L'esenzione dell'articolo 6(3)

Tutti citano l'allegato III. Quasi nessuno legge l'articolo 6(3), che sta subito sotto e può far uscire del tutto un sistema dalla categoria dell'alto rischio.

È il paragrafo più decisivo dell'intero regolamento sull'IA per le piccole aziende, e viene mancato di continuo - dai fondatori, dai consulenti e dalla maggior parte degli strumenti di classificazione gratuiti oggi online. Il risultato sono team che mettono a budget valutazioni della conformità, organismi notificati e marcature CE che forse non dovranno mai.

Che cosa dice

Un sistema che rientra in un'area dell'allegato III non è ad alto rischio se non presenta un rischio significativo di danno alla salute, alla sicurezza o ai diritti fondamentali, anche perché non influenza in modo rilevante il risultato del processo decisionale. Vale quando è soddisfatta almeno una di queste quattro condizioni:

È sulla profilazione che si decide quasi ogni caso

Proprio perché è assoluta, è la domanda a cui rispondere per prima. La profilazione ai sensi dell'articolo 4(4) del GDPR, a cui il regolamento sull'IA si aggancia, è il trattamento automatizzato di dati personali per valutare aspetti personali di una persona fisica, in particolare per analizzare o prevedere il rendimento sul lavoro, la situazione economica, la salute, le preferenze, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti.

La trappola: i team leggono «profilazione» come «costruire un dossier». È molto più ampia. Valutare o prevedere qualunque cosa su una persona a partire dai suoi dati è profilazione, anche una sola volta, anche in modo transitorio, anche se il risultato non lo conservi mai.

Lo schema è questo: la persona è l'oggetto della valutazione, oppure lo è qualcos'altro? Documenti, decisioni, trascrizioni e processi si possono analizzare liberamente. Nel momento in cui l'output è un giudizio su un essere umano, stai profilando.

L'altra trappola: «influenzare in modo rilevante il risultato»

Anche senza profilazione, l'esenzione richiede che il sistema non influenzi in modo rilevante il processo decisionale. Due modi in cui i team si convincono di essere a posto e non dovrebbero:

«La decisione finale la prende una persona.» Formalmente vero, spesso privo di significato. Se il tuo sistema presenta una rosa ordinata e la persona sceglie tra i primi tre nel novantacinque per cento dei casi, il sistema sta influenzando in modo rilevante il risultato. I regolatori guardano a quello che succede davvero, non a dove sta il pulsante. Se hai i dati sui tassi di scostamento, guardali prima di appoggiarti a questo argomento.

«È solo un suggerimento.» Un suggerimento che viene seguito per impostazione predefinita è una decisione con qualche passaggio in più. Il criterio della lettera c) è esplicito: il sistema non deve influenzare la valutazione umana in assenza di un riesame adeguato. Riesame adeguato vuol dire che chi rivede ha le informazioni, il tempo e l'autorità per dissentire, e che qualche volta lo fa.

L'esenzione non è gratis

È la parte che viene saltata, ed è quella che trasforma una buona posizione in una cattiva.

Un fornitore che conclude che il proprio sistema è esente ai sensi del 6(3) deve documentare quella valutazione prima di immettere il sistema sul mercato, e deve comunque registrare il sistema nella banca dati dell'UE. L'autorità competente può chiedere la documentazione. Quindi l'esenzione toglie gli obblighi pesanti del capo III - gestione dei rischi, fascicolo tecnico, valutazione della conformità, marcatura CE - ma non è silenzio. È una posizione più leggera, e documentata.

Un esempio svolto

Un'azienda di undici persone vende agli ospedali un software che legge le lettere di invio in arrivo e le smista al reparto giusto.

Allegato III? Sì - l'accesso alle cure può rientrare nei servizi essenziali, e qui si toccano i percorsi dei pazienti.

Quale lettera? La a), compito procedurale ristretto. Classifica un documento per materia e lo inoltra.

Profilazione? No. Legge il contenuto clinico della lettera e lo abbina a un reparto. Non si forma nessuna opinione sul paziente - né sull'urgenza, né sul rischio, né sulla probabilità che si presenti.

Influenza rilevante? No. Un clinico rivede ogni invio all'arrivo a prescindere dallo smistamento, e le lettere finite nel posto sbagliato vengono riassegnate ogni giorno.

Conclusione: probabilmente esente. Documentalo, registralo, vai avanti.

Adesso cambia una cosa sola. L'azienda aggiunge una funzione che marca gli invii come «probabilmente urgenti» sulla base della storia clinica del paziente. Quella è una previsione sulla salute di una persona: profilazione. L'esenzione si chiude all'istante e il sistema è ad alto rischio, con l'intero pacchetto del capo III da soddisfare entro il 2 dicembre 2027.

Una funzione. Stesso prodotto, stessi clienti, stesso team. È con questa velocità che la cosa si muove, ed è per questo che la valutazione va rifatta ogni volta che il prodotto cambia.

Come fare la verifica

1. Accertati di essere davvero in un'area dell'allegato III. Se non lo sei, il 6(3) è irrilevante - non sei mai stato ad alto rischio.
2. Fatti per prima la domanda sulla profilazione. È assoluta, quindi un sì chiude l'analisi e ti risparmia il resto.
3. Individua su quale lettera ti appoggi. Ne basta una, ma va nominata. «È abbastanza ristretto» non è una lettera.
4. Metti sotto pressione l'influenza rilevante. Se hai i tassi reali di scostamento, guardali.
5. Mettilo per iscritto, mettici la data, registra il sistema.
6. Rifallo quando il prodotto cambia. Mettilo nella revisione della roadmap, non in una cartella.

Domande frequenti

Che cos'è l'esenzione dell'articolo 6(3)?

L'articolo 6(3) prevede che un sistema che rientra in un'area dell'allegato III non sia ad alto rischio se non presenta un rischio significativo di danno alla salute, alla sicurezza o ai diritti fondamentali, quando svolge un compito procedurale ristretto, migliora il risultato di un'attività umana già completata, rileva schemi decisionali senza sostituire la valutazione umana o svolge un compito preparatorio. L'esenzione non si applica mai se il sistema effettua la profilazione di persone fisiche.

Che cosa conta come profilazione ai sensi del regolamento sull'IA?

Profilazione significa trattamento automatizzato di dati personali per valutare aspetti personali di una persona fisica, in particolare per analizzare o prevedere il rendimento sul lavoro, la situazione economica, la salute, le preferenze, l'affidabilità, il comportamento o l'ubicazione. Valutare o prevedere qualunque cosa su una persona a partire dai suoi dati è profilazione, anche in modo transitorio e anche se il risultato non viene conservato.

Se si applica l'articolo 6(3), ho comunque degli obblighi?

Sì. Un fornitore che si appoggia all'esenzione deve documentare la valutazione prima di immettere il sistema sul mercato, e deve comunque registrare il sistema nella banca dati dell'UE. L'esenzione toglie gli obblighi ad alto rischio del capo III, come la gestione dei rischi, la documentazione tecnica, la valutazione della conformità e la marcatura CE, ma resta una posizione documentata, non il silenzio.

Se la decisione finale la prende una persona, l'articolo 6(3) si applica?

Non di per sé. Il criterio è se il sistema influenzi in modo rilevante il risultato. Se un sistema produce una graduatoria che la persona segue nella grande maggioranza dei casi, sta influenzando in modo rilevante la decisione a prescindere da chi prema il pulsante. L'articolo 6(3)(c) richiede che la valutazione umana non sia influenzata in assenza di un riesame adeguato.