Articolo 24 — Obblighi dei distributori (Regolamento UE sull'IA)

Articolo 24 del Regolamento (UE) 2024/1689 — Obblighi dei distributori. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 24 del Regolamento (UE) 2024/1689 stabilisce gli obblighi gravanti sui distributori di sistemi di IA ad alto rischio ai sensi dell'Articolo 3(7). Prima di mettere a disposizione sul mercato un sistema di IA ad alto rischio, i distributori devono verificare che rechi la marcatura di conformità CE richiesta, che sia accompagnato da una copia della dichiarazione di conformità UE rilasciata dal fornitore e che le necessarie istruzioni per l'uso siano fornite in una lingua facilmente comprensibile dagli utenti nello Stato membro in cui il sistema viene reso disponibile.

I distributori sono tenuti a verificare che il fornitore e, ove applicabile, l'importatore abbiano adempiuto ai rispettivi obblighi ai sensi degli Articoli 16 e 23. Qualora un distributore abbia motivo di ritenere che un sistema di IA ad alto rischio non sia conforme ai requisiti del Regolamento, deve astenersi dal renderlo disponibile fino a quando la conformità non sia stata ripristinata. Se il sistema presenta un rischio, il distributore deve informare di conseguenza il fornitore o l'importatore e le autorità competenti di vigilanza del mercato.

I distributori devono inoltre cooperare con fornitori, importatori e autorità competenti su richiesta e fornire tutte le informazioni e la documentazione in loro possesso necessarie per dimostrare la conformità di un sistema di IA ad alto rischio. Gli obblighi di conservazione della documentazione pertinente si applicano per un periodo di dieci anni dopo che il sistema è stato messo a disposizione. Crucialmente, l'articolo stabilisce le condizioni in base alle quali un distributore assume gli obblighi completi di fornitore: quando immette un sistema sul mercato con il proprio nome, modifica sostanzialmente il sistema o ne modifica la destinazione d'uso in modo da soddisfare la soglia di classificazione ad alto rischio.

Cosa significa in pratica

L'Articolo 24 riguarda direttamente qualsiasi impresa che distribuisce sistemi di IA ad alto rischio senza svilupparli — dettaglianti di dispositivi medici basati su IA, rivenditori di sistemi biometrici basati su IA o operatori di piattaforme che forniscono strumenti di IA di terze parti a clienti aziendali. L'articolo impone un punto di controllo di dovuta diligenza prima di qualsiasi atto di distribuzione.

Concretamente, un distributore deve effettuare una verifica di conformità prima di ogni immissione sul mercato: confermare che la marcatura CE sia presente e valida, ottenere e conservare una copia della dichiarazione di conformità UE e garantire che la documentazione del prodotto e le istruzioni per l'uso siano tradotte o altrimenti accessibili nella lingua dello Stato membro pertinente. Non si tratta di compiti una tantum — si applicano ogni volta che il sistema viene reso disponibile.

Se un audit, un reclamo di un cliente o una revisione interna fa emergere una preoccupazione di conformità, il distributore non può continuare la distribuzione e deve immediatamente segnalare al fornitore o all'importatore e, se è presente un rischio per la salute, la sicurezza o i diritti fondamentali, alle autorità di vigilanza del mercato quali le autorità nazionali per l'IA designate ai sensi dell'Articolo 70.

La disposizione sull'escalation del ruolo è particolarmente rilevante. Un distributore che ribattezza un sistema di IA ad alto rischio, apporta modifiche funzionali che alterano le prestazioni o la destinazione d'uso, o modifica il contesto di implementazione in modo sostanziale, sarà riclassificato come fornitore. A quel punto, eredita l'intero insieme di obblighi ai sensi dell'Articolo 16, tra cui la valutazione della conformità, la registrazione nella banca dati UE, il monitoraggio post-commercializzazione e la documentazione tecnica. Le imprese dovrebbero condurre un esercizio di mappatura giuridica prima di modificare qualsiasi sistema di IA acquisito per determinare se la soglia di modifica viene superata.

Obblighi principali

• Verifica della conformità prima della distribuzione: Prima di rendere disponibile un sistema di IA ad alto rischio, confermare che la marcatura CE, la dichiarazione di conformità UE e le istruzioni per l'uso accessibili siano tutti presenti e completi.
• Sospensione dei sistemi non conformi: Se vi è motivo di ritenere che un sistema non sia conforme al Regolamento (UE) 2024/1689, sospendere immediatamente la distribuzione e notificare al fornitore, all'importatore e, ove esista un rischio, all'autorità competente di vigilanza del mercato.
• Cooperazione con le autorità: Su richiesta, fornire tutte le informazioni e la documentazione in possesso del distributore per dimostrare la conformità e cooperare con le indagini condotte dalle autorità competenti.
• Conservazione decennale della documentazione: Conservare tutta la documentazione di conformità pertinente per dieci anni dalla data in cui il sistema di IA ad alto rischio è stato messo a disposizione sul mercato.
• Assunzione degli obblighi del fornitore: Qualora un distributore immetta un sistema sul mercato con il proprio nome o marchio, lo modifichi sostanzialmente o ne cambi la destinazione d'uso verso un caso d'uso ad alto rischio, deve assumere tutti gli obblighi del fornitore ai sensi dell'Articolo 16.
• Segnalazione dei rischi: Se un sistema distribuito presenta un rischio per la salute, la sicurezza o i diritti fondamentali, il distributore deve informare immediatamente il fornitore o l'importatore e le pertinenti autorità di vigilanza del mercato, fornendo i dettagli della non conformità e di qualsiasi azione correttiva intrapresa.

Relazione con altri articoli

L'Articolo 24 si inserisce nel Titolo III, Capo 3, che disciplina l'intera catena di responsabilità per i sistemi di IA ad alto rischio. È strettamente collegato all'Articolo 16 (obblighi dei fornitori), poiché l'Articolo 24 utilizza regolarmente gli obblighi del fornitore come base di conformità che i distributori devono verificare e, in determinate circostanze, assumere direttamente. L'Articolo 23 (obblighi degli importatori) è un diretto corrispettivo: i distributori devono verificare che gli importatori abbiano espletato i propri controlli pre-distribuzione. L'Articolo 3 fornisce le definizioni di distributore, fornitore, importatore e modifica sostanziale che determinano quali obblighi si applicano.

L'Articolo 47 (dichiarazione di conformità UE) e l'Articolo 48 (marcatura CE) definiscono la documentazione e la marcatura che i distributori sono tenuti a verificare. Gli Articoli da 72 a 74 sul monitoraggio post-commercializzazione e la segnalazione di incidenti gravi si intersecano con gli obblighi dei distributori quando un rischio si materializza dopo la distribuzione. Gli obblighi di vigilanza del mercato e di applicazione ai sensi degli Articoli da 74 a 83 disciplinano come le autorità competenti interagiscono con i distributori durante le indagini sulla non conformità.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024 (20 giorni dopo la pubblicazione nella Gazzetta Ufficiale il 12 luglio 2024). Il calendario di applicazione graduale è il seguente:

• 2 febbraio 2025 — I divieti sulle pratiche di IA a rischio inaccettabile (Titolo II, Articolo 5) sono diventati applicabili.
• 2 agosto 2025 — Gli obblighi relativi ai modelli di IA per uso generale (Titolo VIII) e le disposizioni di governance sono diventati applicabili.
• 2 agosto 2026 — Gli obblighi dell'Articolo 24 si applicano pienamente ai distributori di sistemi di IA ad alto rischio elencati nell'Allegato III (sistemi di IA ad alto rischio autonomi in settori quali istruzione, occupazione, forze dell'ordine e accesso a servizi essenziali).
• 2 agosto 2027 — Gli obblighi dell'Articolo 24 si applicano ai distributori di sistemi di IA ad alto rischio incorporati in prodotti disciplinati dalla legislazione di armonizzazione dell'Unione elencata nell'Allegato I (ad esempio macchinari, dispositivi medici, attrezzature per l'aviazione civile).

I distributori che immettono sul mercato sistemi dell'Allegato III dovrebbero già essere impegnati nella preparazione alla conformità, visto il termine del 2 agosto 2026. Coloro che si occupano esclusivamente di sistemi incorporati in prodotti dell'Allegato I hanno ulteriore tempo, ma dovrebbero avviare senza indugio la dovuta diligenza sulla catena di fornitura e i processi di documentazione.