Articolo 39 — Organismi di valutazione della conformità di paesi terzi (Regolamento UE sull'IA)

Articolo 39 del Regolamento (UE) 2024/1689 — Organismi di valutazione della conformità di paesi terzi. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del Testo Ufficiale

L'articolo 39 del Regolamento (UE) 2024/1689 (il Regolamento UE sull'IA) affronta le condizioni alle quali gli organismi di valutazione della conformità stabiliti in paesi terzi — vale a dire, paesi al di fuori dell'Unione europea — possono essere riconosciuti e notificati ai fini dello svolgimento delle valutazioni della conformità dei sistemi di IA ad alto rischio ai sensi del Regolamento.

L'articolo stabilisce un accesso ristretto ma importante: gli organismi di valutazione della conformità di paesi terzi possono essere notificati solo laddove un accordo internazionale bilaterale o multilaterale tra l'Unione e il paese terzo in questione preveda espressamente tale riconoscimento. In assenza di un accordo internazionale qualificante, nessun organismo di un paese terzo può agire come organismo notificato ai sensi del Regolamento UE sull'IA.

Dove esiste un accordo internazionale valido, gli organismi di paesi terzi che desiderano essere notificati devono soddisfare gli stessi requisiti imposti agli organismi di valutazione della conformità stabiliti nell'UE ai sensi del Capo 4 del Titolo III. Ciò significa che devono dimostrare competenza tecnica, imparzialità organizzativa e indipendenza operativa equivalenti a quelle richieste agli organismi notificati europei. La notifica viene elaborata dall'autorità di notifica competente di uno Stato membro conformemente alla procedura di notifica standard stabilita negli articoli precedenti del Capo 4. L'articolo garantisce così che qualsiasi estensione del quadro di valutazione della conformità oltre i confini dell'UE preservi l'integrità, l'equivalenza e l'esecutività del sistema istituito dal Regolamento.

Cosa Significa in Pratica

L'articolo 39 è principalmente rilevante per i fornitori di sistemi di IA ad alto rischio che operano in giurisdizioni coperte dagli accordi commerciali o di mutuo riconoscimento dell'UE, e per gli organismi di valutazione della conformità stabiliti in paesi terzi che cercano di offrire servizi di certificazione ai sensi del Regolamento UE sull'IA.

In termini pratici, l'articolo significa che un laboratorio di prova o un organismo di certificazione con sede, ad esempio, nel Regno Unito, in Giappone o in un altro paese con cui l'UE ha concluso un accordo internazionale pertinente potrebbe, in linea di principio, essere designato come organismo notificato ai fini del Regolamento UE sull'IA — a condizione che l'accordo copra espressamente le valutazioni della conformità ai sensi del Regolamento sull'IA e che l'organismo soddisfi tutti i requisiti applicabili. Al momento dell'entrata in vigore del Regolamento, nessun accordo di mutuo riconoscimento specifico per il Regolamento sull'IA era ancora in vigore, il che significa che la disposizione opera in modo prospettico: crea la base giuridica per il futuro riconoscimento senza attivare essa stessa alcun organismo specifico di un paese terzo.

Per i fornitori di sistemi di IA ad alto rischio, ciò ha un'implicazione concreta: fino a quando non vengono conclusi accordi internazionali qualificanti e gli organismi non vengono formalmente notificati, essi non possono fare affidamento sulle valutazioni effettuate da un organismo di un paese terzo per soddisfare i propri obblighi di valutazione della conformità ai sensi degli articoli 43 e 44. Qualsiasi certificato o relazione di audit rilasciato da un organismo che non è stato validamente notificato attraverso il percorso dell'articolo 39 non soddisferà i requisiti del Regolamento UE sull'IA, indipendentemente dalla qualità tecnica della valutazione.

I team di conformità dovrebbero pertanto monitorare gli sviluppi degli accordi commerciali dell'UE e la banca dati NANDO (New Approach Notified and Designated Organisations) per eventuali future notifiche di organismi di paesi terzi ai sensi di questa disposizione.

Obblighi Principali

• Gli organismi di valutazione della conformità di paesi terzi possono essere notificati solo laddove un accordo internazionale tra l'Unione europea e il paese terzo rilevante preveda espressamente tale notifica — senza accordo, nessun riconoscimento.
• Gli organismi che richiedono la notifica ai sensi dell'articolo 39 devono soddisfare l'intera serie di requisiti applicabili agli organismi di valutazione della conformità stabiliti nell'UE ai sensi del Capo 4 del Titolo III, inclusi i criteri di competenza tecnica, imparzialità e indipendenza.
• La notifica degli organismi di paesi terzi deve seguire la procedura di notifica standard applicabile ai sensi del Regolamento, instradata attraverso un'autorità di notifica di uno Stato membro.
• I fornitori di sistemi di IA ad alto rischio devono verificare che qualsiasi organismo di valutazione della conformità che ingaggiano sia validamente notificato — che sia stabilito nell'UE o in un paese terzo — prima di fare affidamento sulla valutazione di tale organismo per dimostrare la conformità.
• Gli Stati membri e la Commissione devono garantire che qualsiasi accordo internazionale alla base della notifica di organismi di paesi terzi mantenga l'equivalenza e l'esecutività del quadro di valutazione della conformità del Regolamento UE sull'IA.

Relazione con Altri Articoli

L'articolo 39 si colloca nel Titolo III, Capo 4 (Autorità di notifica e organismi notificati) e deve essere letto in combinato disposto con gli articoli circostanti di quel capo. Gli articoli 33 e 34 stabiliscono i requisiti generali e gli obblighi applicabili agli organismi notificati; l'articolo 35 disciplina la procedura di notifica stessa; e gli articoli 36 e 37 affrontano le modifiche alle notifiche e le contestazioni della competenza dell'organismo notificato. Poiché l'articolo 39 applica gli stessi requisiti in toto agli organismi di paesi terzi, non può essere interpretato isolatamente da essi.

Al di là del Capo 4, l'articolo 39 si collega all'articolo 43, che specifica le procedure di valutazione della conformità applicabili ai sistemi di IA ad alto rischio, e all'articolo 44, che disciplina i certificati rilasciati dagli organismi notificati. Qualsiasi organismo di un paese terzo notificato ai sensi dell'articolo 39 deve rilasciare certificati che soddisfino pienamente l'articolo 44. L'articolo si interseca anche con il quadro più ampio del diritto commerciale internazionale dell'UE e le competenze dell'Unione in materia di stipula di accordi bilaterali e multilaterali ai sensi del Trattato sul funzionamento dell'Unione europea.

Calendario di Conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale. Il Regolamento si applica per fasi:

• 2 febbraio 2025 — Sono diventati applicabili i divieti sulle pratiche di IA a rischio inaccettabile (Titolo II).
• 2 agosto 2025 — Sono diventate applicabili le disposizioni sui modelli di IA per uso generale (Titolo VIII) e le strutture di governance.
• 2 agosto 2026 — Diventa applicabile la maggior parte degli obblighi per i sistemi di IA ad alto rischio elencati nell'Allegato III, inclusi i requisiti di valutazione della conformità ai sensi del Titolo III. Questa è la data di applicabilità principale per l'articolo 39 in pratica, poiché disciplina il quadro degli organismi notificati che sottende tali valutazioni.
• 2 agosto 2027 — Termine prorogato per i sistemi di IA ad alto rischio coperti dall'Allegato I (sistemi componenti di sicurezza regolati dalla legislazione di armonizzazione dell'Unione esistente) per conformarsi.

L'articolo 39 è esso stesso in vigore legalmente dall'agosto 2024, ma la sua rilevanza operativa si cristallizza dall'agosto 2026 in poi, quando i fornitori di sistemi di IA ad alto rischio devono aver completato le valutazioni della conformità attraverso organismi validamente notificati. Le organizzazioni dovrebbero iniziare a identificare gli organismi notificati idonei — e monitorare eventuali accordi internazionali qualificanti che potrebbero attivare organismi di paesi terzi ai sensi dell'articolo 39 — con largo anticipo rispetto a tale data.