L'art. 437-bis è una nuova disposizione legale discussa di recente, associata a obblighi di sicurezza e supervisione legati all'IA. In termini di sicurezza informatica, è importante perché sposta l'IA ad alto rischio dall'essere trattata solo come un problema di ingegneria all'essere trattata come un problema di governance e di evidenze. Le organizzazioni possono essere tenute a mostrare come un sistema sia stato classificato, chi lo abbia approvato, quale supervisione umana esista e come vengano gestite le eccezioni.
In pratica, questo tipo di norma emerge nelle difese dopo un incidente o un audit. I team di sicurezza e conformità possono aver bisogno di registri, valutazioni del rischio, documenti dei fornitori, report di monitoraggio e percorsi di escalation per dimostrare che i controlli erano effettivamente in atto. È particolarmente rilevante per i sistemi di IA forniti da terze parti, in cui l'acquirente ha comunque bisogno di visibilità sugli aggiornamenti, sulla registrazione degli eventi e sulla notifica degli incidenti. Per gli attaccanti, il rischio non è lo sfruttamento diretto della legge, ma l'approfittare di una supervisione debole, di una documentazione scarsa o di una titolarità frammentata. Per i difensori, l'art. 437-bis evidenzia che le evidenze dei controlli fanno parte della postura di sicurezza.