Articolo 16 — Obblighi dei fornitori di sistemi di IA ad alto rischio (Regolamento UE sull'IA)

Articolo 16 del Regolamento (UE) 2024/1689 — Obblighi dei fornitori di sistemi di IA ad alto rischio. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 16 del Regolamento (UE) 2024/1689 (il Regolamento UE sull'IA) stabilisce il set completo di obblighi che i fornitori di sistemi di IA ad alto rischio devono adempiere prima di immettere i propri sistemi sul mercato o di metterli in servizio. L'articolo funge da ancoraggio centrale delle responsabilità dei fornitori all'interno del Titolo III, Capitolo 3.

Ai sensi dell'Articolo 16, i fornitori devono garantire che i loro sistemi di IA ad alto rischio soddisfino tutti i requisiti stabiliti nel Capitolo 2 del Titolo III, riguardanti la gestione del rischio (Articolo 9), i dati e la governance dei dati (Articolo 10), la documentazione tecnica (Articolo 11), la conservazione dei registri (Articolo 12), la trasparenza e la fornitura di informazioni (Articolo 13), la supervisione umana (Articolo 14) e l'accuratezza, la robustezza e la cybersicurezza (Articolo 15).

Oltre alla conformità al Capitolo 2, l'Articolo 16 impone specifici obblighi amministrativi e procedurali. I fornitori devono istituire un sistema di gestione della qualità in conformità all'Articolo 17, redigere la documentazione tecnica specificata nell'Allegato IV e, ove applicabile, sottoporsi a una procedura di valutazione della conformità prima di apporre la marcatura CE. Devono registrare i propri sistemi nel database dell'UE istituito ai sensi dell'Articolo 71, ove richiesto, cooperare con le autorità nazionali competenti su richiesta e conservare tutta la documentazione pertinente per un periodo di dieci anni dalla messa in commercio o dalla messa in servizio del sistema. I fornitori stabiliti al di fuori dell'UE devono nominare un rappresentante autorizzato nell'Unione ai sensi dell'Articolo 22.

Cosa significa in pratica

Per le organizzazioni che sviluppano o commissionano sistemi di IA ad alto rischio, l'Articolo 16 si traduce in un programma strutturato di conformità pre-commercializzazione che deve essere completato prima di qualsiasi dispiegamento o rilascio commerciale.

Sviluppatori e fornitori che costruiscono sistemi di IA che rientrano nelle categorie ad alto rischio definite nell'Allegato III — che coprono aree quali l'identificazione biometrica, le infrastrutture critiche, l'istruzione, l'occupazione, i servizi essenziali, il contrasto alla criminalità, la migrazione e l'amministrazione della giustizia — devono considerare l'Articolo 16 come la loro lista di controllo primaria per la conformità. Prima del lancio, devono disporre di un sistema documentato di gestione della qualità, aver completato una valutazione di conformità (autonoma o di terze parti, a seconda della categoria), aver apposto la marcatura CE e aver registrato il prodotto nel database del Regolamento UE sull'IA.

Un esempio concreto: un'azienda software che offre uno strumento di screening dei CV basato sull'IA ai reparti HR rientra nell'Allegato III, punto 4 (gestione dell'occupazione e dei lavoratori). Prima di immettere questo strumento sul mercato, l'azienda deve documentare il proprio processo di gestione del rischio, dimostrare la qualità dei propri dati di addestramento, fornire la documentazione tecnica che consenta alle autorità di regolamentazione di valutare la conformità, implementare meccanismi di supervisione umana e registrare il sistema. Se l'azienda è stabilita al di fuori dell'UE, deve designare un rappresentante autorizzato con sede nell'UE.

Gli obblighi continuativi persistono dopo il dispiegamento. I fornitori devono conservare la documentazione, monitorare le prestazioni post-commercializzazione ai sensi dell'Articolo 72, segnalare incidenti gravi ai sensi dell'Articolo 73 e aggiornare la documentazione tecnica quando il sistema subisce modifiche sostanziali. La conformità non è un evento una tantum, ma una responsabilità operativa continua.

I fornitori che operano in settori di prodotti regolamentati — come i dispositivi medici o i macchinari — devono soddisfare anche i requisiti di conformità specifici del settore che interagiscono con il Regolamento sull'IA ai sensi dell'Allegato I.

Obblighi principali

• Garantire la conformità al Capitolo 2: Verificare che il sistema di IA ad alto rischio soddisfi tutti i requisiti tecnici e di governance (Articoli 8–15) prima dell'immissione sul mercato, inclusi la gestione del rischio, la governance dei dati, la trasparenza, la supervisione umana e la robustezza.
• Istituire un sistema di gestione della qualità: Implementare un SGQ documentato in conformità all'Articolo 17, che copra politiche, procedure, valutazione della conformità, monitoraggio post-commercializzazione e flussi di lavoro per la segnalazione degli incidenti.
• Redigere e mantenere la documentazione tecnica: Preparare e tenere aggiornata la documentazione tecnica specificata nell'Allegato IV, dimostrando la conformità alle autorità nazionali competenti e agli organismi notificati su richiesta.
• Sottoporsi alla valutazione della conformità e apporre la marcatura CE: Completare la procedura applicabile di valutazione della conformità (autonoma o di terze parti) e apporre la marcatura CE prima di immettere il sistema sul mercato o metterlo in servizio nell'UE.
• Registrarsi nel database dell'UE: Inserire il sistema nel database a livello UE per i sistemi di IA ad alto rischio istituito ai sensi dell'Articolo 71, ove la registrazione è obbligatoria per la categoria pertinente.
• Conservare i registri per dieci anni e cooperare con le autorità: Conservare tutta la documentazione tecnica, le dichiarazioni di conformità e i registri applicabili per almeno dieci anni; rispondere alle richieste di informazioni delle autorità nazionali di vigilanza e di sorveglianza del mercato; nominare un rappresentante autorizzato nell'UE se il fornitore non è stabilito nell'Unione.

Relazione con altri articoli

L'Articolo 16 non può essere letto in isolamento. È l'obbligo-porta che attiva e fa riferimento a praticamente tutti gli altri requisiti rivolti ai fornitori nel Titolo III.

I requisiti tecnici sostanziali che l'Articolo 16 richiede ai fornitori di soddisfare si trovano negli Articoli da 8 a 15 (Capitolo 2). Il sistema di gestione della qualità che esso impone è elaborato nell'Articolo 17. Le specifiche della documentazione tecnica compaiono nell'Allegato IV, a cui fa riferimento l'Articolo 11. Le procedure di valutazione della conformità attivate dall'Articolo 16 sono dettagliate nell'Articolo 43, con le norme sulla dichiarazione di conformità nell'Articolo 47 e le norme sulla marcatura CE nell'Articolo 48.

Gli obblighi di sorveglianza post-commercializzazione che estendono la portata dell'Articolo 16 oltre il collocamento iniziale sono stabiliti nell'Articolo 72, con la segnalazione degli incidenti gravi nell'Articolo 73. I rappresentanti autorizzati — richiesti per i fornitori non UE ai sensi dell'Articolo 16 — sono disciplinati dall'Articolo 22. Le circostanze in cui importatori e distributori assumono obblighi di fornitore sono specificate nell'Articolo 24. Infine, il requisito di registrazione nel database dell'UE si ricollega all'Articolo 71. Le autorità nazionali competenti che applicano gli obblighi dell'Articolo 16 operano nel quadro stabilito dagli Articoli 70 e 74.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale. Tuttavia, le sue disposizioni si applicano in modo graduale:

• 2 febbraio 2025: I divieti sulle pratiche di IA a rischio inaccettabile (Articolo 5) sono diventati applicabili.
• 2 agosto 2025: Gli obblighi relativi ai modelli di IA per uso generale (Titolo VIII, Articoli 51–56) sono diventati applicabili.
• 2 agosto 2026: Gli obblighi dell'Articolo 16 diventano applicabili ai sistemi di IA ad alto rischio elencati nell'Allegato III (sistemi di IA autonomi in aree quali occupazione, istruzione, servizi essenziali, biometria e contrasto alla criminalità).
• 2 agosto 2027: Gli obblighi dell'Articolo 16 diventano applicabili ai sistemi di IA ad alto rischio disciplinati dall'Allegato I (componenti di sicurezza di prodotti già regolamentati dalla legislazione settoriale dell'UE esistente, come dispositivi medici, macchinari e aviazione civile).

I fornitori non dovrebbero aspettare queste date di applicazione per iniziare i preparativi. La costruzione di un sistema di gestione della qualità, la compilazione della documentazione tecnica e il completamento delle valutazioni di conformità sono processi che richiedono molte risorse. Le organizzazioni che immettono sistemi dell'Allegato III sul mercato sono invitate a essere operativamente conformi entro la metà del 2026 al più tardi, con analisi dei gap e programmi di rimedio avviati entro l'inizio del 2025.