Articolo 20 del Regolamento (UE) 2024/1689 — Azioni correttive e obbligo di informazione. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.
Sintesi del testo ufficiale
L'Articolo 20 del Regolamento (UE) 2024/1689 stabilisce un obbligo obbligatorio di azione correttiva e di informazione per i fornitori di sistemi di IA ad alto rischio. Quando un fornitore ha ragione di ritenere che un sistema di IA ad alto rischio che ha immesso sul mercato o messo in servizio non sia più conforme ai requisiti stabiliti nel Capitolo 2 del Titolo III, tale fornitore deve immediatamente adottare le necessarie azioni correttive per ripristinare la conformità del sistema, ritirarlo o richiamarlo, a seconda dei casi.
Il fornitore è contestualmente obbligato a informare i distributori del sistema e, ove applicabile, il rappresentante autorizzato, i responsabili del dispiegamento e qualsiasi altra terza parte rilevante della non conformità e delle misure correttive adottate. Laddove il sistema di IA presenti un rischio ai sensi dell'Articolo 79(1), il fornitore deve altresì notificare immediatamente le autorità nazionali competenti degli Stati membri in cui ha reso disponibile il sistema e, ove applicabile, l'organismo notificato che ha rilasciato un certificato per il sistema, fornendo i dettagli della non conformità e delle azioni correttive intraprese.
L'articolo combina quindi due obblighi distinti ma collegati: un obbligo operativo di agire e ripristinare la conformità, e un obbligo informativo di garantire che tutti gli attori nella catena di fornitura e di dispiegamento — incluse le autorità di sorveglianza del mercato — siano resi consapevoli della situazione e dei passi intrapresi per affrontarla. Questa struttura duale garantisce che i rischi non rimangano confinati all'interno dell'organizzazione del fornitore, ma emergano tempestivamente in tutto l'ecosistema normativo e commerciale.
Cosa significa in pratica
Per le organizzazioni che sviluppano o immettono sul mercato UE sistemi di IA ad alto rischio, l'Articolo 20 crea un obbligo permanente che è costantemente attivo per tutto il ciclo di vita del sistema. La conformità non può essere trattata come un esercizio in un momento preciso limitato alla valutazione di conformità iniziale.
Chi è interessato: Qualsiasi fornitore di un sistema di IA ad alto rischio nell'ambito dell'Allegato III, o sistemi soggetti alle regole di classificazione ad alto rischio dell'Articolo 6. Ciò include produttori, importatori che immettono sul mercato UE un sistema di terze parti con il proprio nome, ed entità giuridiche in paesi terzi i cui sistemi sono utilizzati nell'UE tramite un rappresentante autorizzato.
Cosa attiva l'azione: La soglia è "ragione di ritenere" — una deliberatamente bassa soglia probatoria. Un fornitore non ha bisogno della certezza della non conformità; una base credibile di preoccupazione, derivante da dati interni di monitoraggio post-commercializzazione, dalla segnalazione di un responsabile del dispiegamento, da un reclamo di un utente o da un'indagine di un'autorità di regolamentazione, è sufficiente ad attivare l'obbligo.
Esempio concreto: Un fornitore di un sistema di IA ad alto rischio utilizzato nel credit scoring rileva attraverso il proprio processo di monitoraggio post-commercializzazione (richiesto ai sensi dell'Articolo 72) che l'accuratezza del sistema è diminuita significativamente per un gruppo demografico protetto, sollevando una potenziale violazione dei requisiti di parzialità e robustezza ai sensi degli Articoli 9 e 15. Ai sensi dell'Articolo 20, il fornitore deve valutare tempestivamente le opzioni correttive (riaddestramento, adeguamento dei parametri, sospensione temporanea), attuare l'azione scelta, notificare tutti i responsabili del dispiegamento che attualmente utilizzano il sistema e informare l'autorità nazionale di sorveglianza del mercato competente se il degrado costituisce un rischio ai sensi dell'Articolo 79(1).
Documentazione: Tutte le azioni correttive e le notifiche devono essere registrate nella documentazione tecnica conservata ai sensi dell'Articolo 18 e nei registri conservati ai sensi dell'Articolo 19, poiché questi saranno le prove principali esaminate dalle autorità.
Obblighi principali
- Azione correttiva immediata: Adottare tutte le misure necessarie per ripristinare la conformità, ritirare il sistema dal mercato o richiamarlo dai responsabili del dispiegamento e dagli utenti, proporzionatamente alla natura e alla gravità della non conformità identificata.
- Notifica della catena di fornitura: Informare distributori, rappresentanti autorizzati e responsabili del dispiegamento della non conformità e delle azioni correttive adottate, senza indebito ritardo.
- Notifica alle autorità: Laddove la non conformità presenti un rischio ai sensi dell'Articolo 79(1), notificare le autorità di sorveglianza del mercato competenti di tutti gli Stati membri interessati e l'eventuale organismo notificato che ha rilasciato un certificato per il sistema.
- Fornitura di informazioni: Fornire alle autorità nazionali e agli organismi notificati tutti i dettagli della non conformità, le sue potenziali conseguenze e le misure correttive attuate o pianificate.
- Vigilanza continua: Mantenere i sistemi di monitoraggio post-commercializzazione richiesti ai sensi dell'Articolo 72 per garantire che le circostanze che danno luogo a non conformità siano rilevate tempestivamente e non persistano senza essere affrontate.
- Documentazione delle azioni: Registrare tutte le decisioni correttive, le notifiche emesse e le comunicazioni con le autorità nell'ambito degli obblighi tecnici e di gestione della qualità di cui agli Articoli 17, 18 e 19.
Relazione con altri articoli
L'Articolo 20 si trova al centro operativo degli obblighi del ciclo di vita del fornitore e si collega a diverse altre disposizioni.
È a monte dell'Articolo 73 (segnalazione degli incidenti gravi), che si applica specificamente quando un sistema di IA ad alto rischio causa o contribuisce a un incidente grave; i due regimi possono essere attivati simultaneamente e devono essere gestiti in parallelo. È a valle dell'Articolo 72 (monitoraggio post-commercializzazione), che è il meccanismo primario attraverso il quale i fornitori rileveranno le non conformità che attivano l'Articolo 20.
L'obbligo di azione correttiva è anche strettamente collegato all'Articolo 9 (sistema di gestione del rischio) e agli Articoli 15 e 17 (accuratezza, robustezza e gestione della qualità), poiché l'adeguatezza di tali sistemi determinerà se la non conformità viene rilevata e rimediata in modo tempestivo. L'Articolo 26 crea un dovere complementare a carico dei responsabili del dispiegamento di segnalare ai fornitori le sospette non conformità, rendendo i responsabili del dispiegamento un'importante fonte upstream di informazioni che confluiscono nel meccanismo di attivazione dell'Articolo 20. Infine, l'Articolo 21 riguarda gli obblighi di cooperazione dei fornitori una volta che le autorità siano intervenute formalmente e deve essere letto come la controparte normativa coercitiva all'obbligo di azione correttiva volontaria ai sensi dell'Articolo 20.
Calendario di conformità
Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024 (venti giorni dopo la pubblicazione nella Gazzetta ufficiale il 12 luglio 2024). L'Articolo 20 rientra nel Titolo III, Capitolo 3 e si applica ai sistemi di IA ad alto rischio. Il calendario di applicazione graduale è il seguente:
- Febbraio 2025: Le disposizioni sulle pratiche di IA vietate (Titolo II) sono diventate applicabili.
- Agosto 2025: Le norme sui modelli di IA per uso generale (Titolo VIII, Capitolo 2) sono diventate applicabili.
- Agosto 2026: Gli obblighi per i sistemi di IA ad alto rischio elencati nell'Allegato III utilizzati da autorità pubbliche sono diventati applicabili.
- Dicembre 2026 (scadenza principale per l'alto rischio): L'intera gamma degli obblighi del Titolo III — incluso l'Articolo 20 — è diventata applicabile ai fornitori di sistemi di IA ad alto rischio disciplinati dall'Allegato III. I fornitori i cui sistemi erano già sul mercato prima di questa data hanno beneficiato di un periodo transitorio ma devono ora essere pienamente conformi.
- Agosto 2027: Scadenza estesa per determinati sistemi di IA ad alto rischio che sono componenti di sistemi informatici su larga scala dell'UE o sono soggetti a norme armonizzate non ancora pubblicate al momento dell'entrata in vigore.
Per la maggior parte dei fornitori di sistemi di IA ad alto rischio dell'Allegato III, l'Articolo 20 è pienamente applicabile dal dicembre 2026, e i processi di azione correttiva e informazione dovrebbero essere già operativi.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
L'Articolo 20 è attivato quando un fornitore ha ragione di ritenere che un sistema di IA ad alto rischio che ha immesso sul mercato o messo in servizio non sia più conforme ai requisiti del Capitolo 2 del Titolo III. Ciò include situazioni in cui la non conformità è identificata dal fornitore stesso, segnalata da un responsabile del dispiegamento o evidenziata attraverso le attività di monitoraggio post-commercializzazione.
I fornitori devono notificare le autorità nazionali di sorveglianza del mercato competenti degli Stati membri in cui hanno reso disponibile il sistema, nonché l'eventuale organismo notificato coinvolto nella valutazione della conformità, i distributori e i responsabili del dispiegamento del sistema di IA ad alto rischio interessato. La notifica deve coprire sia la non conformità identificata sia le azioni correttive intraprese.
L'Articolo 20 pone l'obbligo principale in capo ai fornitori. Tuttavia, i responsabili del dispiegamento hanno un dovere complementare ai sensi dell'Articolo 26 di informare i fornitori quando hanno ragione di ritenere che l'uso di un sistema di IA ad alto rischio presenti un rischio o che il sistema non sia più conforme. L'Articolo 20 e l'Articolo 26 operano quindi in tandem lungo la catena di fornitura.
Le azioni correttive includono il ripristino della conformità del sistema di IA, il suo ritiro dal mercato, il suo richiamo dai responsabili del dispiegamento e dagli utenti e la disabilitazione dell'accesso al sistema laddove ciò sia tecnicamente fattibile. L'azione appropriata dipende dalla natura e dalla gravità della non conformità e dal rischio presentato per la salute, la sicurezza o i diritti fondamentali.
L'Articolo 20 riguarda la non conformità strutturale ai requisiti del Capitolo 2, mentre l'Articolo 73 disciplina specificamente la segnalazione degli incidenti gravi. In pratica, un incidente grave può rivelare una non conformità sistemica che attiva simultaneamente il dovere di azione correttiva dell'Articolo 20. I fornitori devono gestire entrambi gli obblighi in parallelo quando i fatti lo richiedono.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.