Art. 12 Reg. (UE) 2024/1689 — Conservazione delle registrazioni

Il requisito di logging nell'architettura di conformità AI Act

L'articolo 12 del Regolamento (UE) 2024/1689 (AI Act) introduce uno degli obblighi tecnici più rilevanti per i sistemi di IA ad alto rischio: la capacità di registrazione automatica degli eventi, comunemente denominata «logging». Questa previsione non è accessoria ma strutturale: senza una traccia affidabile del funzionamento del sistema, non è possibile verificare la conformità, indagare un malfunzionamento né esercitare una sorveglianza umana effettiva.

La norma si colloca nel Capo III, Sezione 2, dedicata ai requisiti tecnici dei sistemi ad alto rischio. Il fornitore è il soggetto primariamente responsabile del rispetto di questo obbligo in fase di progettazione e sviluppo, mentre il deployer ne beneficia sul piano operativo e ne risponde sul piano del monitoraggio durante l'uso (art. 26, par. 5).

Cosa devono registrare i log: la regola generale

Il paragrafo 2 dell'articolo 12 indica tre finalità a cui le capacità di registrazione devono servire in modo adeguato rispetto alla finalità del sistema:

• Individuazione di situazioni di rischio: il sistema deve consentire di riconoscere eventi che possano configurare un rischio ai sensi dell'art. 79, par. 1, o una modifica sostanziale del sistema stesso;
• Monitoraggio successivo all'immissione sul mercato (post-market monitoring, art. 72): i log devono fornire dati utili per valutare nel tempo le prestazioni del sistema e la sua costante conformità;
• Sorveglianza operativa da parte del deployer: in applicazione dell'art. 26, par. 5, il deployer deve poter monitorare il funzionamento del sistema durante il suo utilizzo.

Il principio di proporzionalità è esplicito: le capacità di log devono essere «adeguate alla finalità prevista del sistema». Ciò significa che un sistema ad alto rischio impiegato in ambito sanitario avrà requisiti di tracciabilità più stringenti rispetto a uno impiegato nella classificazione di candidature in un processo di selezione del personale, benché entrambi rientrino nell'allegato III.

I requisiti minimi per i sistemi biometrici (allegato III, punto 1, lettera a))

Il paragrafo 3 introduce una disciplina speciale e più dettagliata per i sistemi di identificazione biometrica remota di cui all'allegato III, punto 1, lettera a). Per questi sistemi — che presentano un rischio particolarmente elevato per i diritti fondamentali, inclusa la privacy — i log devono contenere almeno:

• Registrazione dei periodi di utilizzo: data e ora di inizio e di fine di ogni sessione di utilizzo;
• Banca dati di riferimento: quale archivio biometrico è stato consultato per la verifica;
• Dati di input con corrispondenza: i dati biometrici per i quali il sistema ha restituito una corrispondenza positiva;
• Identificativo dei verificatori umani: chi ha effettuato la verifica dei risultati ai sensi dell'art. 14, par. 5.

Questi requisiti minimi sono inderogabili. Il fornitore può prevedere log più estesi, ma non può ridurli al di sotto di questa soglia. Si noti che il legislatore ha scelto di non imporre un periodo minimo di conservazione direttamente nell'art. 12: tale aspetto è rimesso alla documentazione tecnica e al piano di monitoraggio post-mercato (allegato IV, art. 72).

Rapporto con gli obblighi del deployer e con il GDPR

Il logging crea un'interazione diretta tra gli obblighi del fornitore (progettare il sistema con le capacità tecniche adeguate) e quelli del deployer (utilizzare le funzionalità di log per monitorare il sistema in esercizio). In pratica, il fornitore deve consegnare un sistema che «sappia registrare», e il deployer deve assicurarsi che la funzione sia attivata e che i dati siano conservati in modo sicuro.

Quando i sistemi di IA ad alto rischio trattano dati biometrici o altri dati personali, i log stessi contengono dati personali e sono pertanto soggetti al Regolamento (UE) 2016/679 (GDPR). Il deployer, che nella maggior parte dei casi assume il ruolo di titolare del trattamento, dovrà definire una base giuridica per la conservazione dei log, fissare un periodo di retention adeguato, adottare misure di sicurezza appropriate (es. cifratura, controllo degli accessi) e, se richiesto, includere i log nella valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 GDPR.

Il raccordo tra i due regimi non è facoltativo: l'art. 27 AI Act — sulla valutazione d'impatto sui diritti fondamentali — prevede espressamente che tale valutazione integri, ove applicabile, la DPIA già effettuata ai sensi del GDPR, creando un sistema di compliance integrato.

Implicazioni operative per fornitore e deployer

Per il fornitore, l'art. 12 richiede che le specifiche tecniche del sistema includano, già nella fase di progettazione, moduli di logging conformi al regolamento. La documentazione tecnica (allegato IV) deve descrivere le capacità di registrazione, le tipologie di eventi tracciati e il formato dei log. È opportuno prevedere meccanismi di tamper-proofing che impediscano la modifica o cancellazione non autorizzata dei log, anche per garantire il valore probatorio degli stessi in caso di verifica da parte delle autorità di vigilanza del mercato.

Per il deployer, l'obbligo pratico si traduce in:

• Attivare e mantenere le funzioni di logging previste dal fornitore nelle istruzioni per l'uso;
• Definire policy interne di gestione, conservazione e accesso ai log;
• Garantire che i log siano disponibili per le autorità competenti su richiesta (art. 74 ss.);
• Integrare la gestione dei log nelle procedure di risposta agli incidenti e di segnalazione ai sensi dell'art. 73.

Le sanzioni per il mancato rispetto dei requisiti tecnici di cui alla Sezione 2 del Capo III rientrano nel regime dell'art. 99 AI Act, che prevede sanzioni amministrative pecuniarie significative sia per i fornitori sia, in taluni casi, per i deployer. L'assenza o l'inadeguatezza dei log può aggravare il giudizio dell'autorità di vigilanza, configurando una violazione sistematica degli obblighi di trasparenza e tracciabilità.