Articolo 40 — Norme armonizzate e risultati della normazione (Regolamento UE sull'IA)

Articolo 40 del Regolamento (UE) 2024/1689 — Norme armonizzate e risultati della normazione. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 40 del Regolamento (UE) 2024/1689 stabilisce il ruolo delle norme armonizzate nel dimostrare la conformità ai requisiti applicabili ai sistemi di IA ad alto rischio ai sensi del Regolamento UE sull'IA. Quando i fornitori di sistemi di IA ad alto rischio applicano norme armonizzate — o parti pertinenti di esse — i cui riferimenti sono stati pubblicati nella Gazzetta ufficiale dell'Unione europea, tali sistemi sono presumibilmente conformi ai requisiti del titolo III, capitolo 3, nella misura in cui tali requisiti sono coperti dalle norme armonizzate applicabili.

L'articolo autorizza la Commissione europea a emettere richieste di normazione agli organismi europei di normazione (CEN, CENELEC ed ETSI) in conformità con il Regolamento (UE) n. 1025/2012 sulla normazione europea. Tali richieste indirizzano gli OEN a elaborare norme armonizzate che operazionalizzano i requisiti sostanziali dell'atto.

L'articolo 40 affronta anche le situazioni in cui le norme armonizzate non esistono ancora o i loro riferimenti non sono stati pubblicati. In tali casi, la Commissione può adottare specifiche comuni ai sensi dell'articolo 41, garantendo ai fornitori un percorso tecnico definito per dimostrare la conformità anche in assenza di norme armonizzate formali.

La disposizione traccia una chiara distinzione tra l'applicazione volontaria delle norme e la conformità obbligatoria ai requisiti legali sottostanti. L'applicazione di una norma armonizzata non è obbligatoria, ma fornisce una presunzione confutabile di conformità, riducendo l'onere probatorio a carico dei fornitori durante le procedure di valutazione della conformità condotte ai sensi degli articoli 43 e 44.

Cosa significa nella pratica

Per i fornitori di sistemi di IA ad alto rischio, l'articolo 40 è uno strumento centrale di conformità. Invece di costruire un argomento tecnico interamente su misura per dimostrare come ciascun requisito legale sia soddisfatto, i fornitori possono allineare i propri sistemi alle norme armonizzate pubblicate e beneficiare della presunzione di conformità. Questo semplifica notevolmente il processo di valutazione della conformità, in particolare per i sistemi soggetti a valutazione di terzi da parte di organismi notificati.

In pratica, un fornitore che sviluppa un dispositivo medico basato su IA rientrante nell'allegato I dell'atto consulterebbe la Gazzetta ufficiale per individuare le norme armonizzate pubblicate per i requisiti pertinenti — ad esempio, norme che riguardano la gestione dei rischi, la qualità dei dati o la cybersicurezza. L'implementazione di tali norme nell'ambito del processo di progettazione del sistema e di gestione della qualità consente al fornitore di dichiarare la conformità agli articoli corrispondenti dell'atto senza che l'organismo notificato debba verificare in modo indipendente la conformità dai principi fondamentali.

Per i fornitori che scelgono di non applicare le norme armonizzate — o laddove non esista ancora alcuna norma applicabile — l'onere ricade su di loro di documentare, attraverso fascicoli tecnici e prove di valutazione della conformità, come viene raggiunto il livello equivalente di protezione. Questo è un percorso praticabile ma più impegnativo, che richiede un coinvolgimento stretto con l'organismo notificato e potenzialmente test e documentazione più estesi.

Gli importatori e i distributori dovrebbero verificare che i fornitori i cui sistemi immettono sul mercato o mettono in servizio abbiano correttamente identificato e applicato le norme pertinenti, poiché ciò incide sulla validità della dichiarazione UE di conformità e della marcatura CE.

L'impatto pratico dell'articolo 40 crescerà progressivamente con la maturazione del processo di normazione. Nelle prime fasi dell'applicazione dell'atto, saranno disponibili norme armonizzate in numero limitato, con maggiore affidamento sulle specifiche comuni e sulle valutazioni tecniche su misura.

Obblighi principali

• Identificare le norme armonizzate applicabili: I fornitori di sistemi di IA ad alto rischio devono monitorare la Gazzetta ufficiale dell'Unione europea per i riferimenti pubblicati alle norme armonizzate pertinenti per il proprio sistema e per i requisiti ai sensi del titolo III, capitolo 3.
• Applicare le norme per attivare la presunzione di conformità: Quando un fornitore sceglie di fare affidamento sulla presunzione di conformità, la norma armonizzata deve essere applicata integralmente per i requisiti che essa copre; l'applicazione parziale non estende la presunzione agli elementi non coperti.
• Documentare l'applicazione delle norme nella documentazione tecnica: La documentazione tecnica richiesta ai sensi dell'articolo 11 e dell'allegato IV deve identificare chiaramente le norme armonizzate applicate e come si correlano ai corrispondenti requisiti legali.
• Affrontare le lacune dove le norme non esistono: Quando nessuna norma armonizzata copre un requisito specifico, i fornitori devono dimostrare la conformità attraverso mezzi alternativi, incluse le specifiche comuni adottate ai sensi dell'articolo 41 o prove tecniche indipendenti, e devono documentare questo approccio nel loro fascicolo di valutazione della conformità.
• Mantenersi aggiornati sulle norme aggiornate o ritirate: Quando una norma armonizzata viene rivista o il suo riferimento è ritirato dalla Gazzetta ufficiale, i fornitori devono valutare se la documentazione di conformità esistente rimanga valida e aggiornare di conseguenza i propri sistemi e fascicoli tecnici.
• Partecipare ai processi di normazione: I fornitori, in particolare quelli operanti in settori con applicazioni di IA in rapida evoluzione, dovrebbero collaborare con i pertinenti organismi di normazione e i gruppi di lavoro del settore per garantire che le norme emergenti riflettano la pratica tecnica reale e supportino percorsi di conformità significativi.

Relazione con altri articoli

L'articolo 40 funge da ponte procedurale tra i requisiti sostanziali del titolo III, capitolo 3 (articoli 9–15 e 17) e le procedure di valutazione della conformità del capitolo 5. Va letto insieme all'articolo 41, che prevede specifiche comuni adottate dalla Commissione come alternativa quando le norme armonizzate sono assenti o insufficienti. L'articolo 43 disciplina le procedure di valutazione della conformità in cui si fa affidamento sulla presunzione creata dall'articolo 40, mentre l'articolo 44 riguarda il ruolo degli organismi notificati nelle valutazioni di terzi.

L'articolo si collega anche all'articolo 11 e all'allegato IV sulla documentazione tecnica, poiché la prova dell'applicazione della norma deve figurare nel fascicolo tecnico, e all'articolo 17 sui sistemi di gestione della qualità, che devono incorporare processi per l'identificazione e l'applicazione delle norme pertinenti. L'articolo 48, che riguarda la dichiarazione UE di conformità, è lo strumento a valle attraverso il quale il fornitore afferma formalmente la presunzione di conformità stabilita ai sensi dell'articolo 40. Per i fornitori di modelli GPAI, la normazione è trattata separatamente ai sensi del titolo VIII; l'articolo 40 si applica specificamente ai sistemi di IA ad alto rischio ai sensi del titolo III.

Calendario di conformità

L'articolo 40 è entrato in vigore il 1° agosto 2024, data in cui il Regolamento UE sull'IA è stato pubblicato nella Gazzetta ufficiale dell'Unione europea ed è diventato diritto vincolante. Tuttavia, la sua applicazione pratica è legata all'introduzione graduale degli obblighi:

• Agosto 2024: L'atto entra in vigore; i mandati di normazione al CEN, CENELEC ed ETSI iniziano o si accelerano.
• Febbraio 2025: Le pratiche di IA vietate ai sensi dell'articolo 5 diventano applicabili; l'articolo 40 non è direttamente coinvolto in questa fase.
• Agosto 2025: Gli obblighi relativi ai modelli GPAI ai sensi del titolo VIII diventano applicabili; l'articolo 40 rimane specifico per i sistemi di IA ad alto rischio e non disciplina le norme GPAI.
• Dicembre 2026: I sistemi di IA ad alto rischio elencati nell'allegato III (diversi da quelli coperti dalla legislazione sui prodotti dell'allegato I) devono conformarsi ai requisiti del titolo III. I fornitori dovrebbero aver identificato e applicato le norme armonizzate pertinenti entro questa data; laddove siano disponibili norme pubblicate, le valutazioni di conformità che si basano su di esse devono essere completate.
• Agosto 2027: I sistemi di IA ad alto rischio incorporati in prodotti disciplinati dalla legislazione settoriale dell'allegato I (dispositivi medici, macchinari, aviazione, ecc.) devono conformarsi. Si prevede che la copertura completa delle norme armonizzate sia più sviluppata entro questa data, anche se i fornitori non devono presumere una copertura completa e devono pianificare tenendo conto delle lacune.

Si raccomanda vivamente ai fornitori di monitorare le richieste di normazione della Commissione e i programmi di lavoro del CEN-CENELEC JTC 21 (il comitato tecnico congiunto per la normazione dell'IA) per anticipare quali norme saranno disponibili e quando, consentendo una pianificazione adeguata dei calendari di conformità.