Politica di governo e uso responsabile dell’intelligenza artificiale – Life Sciences

1. Scopo e principi di IA responsabile

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

2. Inventario dei sistemi e casi d’uso

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

Ogni caso d’uso di IA deve essere registrato con responsabile, finalità, utenti, input, output, dati, modello, versione, fornitore e dipendenze. Nessun modello dovrebbe entrare in produzione o in un protocollo di ricerca senza un fascicolo minimo che ne renda possibile la valutazione e la sospensione.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

3. Destinazione d’uso e classificazione del rischio

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

La destinazione d’uso corrente deve essere richiamata nei materiali, nei manuali e nei processi di attivazione iniziale. Qualunque modifica che introduca una finalità medica, diagnostica, prognostica, predittiva o terapeutica richiede una nuova analisi di qualificazione del software e, se applicabile, un percorso MDR/IVDR e una rivalutazione ai sensi dell’AI Act.

La classificazione AI non dipende dal settore in astratto ma dalla destinazione d’uso, dal ruolo delle parti e dall’eventuale collegamento con prodotti regolamentati. Il registro interno deve distinguere sistemi sviluppati da UESE, sistemi di terzi e mere funzioni deterministiche, con riesame ogni volta che cambia finalità o integrazione.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

4. AI Act e quadro normativo applicabile

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

La classificazione AI non dipende dal settore in astratto ma dalla destinazione d’uso, dal ruolo delle parti e dall’eventuale collegamento con prodotti regolamentati. Il registro interno deve distinguere sistemi sviluppati da UESE, sistemi di terzi e mere funzioni deterministiche, con riesame ogni volta che cambia finalità o integrazione.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

5. Separazione tra RUO e funzioni cliniche

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

La destinazione d’uso corrente deve essere richiamata nei materiali, nei manuali e nei processi di attivazione iniziale. Qualunque modifica che introduca una finalità medica, diagnostica, prognostica, predittiva o terapeutica richiede una nuova analisi di qualificazione del software e, se applicabile, un percorso MDR/IVDR e una rivalutazione ai sensi dell’AI Act.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

6. Governance del modello e responsabilità

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

7. Qualità, provenienza e rappresentatività dei dati

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

Metadati, provenienza, tracciabilità della provenienza dei dati e qualità documentata sono essenziali per rendere i dataset interpretabili e verificabili. Errori di catalogazione possono propagarsi nelle analisi; la piattaforma supporta la tracciabilità ma la qualità scientifica della fonte rimane responsabilità dei soggetti che producono e validano il dato.

La qualità dei dati di addestramento e valutazione deve essere pertinente alla popolazione e al caso d’uso. Bias, drift, sottorappresentazione e qualità delle annotazioni devono essere monitorati; quando non sono disponibili dati sufficienti, il limite deve essere dichiarato e il modello non deve essere esteso oltre il perimetro validato.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

8. Documentazione tecnica e registri del modello

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

La documentazione è soggetta a controllo di versione e può essere aggiornata per riflettere evoluzioni tecniche, scientifiche o normative. Le banche dati importate dal cliente restano sotto la responsabilità del soggetto che ne dispone l’uso; l’esistenza di una funzione di importazione non attribuisce a UESE diritti sul contenuto né garantisce che la fonte possa essere riutilizzata.

Ogni output deve essere riconducibile alla versione del modello e alla configurazione che lo ha prodotto. Il Model Registry conserva almeno destinazione, versione, stato di validazione e riferimenti tecnici; modifiche sostanziali richiedono riesame, nuovi test e, se necessario, sospensione degli output precedenti.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

9. Sorveglianza umana e potere di veto

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

10. Accuratezza, robustezza e cybersecurity

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

Le informazioni pubbliche hanno finalità descrittiva e possono essere aggiornate senza preavviso quando non incidono su obblighi contrattuali già assunti. Specifiche, livelli di servizio e caratteristiche garantite devono risultare dai documenti sottoscritti; il cliente non deve fondare decisioni cliniche o regolatorie su materiale promozionale.

Le metriche devono essere scelte in funzione della finalità e non ridotte a un singolo valore aggregato. Robustezza e cybersecurity comprendono gestione di input anomali, dipendenze, availability, manipolazioni e fallimenti; soglie e condizioni di fall-back devono essere definite prima dell’uso operativo.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

11. Distorsioni, prestazioni e monitoraggio

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

La qualità dei dati di addestramento e valutazione deve essere pertinente alla popolazione e al caso d’uso. Bias, drift, sottorappresentazione e qualità delle annotazioni devono essere monitorati; quando non sono disponibili dati sufficienti, il limite deve essere dichiarato e il modello non deve essere esteso oltre il perimetro validato.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

12. Spiegabilità e comunicazione dei limiti

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

Le informazioni fornite all’utente devono essere sufficienti a comprendere finalità, input, natura del punteggio, principali limiti e condizioni di non utilizzo. La spiegabilità richiesta è proporzionata al rischio e al ruolo dell’utente; un punteggio numerico privo di contesto non è considerato spiegazione adeguata.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.

13. Gestione delle modifiche, versioni e validazione

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

La validazione deve essere proporzionata alla finalità: dati di test, criteri di accettazione, versione del software e delle dipendenze, riproducibilità e gestione delle modifiche devono essere documentati. La validazione di piattaforma non sostituisce quella del metodo analitico, del laboratorio o del protocollo scientifico.

Ogni output deve essere riconducibile alla versione del modello e alla configurazione che lo ha prodotto. Il Model Registry conserva almeno destinazione, versione, stato di validazione e riferimenti tecnici; modifiche sostanziali richiedono riesame, nuovi test e, se necessario, sospensione degli output precedenti.

Per implementazioni enterprise, la decisione deve essere tradotta in una matrice RACI, evidenze verificabili, criteri di accettazione, controlli tecnici e un riesame periodico; le eccezioni devono essere approvate, motivate, limitate nel tempo e tracciate.

14. Fornitori di IA e modelli di terzi

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

I destinatari devono essere limitati a persone autorizzate e fornitori necessari. Prima di affidare trattamenti a terzi vengono valutati ruolo, sicurezza, localizzazione, subfornitura e condizioni contrattuali; la catena di sub-responsabili è governata secondo l’art. 28 GDPR e le eventuali procedure di autorizzazione pattuite.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

Nei progetti sanitari o multicentrici, il requisito deve essere collegato al protocollo, al registro delle decisioni, alla DPIA o al fascicolo di sicurezza quando pertinenti, evitando che una configurazione tecnica sostituisca una valutazione giuridica o scientifica.

15. Incidenti, escalation e sospensione del modello

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

Gli eventi sono classificati per gravità e impatto, contenuti e documentati. Se UESE opera quale responsabile, notifica al titolare senza ingiustificato ritardo le violazioni di cui viene a conoscenza e fornisce le informazioni disponibili per consentire le valutazioni ex artt. 33 e 34 GDPR; le comunicazioni alle autorità restano in capo al soggetto competente.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

La conformità è un processo continuo: cambiamenti di finalità, dati, fornitori, motori, hosting, integrazioni o normativa richiedono una valutazione di impatto e, se necessario, aggiornamento di contratto, misure, istruzioni e documentazione.

16. Alfabetizzazione in materia di IA, riesame periodico e responsabilità del cliente

Le funzioni di intelligenza artificiale devono essere governate lungo l’intero ciclo di vita e ricondotte a una destinazione d’uso, a ruoli responsabili, a dati e versioni identificabili e a criteri di validazione documentati. Alla data di efficacia del presente quadro il Regolamento (UE) 2024/1689 è applicabile secondo il calendario del testo consolidato; la qualificazione degli obblighi deve essere effettuata sul caso concreto e riesaminata in presenza di modifiche normative o funzionali.

Le organizzazioni devono assicurare competenze adeguate a chi utilizza o supervisiona sistemi di IA. Formazione, manuali, incidenti, feedback e risultati delle verifiche alimentano il riesame periodico; l’uso di una piattaforma non sostituisce la responsabilità del cliente di organizzare ruoli e competenze.

La governance deve includere almeno inventario, responsabile, gestione controllata delle modifiche, criteri di validazione, monitoraggio, gestione degli incidenti e canale di escalation. Un modello di terzi non è automaticamente conforme perché commercialmente disponibile o largamente utilizzato.

UESE conserva evidenze proporzionate alla funzione e al rischio. L’organizzazione cliente rimane responsabile delle proprie autorizzazioni, dei protocolli, delle basi giuridiche e delle decisioni sanitarie o scientifiche che eccedono il perimetro del servizio affidato a UESE.