Articolo 38 — Coordinamento degli organismi notificati (Regolamento europeo sull'IA)

Articolo 38 del Regolamento (UE) 2024/1689 — Coordinamento degli organismi notificati. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del Testo Ufficiale

L'articolo 38 del Regolamento (UE) 2024/1689 istituisce un quadro di coordinamento obbligatorio per gli organismi notificati che svolgono valutazioni di conformità dei sistemi di IA ad alto rischio ai sensi del Titolo III, Capo 5 del Regolamento. L'articolo richiede che gli organismi notificati partecipino a un gruppo di coordinamento operante sotto la supervisione e il supporto della Commissione europea, e contribuiscano attivamente al suo lavoro.

Il meccanismo di coordinamento svolge una duplice funzione. In primo luogo, garantisce la coerenza procedurale: gli organismi notificati devono allineare le loro metodologie di valutazione, gli approcci interpretativi e gli standard procedurali in modo che sistemi di IA ad alto rischio equivalenti ricevano un esame equivalente indipendentemente dallo Stato membro in cui si svolge la valutazione. In secondo luogo, consente un apprendimento sostanziale: gli organismi devono condividere esperienze rilevanti, risultati emergenti e migliori pratiche derivanti dalle valutazioni di conformità reali.

Alla Commissione è affidata la facilitazione del gruppo di coordinamento e può collegarlo alle strutture di coordinamento settoriale esistenti istituite ai sensi della pertinente legislazione di armonizzazione dell'Unione — come quelle operanti nei settori dei dispositivi medici, dei macchinari o dell'aviazione civile — dove i sistemi di IA sono soggetti a requisiti di valutazione specifici per settore. Laddove organismi europei di normazione come il CEN-CENELEC abbiano sviluppato norme armonizzate pertinenti all'IA, il coordinamento ai sensi dell'articolo 38 deve tenere conto di tali norme.

L'articolo prevede inoltre che la Commissione possa adottare atti di esecuzione per stabilire disposizioni operative per il gruppo di coordinamento, incluse le regole sulla condivisione delle informazioni, la frequenza delle attività di coordinamento e i meccanismi per risolvere le divergenze tra gli organismi.

Cosa Significa in Pratica

Per le organizzazioni che sviluppano o implementano sistemi di IA ad alto rischio, l'articolo 38 ha implicazioni indirette significative per la conformità, sebbene i suoi obblighi diretti ricadano sugli organismi notificati piuttosto che sui fornitori o sui deployer.

L'effetto pratico più immediato è la coerenza dei risultati delle valutazioni di conformità. Prima del Regolamento europeo sull'IA, le interpretazioni divergenti dei requisiti tecnici tra gli organismi di valutazione della conformità degli Stati membri erano un problema riconosciuto nell'ecosistema della marcatura CE. L'articolo 38 è progettato per evitare che ciò si ripeta per l'IA. I fornitori che scelgono un organismo notificato per una valutazione di conformità possono aspettarsi che gli standard sostanziali applicati siano comparabili indipendentemente dal fatto che si rivolgano a un organismo austriaco, olandese o tedesco.

Per i fornitori, ciò significa che la documentazione e i fascicoli tecnici preparati per la valutazione della conformità devono essere progettati per soddisfare una base di riferimento armonizzata piuttosto che adattati alle particolarità di un organismo specifico. Significa anche che le informazioni condivise da un organismo notificato all'interno del gruppo di coordinamento — come i modelli di non conformità o le lacune documentali ricorrenti — possono indirettamente influenzare il livello di esame applicato alle valutazioni future nell'intero ecosistema.

I deployer di sistemi di IA ad alto rischio nei settori regolamentati devono notare che i collegamenti di coordinamento settoriale ai sensi dell'articolo 38 significano che gli organismi che valutano le componenti di IA incorporate in dispositivi medici, macchinari industriali o sistemi di trasporto possono applicare simultaneamente gli output di coordinamento sia del gruppo dell'Atto sull'IA che del gruppo settoriale pertinente. I team di conformità dovrebbero monitorare le linee guida e le note tecniche pubblicate dalla Commissione o dall'Ufficio per l'IA derivanti dalle attività del gruppo di coordinamento.

Gli stessi organismi notificati devono prevedere risorse per la partecipazione attiva al coordinamento, incluso il tempo del personale per riunioni, gruppi di lavoro e obblighi di condivisione delle informazioni. Gli organismi che non si impegnano in modo significativo con i meccanismi di coordinamento rischiano risultati negativi durante i processi di monitoraggio e revisione tra pari stabiliti altrove nel Capo 4.

Obblighi Principali

• Gli organismi notificati devono partecipare al gruppo di coordinamento istituito o facilitato dalla Commissione europea e contribuire attivamente al suo lavoro.
• Gli organismi devono condividere esperienze rilevanti, risultati di valutazione e approcci metodologici con gli altri organismi notificati partecipanti attraverso la struttura di coordinamento.
• Gli organismi devono allineare le loro pratiche di valutazione della conformità con gli approcci e le interpretazioni comuni sviluppati attraverso il coordinamento, prevenendo risultati divergenti per sistemi di IA comparabili.
• La Commissione deve facilitare il gruppo di coordinamento e può collegarlo agli organismi di coordinamento settoriale esistenti che operano ai sensi di altre legislazioni di armonizzazione dell'Unione, dove i sistemi di IA rientrano nell'ambito di applicazione di entrambi i regimi.
• La Commissione può adottare atti di esecuzione che specificano le disposizioni organizzative per il gruppo di coordinamento, inclusi i protocolli di condivisione delle informazioni e le procedure per risolvere le divergenze interpretative tra gli organismi.
• Gli organismi notificati devono tenere conto delle norme armonizzate e degli output pertinenti delle attività di normazione europee nel condurre valutazioni coordinate.

Relazione con Altri Articoli

L'articolo 38 si trova all'interno del Titolo III, Capo 4, che disciplina collettivamente la designazione, il monitoraggio e il funzionamento delle autorità notificanti e degli organismi notificati. Deve essere letto insieme all'articolo 33, che stabilisce i requisiti sostanziali che un organismo deve soddisfare per essere designato come organismo notificato, e all'articolo 34, che copre la procedura di notifica stessa. L'articolo 35 tratta degli obblighi operativi degli organismi notificati durante le valutazioni, mentre l'articolo 36 copre le filiali e il subappalto. L'articolo 37 stabilisce il monitoraggio e la revisione degli organismi notificati da parte delle autorità notificanti.

Al di là del Capo 4, l'articolo 38 si collega direttamente alle procedure di valutazione della conformità nel Capo 5, in particolare agli articoli 43 e 44, che specificano quando è obbligatorio il coinvolgimento di un organismo notificato terzo. Il lavoro di coordinamento ai sensi dell'articolo 38 si interseca anche con il ruolo dell'Ufficio per l'IA istituito ai sensi dell'articolo 64 e del Comitato europeo per l'intelligenza artificiale ai sensi dell'articolo 65, entrambi con responsabilità per garantire l'applicazione coerente del Regolamento negli Stati membri. I mandati di normazione emessi ai sensi dell'articolo 40 costituiscono un input primario nel lavoro tecnico del gruppo di coordinamento.

Calendario di Conformità

Il Regolamento europeo sull'IA è entrato in vigore il 1° agosto 2024, a seguito della pubblicazione nella Gazzetta ufficiale dell'Unione europea. L'applicazione del Regolamento è graduale:

• Febbraio 2025 — Sono iniziati ad applicarsi i divieti sulle pratiche di IA a rischio inaccettabile (articolo 5).
• Agosto 2025 — Sono diventati applicabili gli obblighi per i modelli di IA per uso generale (Titolo VIII). Gli organismi notificati possono iniziare a richiedere la designazione da questa data, attivando l'attivazione iniziale degli obblighi di coordinamento ai sensi dell'articolo 38.
• Dicembre 2026 — Iniziano ad applicarsi gli obblighi di valutazione della conformità per i sistemi di IA ad alto rischio elencati nell'Allegato I (prodotti disciplinati dalla legislazione di armonizzazione dell'Unione esistente).
• Agosto 2027 — Piena applicazione degli obblighi dei sistemi di IA ad alto rischio ai sensi dell'Allegato III, rendendo il quadro di coordinamento degli organismi notificati ai sensi dell'articolo 38 pienamente operativo in tutti i casi d'uso coperti.

Le organizzazioni soggette a valutazioni di conformità da parte di terzi dovrebbero impegnarsi con gli organismi notificati ben prima delle scadenze del dicembre 2026 e dell'agosto 2027, poiché gli output del gruppo di coordinamento e i protocolli di valutazione armonizzati dovrebbero consolidarsi durante il 2025 e il 2026. Si raccomanda il monitoraggio degli atti di esecuzione della Commissione relativi alle disposizioni di coordinamento ai sensi dell'articolo 38 a partire dalla metà del 2025.