Articolo 30 — Procedura di notifica (Regolamento UE sull'IA)

Articolo 30 del Regolamento (UE) 2024/1689 — Procedura di notifica. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 30 del Regolamento (UE) 2024/1689 (il Regolamento UE sull'IA) stabilisce la procedura formale con cui gli Stati membri notificano alla Commissione europea e tra loro gli organismi di valutazione della conformità che hanno designato come organismi notificati autorizzati a svolgere valutazioni della conformità di terza parte per i sistemi di IA ad alto rischio.

L'autorità di notifica di ciascuno Stato membro trasmette la notifica per via elettronica tramite il sistema informativo NANDO (New Approach Notified and Designated Organisations) della Commissione. La notifica deve includere le informazioni identificative dell'organismo di valutazione della conformità, il suo ambito di attività designato (specificando le categorie di sistemi di IA e i compiti coperti) e le prove che l'organismo soddisfa tutti i requisiti stabiliti dall'Articolo 31.

Alla presentazione della notifica segue un periodo di attesa di due settimane. Durante tale periodo, la Commissione o un altro Stato membro possono sollevare obiezioni. Se non viene sollevata alcuna obiezione, l'organismo notificato può avviare le proprie attività di valutazione della conformità. In caso di obiezione, la Commissione consulta le parti interessate e determina se la notifica sia giustificata, fornendo le opportune istruzioni allo Stato membro notificante.

Qualora un'autorità di notifica accerti che un organismo notificato abbia cessato di soddisfare i requisiti o non adempia ai propri obblighi, essa deve limitare, sospendere o revocare la designazione e informare senza indugio la Commissione e gli altri Stati membri. La Commissione garantisce che il sistema NANDO rimanga accessibile al pubblico e costantemente aggiornato, assicurando trasparenza sull'intero panorama degli organismi notificati autorizzati operanti nel mercato unico dell'UE.

Cosa significa nella pratica

L'Articolo 30 ha rilevanza diretta per due categorie di soggetti: gli organismi di valutazione della conformità che intendono operare come organismi notificati e i fornitori di sistemi di IA ad alto rischio che devono individuare e coinvolgere un organismo notificato appropriato per la valutazione obbligatoria della conformità di terza parte.

Per gli organismi di valutazione della conformità, la procedura di notifica rappresenta il requisito d'accesso per operare come organismo notificato ai sensi del Regolamento UE sull'IA. Una volta che l'autorità di notifica nazionale ha valutato e approvato un organismo in base ai criteri dell'Articolo 31 — riguardanti l'indipendenza, la competenza tecnica, l'imparzialità e la copertura di responsabilità civile — essa presenta la notifica formale tramite NANDO. L'organismo non può iniziare a rilasciare certificati di conformità ai sensi del Regolamento UE sull'IA fino alla chiusura del periodo di obiezione di due settimane senza contestazioni, oppure fino alla risoluzione favorevole delle eventuali obiezioni sollevate.

Per i fornitori di sistemi di IA soggetti alla valutazione obbligatoria della conformità di terza parte (principalmente coloro che immettono sul mercato UE sistemi di IA ad alto rischio elencati nell'Allegato III per i quali è richiesto un organismo notificato, o quelli soggetti alla legislazione sulla sicurezza dei prodotti dell'Allegato I), l'Articolo 30 fornisce il meccanismo per verificare quali organismi siano legittimamente autorizzati. I fornitori devono selezionare esclusivamente organismi notificati in modo regolare — identificabili tramite NANDO — per le proprie valutazioni della conformità. Il ricorso a un organismo prima che la sua notifica sia efficace, o a un organismo la cui notifica sia stata sospesa, invaliderebbe il certificato rilasciato e renderebbe il sistema non conforme.

Nei casi in cui la designazione di un organismo notificato venga limitata o revocata, i fornitori titolari di certificati rilasciati da tale organismo devono adottare misure correttive, che possono includere il ricorso a un altro organismo notificato per rivalidare la conformità prima di continuare a immettere il sistema sul mercato.

Obblighi principali

• Le autorità di notifica devono presentare alla Commissione, tramite il sistema elettronico di notifica NANDO, le notifiche degli organismi di valutazione della conformità designati, includendo tutti i dati identificativi, l'ambito della designazione e le prove di accreditamento.
• Gli organismi notificati non possono avviare attività di valutazione della conformità ai sensi del Regolamento UE sull'IA fino alla scadenza del periodo di attesa di due settimane dalla notifica formale senza obiezioni, o fino alla risoluzione favorevole da parte della Commissione di eventuali obiezioni.
• Le autorità di notifica devono monitorare in modo continuativo gli organismi notificati sotto la propria giurisdizione e limitare, sospendere o revocare immediatamente la notifica qualora l'organismo cessi di soddisfare i requisiti dell'Articolo 31 o non adempia ai propri obblighi, informando senza indugio la Commissione e gli altri Stati membri.
• La Commissione deve mantenere e rendere pubblicamente accessibile il sistema NANDO quale registro ufficiale di tutti gli organismi notificati operanti ai sensi del Regolamento UE sull'IA, garantendo la trasparenza tra gli Stati membri.
• I fornitori di sistemi di IA ad alto rischio devono verificare che qualsiasi organismo di valutazione della conformità da loro coinvolto sia regolarmente notificato tramite NANDO e che la notifica dell'organismo copra la specifica categoria di sistema di IA e i compiti richiesti.
• Gli Stati membri e la Commissione possono sollevare obiezioni entro il periodo di due settimane successivo alla presentazione di una notifica, attivando un processo di consultazione obbligatorio prima che la notifica possa produrre effetti giuridici.

Relazione con altri articoli

L'Articolo 30 si colloca al centro di un insieme di disposizioni che disciplinano il quadro degli organismi notificati nel Titolo III, Capitolo 4.

Presuppone l'Articolo 28, che istituisce e definisce il ruolo delle autorità di notifica a livello di Stato membro, e l'Articolo 29, che stabilisce i requisiti generali che tali autorità devono esse stesse soddisfare (indipendenza, competenza, assenza di conflitti di interesse) prima di poter legittimamente notificare organismi.

La sostanza di ciò che un organismo deve dimostrare per ricevere e mantenere la notifica è disciplinata dall'Articolo 31 (requisiti per gli organismi notificati) e dall'Articolo 33 (filiali e subappalto degli organismi notificati). La condotta operativa degli organismi notificati una volta autorizzati è trattata negli Articoli da 33 a 39.

L'Articolo 30 si collega inoltre all'Articolo 43 (procedure di valutazione della conformità), poiché la validità giuridica di qualsiasi certificato di valutazione della conformità dipende dal fatto che l'organismo emittente detenga una notifica attuale ed efficace ai sensi dell'Articolo 30. Si connette infine all'Articolo 74 (vigilanza del mercato), nella misura in cui le autorità competenti devono verificare che i certificati sottostanti alla marcatura CE siano stati rilasciati da organismi regolarmente notificati.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale dell'UE.

L'Articolo 30 rientra nelle disposizioni applicabili ai sistemi di IA ad alto rischio, che seguono il calendario di applicazione graduale del Regolamento:

• 1° agosto 2024 — Entrata in vigore. Gli Stati membri avviano i lavori preparatori per l'istituzione o la designazione delle autorità di notifica.
• 2 agosto 2025 — Iniziano ad applicarsi gli obblighi generali, inclusa la maggior parte delle disposizioni in materia di governance e del quadro relativo agli organismi notificati. Gli Stati membri erano tenuti ad avere le autorità di notifica operative e gli organismi di valutazione della conformità potevano avviare il processo di designazione e notifica.
• 2 agosto 2026 — I sistemi di IA ad alto rischio coperti dall'Allegato III (applicazioni ad alto rischio autonome) devono essere pienamente conformi, il che significa che i fornitori che richiedono una valutazione della conformità di terza parte devono aver coinvolto un organismo regolarmente notificato.
• 2 agosto 2027 — I sistemi di IA ad alto rischio incorporati in prodotti disciplinati dalla legislazione sulla sicurezza dell'Allegato I (ad es., macchinari, dispositivi medici, giocattoli) devono essere conformi, allineando i requisiti del Regolamento UE sull'IA ai calendari di valutazione della conformità per la sicurezza dei prodotti già in vigore.

I fornitori che intendono immettere sistemi di IA ad alto rischio sul mercato UE dovrebbero verificare lo stato di notifica dell'organismo di valutazione della conformità prescelto tramite NANDO con largo anticipo rispetto a tali scadenze, poiché la procedura di notifica comporta la valutazione da parte dell'autorità nazionale, un periodo di obiezione di due settimane e una potenziale revisione da parte della Commissione — un processo che complessivamente può richiedere diversi mesi.