Articolo 23 — Obblighi degli importatori (EU AI Act)

Articolo 23 del Regolamento (UE) 2024/1689 — Obblighi degli importatori. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni di conformità.

Sintesi del Testo Ufficiale

L'Articolo 23 del Regolamento (UE) 2024/1689 (EU AI Act) stabilisce gli obblighi di conformità a carico degli importatori di sistemi di IA ad alto rischio. L'articolo si colloca nel Titolo III, Capitolo 3, che disciplina gli obblighi di fornitori, deployer, importatori e distributori.

Ai sensi dell'Articolo 23, prima di immettere sul mercato un sistema di IA ad alto rischio, un importatore deve verificare che:

1. la pertinente procedura di valutazione della conformità sia stata svolta dal fornitore;
2. il fornitore abbia redatto la documentazione tecnica richiesta dall'Allegato IV;
3. il sistema rechi la marcatura CE richiesta e sia accompagnato dalla Dichiarazione di Conformità UE e dalle istruzioni per l'uso;
4. il fornitore abbia nominato un rappresentante autorizzato nell'Unione ai sensi dell'Articolo 22.

Qualora l'importatore abbia motivo di ritenere che un sistema non sia conforme al Regolamento, è tenuto a non immetterlo sul mercato fino a quando non sia stabilita la conformità. Se il sistema presenta un rischio inaccettabile ai sensi dell'Articolo 6, l'importatore deve informare il fornitore, il rappresentante autorizzato e le autorità di vigilanza del mercato competenti.

Gli importatori devono inoltre garantire che, mentre un sistema di IA ad alto rischio è sotto la loro responsabilità, le condizioni di stoccaggio e trasporto non ne compromettano la conformità. Devono indicare il proprio nome, denominazione commerciale o marchio registrato, e indirizzo postale sul sistema o sulla sua confezione. Infine, gli importatori devono conservare una copia della Dichiarazione di Conformità UE e della documentazione tecnica per dieci anni e cooperare pienamente con le autorità competenti.

Cosa Significa in Pratica

L'Articolo 23 ha implicazioni dirette e concrete per qualsiasi entità stabilita nell'UE che acquisisca e immetta sul mercato UE un sistema di IA ad alto rischio sviluppato da un fornitore stabilito al di fuori dell'Unione.

Chi è interessato. Un distributore europeo che importa un sistema di IA ad alto rischio per la selezione del personale sviluppato da un'azienda software statunitense è un importatore ai sensi di questo articolo. Analogamente, una filiale UE che immette sul mercato europeo il sistema di IA per la diagnostica medica ad alto rischio della società madre (di un paese terzo) sarà trattata come importatore e sarà soggetta agli obblighi descritti di seguito. Al contrario, se il fornitore non UE nomina un rappresentante autorizzato che agisce per suo conto, il ruolo dell'importatore e i relativi obblighi rimangono distinti dal ruolo di tale rappresentante.

Quali azioni sono richieste prima di immettere il sistema sul mercato. Gli importatori devono condurre una revisione di due diligence del pacchetto di conformità del fornitore: devono confermare il completamento della valutazione della conformità, esaminare la Dichiarazione di Conformità, verificare la marcatura CE e accertare che la documentazione tecnica (Allegato IV) esista e sia accessibile. Non si tratta di un esercizio formale di spunta caselle — se la documentazione è mancante o vi sono fondati motivi di dubbio sulla conformità, l'importatore deve sospendere il processo.

Obblighi continuativi. Una volta che il sistema è sul mercato, gli importatori devono conservare la propria copia della dichiarazione e della documentazione per un decennio, apporre i propri dati di contatto sul sistema o sulla confezione, e segnalare incidenti gravi o non conformità alle autorità di vigilanza del mercato. Devono inoltre cooperare con qualsiasi sorveglianza post-commercializzazione o indagine richiesta dalle autorità nazionali, e garantire che qualsiasi stoccaggio o gestione logistica non comprometta le proprietà di conformità del sistema.

Un esempio pratico: un importatore di tecnologie sanitarie con sede nell'UE che introduce un sistema di triage basato sull'IA di un paese terzo elencato nell'Allegato III deve completare la revisione completa della documentazione, confermare la marcatura CE, etichettare il prodotto con il proprio indirizzo UE e conservare i registri per dieci anni — prima di avvicinarsi a un singolo ospedale come cliente.

Obblighi Principali

• Verifica della conformità pre-immissione sul mercato. Confermare che il fornitore abbia completato la procedura di valutazione della conformità applicabile ai sensi dell'Articolo 43 e che tutta la documentazione richiesta — il fascicolo tecnico (Allegato IV) e la Dichiarazione di Conformità UE — sia disponibile e aggiornata.
• Verifica della marcatura CE e dell'etichettatura. Verificare che il sistema di IA ad alto rischio rechi una marcatura CE valida e che il nome, il marchio o il segno e l'indirizzo postale dell'importatore figurino sul sistema o sulla sua confezione o nella documentazione allegata.
• Divieto di immissione sul mercato di sistemi non conformi. Astenersi dall'immettere sul mercato qualsiasi sistema di IA ad alto rischio se vi sono ragionevoli motivi per ritenere che non sia conforme al Regolamento o presenti un rischio inaccettabile; informare di conseguenza il fornitore, il rappresentante autorizzato e le autorità di vigilanza del mercato competenti.
• Conservazione della documentazione. Conservare copie della Dichiarazione di Conformità UE e della documentazione tecnica per dieci anni dalla data di immissione sul mercato o di entrata in servizio, e renderle disponibili alle autorità competenti su richiesta.
• Segnalazione di incidenti e non conformità. Informare immediatamente le autorità nazionali di vigilanza del mercato competenti e il fornitore se un sistema già immesso sul mercato risulta non conforme o presenta un rischio, e cooperare con qualsiasi azione correttiva o investigativa richiesta.
• Preservazione delle condizioni di conformità. Garantire che le disposizioni di stoccaggio, manipolazione e trasporto sotto la responsabilità dell'importatore non compromettano la conformità del sistema di IA ad alto rischio con i requisiti stabiliti nel Capitolo 2 del Titolo III.

Rapporto con Altri Articoli

L'Articolo 23 non può essere letto in modo isolato. È strettamente collegato all'Articolo 16 (Obblighi dei fornitori), che stabilisce i doveri fondamentali di conformità che l'importatore verifica prima dell'immissione sul mercato. L'Articolo 22 (Rappresentanti autorizzati) è direttamente citato: l'importatore deve confermare che tale rappresentante sia stato nominato, distinguendo il ruolo dell'importatore da quello del rappresentante. L'Articolo 43 (Valutazione della conformità) definisce le procedure il cui completamento l'importatore deve verificare.

Sul fronte della documentazione, l'Allegato IV specifica la documentazione tecnica che l'importatore deve verificare che esista, e l'Articolo 47 disciplina la Dichiarazione di Conformità UE che deve accompagnare il sistema. Per gli obblighi post-commercializzazione, l'Articolo 72 (Monitoraggio post-commercializzazione) e l'Articolo 73 (Segnalazione di incidenti gravi) forniscono il quadro entro cui operano i doveri di segnalazione dell'importatore. L'Articolo 25 (Obblighi dei distributori) è la disposizione complementare naturale, che chiarisce come gli obblighi differiscano una volta che il sistema scende ulteriormente nella catena di fornitura oltre l'importatore.

Cronologia di Conformità

L'EU AI Act è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta Ufficiale. Tuttavia, le sue disposizioni si applicano in fasi:

• 2 febbraio 2025 — I divieti sulle pratiche di IA a rischio inaccettabile (Titolo II, Articolo 5) sono diventati applicabili. Gli importatori non sono direttamente implicati da questi divieti, ma devono essere consapevoli che i sistemi che importano non possono rientrare in queste categorie.
• 2 agosto 2025 — Le disposizioni sui modelli di IA per uso generale (Titolo VIII) e le strutture di governance sono diventate applicabili. L'Articolo 23 non disciplina direttamente i modelli GPAI.
• 2 agosto 2026 — Gli obblighi relativi ai sistemi di IA ad alto rischio ai sensi del Titolo III, compreso l'Articolo 23, diventano pienamente applicabili per i sistemi coperti dall'Allegato III (la categoria principale dei sistemi di IA ad alto rischio). Gli importatori di questi sistemi devono essere pienamente conformi a partire da questa data.
• 2 agosto 2027 — Termine prorogato per i sistemi di IA ad alto rischio coperti dall'Allegato I (componenti di sicurezza ai sensi della legislazione di armonizzazione dell'Unione esistente) che erano già stati immessi sul mercato prima del 2 agosto 2026.

Gli importatori devono considerare il 2 agosto 2026 come la scadenza definitiva per l'istituzione dei propri processi di due diligence e documentazione per tutti i sistemi di IA ad alto rischio dell'Allegato III attualmente nella loro catena di fornitura.