Articolo 36 — Modifiche alle notifiche (Regolamento AI dell'UE)

Articolo 36 del Regolamento (UE) 2024/1689 — Modifiche alle notifiche. Testo ufficiale, interpretazione pratica, obblighi chiave e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 36 del Regolamento (UE) 2024/1689 (il Regolamento AI dell'UE) stabilisce gli obblighi che si applicano quando la situazione di un organismo notificato cambia dopo che la notifica iniziale è stata concessa. Si colloca nel Titolo III, Capo 4, che disciplina il quadro per le autorità notificanti e gli organismi notificati coinvolti nella valutazione della conformità dei sistemi di IA ad alto rischio.

L'articolo richiede agli organismi notificati di informare tempestivamente la rispettiva autorità notificante di qualsiasi modifica pertinente al loro status notificato. Tali modifiche includono alterazioni della forma giuridica o della proprietà, modifiche alla struttura organizzativa o al personale chiave responsabile delle attività di valutazione della conformità, cambiamenti nell'ambito tecnico per cui l'organismo è stato notificato e qualsiasi circostanza che potrebbe influire sulla capacità continuativa dell'organismo di soddisfare i requisiti stabiliti nell'articolo 33.

Dopo aver ricevuto la notifica di tali modifiche, l'autorità notificante deve valutare se l'organismo notificato continua a soddisfare i requisiti applicabili. Qualora la valutazione riveli una non conformità, l'autorità notificante è autorizzata a limitare, sospendere o ritirare la notifica, in proporzione alla gravità della carenza identificata. L'autorità notificante deve altresì tenere informati la Commissione e gli altri Stati membri attraverso i canali di notifica stabiliti, assicurando che le informazioni aggiornate siano accessibili in tutta l'Unione. Questo meccanismo di supervisione continua è concepito per garantire che solo organismi capaci e conformi esercitino responsabilità di valutazione della conformità per tutto il loro periodo di designazione.

Cosa significa in pratica

L'articolo 36 crea un obbligo di conformità vivo e continuativo per gli organismi notificati — il dovere di notifica non termina nel momento in cui un organismo riceve la sua designazione. Qualsiasi organizzazione titolare dello status di organismo notificato ai sensi del Regolamento AI dell'UE deve mantenere processi interni in grado di rilevare ed escalare le modifiche materiali nelle sue circostanze, e deve agire su tali processi senza indugio.

In termini pratici, un organismo notificato dovrebbe stabilire trigger interni che segnalino automaticamente le modifiche da notificare: ad esempio, una fusione o acquisizione che influisce sulla proprietà, la partenza di un valutatore principale con qualifiche tecniche chiave, l'aggiunta o rimozione di categorie di sistemi di IA dall'ambito operativo dell'organismo o l'insorgere di un conflitto di interessi con un cliente di valutazione della conformità.

I team di conformità degli organismi notificati dovrebbero mappare questi eventi trigger e assegnare una chiara responsabilità interna per la segnalazione all'autorità notificante. La segnalazione deve essere tempestiva — non retroattiva — il che significa che gli organismi non possono aspettare fino a un ciclo di revisione annuale per divulgare una modifica avvenuta mesi prima.

Per le autorità notificanti — tipicamente organismi nazionali di vigilanza del mercato o di accreditamento — l'articolo 36 richiede che dispongano di un processo strutturato di ricezione delle notifiche di modifica e di una procedura di valutazione documentata per valutare la conformità continuativa. Qualora un organismo notificato ometta di auto-segnalare una modifica materiale, l'autorità notificante mantiene il diritto di indagare e agire sulla base di informazioni ricevute da altre fonti, incluse la Commissione o gli Stati membri partners.

I fornitori di sistemi di IA ad alto rischio che si affidano a un determinato organismo notificato per la loro valutazione della conformità dovrebbero monitorare la banca dati NANDO per eventuali limitazioni o sospensioni che interessano l'organismo prescelto, poiché tali modifiche potrebbero interrompere o invalidare il loro percorso di certificazione.

Obblighi chiave

• Gli organismi notificati devono informare immediatamente la propria autorità notificante di qualsiasi cambiamento nelle circostanze che potrebbe influire sulla loro conformità ai requisiti dell'articolo 33, inclusi cambiamenti dello status giuridico, della proprietà, della struttura organizzativa, dell'ambito tecnico o del personale chiave.
• Le autorità notificanti devono rivalutare l'organismo notificato alla ricezione di una notifica di modifica e determinare se l'organismo continua a soddisfare tutti i requisiti applicabili.
• Le autorità notificanti devono limitare, sospendere o ritirare la notifica qualora la rivalutazione riveli che l'organismo non soddisfa più le condizioni alle quali era stato designato, applicando misure proporzionate alla gravità della non conformità.
• Le autorità notificanti devono comunicare qualsiasi modifica alla notifica di un organismo — incluse limitazioni, sospensioni e ritiri — alla Commissione europea e agli altri Stati membri senza indebito ritardo.
• La banca dati di notifica della Commissione (NANDO) deve essere mantenuta aggiornata per riflettere l'ambito effettivo e valido della designazione di ciascun organismo notificato, assicurando trasparenza e certezza giuridica nel mercato unico.
• Gli organismi notificati devono mantenere disposizioni di governance interna sufficienti a identificare ed escalare le modifiche da notificare su base continuativa, piuttosto che trattare la notifica come un evento unico.

Relazione con altri articoli

L'articolo 36 non può essere letto isolatamente; fa parte di un quadro coerente stabilito nell'ambito del Capo 4 del Titolo III. I requisiti fondamentali che un organismo notificato deve continuare a soddisfare sono stabiliti nell'articolo 33 (Requisiti relativi agli organismi notificati), che definisce la base rispetto alla quale viene valutata qualsiasi modifica. La procedura di notifica iniziale — di cui l'articolo 36 rappresenta la controparte di gestione delle modifiche — è stabilita dall'articolo 34 (Procedura di notifica) e dall'articolo 35 (Numeri di identificazione ed elenchi degli organismi notificati).

L'articolo 36 si connette anche all'articolo 37 (Contestazione della competenza degli organismi notificati), che fornisce il meccanismo attraverso cui la Commissione o gli Stati membri possono sollevare preoccupazioni in merito alla competenza o alla conformità di un organismo — un processo che può essere avviato proprio quando una modifica divulgata ai sensi dell'articolo 36 solleva dubbi. Più in generale, supporta l'architettura di vigilanza del mercato e di esecuzione degli articoli da 74 a 83, poiché un organismo notificato che opera al di fuori del proprio ambito di notifica valido potrebbe compromettere l'integrità delle valutazioni della conformità che ha rilasciato.

Cronologia della conformità

Il Regolamento AI dell'UE è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale dell'Unione europea. L'articolo 36, in quanto parte del quadro istituzionale e di governance per la valutazione della conformità, rientra nelle disposizioni che si applicano dal 2 agosto 2026 — la data di applicazione generale per la maggior parte degli obblighi del Regolamento, inclusi quelli che disciplinano i sistemi di IA ad alto rischio nell'Allegato III.

Gli obblighi degli organismi notificati e delle autorità notificanti ai sensi del Capo 4 sono pertanto attivi a partire da tale data, il che significa che qualsiasi organismo designato come organismo notificato ai sensi del Regolamento AI dell'UE dall'agosto 2026 in poi è immediatamente soggetto ai requisiti di notifica delle modifiche dell'articolo 36. Gli organismi notificati ai sensi di precedenti legislazioni settoriali specifiche che stanno effettuando la transizione alla designazione ai sensi del Regolamento AI dell'UE dovrebbero integrare la conformità all'articolo 36 nella loro pianificazione della transizione ben prima della scadenza dell'agosto 2026.

Per i sistemi di IA ad alto rischio coperti dall'Allegato I (legislazione sulla sicurezza dei prodotti), la pertinente infrastruttura di valutazione della conformità — inclusi gli obblighi dell'articolo 36 — si allinea alla data di applicazione graduale dell'agosto 2027 applicabile a quelle categorie di prodotti. I fornitori che si affidano agli organismi notificati per la certificazione dei sistemi dell'Allegato I dovrebbero verificare la validità continuativa della designazione del loro organismo notificato man mano che tale scadenza si avvicina.