Articolo 34 — Obblighi operativi degli organismi notificati (Regolamento UE sull'IA)

Articolo 34 del Regolamento (UE) 2024/1689 — Obblighi operativi degli organismi notificati. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 34 del Regolamento (UE) 2024/1689 stabilisce gli obblighi operativi che gli organismi notificati devono rispettare su base continuativa una volta designati. L'articolo richiede agli organismi notificati di eseguire le valutazioni della conformità in linea con le procedure specificate nell'Allegato VII del Regolamento, garantendo coerenza, imparzialità e rigore tecnico in tutto il processo.

Gli organismi notificati sono tenuti a mantenere, e a mettere a disposizione su richiesta dell'autorità di notifica, procedure documentate riguardanti tutte le attività di valutazione della conformità da essi svolte. Devono impiegare un numero sufficiente di personale con la necessaria competenza, le qualifiche e l'esperienza pertinenti alle specifiche tipologie di sistemi di IA e ai domini di rischio per i quali sono designati.

L'articolo impone un obbligo rigoroso di riservatezza: gli organismi notificati e il loro personale devono trattare come riservate tutte le informazioni ottenute nel corso delle proprie attività di valutazione, fatti salvi gli obblighi nei confronti dell'autorità nazionale competente. I conflitti di interesse devono essere sistematicamente individuati, documentati ed evitati. Gli organismi notificati sono tenuti a stipulare e mantenere un'adeguata assicurazione per la responsabilità professionale commisurata alle proprie attività.

Qualora un organismo notificato subappalti specifici compiti di valutazione o si avvalga di una filiale, rimane pienamente responsabile della qualità e dell'esito del lavoro. I subappaltatori devono soddisfare gli stessi requisiti dell'organismo notificato, e il fornitore soggetto a valutazione deve essere informato di qualsiasi accordo di subappalto prima che questo abbia luogo.

Infine, gli organismi notificati devono partecipare alle pertinenti attività di coordinamento e cooperare con le autorità competenti, le autorità di vigilanza del mercato e gli altri organismi notificati per garantire un'applicazione coerente delle procedure di valutazione della conformità in tutta l'Unione.

Cosa significa nella pratica

Per le organizzazioni che operano come organismi notificati o che aspirano a diventarlo, l'Articolo 34 si traduce in un onere di conformità impegnativo e continuativo, piuttosto che in un esercizio di designazione una tantum.

Per gli organismi notificati, l'articolo implica la creazione e il mantenimento di robusti sistemi di gestione interna che documentino ogni fase di ciascuna valutazione della conformità. Le decisioni in materia di personale devono essere guidate dalla dimostrata competenza tecnica specifica per i domini dell'IA coperti — un organismo notificato designato per sistemi di IA medicali, ad esempio, deve essere in grado di dimostrare che i propri valutatori comprendono sia la metodologia dell'IA sia il contesto normativo pertinente sui dispositivi medici. Le liste del personale, i registri di formazione e le matrici di competenza saranno tutti soggetti al controllo dell'autorità di notifica.

Le politiche sui conflitti di interesse devono andare oltre i meri impegni formali. Gli organismi notificati devono attivamente verificare le relazioni tra il proprio personale e i fornitori che presentano domanda di valutazione, e devono documentare l'esito di ciascuna verifica. Qualora venga identificato un conflitto, il personale interessato deve essere escluso dalla relativa valutazione.

In materia di subappalto, prima di delegare qualsiasi lavoro è necessaria una diligenza pratica: accordi scritti, verifica della competenza e notifica preventiva al fornitore del sistema di IA. L'organismo notificato non può declinare la responsabilità per il lavoro subappaltato qualora la valutazione si riveli successivamente difettosa.

Per i fornitori di sistemi di IA ad alto rischio, l'Articolo 34 costituisce principalmente uno sfondo procedurale — ma è importante ai fini della selezione di un organismo notificato. I fornitori dovrebbero verificare che un organismo notificato candidato detenga un ambito di designazione attuale che copra la propria categoria di prodotto, disponga di un'adeguata assicurazione e abbia pubblicato procedure trasparenti. I fornitori mantengono inoltre il diritto di essere informati degli accordi di subappalto e possono tenerne conto nella pianificazione della valutazione.

Gli organismi notificati devono anche alimentare la più ampia architettura di vigilanza dell'UE, condividendo informazioni con l'Ufficio europeo per l'intelligenza artificiale e contribuendo allo sviluppo di standard di valutazione armonizzati.

Obblighi principali

• Procedure di valutazione della conformità: Gli organismi notificati devono condurre tutte le valutazioni in conformità alle procedure stabilite nell'Allegato VII del Regolamento, mantenendo processi documentati per ciascuna attività di valutazione.
• Competenza e personale: Personale qualificato in numero sufficiente deve essere disponibile in ogni momento, con competenze adeguate alla specifica tipologia e al dominio di rischio dei sistemi di IA per i quali l'organismo è designato.
• Riservatezza: Tutte le informazioni acquisite nel corso delle attività di valutazione della conformità devono essere mantenute riservate, salvo nei casi in cui la divulgazione sia richiesta dall'autorità nazionale competente o dal diritto dell'Unione.
• Gestione dei conflitti di interesse: Gli organismi notificati devono sistematicamente individuare ed escludere i conflitti di interesse, documentando il processo di verifica per ciascuna valutazione e garantendo l'imparzialità in ogni fase.
• Assicurazione per la responsabilità professionale: Un'adeguata assicurazione deve essere mantenuta su base continuativa a copertura delle attività di valutazione della conformità dell'organismo notificato, al fine di garantire un rimedio in caso di valutazione errata o difettosa.
• Subappalto e utilizzo di filiali: Qualora compiti vengano subappaltati o delegati a una filiale, l'organismo notificato rimane pienamente responsabile, deve verificare la competenza del subappaltatore secondo gli stessi standard e deve informare il fornitore prima che il subappalto abbia luogo.

Relazione con altri articoli

L'Articolo 34 si colloca nel Titolo III, Capitolo 4 (Articoli da 28 a 39), che disciplina l'intero ciclo di vita degli organismi notificati — dalla designazione al monitoraggio e alla revoca. Si basa direttamente sull'Articolo 33, che stabilisce i requisiti sostanziali che un organismo deve soddisfare per qualificarsi per la designazione, e va letto congiuntamente all'Articolo 35, che disciplina il processo di valutazione della conformità per i sistemi di IA ad alto rischio nei settori regolamentati per la sicurezza dei prodotti elencati nell'Allegato II.

L'Articolo 43 (Valutazione della conformità) specifica quando il coinvolgimento obbligatorio di un organismo notificato di terza parte è necessario rispetto a quando il fornitore può autovalutarsi, costituendo un contesto essenziale per comprendere la portata degli obblighi dell'Articolo 34. L'Articolo 44 riguarda i certificati rilasciati a seguito della valutazione, mentre l'Articolo 45 disciplina gli obblighi degli organismi notificati relativi a tali certificati una volta rilasciati, incluse la sospensione e la revoca.

La più ampia responsabilità di vigilanza collega l'Articolo 34 all'Articolo 70 (Riservatezza) e agli Articoli da 74 a 77 che disciplinano le autorità di vigilanza del mercato, poiché gli organismi notificati devono cooperare con le attività di sorveglianza e fornire informazioni alle autorità competenti su richiesta.

Calendario di conformità

Il Regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024, con applicazione graduata su più date.

L'Articolo 34 rientra nel quadro che disciplina i sistemi di IA ad alto rischio soggetti a valutazione della conformità di terza parte. Le date di applicazione graduale pertinenti sono:

• 1° agosto 2024 — Entrata in vigore. Il Regolamento è diventato diritto vincolante dell'Unione; gli Stati membri hanno avviato i lavori preparatori sulle strutture delle autorità di notifica.
• Febbraio 2025 — Sono diventate applicabili le pratiche di IA vietate (Articolo 5). Gli obblighi degli organismi notificati non erano ancora attivi per la maggior parte delle categorie ad alto rischio.
• Agosto 2025 — Sono diventati applicabili gli obblighi relativi ai modelli di IA di uso generale (GPAI). Le disposizioni sugli organismi notificati sono rimaste in fase preparatoria per i sistemi ad alto rischio.
• 2 agosto 2026 — Piena applicazione delle disposizioni del Titolo III, incluso l'Articolo 34, per i sistemi di IA ad alto rischio elencati nell'Allegato III. Gli organismi notificati devono essere operativamente conformi e le autorità di notifica nazionali designate devono essere pienamente funzionanti entro tale data.
• 2 agosto 2027 — Termine prorogato per i sistemi di IA ad alto rischio coperti dalla legislazione di armonizzazione dell'Unione esistente elencata nell'Allegato II, laddove tali sistemi siano immessi sul mercato o messi in servizio prima dell'agosto 2026.

Le organizzazioni che aspirano alla designazione come organismi notificati avrebbero dovuto avviare il processo di domanda ben prima dell'agosto 2026, tenuto conto che le procedure di designazione richiedono la valutazione da parte dell'autorità di notifica nazionale e, ove applicabile, la revisione tra pari con il coinvolgimento della Commissione europea e degli altri Stati membri.