Ogni obbligo normativo, risposte dalle vostre registrazioni.
Ogni norma che l'autorità di vigilanza applica all'IA nel settore assicurativo è collegata alle registrazioni sigillate che vi rispondono. Un revisore può ricostruire il percorso dall'articolo di legge alla decisione, alle evidenze su cui si fonda e alla persona che l'ha firmata.
Alcune norme sono già in vigore. Le prossime hanno una data certa.
Il regolamento DORA si applica già alle imprese di assicurazione. Seguiranno la revisione di Solvency II e le norme dell'AI Act per i sistemi ad alto rischio. L'evidenza richiesta da ciascuna normativa è la stessa: chi ha deciso, su quali basi e secondo quale regola.
all'applicazione delle norme dell'AI Act UE sull'IA ad alto rischio per la valutazione del rischio e la tariffazione nelle assicurazioni vita e salute, il 2 dicembre 2027.
Il regolamento DORA si applica già oggi alle imprese assicurative, mentre Solvency II e la IDD chiedono la stessa cosa: prove documentali. HONESTAS conserva tali prove sin dal primo sinistro.
Scegliete una data qualsiasi sulla linea temporale. Il conto alla rovescia indica il tempo mancante all'entrata in vigore di una norma, o i giorni trascorsi dalla sua applicazione.
Date dell'AI Act come modificate dal regolamento (UE) 2026/1744, il Digital Omnibus, pubblicato nella Gazzetta ufficiale il 24 luglio 2026. Revisione di Solvency II: direttiva (UE) 2025/2, applicabile dal 30 gennaio 2027. Non costituisce consulenza legale.
Cosa richiede ciascuna norma, e la registrazione che vi risponde.
Un'unica registrazione sigillata può soddisfare più norme contemporaneamente. Di seguito, ciascun obbligo è esposto in modo chiaro, seguito da ciò che HONESTAS conserva a tale scopo.
AI Act UE · Regolamento (UE) 2024/1689
- Gestione dei rischiArticolo 9Un sistema di gestione dei rischi per ciascun sistema di IA ad alto rischio, attuato e riesaminato per l'intero ciclo di utilizzo del sistema.Soddisfatto daEsecuzioni di convalida, rilievi del modello challenger e avvisi di deriva (drift), ciascuno conservato insieme alla versione del modello testata.
- Conservazione delle registrazioniArticolo 12I sistemi di IA ad alto rischio devono registrare automaticamente gli eventi lungo tutto il loro ciclo di vita, affinché il loro funzionamento sia tracciabile.Soddisfatto daLa registrazione sigillata della decisione: dati di input, regole e versioni dei modelli, ogni argomentazione, la firma e una marca temporale esterna.
- Trasparenza verso i deployerArticolo 13Chi utilizza il sistema deve essere in grado di comprenderne l'output e di impiegarlo correttamente.Soddisfatto daOgni risposta dell'IA elenca gli elementi letti e quelli esclusi. Ogni pulsante IA mostra il modello e la versione in esecuzione.
- Sorveglianza umanaArticolo 14Le persone devono poter sorvegliare il sistema, comprenderne i limiti, decidere di non utilizzarne l'output e interromperne il funzionamento.Soddisfatto daUn presidente designato in ogni stanza decisionale, un ruolo di contradittore (challenger), un secondo modello che può bloccare la decisione e una persona che appone la firma.
- Obblighi dei deployerArticolo 26Affidare la sorveglianza a persone dotate della competenza, della formazione e dell'autorità necessarie, monitorare il sistema, conservare i log per almeno sei mesi e informare le persone interessate.Soddisfatto daFirmatari i cui poteri vengono verificati prima della sottoscrizione, log conservati nell'archivio per il periodo da voi impostato e comunicazioni che indicano l'assistenza dell'IA.
- Tariffazione vita e saluteAllegato III, punto 5, lettera c)L'IA utilizzata per la valutazione del rischio e la determinazione dei prezzi per le persone fisiche nelle assicurazioni vita e salute è considerata ad alto rischio. Le relative norme si applicano dal 2 dicembre 2027.Soddisfatto daOgni decisione di assunzione e tariffazione nei rami vita e salute viene indirizzata a una stanza decisionale e sigillata, fin dal primo preventivo.
Vigilanza assicurativa
- Solvency II · sistema di governanceDirettiva 2009/138/CE · Articoli da 41 a 49Responsabilità chiare, gestione dei rischi, controllo interno e politiche scritte, mantenendo le funzioni esternalizzate sotto il controllo dell'impresa di assicurazione.Soddisfatto daLimiti di autonomia gestiti come strumenti sottoposti a controllo di versione, doppia approvazione (principio dei quattro occhi) su ogni modifica e registro di chi deteneva quali poteri in una data specifica.
- Solvency II · convalida dei modelliDirettiva 2009/138/CE · Articolo 124Un ciclo regolare di convalida per i modelli interni, che verifichi i risultati e le ipotesi chiave.Soddisfatto daSessioni di convalida ripetibili con esattezza, sigillate con i dati, il codice e le versioni del modello utilizzati.
- Direttiva sulla distribuzione assicurativa (IDD)Direttiva (UE) 2016/97 · Articoli 17, 20, 25Agire in modo onesto, imparziale e professionale nel migliore interesse del cliente, soddisfare le sue richieste ed esigenze e governare ciascun prodotto per il relativo mercato di riferimento.Soddisfatto daOgni preventivo conserva i documenti visualizzati dal cliente prima del pagamento. Ogni prodotto conserva tutte le versioni approvate del relativo testo di polizza.
- Parere EIOPA sull'IAGovernance dell'IA e gestione dei rischi · 6 agosto 2025Come si applicano Solvency II e la IDD all'IA non ad alto rischio: governance, dati, conservazione delle registrazioni, equità, spiegabilità, sorveglianza umana e sicurezza informatica.Soddisfatto daLa medesima registrazione sigillata per ogni decisione che coinvolge l'IA, ad alto rischio o meno.
- DORARegolamento (UE) 2022/2554 · dal 17 gennaio 2025Gestire i rischi informatici (TIC), segnalare gli incidenti gravi, tenere un registro dei fornitori TIC e disporre di piani di uscita per quelli a supporto di funzioni essenziali o importanti.Soddisfatto daI nostri dati per il vostro registro delle informazioni, cronologia degli incidenti a partire dal primo avviso ed esportazione completa in formato aperto.
- Lloyd'sPrincipio 4, gestione dei sinistri · convalida MS14Gestione tempestiva ed equa dei sinistri con supervisione sui sinistri in delega, e convalida indipendente dei modelli interni almeno una volta all'anno.Soddisfatto daDecisioni sui sinistri sigillate verificabili dal managing agent, decisioni di coverholder e TPA accessibili a chi fornisce la capacità, e sessioni di convalida ripetibili.
I clienti e i loro dati
- GDPR · processi decisionali automatizzatiRegolamento (UE) 2016/679 · Articoli 22 e 15, paragrafo 1, lettera h)Le persone hanno il diritto di non essere sottoposte a una decisione basata unicamente su un trattamento automatizzato che incida in modo significativo su di loro, e possono chiedere informazioni significative sulla logica utilizzata. Nella causa C-203/22, il 27 febbraio 2025, la Corte di giustizia ha stabilito che ciò implica spiegare la procedura e i principi effettivamente applicati.Soddisfatto daNessun rifiuto è deciso da un modello da solo. Firma una persona identificata e la registrazione indica in parole chiare quali dati sono stati usati e come.
- Central Bank of IrelandConsumer Protection Code · S.I. 80 e 81 del 2025Dal 24 marzo 2026: agire nel migliore interesse dei clienti, fornire informazioni chiare in un linguaggio semplice, rendere i canali digitali facili da usare e assistere i clienti in situazioni di vulnerabilità.Soddisfatto daOgni comunicazione al cliente è verificata per chiarezza del linguaggio e livello di leggibilità prima dell'invio, con la registrazione di quanto comunicato a ciascun cliente.
- FCA Consumer DutyPrincipio 12 · PRIN 2A · dal 31 luglio 2023Garantire buoni risultati per i clienti retail: prodotti e servizi, prezzo e valore, comprensione del consumatore e assistenza al consumatore.Soddisfatto daUna motivazione sigillata dietro ogni decisione di tariffazione e di liquidazione, le parole mostrate al cliente e l'assistenza ricevuta in ogni chiamata.
La certificazione resta tra voi e il vostro revisore. HONESTAS conserva le prove; non rilascia certificazioni. Non costituisce consulenza legale.
L'autorità di vigilanza chiede conto di una singola decisione. Si risponde in quattro passaggi.
La norma, la decisione e le prove vengono collegate nel momento in cui la decisione viene presa, non ricostruite a posteriori quando qualcuno le chiede.
La norma
Ogni norma a cui rispondete è conservata come elemento sottoposto a controllo di versione, con la data di applicazione e le policy che la mettono in pratica.
La decisione
Ogni decisione sigillata indica le norme, i testi di polizza, le tariffe e i poteri di firma o liquidazione in base ai quali è stata presa, nella versione in vigore.
Le prove documentali
La registrazione riporta ogni dato in ingresso, la sua fonte e la sua anzianità, e indica chiaramente cosa mancava al momento della decisione.
L'accesso in sola lettura
Il vostro revisore o l'autorità di vigilanza riceve un accesso che legge esattamente quelle registrazioni, oppure un Decision Passport verificabile senza bisogno di un account.
Sulle norme.
HONESTAS ci rende conformi?
Nessun prodotto può farlo. HONESTAS conserva le prove richieste da ciascuna norma man mano che le decisioni vengono prese, affinché la funzione compliance, il revisore e l'autorità di vigilanza possano formulare il proprio giudizio. La certificazione resta tra voi e il vostro revisore.
Quali dei nostri utilizzi sono ad alto rischio ai sensi dell'AI Act?
L'allegato III, punto 5, lettera c), copre l'IA utilizzata per la valutazione del rischio e la determinazione dei prezzi per le persone fisiche nelle assicurazioni vita e salute. Altri utilizzi, come i sinistri auto o la sottoscrizione di rischi aziendali, rientrano nel parere EIOPA e negli obblighi già previsti da Solvency II e dalla IDD. HONESTAS mantiene la stessa registrazione per entrambi, quindi un cambio di classificazione non modifica le vostre prove.
Cosa ha cambiato il Digital Omnibus?
Il Regolamento (UE) 2026/1744 ha spostato la data di applicazione delle norme sull'alto rischio dell'AI Act per gli utilizzi di cui all'allegato III dal 2 agosto 2026 al 2 dicembre 2027. Non ha eliminato gli obblighi per tali utilizzi. Le registrazioni conservate a partire da oggi copriranno già il periodo su cui l'autorità di vigilanza chiederà conto.
Si applicano anche le norme del Regno Unito e dei Lloyd's?
Se sottoscrivete rischi nel Regno Unito, il Consumer Duty della FCA si applica ai clienti retail e i Lloyd's stabiliscono i propri principi per i managing agent. HONESTAS mantiene un'unica registrazione e la riconduce a ciascun regime normativo a cui rispondete.
Per quanto tempo vengono conservate le registrazioni?
Per tutto il tempo che stabilite, per ciascuna tipologia di registrazione. L'AI Act richiede ai deployer di conservare i log per almeno sei mesi; le registrazioni relative a sinistri e sottoscrizione vengono solitamente conservate molto più a lungo. Un blocco per fini legali (legal hold) impedisce la cancellazione fino alla sua revoca, lasciando traccia di entrambi gli eventi.
Questa pagina costituisce consulenza legale?
No. È la nostra lettura chiara delle norme, corredata dei riferimenti affinché i vostri consulenti possano verificarli.
Approfondimenti
Portateci la norma che vi preoccupa di più.
Diteci su quale articolo l'autorità di vigilanza vi ha fatto domande l'ultima volta. Vi mostreremo le registrazioni che vi rispondono.