Sistemi di IA ad Alto Rischio: Requisiti Completi ai sensi del Regolamento UE sull'IA

I sistemi di IA ad alto rischio costituiscono l'elemento centrale del quadro normativo del Regolamento UE sull'IA. Mentre il regolamento stabilisce quattro livelli di rischio, è la categoria ad alto rischio che comporta la serie di requisiti di conformità più dettagliata e impegnativa. Gli Articoli da 8 a 15 del Regolamento 2024/1689 definiscono un insieme completo di obblighi che i fornitori devono soddisfare prima di immettere sul mercato o mettere in servizio un sistema di IA ad alto rischio.

Il presente articolo esamina in dettaglio ciascun requisito, con indicazioni pratiche su come si configura la conformità nella pratica.

I requisiti degli Articoli 8-15 si applicano ai fornitori di sistemi di IA ad alto rischio. I deployer hanno obblighi distinti ai sensi dell'Articolo 26, ma dipendono fortemente dalla documentazione e dalle scelte progettuali effettuate dai fornitori. Entrambi i ruoli dovrebbero comprendere a fondo questi requisiti.

Articolo 8: Conformità ai requisiti

L'Articolo 8 stabilisce il principio fondamentale: i sistemi di IA ad alto rischio devono conformarsi ai requisiti stabiliti negli Articoli da 9 a 15, tenendo conto della finalità prevista del sistema e dello stato dell'arte generalmente riconosciuto.

Questo articolo introduce anche il concetto di proporzionalità. I requisiti devono essere soddisfatti "tenendo conto della finalità prevista del sistema di IA ad alto rischio e del sistema di gestione dei rischi di cui all'Articolo 9". Ciò significa che la profondità e il rigore delle misure di conformità devono essere proporzionati ai rischi specifici presentati dal sistema in questione.

Lo standard dello stato dell'arte

Il riferimento allo "stato dell'arte generalmente riconosciuto" nell'Articolo 8, paragrafo 1, è significativo. Significa che la conformità non è valutata rispetto a uno standard tecnico fisso, bensì rispetto alle migliori pratiche in evoluzione. Ciò che costituisce un'adeguata gestione del rischio o un'accuratezza sufficiente oggi potrebbe non essere sufficiente domani con il progredire del settore. I fornitori devono mantenersi aggiornati sugli sviluppi in materia di sicurezza, equità e protezione dell'IA.

Articolo 9: Sistema di gestione dei rischi

L'Articolo 9 è probabilmente il requisito più fondamentale. Prescrive che venga istituito, implementato, documentato e mantenuto un sistema di gestione dei rischi per ogni sistema di IA ad alto rischio.

Cosa deve includere il sistema di gestione dei rischi

Il sistema di gestione dei rischi è definito come un processo continuo e iterativo che si estende per l'intero ciclo di vita del sistema di IA ad alto rischio. Ai sensi dell'Articolo 9, paragrafo 2, deve includere:

Identificazione e analisi dei rischi noti e ragionevolmente prevedibili che il sistema di IA ad alto rischio può presentare per la salute, la sicurezza o i diritti fondamentali quando utilizzato conformemente alla sua finalità prevista.

Stima e valutazione dei rischi che possono emergere quando il sistema di IA ad alto rischio è utilizzato conformemente alla sua finalità prevista e in condizioni di uso improprio ragionevolmente prevedibile.

Valutazione dei rischi derivanti dall'analisi dei dati raccolti dal sistema di sorveglianza post-commercializzazione di cui all'Articolo 72.

Adozione di misure di gestione dei rischi appropriate e mirate finalizzate ad affrontare i rischi identificati.

Approccio alla mitigazione dei rischi

L'Articolo 9, paragrafo 4, impone che le misure di gestione dei rischi tengano debitamente conto degli effetti e delle possibili interazioni derivanti dall'applicazione combinata dei requisiti. Esse devono essere tali che il rischio residuo pertinente associato a ciascun pericolo, nonché il rischio residuo complessivo del sistema di IA ad alto rischio, sia giudicato accettabile.

Le misure di gestione dei rischi devono tenere conto dello stato dell'arte generalmente riconosciuto, anche come riflesso nelle norme armonizzate o nelle specifiche comuni pertinenti.

Requisiti di test

L'Articolo 9, paragrafi 5-7, affronta specificamente i test. I sistemi di IA ad alto rischio devono essere testati per individuare le misure di gestione dei rischi più appropriate e mirate. I test devono garantire che il sistema funzioni in modo coerente per la sua finalità prevista e sia conforme ai requisiti. Le procedure di test devono essere idonee a soddisfare la finalità prevista del sistema di IA e non devono andare oltre quanto necessario per raggiungere tale scopo.

I test devono essere eseguiti rispetto a parametri e soglie probabilistiche predefiniti, e devono tenere conto delle caratteristiche specifiche della finalità prevista.

Il sistema di gestione dei rischi non è un documento da creare una volta e archiviare. L'Articolo 9, paragrafo 1, afferma esplicitamente che deve essere un "processo iterativo continuo pianificato e condotto per l'intero ciclo di vita." Ciò significa aggiornamenti regolari man mano che il sistema evolve, emergono nuovi rischi dall'uso reale e lo stato dell'arte progredisce.

Articolo 10: Dati e governance dei dati

L'Articolo 10 stabilisce i requisiti per i dati utilizzati per addestrare, validare e testare i sistemi di IA ad alto rischio. La qualità dei dati è considerata un pilastro dell'IA affidabile.

Dati di addestramento, validazione e test

Ai sensi dell'Articolo 10, paragrafo 2, i set di dati di addestramento, validazione e test devono essere soggetti a pratiche di governance e gestione dei dati appropriate per la finalità prevista del sistema di IA. Tali pratiche riguardano:

Le scelte di progettazione pertinenti
I processi di raccolta dei dati e la loro origine, e nel caso di dati personali, la finalità originaria della raccolta
Le operazioni di trattamento pertinenti per la preparazione dei dati, quali annotazione, etichettatura, pulizia, aggiornamento, arricchimento e aggregazione
La formulazione delle ipotesi pertinenti, in particolare per quanto riguarda le informazioni che i dati dovrebbero misurare e rappresentare
Una valutazione della disponibilità, della quantità e dell'idoneità dei set di dati necessari
L'esame in vista di possibili distorsioni che possano incidere sulla salute e la sicurezza delle persone, avere un impatto negativo sui diritti fondamentali o determinare discriminazioni vietate dal diritto dell'Unione, in particolare laddove gli output dei dati influenzino gli input per operazioni future (cicli di retroazione)
Misure appropriate per individuare, prevenire e mitigare possibili distorsioni

Requisiti per i set di dati

L'Articolo 10, paragrafo 3, specifica che i set di dati di addestramento, validazione e test devono essere pertinenti, sufficientemente rappresentativi e, per quanto possibile, privi di errori e completi in relazione alla finalità prevista. Devono possedere le proprietà statistiche appropriate, anche, se del caso, per quanto riguarda le persone o i gruppi di persone in relazione ai quali il sistema di IA ad alto rischio è destinato a essere utilizzato.

Disposizioni speciali per le distorsioni

L'Articolo 10, paragrafo 5, consente il trattamento di categorie particolari di dati personali (quali definiti all'Articolo 9, paragrafo 1, del GDPR e all'Articolo 10 della Direttiva sulle forze dell'ordine) nella misura in cui sia strettamente necessario per l'individuazione e la correzione delle distorsioni. Si tratta di un'importante eccezione che consente ai fornitori di trattare dati sensibili specificamente al fine di garantire l'equità.

Articolo 11: Documentazione tecnica

L'Articolo 11 impone ai fornitori di redigere la documentazione tecnica prima che il sistema di IA ad alto rischio sia immesso sul mercato o messo in servizio. La documentazione deve essere mantenuta aggiornata.

Requisiti di contenuto

La documentazione tecnica deve essere redatta in modo da dimostrare che il sistema di IA ad alto rischio è conforme ai requisiti previsti dagli Articoli da 8 a 15 e da fornire alle autorità nazionali competenti e agli organismi notificati le informazioni necessarie per valutare la conformità del sistema di IA. Deve contenere, come minimo, gli elementi indicati nell'Allegato IV.

L'Allegato IV specifica requisiti di documentazione estesi tra cui:

Una descrizione generale del sistema di IA, della sua finalità prevista e del fornitore
Una descrizione dettagliata degli elementi del sistema di IA e del suo processo di sviluppo
Informazioni dettagliate sul monitoraggio, il funzionamento e il controllo del sistema di IA
Una descrizione del sistema di gestione dei rischi
Informazioni sui dati utilizzati (set di dati di addestramento, validazione e test)
Una descrizione delle misure di sorveglianza umana
Una descrizione delle modifiche predeterminate al sistema
Un elenco delle norme armonizzate o delle specifiche comuni applicate
Una copia della dichiarazione UE di conformità
Una descrizione dettagliata del sistema di valutazione delle prestazioni del sistema di IA nella fase post-commercializzazione

La Commissione europea può adottare atti di esecuzione che istituiscono un modello comune per la documentazione tecnica (Articolo 11, paragrafo 3). Quando disponibile, l'uso di questo modello semplificherà la conformità e garantirà coerenza. Fino ad allora, i fornitori dovrebbero seguire scrupolosamente l'Allegato IV.

Articolo 12: Conservazione delle registrazioni

L'Articolo 12 impone che i sistemi di IA ad alto rischio siano progettati e sviluppati con funzionalità che consentano la registrazione automatica degli eventi (log) durante il funzionamento del sistema.

Funzionalità di registrazione

Le funzionalità di registrazione devono consentire il monitoraggio del funzionamento del sistema di IA ad alto rischio per quanto riguarda il verificarsi di situazioni che possono comportare un rischio per il sistema di IA o costituire una modifica sostanziale, e facilitare la sorveglianza post-commercializzazione di cui all'Articolo 72.

Ai sensi dell'Articolo 12, paragrafo 2, le funzionalità di registrazione devono includere come minimo:

La registrazione del periodo di ciascun utilizzo del sistema (data e ora di inizio, data e ora di fine)
La banca dati di riferimento rispetto alla quale i dati di input sono stati verificati
I dati di input per i quali la ricerca ha portato a una corrispondenza
L'identificazione delle persone fisiche coinvolte nella verifica dei risultati (come indicato nell'Articolo 14, paragrafo 5)

Tracciabilità

Lo scopo di questi requisiti di registrazione è la tracciabilità. Quando si verifica un incidente o viene presentato un reclamo, i log devono consentire alle autorità e ai fornitori di ricostruire cosa ha fatto il sistema, quando e sulla base di quali input. Ciò è essenziale per un'efficace sorveglianza post-commercializzazione e per le indagini da parte delle autorità di vigilanza del mercato.

Need auditable AI for compliance?

Ctrl AI provides full execution traces, expert verification, and trust-tagged outputs for every AI decision.

Learn About Ctrl AI

Articolo 13: Trasparenza e fornitura di informazioni ai deployer

L'Articolo 13 impone che i sistemi di IA ad alto rischio siano progettati e sviluppati in modo tale da garantire che il loro funzionamento sia sufficientemente trasparente da consentire ai deployer di interpretare l'output del sistema e utilizzarlo in modo appropriato.

Istruzioni per l'uso

Ai sensi dell'Articolo 13, paragrafo 3, i fornitori devono fornire ai deployer istruzioni per l'uso che includano, come minimo:

L'identità e i dati di contatto del fornitore
Le caratteristiche, le capacità e i limiti delle prestazioni del sistema di IA ad alto rischio, inclusa la sua finalità prevista, il livello di accuratezza, robustezza e cybersicurezza, e qualsiasi circostanza nota o ragionevolmente prevedibile che possa comportare rischi per la salute, la sicurezza o i diritti fondamentali
Le modifiche al sistema predeterminate dal fornitore
Le misure di sorveglianza umana, comprese le misure tecniche finalizzate a facilitare l'interpretazione degli output del sistema di IA da parte dei deployer
Le risorse computazionali e hardware necessarie, la durata di vita prevista e le misure di manutenzione e cura per garantire il corretto funzionamento
Se pertinente, una descrizione dei dati di input e delle misure per garantire un'adeguata qualità dei dati

Interpretabilità

Il requisito di trasparenza va oltre la mera documentazione. L'Articolo 13, paragrafo 1, sottolinea che i sistemi di IA devono essere progettati in modo che i deployer possano effettivamente interpretare gli output e utilizzarli in modo appropriato. Per i sistemi di IA ad alto rischio che prendono o informano decisioni riguardanti le persone, ciò significa fornire informazioni sui principali fattori e, se del caso, sui principali parametri che contribuiscono a un determinato output.

Articolo 14: Sorveglianza umana

L'Articolo 14 è una delle caratteristiche più distintive del Regolamento UE sull'IA. Impone che i sistemi di IA ad alto rischio siano progettati e sviluppati in modo da poter essere efficacemente supervisionati da persone fisiche durante il periodo di utilizzo.

Progettazione per la sorveglianza

La sorveglianza umana deve essere integrata nella progettazione del sistema dal fornitore e attuata dal deployer. Ai sensi dell'Articolo 14, paragrafo 3, le misure devono essere adeguate ai rischi, al livello di autonomia e al contesto di utilizzo, e devono consentire alle persone responsabili della sorveglianza del sistema di:

(a) Comprendere adeguatamente le capacità e i limiti pertinenti del sistema di IA ad alto rischio ed essere in grado di monitorarne debitamente il funzionamento, anche al fine di individuare e affrontare anomalie, disfunzioni e prestazioni impreviste.

(b) Restare consapevoli della possibile tendenza a fare automaticamente affidamento o a fare eccessivo affidamento sull'output prodotto dal sistema (bias da automazione), in particolare per i sistemi di IA ad alto rischio utilizzati per fornire informazioni o raccomandazioni per decisioni da adottare da parte di persone fisiche.

(c) Essere in grado di interpretare correttamente l'output del sistema di IA ad alto rischio, tenendo conto, ad esempio, degli strumenti e dei metodi di interpretazione disponibili.

(d) Essere in grado di decidere, in qualsiasi situazione particolare, di non utilizzare il sistema di IA ad alto rischio o di ignorare, annullare o invertire l'output del sistema.

(e) Essere in grado di intervenire nel funzionamento del sistema di IA ad alto rischio o di interrompere il sistema tramite un pulsante di arresto o una procedura analoga che consenta al sistema di arrestarsi in modo sicuro.

La sorveglianza umana non è una mera formalità. L'Articolo 14, paragrafo 4, lettera a), affronta esplicitamente il bias da automazione — la tendenza degli esseri umani a fare affidamento sugli output automatizzati. I fornitori devono progettare sistemi che contrastino attivamente questa tendenza, e i deployer devono garantire che il personale di sorveglianza sia adeguatamente formato e autorizzato a prevalere sul sistema.

Identificazione del personale di sorveglianza

Ai sensi dell'Articolo 14, paragrafo 5, per i sistemi di IA ad alto rischio utilizzati nel settore della biometria (Allegato III, punto 1), il sistema deve essere progettato in modo che nessuna azione o decisione sia adottata dal deployer sulla base dell'identificazione risultante dal sistema, a meno che questa non sia stata verificata e confermata separatamente da almeno due persone fisiche.

Articolo 15: Accuratezza, robustezza e cybersicurezza

L'Articolo 15 stabilisce i requisiti di prestazione tecnica per i sistemi di IA ad alto rischio, coprendo tre dimensioni distinte.

Accuratezza

L'Articolo 15, paragrafo 1, impone che i sistemi di IA ad alto rischio siano progettati e sviluppati in modo da raggiungere un livello adeguato di accuratezza, robustezza e cybersicurezza e da funzionare in modo coerente sotto tali aspetti per tutto il loro ciclo di vita.

Ai sensi dell'Articolo 15, paragrafo 2, i livelli di accuratezza e le metriche di accuratezza pertinenti devono essere dichiarati nelle istruzioni per l'uso. Ciò significa che i fornitori devono definire, misurare e comunicare l'accuratezza dei loro sistemi in termini concreti e misurabili.

Robustezza

L'Articolo 15, paragrafo 4, affronta la robustezza, imponendo che i sistemi di IA ad alto rischio siano quanto più possibile resilienti rispetto a errori, guasti o incongruenze che possono verificarsi all'interno del sistema o nell'ambiente in cui il sistema opera, in particolare a causa della loro interazione con persone fisiche o altri sistemi. Ciò include:

Soluzioni tecniche di ridondanza, che possono comprendere piani di backup o di sicurezza
Resilienza contro tentativi di terzi non autorizzati di alterare l'uso o le prestazioni del sistema di IA ad alto rischio sfruttandone le vulnerabilità (robustezza avversariale)

Cybersicurezza

L'Articolo 15, paragrafo 5, impone che i sistemi di IA ad alto rischio siano resilienti contro i tentativi di terzi non autorizzati di sfruttare le vulnerabilità del sistema. Le misure di cybersicurezza devono essere appropriate alle circostanze e ai rischi pertinenti e possono includere misure per prevenire e controllare:

Attacchi che tentano di manipolare i set di dati di addestramento (avvelenamento dei dati)
Attacchi che tentano di manipolare i componenti pre-addestrati utilizzati nell'addestramento (avvelenamento del modello)
Input progettati per indurre il modello di IA a commettere errori (esempi avversariali o evasione del modello)
Attacchi alla riservatezza
Difetti del modello

Oltre gli Articoli 8-15: Obblighi aggiuntivi del fornitore

Mentre gli Articoli 8-15 definiscono i requisiti tecnici e di processo fondamentali, i fornitori di sistemi di IA ad alto rischio hanno diversi obblighi aggiuntivi.

Sistema di gestione della qualità (Articolo 17)

I fornitori devono implementare un sistema di gestione della qualità che garantisca la conformità al regolamento. Il SGQ deve includere:

Una strategia per la conformità normativa, comprese le procedure di valutazione della conformità e la gestione delle modifiche
Tecniche, procedure e azioni sistematiche per la progettazione, il controllo della progettazione e la verifica della progettazione
Tecniche, procedure e azioni per lo sviluppo, il controllo della qualità e la garanzia della qualità
Procedure di esame, test e validazione da eseguire prima, durante e dopo lo sviluppo, e la frequenza di tali procedure
Specifiche tecniche, comprese le norme, da applicare
Sistemi e procedure per la gestione dei dati
Un sistema di gestione dei rischi come indicato nell'Articolo 9
Sorveglianza post-commercializzazione, compresi gli obblighi dell'Articolo 72
Procedure per la segnalazione degli incidenti ai sensi dell'Articolo 73
Comunicazione con le autorità competenti, gli altri soggetti interessati e i deployer
Sistemi e procedure per la conservazione delle registrazioni
Gestione delle risorse, comprese le misure per la sicurezza dell'approvvigionamento
Un quadro di responsabilità

Valutazione della conformità (Articolo 43)

Prima che un sistema di IA ad alto rischio possa essere immesso sul mercato, i fornitori devono sottoporsi a una valutazione della conformità per verificare che il sistema soddisfi tutti i requisiti applicabili. La natura di tale valutazione dipende dal tipo di sistema di IA:

Per la maggior parte dei sistemi di IA ad alto rischio elencati nell'Allegato III, i fornitori possono condurre la valutazione della conformità mediante controllo interno (Allegato VI), basato su un sistema di gestione della qualità e sulla valutazione della documentazione tecnica.
Per i sistemi di IA ad alto rischio relativi all'identificazione biometrica (Allegato III, punto 1) e per i sistemi dell'Allegato I per i quali è richiesta una valutazione da parte di terzi dalla legislazione settoriale, deve essere coinvolto un organismo notificato.

Dichiarazione UE di conformità (Articolo 47)

A seguito di una valutazione della conformità con esito positivo, il fornitore deve redigere una dichiarazione UE di conformità per ciascun sistema di IA e conservarla per 10 anni dopo l'immissione sul mercato o la messa in servizio del sistema.

Marcatura CE (Articolo 48)

La marcatura CE deve essere apposta sul sistema di IA ad alto rischio o, laddove ciò non sia possibile, sul suo imballaggio o sulla documentazione di accompagnamento, in modo visibile, leggibile e indelebile.

Registrazione (Articolo 49)

I fornitori devono registrare il proprio sistema di IA ad alto rischio nella banca dati dell'UE (istituita ai sensi dell'Articolo 71) prima di immetterlo sul mercato o metterlo in servizio.

Sorveglianza post-commercializzazione (Articolo 72)

I fornitori devono istituire e documentare un sistema di sorveglianza post-commercializzazione proporzionato alla natura e ai rischi del sistema di IA. Il sistema deve raccogliere, documentare e analizzare attivamente e sistematicamente i dati pertinenti sulle prestazioni del sistema per tutta la sua durata di vita.

Soddisfare questi requisiti è un impegno considerevole, ma rappresenta anche un'opportunità per costruire sistemi di IA più robusti, affidabili e degni di fiducia. Le organizzazioni che integrano queste pratiche nei propri processi di sviluppo produrranno prodotti migliori garantendo al contempo la conformità.

Obblighi dei deployer (Articolo 26)

Sebbene i requisiti degli Articoli 8-15 siano rivolti ai fornitori, i deployer di sistemi di IA ad alto rischio hanno propri obblighi strettamente collegati alla conformità del fornitore.

Principali requisiti per i deployer

Ai sensi dell'Articolo 26, i deployer devono:

Utilizzare il sistema secondo le istruzioni: i deployer devono utilizzare il sistema di IA ad alto rischio conformemente alle istruzioni per l'uso fornite dal fornitore.
Assegnare personale competente per la sorveglianza umana: garantire che le persone fisiche preposte alla sorveglianza umana siano competenti, adeguatamente formate e dispongano dell'autorità e delle risorse per svolgere efficacemente il loro ruolo.
Monitorare il funzionamento: nella misura in cui il deployer esercita il controllo sul sistema di IA, garantire che i dati di input siano pertinenti e sufficientemente rappresentativi in relazione alla finalità prevista.
Sospendere o cessare l'uso: se il deployer ha motivi per ritenere che l'uso del sistema di IA conformemente alle istruzioni possa comportare rischi, deve sospendere il sistema e informare il fornitore o il distributore.
Conservare i log: conservare i log generati automaticamente dal sistema di IA ad alto rischio per un periodo di almeno sei mesi (salvo diversa previsione del diritto dell'Unione o nazionale applicabile).
Condurre una valutazione d'impatto sui diritti fondamentali: ai sensi dell'Articolo 27, i deployer che sono organismi di diritto pubblico o soggetti privati che erogano servizi pubblici devono condurre una valutazione d'impatto sui diritti fondamentali prima di mettere in uso un sistema di IA ad alto rischio.
Informare i lavoratori: ai sensi dell'Articolo 26, paragrafo 7, i deployer devono informare i rappresentanti dei lavoratori e i lavoratori interessati che saranno soggetti all'uso di un sistema di IA ad alto rischio.

Costruire un programma di conformità

Soddisfare questi requisiti richiede un programma di conformità strutturato. Ecco un approccio pratico.

Fase 1: Valutazione

Inventariate i vostri sistemi di IA, classificateli secondo il quadro di rischio e identificate quali sono ad alto rischio. Per ciascun sistema ad alto rischio, conducete un'analisi delle lacune rispetto agli Articoli 8-15 e agli obblighi aggiuntivi.

Fase 2: Implementazione

Affrontate le lacune identificate in modo sistematico. Istituite il sistema di gestione dei rischi, implementate le pratiche di governance dei dati, create la documentazione tecnica, sviluppate le funzionalità di registrazione, progettate i meccanismi di sorveglianza umana e garantite livelli adeguati di accuratezza, robustezza e cybersicurezza.

Fase 3: Verifica

Conducete la valutazione della conformità, preparate la dichiarazione UE di conformità, apponete la marcatura CE e registrate il sistema nella banca dati dell'UE.

Fase 4: Conformità continua

Mantenete il sistema di sorveglianza post-commercializzazione, aggiornate la documentazione man mano che il sistema evolve, segnalate gli incidenti e riesaminate periodicamente il sistema di gestione dei rischi.

Conclusione

I requisiti per i sistemi di IA ad alto rischio previsti dal Regolamento UE sull'IA sono completi e impegnativi. Coprono l'intero ciclo di vita di un sistema di IA, dalla progettazione iniziale fino all'implementazione e oltre. Gli Articoli da 8 a 15 istituiscono un quadro che, se adeguatamente attuato, garantisce che i sistemi di IA ad alto rischio siano sicuri, trasparenti, responsabili e rispettosi dei diritti fondamentali.

La chiave della conformità sta nel riconoscere che questi requisiti sono interconnessi. Il sistema di gestione dei rischi orienta le decisioni sulla governance dei dati, che plasma la documentazione tecnica, che sostiene la trasparenza, che consente la sorveglianza umana. Trattare questi requisiti come liste di controllo isolate porterà a una conformità frammentata. Trattarli come un sistema coerente produrrà sia conformità che una migliore IA.

Le organizzazioni dovrebbero avviare il loro percorso di conformità fin da subito, utilizzando l'approccio progressivo sopra delineato. La scadenza dell'agosto 2026 per i sistemi dell'Allegato III e quella dell'agosto 2027 per i sistemi dell'Allegato I possono sembrare lontane, ma la profondità di questi requisiti implica che la preparazione non può essere differita.