

• L'allegato III, punto 2, indica l'IA utilizzata come componente di sicurezza nella gestione e nel funzionamento delle infrastrutture digitali critiche e della fornitura di acqua, gas, riscaldamento ed elettricità.
• La previsione di carico e domanda, la manutenzione predittiva e l'ottimizzazione del trading non ne sono automaticamente escluse. Se un modello sia un componente di sicurezza dipende da che cosa si guasta se sbaglia: è una questione di perimetro, non un'esenzione acquisita.
• I fornitori di energia tedeschi hanno inoltre obblighi derivanti dall'EnWG che riguardano il processo anziché il modello — tra questi la trasparenza sulle variazioni di prezzo e la responsabilità di bilanciamento.

Le scadenze applicabili

• 6 Dic 2025 NIS2 / BSIG — Inizio dell'applicazione della legge tedesca di attuazione, senza periodo transitorio (già applicabile)
• 29 Lug 2026 KI-MIG — Inizio dell'applicazione, dopo la pubblicazione nel Bundesgesetzblatt del 28 luglio 2026 (già applicabile)
• 2 Dic 2027 EU AI Act — Obblighi per l'alto rischio relativi ai sistemi autonomi dell'allegato III

Che cosa chiede di vedere un'autorità di vigilanza

• Una registrazione difendibile di quali modelli siano stati valutati come componenti di sicurezza e quali no, con la motivazione e la data.
• Per i gestori che rientrano in NIS 2, le misure di gestione dei rischi di cibersicurezza e il calendario scaglionato di segnalazione degli incidenti, con la registrazione presso il BSI completata.
• La continuità fra i due: un incidente di IA in un sistema di controllo è spesso soggetto a segnalazione ai sensi di NIS 2 prima ancora che scatti un obbligo dell'EU AI Act.

Che cosa fornisce Alleina a questo scopo

Che cosa rientra nell'ambito di applicazione e come viene classificato

• L'IA che fa parte di un dispositivo disciplinato dall'MDR o dall'IVDR è raggiunta attraverso l'allegato I, e la sua conformità passa per la via esistente della sicurezza dei prodotti e per il suo organismo notificato, anziché affiancarla.
• L'IA sanitaria autonoma che non è un dispositivo medico — triage, ammissibilità e accesso ai servizi sanitari essenziali — è raggiunta invece attraverso l'allegato III, alla scadenza più vicina.
• La stessa idea clinica può ricadere da una parte o dall'altra a seconda della sua destinazione d'uso, il che ne fa una questione di classificazione e non una formalità.

Le scadenze applicabili

• 25 Mag 2018 GDPR — Inizio dell'applicazione in tutta l'UE (già applicabile)
• 29 Lug 2026 KI-MIG — Inizio dell'applicazione, dopo la pubblicazione nel Bundesgesetzblatt del 28 luglio 2026 (già applicabile)
• 2 Ago 2028 EU AI Act — Obblighi per l'alto rischio relativi ai sistemi dell'allegato I integrati in prodotti regolamentati

Che cosa chiede di vedere un'autorità di vigilanza

• Per i dispositivi dell'allegato I, le prove ai sensi dell'EU AI Act integrate nella documentazione tecnica e nel sistema di gestione della qualità esistenti, anziché archiviate come un insieme parallelo.
• Per i sistemi dell'allegato III, un fascicolo di conformità autonomo e una valutazione d'impatto sui diritti fondamentali quando il deployer è un organismo pubblico o un fornitore di servizi essenziali.
• Il trattamento di categorie particolari di dati ai sensi dell'articolo 9 del GDPR, documentato in modo indipendente da entrambi.

Che cosa fornisce Alleina a questo scopo

Le due scadenze sono il 2 dicembre 2027 per i sistemi autonomi dell'allegato III e il 2 agosto 2028 per l'IA integrata in un prodotto dell'allegato I. Un portafoglio che contiene entrambi porta entrambe.

Che cosa rientra nell'ambito di applicazione e come viene classificato

• Un'azienda di software che rilascia una funzionalità costruita su un modello è spesso un fornitore e non soltanto un deployer, e gli obblighi del fornitore sono l'insieme più oneroso.
• L'articolo 50 sulla trasparenza si applica adesso: informare la persona che sta interagendo con un sistema di IA e marcare i contenuti generati dall'IA. Gli obblighi per i modelli di IA per finalità generali si applicano da agosto 2025.
• Le funzionalità di selezione del personale e HR sono indicate nell'allegato III, punto 4, il che le colloca nella categoria ad alto rischio alla scadenza del 2027 e non a quella già in vigore.

Le scadenze applicabili

• 29 Lug 2026 KI-MIG — Inizio dell'applicazione, dopo la pubblicazione nel Bundesgesetzblatt del 28 luglio 2026 (già applicabile)
• 2 Ago 2026 EU AI Act — Applicazione generale, compresi gli obblighi di trasparenza dell'articolo 50 (già applicabile)
• 2 Dic 2026 Digital Omnibus on AI — Nuovi divieti all'articolo 5 relativi all'IA che genera immagini intime non consensuali o materiale pedopornografico

Che cosa chiede di vedere un'autorità di vigilanza

• Informativa e marcatura dei contenuti realizzate nel prodotto e documentate, non descritte in una policy.
• Per i modelli per finalità generali, documentazione tecnica, una sintesi dei dati di addestramento e una policy sul diritto d'autore.
• Un inventario che distingua per ogni sistema il ruolo di fornitore da quello di deployer, perché gli obblighi differiscono e una stessa organizzazione è abitualmente entrambi.

Che cosa fornisce Alleina a questo scopo

È il settore in cui il rinvio cambia meno. Trasparenza, divieti e obblighi sui modelli per finalità generali non sono stati toccati dall'Omnibus e sono esigibili oggi.

Che cosa rientra nell'ambito di applicazione e come viene classificato

• L'allegato III, punto 5, indica l'IA utilizzata per valutare il merito creditizio o per determinare l'ammissibilità a servizi privati essenziali. La selezione degli inquilini, lo scoring di sostenibilità del canone e le pre-verifiche di mutuo o finanziamento sono le forme che ciò assume nell'immobiliare.
• I modelli di valutazione automatizzata usati per fissare un prezzo, e non per decidere su una persona determinata, pongono una questione diversa: sono oggetto di perimetrazione, non inclusi né esclusi per presunzione.
• In Germania l'AGG vieta già oggi la selezione discriminatoria nelle locazioni, indipendentemente da quanto vi aggiunge l'EU AI Act.

Le scadenze applicabili

• 25 Mag 2018 GDPR — Inizio dell'applicazione in tutta l'UE (già applicabile)
• 29 Lug 2026 KI-MIG — Inizio dell'applicazione, dopo la pubblicazione nel Bundesgesetzblatt del 28 luglio 2026 (già applicabile)
• 2 Dic 2027 EU AI Act — Obblighi per l'alto rischio relativi ai sistemi autonomi dell'allegato III

Che cosa chiede di vedere un'autorità di vigilanza

• Quando una decisione di selezione è automatizzata, va documentata la posizione ai sensi dell'articolo 22 del GDPR — base giuridica, informazioni significative sulla logica utilizzata e la via per l'intervento umano. Vale adesso, non dal 2027.
• Test di equità sulle caratteristiche protette, conservati e datati, che sono anche ciò che una contestazione fondata sull'AGG richiede.
• Una traccia del riesame umano che dimostri che una persona poteva modificare un esito e lo ha fatto, anziché una ratifica formale.

Che cosa fornisce Alleina a questo scopo

Il lavoro legato all'EU AI Act qui estende controlli che un'attività di locazione o di finanziamento è già tenuta a esercitare ai sensi del GDPR e dell'AGG. Raramente si tratta di un programma nuovo.