Articolo 10 del regolamento europeo sull'IA: i requisiti di governance dei dati spiegati

Aggiornamento del 2 ottobre 2026 — correzione. Le versioni precedenti citavano i paragrafi sbagliati dell'articolo 10, affermavano che il regolamento impone di tenere i dati di prova separati dai dati di addestramento e che i sistemi già in produzione devono conformarsi entro il 2 dicembre 2027. La guida ora cita l'articolo 10, paragrafo 2, per la governance e l'esame dei bias e l'articolo 10, paragrafo 3, per la qualità dei dati, e segue l'articolo 111, paragrafo 2, come modificato dal Digital Omnibus, per i sistemi già presenti sul mercato.

Aggiornamento del 31 luglio 2026 — scadenza modificata. Il Digital Omnibus (adottato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno 2026) ha rinviato gli obblighi relativi ai sistemi ad alto rischio dell'allegato III dal 2 agosto 2026 al 2 dicembre 2027. Gli obblighi di trasparenza dell'articolo 50 non sono stati rinviati e continuano ad applicarsi dal 2 agosto 2026. Questo articolo è stato corretto di conseguenza. Se il suo sistema di IA è classificato ad alto rischio ai sensi del regolamento europeo sull'IA, l'articolo 10 non è negoziabile. Impone pratiche specifiche di governance dei dati per i set di dati di addestramento, convalida e prova, e questi obblighi si applicano dal 2 dicembre 2027. Il massimo previsto dalla legge è di 15 milioni di euro o del 3 % del fatturato annuo mondiale, se superiore — e, per le PMI, l'importo inferiore.

La maggior parte dei team presume che «abbiamo la tracciabilità dei dati» equivalga alla conformità. Non è così. L'articolo 10 richiede scelte progettuali documentate, misure di attenuazione dei bias e le proprietà statistiche di ogni set di dati usato per addestrare o convalidare un sistema ad alto rischio.

Questa guida illustra che cosa richiede davvero l'articolo 10, a quali sistemi si applica e come documentare la conformità prima della scadenza.

Che cosa richiede l'articolo 10

L'articolo 10 si applica ai sistemi di IA ad alto rischio elencati nell'allegato III (ad esempio strumenti di selezione del personale, scoring creditizio, identificazione biometrica, gestione di infrastrutture critiche) e a quelli classificati ad alto rischio tramite l'allegato I. Impone che i dati di addestramento, convalida e prova soddisfino criteri di qualità specifici (regolamento (UE) 2024/1689, articolo 10):

Requisito	Che cosa significa	Documentazione necessaria
Pertinenti, sufficientemente rappresentativi, esenti da errori e completi — gli ultimi due «nella misura del possibile» (articolo 10, paragrafo 3)	I dati devono rispecchiare il caso d'uso reale senza lacune sistematiche	Relazione sulla composizione del set di dati con la copertura demografica e geografica
Proprietà statistiche appropriate (articolo 10, paragrafo 3)	I dati devono avere volume, varianza ed equilibrio sufficienti per il compito	Sintesi statistica: dimensione del campione, distribuzione delle classi, misure di varianza
Esame dei bias (articolo 10, paragrafo 2, lettere f) e g))	Deve cercare attivamente e documentare i bias che potrebbero portare a esiti discriminatori	Relazione di audit sui bias con le misure di attenuazione (ricampionamento, vincoli di equità ecc.)
Governance e gestione dei dati (articolo 10, paragrafo 2)	Processi formali di raccolta, etichettatura, conservazione e versionamento dei dati	Documento di politica di governance dei dati + pista di controllo delle versioni dei set di dati

L'articolo 10 non prescrive test statistici o metriche di bias specifici. È intenzionale: il regolamento è neutrale sotto il profilo tecnologico. Richiede però che lei documenti le proprie scelte e spieghi perché sono adeguate al profilo di rischio del suo sistema.

A chi si applica l'articolo 10

Gli obblighi dell'articolo 10 gravano sui fornitori di sistemi di IA ad alto rischio, cioè sul soggetto che sviluppa il sistema o lo fa sviluppare e lo immette sul mercato dell'UE con il proprio nome o marchio.

Se lei è un deployer (un'organizzazione che utilizza un sistema ad alto rischio sviluppato da altri), la conformità all'articolo 10 è responsabilità del fornitore. Il suo obbligo è più circoscritto: nella misura in cui esercita il controllo sui dati di input, deve garantire che siano pertinenti e sufficientemente rappresentativi alla luce della finalità prevista del sistema (articolo 26, paragrafo 4). Conviene comunque chiedere al fornitore prove del lavoro svolto ai sensi dell'articolo 10, soprattutto se opera in un settore regolamentato (finanza, sanità, servizi pubblici).

Se è una start-up o una scale-up che costruisce la propria IA, lei è il fornitore. L'articolo 10 si applica per intero.

Le cinque pratiche di governance dei dati richieste dall'articolo 10

1. Le scelte di progettazione del set di dati vanno documentate

Perché ha scelto questo set di dati? Quale popolazione o scenario reale rappresenta? Quali sono i suoi limiti noti?

Esempio: se sta costruendo uno strumento di selezione dei curriculum basato su IA (allegato III, categoria 4), i dati di addestramento devono rappresentare la reale popolazione di candidati che incontrerà. Se il suo set di dati è composto per l'80 % da curriculum maschili provenienti da ruoli tecnologici e utilizza il sistema per selezionare candidati in ambito sanitario, il set di dati non sembra soddisfare l'articolo 10, paragrafi 3 e 4, che richiedono dati sufficientemente rappresentativi e che tengano conto del contesto in cui il sistema è destinato a essere usato.

Che cosa documentare:

• Fonte e metodologia di raccolta del set di dati
• Copertura geografica, demografica e settoriale
• Lacune note o gruppi sottorappresentati
• Motivazione della scelta del set di dati

2. Le proprietà statistiche devono essere appropriate

«Appropriate» significa sufficienti rispetto al livello di rischio e alla complessità del compito. Un modello di scoring creditizio ad alto rischio richiede una convalida statistica più rigorosa di un motore di raccomandazione di contenuti a basso rischio.

Che cosa documentare:

• Dimensione del campione e criterio con cui è stata stabilita
• Distribuzione delle classi (ad esempio 60 % di prestiti approvati, 40 % di rifiuti)
• Analisi della varianza e della correlazione delle variabili
• Rapporti e metodologia di suddivisione tra addestramento, convalida e prova

Se il suo set di dati è sbilanciato (ad esempio 95 % di classe negativa), documenti perché ciò rispecchia la realtà e quali misure ha adottato per evitare che il modello ignori la classe minoritaria (campionamento stratificato, ponderazione delle classi, SMOTE ecc.).

3. L'esame dei bias è obbligatorio

L'articolo 10, paragrafo 2, lettera f), impone espressamente «un esame atto a valutare le possibili distorsioni» suscettibili di incidere sulla salute e sulla sicurezza, di avere un impatto negativo sui diritti fondamentali o di comportare discriminazioni vietate dal diritto dell'Unione (per motivi quali origine etnica, sesso, età o disabilità). L'articolo 10, paragrafo 2, lettera g), richiede poi misure adeguate per individuare, prevenire e attenuare le distorsioni rilevate.

Non è facoltativo. Deve cercare attivamente i bias, documentare quanto ha rilevato e spiegare la sua strategia di attenuazione.

Passaggi pratici:

• Segmenti il set di dati per attributi protetti (se disponibili) e misuri le differenze di prestazione
• Usi metriche di equità (parità demografica, equalized odds, calibrazione) adeguate al suo caso d'uso
• Documenti le differenze rilevate e le misure correttive adottate (riequilibrio, vincoli di equità, post-elaborazione)
• Se gli attributi protetti non figurano nel suo set di dati, documenti un'analisi per variabili indirette (ad esempio il codice postale come approssimazione dell'origine etnica nei dati creditizi statunitensi)
• Se per rilevare e correggere i bias occorrono categorie particolari di dati personali (come l'origine etnica o la salute), il regolamento ne consente il trattamento solo in via eccezionale, nella misura strettamente necessaria e a condizioni rigorose. Questa regola era l'articolo 10, paragrafo 5; dal Digital Omnibus è l'articolo 4 bis, paragrafo 1 (regolamento (UE) 2026/1744)

Esempio: un'IA per le assunzioni addestrata su dati storici può apprendere che le «interruzioni di carriera» sono correlate al rifiuto; ma se le donne hanno maggiori probabilità di interruzioni per congedo parentale, il modello incorpora un bias di genere. L'articolo 10 impone di rilevarlo e attenuarlo.

4. I processi di governance dei dati vanno formalizzati

L'articolo 10, paragrafo 2, richiede «pratiche di governance e gestione dei dati» adeguate alla finalità prevista del sistema: non semplici buone intenzioni, ma processi documentati. Elenca ciò che devono coprire, dalle scelte progettuali, la raccolta e la preparazione dei dati fino all'individuazione delle lacune nei dati.

Documentazione minima:

• Politica di raccolta dei dati (chi può aggiungere dati e a quali condizioni)
• Linee guida di etichettatura e controllo della qualità (punteggi di accordo tra annotatori, audit delle etichette)
• Versionamento e tracciabilità dei dati (quale versione del modello è stata addestrata su quale versione del set di dati)
• Controlli di accesso e registri di audit (chi ha avuto accesso ai dati di addestramento, quando e perché)

Se riaddestra il modello su nuovi dati, deve ripetere l'analisi ai sensi dell'articolo 10 per il set di dati aggiornato. Una conformità una tantum non basta.

5. I dati di prova devono essere rappresentativi — e dovrebbero essere indipendenti

I criteri di qualità dell'articolo 10, paragrafo 3 — pertinenti, sufficientemente rappresentativi e, nella misura del possibile, esenti da errori e completi — si applicano ai set di dati di prova come ai set di dati di addestramento e convalida. Per un sistema che non è addestrato su dati, l'articolo 10, paragrafo 6, applica i requisiti sui dati soltanto ai set di dati di prova.

L'articolo 10 non impone di per sé di tenere i dati di prova separati dai dati di addestramento. Il regolamento definisce però i dati di prova come dati utilizzati per «una valutazione indipendente» del sistema prima della sua immissione sul mercato (articolo 3, punto 32). Un modello valutato sugli stessi dati con cui è stato addestrato non ha avuto quella valutazione indipendente: tenere separati i due insiemi è quindi sia igiene di base nell'apprendimento automatico sia la lettura sostenuta dalla definizione.

Che cosa documentare:

• Come ha garantito l'indipendenza dei dati di prova (suddivisione temporale, campione di controllo stratificato ecc.)
• Perché il suo set di prova rappresenta le condizioni reali di impiego
• Le prestazioni sul set di prova disaggregate per sottogruppi (per rilevare impatti differenziati)

Lacune di conformità ricorrenti sull'articolo 10

La maggior parte dei team che costruiscono IA ad alto rischio ha alcune pratiche di governance dei dati. Pochi però hanno la documentazione richiesta dall'articolo 10. Ecco le lacune più frequenti:

• Nessuna documentazione dell'esame dei bias — i team calcolano metriche di equità ma non documentano i risultati né le misure di attenuazione
• Nessuna motivazione della progettazione del set di dati — i team usano «i dati che avevano» senza documentare perché siano appropriati
• Nessun versionamento né tracciabilità — i team riaddestrano i modelli ma non riescono a risalire a quale versione del set di dati abbia prodotto quale versione del modello
• Nessuna giustificazione statistica — i team non documentano perché la dimensione del campione, l'equilibrio delle classi o l'insieme delle variabili siano sufficienti per quel livello di rischio
• Nessuna politica di governance formale — le pratiche esistono in modo informale, ma non sono messe per iscritto né verificabili

Come documentare la conformità all'articolo 10

La conformità all'articolo 10 si dimostra attraverso la documentazione tecnica (richiesta dall'articolo 11, con le schede tecniche dei dati elencate nell'allegato IV, punto 2, lettera d)). Come minimo servono:

1. Un documento di specifica del set di dati — per ciascun set (addestramento, convalida, prova):

   • Fonte, data e metodologia di raccolta
   • Dimensione, struttura e proprietà statistiche
   • Limiti e lacune noti
   • Risultati dell'esame dei bias e misure di attenuazione

2. Una politica di governance dei dati — a livello di organizzazione:

   • Standard di raccolta ed etichettatura dei dati
   • Tracciamento delle versioni e della provenienza
   • Controlli di accesso e procedure di audit
   • Criteri che attivano riaddestramento e rivalutazione

3. Una scheda del modello o documentazione tecnica — per ciascun modello:

   • Quali set di dati sono stati usati (con gli hash di versione)
   • Perché quei set di dati sono appropriati per il caso d'uso
   • Le prestazioni sul set di prova, complessive e per sottogruppo
   • I rischi residui e il piano di monitoraggio

Questi documenti devono essere mantenuti e aggiornati per l'intero ciclo di vita del sistema. Se riaddestra, aggiorna la documentazione. Se scopre un nuovo bias, lo documenta insieme alla risposta adottata.

L'articolo 10 e la scadenza di dicembre 2027

Gli obblighi dell'articolo 10 si applicano dal 2 dicembre 2027 per i sistemi di IA ad alto rischio dell'allegato III e dal 2 agosto 2028 per quelli classificati ad alto rischio tramite l'allegato I.

Un sistema già immesso sul mercato o messo in servizio prima di tale data non rientra nei requisiti per l'alto rischio, a meno che la sua progettazione non subisca modifiche significative a partire da quella data (articolo 111, paragrafo 2, come sostituito dal Digital Omnibus). Una modifica significativa della progettazione porta con sé l'articolo 10. Fanno eccezione i sistemi destinati a essere usati da autorità pubbliche: i loro fornitori e deployer devono conformarsi entro un termine distinto fissato dall'articolo 111, paragrafo 2, che la progettazione cambi o no.

Se lancia un nuovo sistema ad alto rischio dopo il 2 dicembre 2027, la conformità all'articolo 10 è richiesta prima dell'immissione sul mercato.

La data operativa è il 2 dicembre 2027. Il massimo previsto dalla legge per la violazione degli obblighi degli operatori di sistemi ad alto rischio è di 15 milioni di euro o del 3 % del fatturato mondiale ai sensi dell'articolo 99, paragrafo 4 — e per le PMI all'importo inferiore. La fascia da 35 milioni di euro / 7 % dell'articolo 99, paragrafo 3, si applica soltanto alle pratiche vietate dell'articolo 5, che è tutt'altra cosa.

---

Questo articolo ha finalità puramente informative e non costituisce consulenza legale. Per orientamenti di conformità specifici sul suo sistema, si rivolga a un avvocato qualificato in materia di regolamento europeo sull'IA.