Articolo 13 del regolamento europeo sull'IA: gli obblighi di trasparenza per l'IA ad alto rischio

Aggiornamento del 31 luglio 2026 — scadenza modificata. Il Digital Omnibus (adottato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno 2026) ha rinviato gli obblighi relativi ai sistemi ad alto rischio dell'allegato III dal 2 agosto 2026 al 2 dicembre 2027. Gli obblighi di trasparenza dell'articolo 50 non sono stati rinviati e continuano ad applicarsi dal 2 agosto 2026. Questo articolo è stato corretto di conseguenza. Se il suo sistema di IA è classificato ad alto rischio ai sensi del regolamento europeo sull'IA, l'articolo 13 impone che sia «sufficientemente trasparente da consentire agli utenti di interpretare l'output del sistema e utilizzarlo adeguatamente». Non è una raccomandazione blanda: è un obbligo esigibile, con sanzioni fino a 15 milioni di euro o al 3 % del fatturato annuo mondiale, se superiore.

La maggior parte delle imprese sottovaluta l'articolo 13. Presume che trasparenza significhi «aggiungere una clausola di esclusione di responsabilità» o «mostrare i punteggi di confidenza». In realtà l'articolo 13 richiede sei distinte categorie di informazioni, ciascuna con requisiti documentali specifici.

Questa guida illustra che cosa richiede davvero l'articolo 13, quali sono le lacune di conformità ricorrenti e come integrare la trasparenza nel suo sistema di IA ad alto rischio prima della scadenza del 2 dicembre 2027.

Che cosa richiede davvero l'articolo 13

L'articolo 13 impone che i sistemi di IA ad alto rischio forniscano agli utenti informazioni che siano:

1. Concise, complete, corrette e chiare — senza gergo né ambiguità
2. Pertinenti e accessibili — calibrate sul ruolo e sulle competenze tecniche dell'utente
3. Sufficienti a consentire agli utenti di interpretare l'output — gli utenti devono capire che cosa il sistema sta dicendo loro e perché
4. Sufficienti a consentire agli utenti di usare il sistema adeguatamente — gli utenti devono sapere quando fidarsi dell'output e quando disattenderlo

Il regolamento indica sei categorie di informazioni da fornire:

1. Identità e dati di contatto del fornitore
2. Caratteristiche, capacità e limiti delle prestazioni — inclusi accuratezza, robustezza e modalità di guasto note
3. Modifiche al sistema e alle sue prestazioni — cronologia delle versioni e aggiornamenti
4. Livello di accuratezza, robustezza e cibersicurezza — sotto forma di metriche quantitative
5. Circostanze note o prevedibili che possono comportare rischi — casi limite e modalità di guasto
6. Misure di sorveglianza umana — che cosa ci si attende dall'operatore umano

Ciascuno di questi elementi deve essere documentato e messo a disposizione degli utenti. Se impiega un sistema di IA ad alto rischio senza queste informazioni, non è conforme.

Le sei categorie di informazioni nel dettaglio

1. Identità e dati di contatto del fornitore

È il requisito più semplice: gli utenti devono sapere chi ha realizzato il sistema e come contattarlo.

Che cosa cercano gli auditor:

• Nome, indirizzo e indirizzo e-mail di contatto del fornitore, visibili nell'interfaccia o nella documentazione
• Chiara identificazione del soggetto giuridico responsabile della conformità

Errore ricorrente: impiegare un sistema privo di identificazione del fornitore, o seppellire i dati di contatto in condizioni di servizio di 50 pagine.

2. Caratteristiche, capacità e limiti delle prestazioni

Gli utenti devono capire che cosa il sistema può e non può fare. Ciò comprende:

• La finalità prevista — a che cosa è destinato il sistema
• Le caratteristiche prestazionali — accuratezza, latenza, capacità di elaborazione
• I limiti noti — i compiti che il sistema non è in grado di svolgere in modo affidabile

Che cosa cercano gli auditor:

• Una specifica scritta della finalità prevista e dei casi d'uso fuori ambito
• Parametri di riferimento prestazionali (ad esempio «92 % di accuratezza sul set di convalida»)
• La documentazione delle modalità di guasto note (ad esempio «prestazioni scarse sul testo manoscritto»)

Errore ricorrente: fornire solo affermazioni di marketing («accuratezza allo stato dell'arte») senza dati prestazionali quantitativi né limiti documentati.

3. Modifiche al sistema e alle sue prestazioni

Gli utenti devono essere informati quando il sistema viene aggiornato e di come sono cambiate le prestazioni.

Che cosa cercano gli auditor:

• Una cronologia delle versioni con note di rilascio
• Un confronto delle prestazioni prima e dopo gli aggiornamenti
• Un meccanismo di notifica agli utenti (e-mail, avviso nell'applicazione ecc.)

Errore ricorrente: aggiornare i modelli in silenzio, senza informare gli utenti né documentare le variazioni di prestazione.

4. Livello di accuratezza, robustezza e cibersicurezza

L'articolo 13 richiede espressamente metriche quantitative per:

• Accuratezza — precisione, richiamo, F1 o misure specifiche del dominio
• Robustezza — prestazioni con input avversari o con spostamento della distribuzione
• Cibersicurezza — resistenza all'avvelenamento dei dati, all'estrazione del modello o ad attacchi avversari

Che cosa cercano gli auditor:

• Relazioni sulle prestazioni nel set di prova con intervalli di confidenza
• Parametri di riferimento di robustezza (ad esempio le prestazioni su dati fuori distribuzione)
• Relazioni di audit sulla cibersicurezza o risultati di test di penetrazione

Errore ricorrente: riportare solo l'accuratezza aggregata, senza disaggregare le prestazioni per gruppo demografico, caso limite o scenario avversario.

5. Circostanze note o prevedibili che possono comportare rischi

Gli utenti devono essere avvertiti delle situazioni in cui il sistema rischia di fallire o di produrre output non sicuri.

Che cosa cercano gli auditor:

• Un elenco documentato di casi limite e modalità di guasto
• Indicazioni per attenuare i rischi (ad esempio «Non usare questo sistema per la diagnosi medica»)
• La prova che gli utenti sono formati su questi limiti

Errore ricorrente: non fornire alcuna documentazione sulle modalità di guasto, presumendo che gli utenti «se ne accorgeranno».

6. Misure di sorveglianza umana

L'articolo 14 impone la sorveglianza umana per i sistemi di IA ad alto rischio. L'articolo 13 richiede che gli utenti siano informati sulle azioni di sorveglianza che ci si attende da loro.

Che cosa cercano gli auditor:

• La documentazione del ruolo dell'operatore umano (ad esempio «Esaminare tutti i casi segnalati prima della decisione finale»)
• I materiali di formazione per gli operatori umani
• La prova che il sistema sostiene la sorveglianza (funzioni di spiegabilità, meccanismi di override ecc.)

Errore ricorrente: impiegare un sistema interamente automatizzato senza alcun ruolo documentato di sorveglianza umana.

Lista di controllo per la conformità all'articolo 13

Categoria di informazione	Documentazione necessaria	Lacuna ricorrente
Identità del fornitore	Nome, indirizzo, e-mail di contatto nell'interfaccia o nella documentazione	Nessuna identificazione del fornitore
Caratteristiche, capacità, limiti	Finalità prevista, parametri di riferimento prestazionali, modalità di guasto	Affermazioni di marketing senza dati quantitativi
Modifiche e aggiornamenti	Cronologia delle versioni, note di rilascio, notifiche agli utenti	Aggiornamenti silenziosi, senza notifica
Accuratezza, robustezza, cibersicurezza	Relazioni sul set di prova, parametri di robustezza, audit di sicurezza	Solo accuratezza aggregata, senza disaggregazione per casi limite
Rischi e modalità di guasto noti	Elenco dei casi limite, indicazioni di attenuazione del rischio	Nessuna documentazione sulle modalità di guasto
Misure di sorveglianza umana	Ruolo dell'operatore, materiali di formazione, meccanismi di override	Nessun ruolo di sorveglianza documentato

Come l'articolo 13 si intreccia con gli altri requisiti

L'articolo 13 non vive isolato. Si interseca con:

• L'articolo 9 (gestione dei rischi) — i rischi individuati ai sensi dell'articolo 9 devono essere comunicati agli utenti ai sensi dell'articolo 13
• L'articolo 10 (governance dei dati) — le metriche di qualità dei dati documentate ai sensi dell'articolo 10 alimentano le informazioni sull'accuratezza richieste dall'articolo 13
• L'articolo 14 (sorveglianza umana) — le misure di sorveglianza progettate ai sensi dell'articolo 14 devono essere spiegate agli utenti ai sensi dell'articolo 13
• L'articolo 50 (trasparenza di determinati sistemi di IA) — se il suo sistema rientra anche nell'articolo 50 (chatbot, riconoscimento delle emozioni ecc.), ha obblighi di trasparenza aggiuntivi, applicabili dal 2 agosto 2026

Una strategia di conformità completa affronta tutti questi elementi insieme, non come liste di controllo separate.

Esempio concreto: un sistema di scoring creditizio

Supponiamo che abbia costruito un sistema di scoring creditizio basato su IA. Ai sensi dell'allegato III, punto 5, lettera b), si tratta di un sistema ad alto rischio. Ecco come si presenta la conformità all'articolo 13:

1. Identità del fornitore: l'interfaccia del sistema mostra «Fornito da FinTech Corp, 123 Main St, Dublino, Irlanda. Contatto: compliance@fintechcorp.eu»
2. Caratteristiche, capacità, limiti: documenta che il sistema è progettato per decisioni di credito al consumo fino a 50 000 €, raggiunge l'89 % di accuratezza sui dati di convalida e ottiene risultati scarsi con richiedenti dalla storia creditizia esigua (meno di 3 linee di credito).
3. Modifiche e aggiornamenti: quando aggiorna il modello, invia un'e-mail a tutti gli utenti con un collegamento alle note di rilascio che indicano la nuova accuratezza (91 %) e le variazioni dei tassi di falsi positivi e falsi negativi.
4. Accuratezza, robustezza, cibersicurezza: fornisce una relazione sulle prestazioni con precisione, richiamo e F1 per gruppo demografico, oltre ai risultati dei test di robustezza sulle prestazioni con input avversari (ad esempio richiedenti che dichiarano deliberatamente un reddito falso).
5. Rischi noti: documenta che il sistema può sottostimare il rischio per i lavoratori autonomi e sovrastimarlo per le persone immigrate di recente. Fornisce l'indicazione: «Esaminare manualmente tutte le domande di lavoratori autonomi e di persone immigrate di recente.»
6. Sorveglianza umana: documenta che gli addetti ai prestiti devono esaminare tutte le domande segnalate come «al limite» (punteggio 600-650) e hanno il potere di disattendere la raccomandazione del sistema.

Tutto questo viene raccolto in un documento informativo per gli utenti, consegnato a ogni addetto ai prestiti che usa il sistema. Quando un auditor chiede prove ai sensi dell'articolo 13, gli consegna questo documento insieme ai registri di formazione che attestano che gli addetti ai prestiti vi sono stati formati.

Che cosa succede se non si è conformi

La non conformità all'articolo 13 può comportare:

• sanzioni amministrative fino a 15 milioni di euro o al 3 % del fatturato mondiale ai sensi dell'articolo 99, paragrafo 4 — per le PMI, l'importo inferiore;
• azioni di vigilanza del mercato — le autorità nazionali possono ordinarle di ritirare il sistema dal mercato o di sospenderne l'uso;
• esposizione alla responsabilità — se un utente usa impropriamente il suo sistema perché lei non ha fornito informazioni adeguate, può essere chiamato a rispondere dei danni che ne derivano.

La data operativa per i sistemi ad alto rischio dell'allegato III è il 2 dicembre 2027. Se impiega un sistema di IA ad alto rischio nell'UE, le serve fin da ora la documentazione di conformità all'articolo 13.

Antimodelli ricorrenti rilevati da Vigilia

L'audit sul regolamento europeo sull'IA di Vigilia segnala questi antimodelli relativi all'articolo 13:

• Nessuna documentazione rivolta agli utenti — il sistema non ha interfaccia né documentazione che ne spieghi finalità, limiti o prestazioni
• Affermazioni di marketing senza dati quantitativi — il sistema dichiara «elevata accuratezza» ma non fornisce metriche sul set di prova
• Nessuna documentazione sulle modalità di guasto — gli utenti non vengono avvertiti dei casi limite né delle situazioni in cui il sistema rischia di fallire
• Nessuna indicazione sulla sorveglianza umana — agli utenti non viene detto quali azioni di sorveglianza ci si attende da loro
• Aggiornamenti silenziosi — il sistema viene aggiornato senza notifica agli utenti né documentazione delle variazioni di prestazione
• Nessuna identificazione del fornitore — gli utenti non sanno chi ha realizzato il sistema né come contattarlo

Ogni antimodello è associato a una stima dell'esposizione sanzionatoria e a un piano di rimedio.

Come diventare conformi in 20 minuti

L'audit sul regolamento europeo sull'IA di Vigilia genera un'analisi delle lacune sull'articolo 13 in 20 minuti. Lei risponde a domande sulla documentazione di trasparenza, sulle informazioni agli utenti e sulle misure di sorveglianza. Vigilia mappa le risposte sui requisiti dell'articolo 13 e segnala le lacune.

Il risultato è un PDF pronto per l'audit che copre:

• il punteggio di conformità all'articolo 13 (0-100)
• le lacune specifiche (ad esempio «nessuna modalità di guasto documentata»)
• un piano di rimedio con lo sforzo stimato
• le stime di esposizione sanzionatoria per ciascuna lacuna

Gli audit di conformità tradizionali costano 5 000 – 40 000 € e richiedono 1-3 mesi. Vigilia costa 499 € e richiede 20 minuti.

Generi ora la sua relazione di conformità all'articolo 13: www.aivigilia.com

---

Questo articolo ha finalità puramente informative e non costituisce consulenza legale. Per orientamenti sulla sua situazione specifica, si rivolga a un avvocato qualificato in materia di regolamento europeo sull'IA.