Articolo 10 del regolamento europeo sull'IA: i requisiti di governance dei dati spiegati

Aggiornamento del 31 luglio 2026 — scadenza modificata. Il Digital Omnibus (adottato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno 2026) ha rinviato gli obblighi relativi ai sistemi ad alto rischio dell'allegato III dal 2 agosto 2026 al 2 dicembre 2027. Gli obblighi di trasparenza dell'articolo 50 non sono stati rinviati e continuano ad applicarsi dal 2 agosto 2026. Questo articolo è stato corretto di conseguenza. Se il suo sistema di IA è classificato ad alto rischio ai sensi del regolamento europeo sull'IA, l'articolo 10 non è negoziabile. Impone pratiche specifiche di governance dei dati per i set di dati di addestramento, convalida e prova, e questi obblighi si applicano dal 2 dicembre 2027. Le sanzioni possono arrivare a 15 milioni di euro o al 3 % del fatturato annuo mondiale, se superiore.

La maggior parte dei team presume che «abbiamo la tracciabilità dei dati» equivalga alla conformità. Non è così. L'articolo 10 richiede scelte progettuali documentate, misure di attenuazione dei bias e le proprietà statistiche di ogni set di dati usato per addestrare o convalidare un sistema ad alto rischio.

Questa guida illustra che cosa richiede davvero l'articolo 10, a quali sistemi si applica e come documentare la conformità prima della scadenza.

Che cosa richiede l'articolo 10

L'articolo 10 si applica ai sistemi di IA ad alto rischio elencati nell'allegato III (ad esempio strumenti di selezione del personale, scoring creditizio, identificazione biometrica, gestione di infrastrutture critiche). Impone che i dati di addestramento, convalida e prova soddisfino criteri di qualità specifici:

Requisito	Che cosa significa	Documentazione necessaria
Pertinenti, rappresentativi, esenti da errori	I dati devono rispecchiare il caso d'uso reale senza lacune sistematiche	Relazione sulla composizione del set di dati con la copertura demografica e geografica
Proprietà statistiche appropriate	I dati devono avere volume, varianza ed equilibrio sufficienti per il compito	Sintesi statistica: dimensione del campione, distribuzione delle classi, misure di varianza
Esame dei bias	Deve cercare attivamente e documentare i bias che potrebbero portare a esiti discriminatori	Relazione di audit sui bias con le misure di attenuazione (ricampionamento, vincoli di equità ecc.)
Governance e gestione dei dati	Processi formali di raccolta, etichettatura, conservazione e versionamento dei dati	Documento di politica di governance dei dati + pista di controllo delle versioni dei set di dati

L'articolo 10 non prescrive test statistici o metriche di bias specifici. È intenzionale: il regolamento è neutrale sotto il profilo tecnologico. Richiede però che lei documenti le proprie scelte e spieghi perché sono adeguate al profilo di rischio del suo sistema.

A chi si applica l'articolo 10

Gli obblighi dell'articolo 10 gravano sui fornitori di sistemi di IA ad alto rischio, cioè sul soggetto che sviluppa il sistema o lo fa sviluppare e lo immette sul mercato dell'UE con il proprio nome o marchio.

Se lei è un deployer (un'organizzazione che utilizza un sistema ad alto rischio sviluppato da altri), la conformità all'articolo 10 è responsabilità del fornitore. Deve però verificare che vi abbia adempiuto, soprattutto se opera in un settore regolamentato (finanza, sanità, servizi pubblici).

Se è una start-up o una scale-up che costruisce la propria IA, lei è il fornitore. L'articolo 10 si applica per intero.

Le cinque pratiche di governance dei dati richieste dall'articolo 10

1. Le scelte di progettazione del set di dati vanno documentate

Perché ha scelto questo set di dati? Quale popolazione o scenario reale rappresenta? Quali sono i suoi limiti noti?

Esempio: se sta costruendo uno strumento di selezione dei curriculum basato su IA (allegato III, categoria 4), i dati di addestramento devono rappresentare la reale popolazione di candidati che incontrerà. Se il suo set di dati è composto per l'80 % da curriculum maschili provenienti da ruoli tecnologici e utilizza il sistema per selezionare candidati in ambito sanitario, l'articolo 10 è violato.

Che cosa documentare:

• Fonte e metodologia di raccolta del set di dati
• Copertura geografica, demografica e settoriale
• Lacune note o gruppi sottorappresentati
• Motivazione della scelta del set di dati

2. Le proprietà statistiche devono essere appropriate

«Appropriate» significa sufficienti rispetto al livello di rischio e alla complessità del compito. Un modello di scoring creditizio ad alto rischio richiede una convalida statistica più rigorosa di un motore di raccomandazione di contenuti a basso rischio.

Che cosa documentare:

• Dimensione del campione e criterio con cui è stata stabilita
• Distribuzione delle classi (ad esempio 60 % di prestiti approvati, 40 % di rifiuti)
• Analisi della varianza e della correlazione delle variabili
• Rapporti e metodologia di suddivisione tra addestramento, convalida e prova

Se il suo set di dati è sbilanciato (ad esempio 95 % di classe negativa), documenti perché ciò rispecchia la realtà e quali misure ha adottato per evitare che il modello ignori la classe minoritaria (campionamento stratificato, ponderazione delle classi, SMOTE ecc.).

3. L'esame dei bias è obbligatorio

L'articolo 10, paragrafo 3, impone espressamente di esaminare i set di dati alla ricerca di «possibili distorsioni» che potrebbero portare a discriminazioni basate su caratteristiche protette (origine etnica, sesso, età, disabilità ecc.).

Non è facoltativo. Deve cercare attivamente i bias, documentare quanto ha rilevato e spiegare la sua strategia di attenuazione.

Passaggi pratici:

• Segmenti il set di dati per attributi protetti (se disponibili) e misuri le differenze di prestazione
• Usi metriche di equità (parità demografica, equalized odds, calibrazione) adeguate al suo caso d'uso
• Documenti le differenze rilevate e le misure correttive adottate (riequilibrio, vincoli di equità, post-elaborazione)
• Se gli attributi protetti non figurano nel suo set di dati, documenti un'analisi per variabili indirette (ad esempio il codice postale come approssimazione dell'origine etnica nei dati creditizi statunitensi)

Esempio: un'IA per le assunzioni addestrata su dati storici può apprendere che le «interruzioni di carriera» sono correlate al rifiuto; ma se le donne hanno maggiori probabilità di interruzioni per congedo parentale, il modello incorpora un bias di genere. L'articolo 10 impone di rilevarlo e attenuarlo.

4. I processi di governance dei dati vanno formalizzati

L'articolo 10, paragrafo 4, richiede «pratiche di governance e gestione dei dati»: non semplici buone intenzioni, ma processi documentati.

Documentazione minima:

• Politica di raccolta dei dati (chi può aggiungere dati e a quali condizioni)
• Linee guida di etichettatura e controllo della qualità (punteggi di accordo tra annotatori, audit delle etichette)
• Versionamento e tracciabilità dei dati (quale versione del modello è stata addestrata su quale versione del set di dati)
• Controlli di accesso e registri di audit (chi ha avuto accesso ai dati di addestramento, quando e perché)

Se riaddestra il modello su nuovi dati, deve ripetere l'analisi ai sensi dell'articolo 10 per il set di dati aggiornato. Una conformità una tantum non basta.

5. I dati di prova devono essere separati e rappresentativi

L'articolo 10, paragrafo 5, richiede che i set di dati di prova siano «appropriati, rappresentativi, esenti da errori e completi» — e separati dai dati di addestramento.

È igiene di base nell'apprendimento automatico, ma il regolamento europeo sull'IA ne fa un obbligo giuridico. Se valuta il modello sugli stessi dati con cui lo ha addestrato, viola l'articolo 10.

Che cosa documentare:

• Come ha garantito l'indipendenza dei dati di prova (suddivisione temporale, campione di controllo stratificato ecc.)
• Perché il suo set di prova rappresenta le condizioni reali di impiego
• Le prestazioni sul set di prova disaggregate per sottogruppi (per rilevare impatti differenziati)

Lacune di conformità ricorrenti sull'articolo 10

La maggior parte dei team che costruiscono IA ad alto rischio ha alcune pratiche di governance dei dati. Pochi però hanno la documentazione richiesta dall'articolo 10. Ecco le lacune più frequenti:

• Nessuna documentazione dell'esame dei bias — i team calcolano metriche di equità ma non documentano i risultati né le misure di attenuazione
• Nessuna motivazione della progettazione del set di dati — i team usano «i dati che avevano» senza documentare perché siano appropriati
• Nessun versionamento né tracciabilità — i team riaddestrano i modelli ma non riescono a risalire a quale versione del set di dati abbia prodotto quale versione del modello
• Nessuna giustificazione statistica — i team non documentano perché la dimensione del campione, l'equilibrio delle classi o l'insieme delle variabili siano sufficienti per quel livello di rischio
• Nessuna politica di governance formale — le pratiche esistono in modo informale, ma non sono messe per iscritto né verificabili

Come documentare la conformità all'articolo 10

La conformità all'articolo 10 si dimostra attraverso la documentazione tecnica (richiesta dall'articolo 11). Come minimo servono:

1. Un documento di specifica del set di dati — per ciascun set (addestramento, convalida, prova):

   • Fonte, data e metodologia di raccolta
   • Dimensione, struttura e proprietà statistiche
   • Limiti e lacune noti
   • Risultati dell'esame dei bias e misure di attenuazione

2. Una politica di governance dei dati — a livello di organizzazione:

   • Standard di raccolta ed etichettatura dei dati
   • Tracciamento delle versioni e della provenienza
   • Controlli di accesso e procedure di audit
   • Criteri che attivano riaddestramento e rivalutazione

3. Una scheda del modello o documentazione tecnica — per ciascun modello:

   • Quali set di dati sono stati usati (con gli hash di versione)
   • Perché quei set di dati sono appropriati per il caso d'uso
   • Le prestazioni sul set di prova, complessive e per sottogruppo
   • I rischi residui e il piano di monitoraggio

Questi documenti devono essere mantenuti e aggiornati per l'intero ciclo di vita del sistema. Se riaddestra, aggiorna la documentazione. Se scopre un nuovo bias, lo documenta insieme alla risposta adottata.

L'articolo 10 e la scadenza di dicembre 2027

Gli obblighi dell'articolo 10 diventano esigibili il 2 dicembre 2027 per i sistemi di IA ad alto rischio. Se il suo sistema è già in produzione, ha tempo fino a quella data per rendere conforme la governance dei dati.

Se lancia un nuovo sistema ad alto rischio dopo il 2 dicembre 2027, la conformità all'articolo 10 è richiesta prima dell'immissione sul mercato.

La data operativa è il 2 dicembre 2027. Le sanzioni per la violazione degli obblighi degli operatori di sistemi ad alto rischio arrivano a 15 milioni di euro o al 3 % del fatturato mondiale ai sensi dell'articolo 99, paragrafo 4 — e per le PMI all'importo inferiore. La fascia da 35 milioni di euro / 7 % dell'articolo 99, paragrafo 3, si applica soltanto alle pratiche vietate dell'articolo 5, che è tutt'altra cosa.

Come Vigilia aiuta sulla conformità all'articolo 10

L'audit sul regolamento europeo sull'IA di Vigilia comprende un'analisi delle lacune sull'articolo 10 nell'ambito della valutazione dei sistemi ad alto rischio. La relazione individua:

• se il suo sistema è ad alto rischio (e quindi soggetto all'articolo 10)
• quale documentazione di governance dei dati manca
• le misure correttive specifiche per colmare le lacune sull'articolo 10
• lo sforzo e i tempi stimati per la messa in conformità

L'audit richiede 20 minuti e costa 499 €, contro 5 000 – 40 000 € e 1-3 mesi di un audit di conformità tradizionale.

Generi ora la sua relazione di conformità all'articolo 10: https://www.aivigilia.com

Se non è pronto all'acquisto, provi il verificatore gratuito del regolamento europeo sull'IA per capire se il suo sistema è classificato ad alto rischio: https://www.aivigilia.com

---

Questo articolo ha finalità puramente informative e non costituisce consulenza legale. Per orientamenti di conformità specifici sul suo sistema, si rivolga a un avvocato qualificato in materia di regolamento europeo sull'IA.