Articolo 22 — Rappresentanti autorizzati dei fornitori stabiliti al di fuori dell'Unione (Regolamento UE sull'IA)

Articolo 22 del Regolamento (UE) 2024/1689 — Rappresentanti autorizzati dei fornitori stabiliti al di fuori dell'Unione. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 22 del Regolamento (UE) 2024/1689 stabilisce un meccanismo obbligatorio di accesso per i fornitori di sistemi di IA ad alto rischio e modelli di IA per uso generale che sono stabiliti in paesi terzi ma che immettono tali sistemi o modelli sul mercato dell'Unione o li mettono in servizio nell'Unione.

Tali fornitori devono, prima di rendere disponibile il proprio sistema di IA o modello GPAI nell'UE, designare — mediante mandato scritto — un rappresentante autorizzato stabilito nell'Unione. Il mandato deve conferire a tale rappresentante la facoltà di svolgere un insieme definito di compiti in nome del fornitore: verificare che la dichiarazione di conformità UE e la documentazione tecnica richiesta siano state correttamente redatte; garantire la registrazione nel database dell'UE di cui all'Articolo 71; e fungere da unico punto di contatto identificabile per l'Ufficio AI e per le autorità nazionali competenti in tutte le questioni relative alla conformità al Regolamento.

Il rappresentante autorizzato deve essere incluso nelle informazioni obbligatorie di registrazione e deve avere accesso a documentazione sufficiente per consentirgli di adempiere ai propri obblighi. Il rappresentante opera sotto un obbligo continuativo di cooperare con le autorità competenti e di avvisare immediatamente il fornitore di qualsiasi rischio o non conformità identificata. È importante notare che la nomina di un rappresentante autorizzato non solleva il fornitore del paese terzo dai propri obblighi ai sensi del Regolamento; entrambe le parti portano responsabilità distinte, con la responsabilità del rappresentante che deriva specificamente dai compiti attribuiti nel mandato.

Cosa significa in pratica

L'Articolo 22 funziona come l'equivalente nel Regolamento UE sull'IA dei concetti di "persona responsabile" o "rappresentante autorizzato" già familiari dalla legislazione sulla sicurezza dei prodotti come il Regolamento sui dispositivi medici e il Regolamento generale sulla sicurezza dei prodotti. Il suo effetto pratico è garantire che un'entità giuridicamente identificabile con una presenza fisica all'interno dell'UE sia sempre raggiungibile dalle autorità di regolamentazione, indipendentemente da dove abbia sede lo sviluppatore del sistema di IA.

Chi è interessato. Qualsiasi azienda non UE — che si tratti di uno sviluppatore statunitense di modelli fondazionali, di un'azienda di software robotico con sede a Singapore o di un fornitore di HR-tech con sede nel Regno Unito — che offre un sistema di IA ad alto rischio o un modello GPAI a clienti, responsabili del dispiegamento o utenti nell'UE deve mettere in atto questa struttura. Ciò include le aziende che distribuiscono tramite rivenditori UE o marketplace cloud: l'obbligo è in capo al fornitore, non al canale di distribuzione.

Cosa deve essere fatto. Il fornitore deve identificare una persona fisica o giuridica con sede in uno Stato membro dell'UE, concludere un mandato scritto che specifichi i compiti autorizzati del rappresentante, garantire che il rappresentante detenga copie (o accesso sicuro) della documentazione tecnica pertinente e delle dichiarazioni di conformità, e registrare i dettagli del rappresentante nel database dell'UE ai sensi dell'Articolo 71.

Esempio concreto. Un'azienda canadese che sviluppa uno strumento di credit scoring basato sull'IA classificato come ad alto rischio ai sensi dell'Allegato III deve contrattare uno studio legale stabilito nell'UE, una società di consulenza per la conformità o una controllata dedicata come entità giuridica come proprio rappresentante autorizzato prima di acquisire qualsiasi banca dell'UE come cliente. Il nome, l'indirizzo e i dati di contatto di quel rappresentante compaiono nel database dell'UE e nella documentazione del prodotto, offrendo alle autorità di sorveglianza del mercato francesi o tedesche un punto di contatto domestico immediato.

Obbligo continuativo. Il mandato non è una registrazione una tantum. Il rappresentante deve rimanere raggiungibile, mantenere la documentazione aggiornata ed escalare tempestivamente al fornitore qualsiasi non conformità identificata.

Obblighi principali

• Mandato scritto obbligatorio. Il fornitore deve conferire al rappresentante autorizzato un mandato formale e scritto prima di immettere il sistema di IA ad alto rischio o il modello GPAI sul mercato UE, specificando esplicitamente quali compiti il rappresentante è autorizzato a svolgere per conto del fornitore.
• Requisito di stabilimento nell'UE. Il rappresentante autorizzato deve essere una persona fisica o giuridica stabilita all'interno dell'Unione europea; un rappresentante stabilito in un paese terzo — inclusi gli Stati EFTA del SEE non coperti da un accordo di equivalenza — non soddisfa questo requisito.
• Accesso e verifica della documentazione. Il rappresentante deve verificare che la dichiarazione di conformità UE e la documentazione tecnica richiesta ai sensi degli Articoli 11 e 18 siano state correttamente redatte, e deve mantenere l'accesso a tali documenti per la durata del mandato.
• Registrazione nel database dell'UE. Il rappresentante è responsabile di garantire che le informazioni del fornitore — compresi i propri dati di contatto — siano registrate nel database dell'UE di cui all'Articolo 71, e che la registrazione sia mantenuta aggiornata.
• Punto di contatto per le autorità. Il rappresentante autorizzato funge da principale punto di contatto per l'Ufficio AI e le autorità nazionali competenti per tutte le indagini di conformità, sorveglianza del mercato ed esecuzione relative al sistema di IA o al modello GPAI in scope.
• Obbligo di avvisare e cooperare. Il rappresentante deve informare tempestivamente il fornitore di qualsiasi rischio per la salute, la sicurezza o i diritti fondamentali o di qualsiasi sospetto di non conformità di cui venga a conoscenza, e deve cooperare pienamente con le autorità competenti su richiesta, anche fornendo loro documentazione e accesso ai registri.

Relazione con altri articoli

L'Articolo 22 opera nell'ambito del quadro più ampio del Capitolo 3 che disciplina gli obblighi di fornitori e responsabili del dispiegamento e deve essere letto insieme a diverse altre disposizioni.

L'Articolo 16 stabilisce l'elenco completo degli obblighi che si applicano ai fornitori di sistemi di IA ad alto rischio; l'Articolo 22 delega efficacemente l'esecuzione domestica di tali obblighi al rappresentante autorizzato laddove il fornitore sia stabilito al di fuori dell'UE.

Gli Articoli 11 e 18 definiscono la documentazione tecnica e gli obblighi di conservazione dei registri che il rappresentante deve verificare siano stati adempiuti prima che il sistema sia immesso sul mercato.

L'Articolo 71 istituisce il database dell'UE in cui i dettagli del rappresentante devono essere registrati, rendendo l'Articolo 22 un prerequisito per la registrazione lecita da parte dei fornitori di paesi terzi.

L'Articolo 53 disciplina gli obblighi specifici per i fornitori di modelli di IA per uso generale; l'Articolo 22 estende il requisito del rappresentante autorizzato a questa categoria, rafforzando il fatto che i fornitori GPAI al di fuori dell'UE affrontano obblighi di controllo equivalenti.

Gli Articoli 74 e 75 sulla sorveglianza del mercato sono direttamente serviti dall'Articolo 22: le autorità competenti esercitano i loro poteri di vigilanza nei confronti del rappresentante autorizzato come ancoraggio domestico per l'esecuzione quando il fornitore effettivo è irraggiungibile.

Calendario di conformità

Il Regolamento UE sull'IA (Regolamento 2024/1689) è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale. L'applicazione è graduale:

• 2 febbraio 2025 — Le disposizioni sulle pratiche di IA vietate (Articolo 5) sono diventate applicabili. L'Articolo 22 non si applica ancora in modo isolato in questa fase, ma i fornitori dovrebbero già valutare se i loro sistemi rientrano nell'ambito dell'alto rischio o del GPAI.
• 2 agosto 2025 — Gli obblighi che si applicano ai modelli di IA per uso generale (Titolo V, incluso l'Articolo 53) diventano applicabili. Poiché l'Articolo 22 copre esplicitamente i fornitori di modelli GPAI, i fornitori GPAI di paesi terzi devono avere il proprio rappresentante autorizzato in atto entro questa data.
• 2 dicembre 2026 — I sistemi di IA ad alto rischio elencati nell'Allegato III che sono già soggetti alla legislazione esistente dell'UE sulla sicurezza dei prodotti devono conformarsi all'intera catena di obblighi del fornitore, inclusi i requisiti del rappresentante autorizzato dell'Articolo 22.
• 2 agosto 2027 — Tutti i restanti sistemi di IA ad alto rischio elencati nell'Allegato III diventano soggetti all'insieme completo degli obblighi. I fornitori di paesi terzi di tali sistemi che non hanno ancora designato un rappresentante autorizzato saranno inadempimenti a partire da questa data.

I fornitori che immettono sistemi ad alto rischio sul mercato UE per la prima volta dopo il 2 agosto 2024 dovrebbero considerare il requisito del rappresentante autorizzato come un prerequisito per l'accesso al mercato fin dall'inizio, piuttosto che aspettare la data di applicazione pertinente per la loro categoria di sistema.