Articolo 28 — Autorità di notifica (EU AI Act)

Articolo 28 del Regolamento (UE) 2024/1689 — Autorità di notifica. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni di conformità.

Sintesi del Testo Ufficiale

L'Articolo 28 del Regolamento (UE) 2024/1689 (EU AI Act) stabilisce il quadro per le autorità di notifica — gli organismi nazionali responsabili della designazione, del monitoraggio e della supervisione degli organismi di valutazione della conformità (organismi notificati) che valutano i sistemi di IA ad alto rischio.

Ai sensi dell'Articolo 28, ogni Stato membro deve designare almeno un'autorità di notifica responsabile di: stabilire e svolgere le procedure necessarie per la valutazione e la designazione degli organismi di valutazione della conformità; notificare tali organismi alla Commissione europea e agli altri Stati membri; e fornire un monitoraggio continuo degli organismi notificati per garantire il rispetto continuativo dei requisiti stabiliti nell'Articolo 31.

L'autorità di notifica deve essere strutturata in modo da evitare conflitti di interesse con gli organismi di valutazione della conformità che supervisiona. Deve essere operativamente indipendente da tali organismi e deve disporre di competenze tecniche e risorse sufficienti per svolgere efficacemente le proprie funzioni. Gli Stati membri possono assegnare il ruolo di autorità di notifica a un organismo nazionale esistente — inclusa un'autorità di vigilanza del mercato — a condizione che siano soddisfatti i necessari criteri di indipendenza.

L'Articolo 28 richiede inoltre alle autorità di notifica di rendere pubblicamente disponibili le informazioni sulle proprie procedure di valutazione e notifica, e di cooperare con la Commissione e le autorità di notifica degli altri Stati membri, anche tramite lo strumento di notifica elettronica della Commissione collegato alla banca dati NANDO. Qualsiasi modifica a una notifica — comprese sospensione, restrizione o revoca — deve essere comunicata tempestivamente attraverso tale sistema.

Cosa Significa in Pratica

L'Articolo 28 opera principalmente a livello istituzionale degli Stati membri, ma le sue implicazioni pratiche si ripercuotono sui fornitori di sistemi di IA ad alto rischio che richiedono una valutazione della conformità di terza parte prima di essere immessi sul mercato UE.

Per i governi degli Stati membri, l'obbligo immediato è di natura amministrativa: ciascuno deve formalmente designare o istituire un'autorità di notifica e comunicare tale designazione alla Commissione. Gli Stati membri che dispongono di un'infrastruttura di organismi notificati esistente nell'ambito della legislazione di armonizzazione settoriale (come per i dispositivi medici ai sensi del Regolamento (UE) 2017/745, o per i macchinari ai sensi della Direttiva 2006/42/CE) estenderanno o adatteranno tipicamente tali strutture per coprire i requisiti specifici dell'IA.

Per i fornitori di sistemi di IA ad alto rischio, l'autorità di notifica è il guardiano per l'accesso agli organismi di valutazione della conformità accreditati. Se il sistema di un fornitore rientra nelle categorie dell'Allegato I che richiedono una valutazione della conformità obbligatoria di terza parte, il fornitore deve collaborare con un organismo notificato che sia stato formalmente designato da un'autorità di notifica nazionale e iscritto nella banca dati NANDO. I fornitori devono verificare che qualsiasi organismo di valutazione della conformità con cui si relazionano disponga di una notifica valida e vigente che copra la categoria pertinente di sistema di IA.

In pratica, un fornitore che immette sul mercato UE, ad esempio, un sistema di categorizzazione biometrica o un componente di sicurezza basato sull'IA nei macchinari industriali deve:

1. Identificare se il proprio sistema attiva la valutazione della conformità obbligatoria di terza parte.
2. Selezionare un organismo notificato elencato nel NANDO nell'ambito di applicazione pertinente.
3. Sottoporsi alla procedura di valutazione della conformità supervisionata da tale organismo.
4. Garantire che l'organismo notificato rimanga validamente designato durante tutto il ciclo di vita del prodotto.

La funzione di monitoraggio dell'autorità di notifica implica che, se un organismo notificato perde la sua designazione — a causa di risultati di non conformità — i certificati da esso emessi possono essere interessati, creando un rischio di conformità a valle per i fornitori che detengono tali certificati.

Obblighi Principali

• Gli Stati membri devono designare un'autorità di notifica: ogni Stato membro è obbligato a designare formalmente almeno un organismo nazionale come autorità di notifica per gli organismi di valutazione della conformità dell'IA, e a comunicare tale designazione alla Commissione europea.
• Requisito di indipendenza: l'autorità di notifica deve essere organizzata in modo da essere operativamente indipendente dagli organismi di valutazione della conformità che designa e monitora, evitando qualsiasi conflitto di interesse.
• Competenza e risorse: le autorità di notifica devono possedere competenze tecniche, personale e risorse sufficienti per svolgere la valutazione, la designazione e il monitoraggio continuativo degli organismi notificati rispetto ai criteri dell'Articolo 31.
• Procedure trasparenti: le autorità di notifica devono rendere pubblicamente disponibili le proprie procedure di valutazione e notifica e devono utilizzare lo strumento di notifica elettronica della Commissione (collegato alla banca dati NANDO) per tutte le notifiche, gli aggiornamenti, le sospensioni e le revoche.
• Monitoraggio continuativo: le autorità di notifica sono responsabili della vigilanza continua degli organismi notificati per garantire che mantengano la competenza e la conformità richieste; devono indagare sui reclami e adottare misure correttive laddove vengano riscontrate carenze.
• Cooperazione transfrontaliera: le autorità di notifica devono cooperare tra loro e con la Commissione, condividendo informazioni rilevanti sulla competenza e sulla condotta degli organismi notificati per mantenere standard coerenti nel mercato unico.

Rapporto con Altri Articoli

L'Articolo 28 è il fondamento strutturale del Capitolo 4 (Titolo III) e deve essere letto insieme agli articoli che lo seguono immediatamente. L'Articolo 29 specifica i requisiti dettagliati che le stesse autorità di notifica devono soddisfare — inclusi indipendenza, imparzialità e assenza di conflitti di interesse. L'Articolo 30 disciplina il processo di domanda attraverso cui gli organismi di valutazione della conformità richiedono la notifica, stabilendo quali informazioni devono essere presentate e valutate dall'autorità di notifica. L'Articolo 31 stabilisce i requisiti sostanziali che gli organismi notificati devono soddisfare affinché la designazione sia concessa o mantenuta.

Più in generale, l'Articolo 28 si collega all'Articolo 43, che specifica quali sistemi di IA ad alto rischio nell'Allegato I sono soggetti alla valutazione della conformità obbligatoria di terza parte — rendendo gli organismi notificati, e quindi le autorità di notifica, operativamente rilevanti. L'articolo si collega anche all'Articolo 74 e al quadro più ampio di vigilanza del mercato: le autorità di notifica e le autorità di vigilanza del mercato possono essere lo stesso organismo, e la loro cooperazione è essenziale per un'applicazione efficace. L'infrastruttura della banca dati NANDO a cui si fa riferimento nell'Articolo 28 è alla base degli obblighi di trasparenza che pervadono i capitoli sulla valutazione della conformità.

Cronologia di Conformità

L'EU AI Act è entrato in vigore il 1° agosto 2024, attivando un calendario di applicazione graduale con scadenze diverse per i diversi obblighi.

L'Articolo 28, in quanto parte del quadro istituzionale e di governance per gli organismi notificati, rientra nelle disposizioni applicabili ai sistemi di IA ad alto rischio ai sensi dell'Allegato I (sistemi coperti dalla legislazione di armonizzazione dell'Unione). L'infrastruttura di valutazione della conformità — inclusa la designazione formale delle autorità di notifica — deve essere operativa in tempo per supportare l'applicazione degli obblighi ad alto rischio.

Date di riferimento principali:

• 1° agosto 2024 — Il Regolamento entra in vigore; gli Stati membri iniziano i lavori preparatori per la designazione delle autorità.
• 2 febbraio 2025 — Le pratiche di IA vietate ai sensi dell'Articolo 5 diventano applicabili; nessun impatto diretto sull'Articolo 28, ma segna l'inizio dell'applicazione graduale.
• 2 agosto 2025 — Gli obblighi per i modelli GPAI (Titolo VIII) e le disposizioni di governance diventano applicabili; attese le linee guida della Commissione sulle procedure degli organismi notificati.
• 2 agosto 2026 — I sistemi di IA ad alto rischio ai sensi dell'Allegato III (sistemi ad alto rischio autonomi, ad es. nell'occupazione, nell'istruzione, nell'applicazione della legge) diventano soggetti agli obblighi completi; le autorità di notifica devono essere pienamente operative entro questa data al più tardi.
• 2 agosto 2027 — I sistemi di IA ad alto rischio che sono componenti di sicurezza di prodotti già coperti dalla legislazione di armonizzazione dell'Unione (sistemi dell'Allegato I) diventano pienamente soggetti ai requisiti di valutazione della conformità dell'AI Act; questa è la data entro cui l'infrastruttura dell'autorità di notifica e degli organismi notificati ai sensi dell'Articolo 28 deve essere pienamente funzionale per le categorie di prodotti storici.

I fornitori e le autorità nazionali dovrebbero utilizzare la finestra 2024–2026 per identificare l'autorità di notifica competente nello Stato membro pertinente e confermare che siano disponibili organismi notificati con un ambito appropriato per la propria categoria di prodotto.