Articolo 41 — Specifiche comuni (Regolamento UE sull'IA)

Articolo 41 del Regolamento (UE) 2024/1689 — Specifiche comuni. Testo ufficiale, interpretazione pratica, obblighi chiave e implicazioni per la conformità.

Sintesi del Testo Ufficiale

L'articolo 41 del Regolamento (UE) 2024/1689 istituisce un meccanismo mediante il quale la Commissione europea può adottare atti di esecuzione che stabiliscono specifiche comuni per i sistemi di IA ad alto rischio elencati nell'allegato III e per i sistemi di IA coperti dalla legislazione di cui all'allegato I. Questo meccanismo viene attivato in condizioni specifiche: quando le norme armonizzate non esistono ancora, quando le norme armonizzate esistenti sono considerate insufficienti a coprire i requisiti del capitolo 2 del titolo III, o quando la Commissione determina che le norme armonizzate pubblicate non soddisfano gli obblighi del Regolamento.

Le specifiche comuni adottate ai sensi dell'articolo 41 hanno lo stesso peso giuridico delle norme armonizzate ai fini della dimostrazione della conformità. I sistemi di IA ad alto rischio conformi alle specifiche comuni applicabili beneficiano di una presunzione di conformità ai requisiti coperti da tali specifiche. La Commissione deve consultare le parti interessate — tra cui le autorità nazionali competenti, gli organismi notificati e gli organismi di normalizzazione — prima di adottare specifiche comuni, garantendo che il contenuto tecnico rifletta le realtà pratiche dell'attuazione.

I fornitori conservano il diritto di discostarsi dalle specifiche comuni, a condizione di documentare nella propria documentazione tecnica che le soluzioni tecniche alternative adottate soddisfano almeno un livello di protezione equivalente. Ciò garantisce che le specifiche comuni funzionino come un porto sicuro piuttosto che come un tetto rigido, preservando l'innovazione tecnica all'interno di un quadro conforme. L'articolo 41 è una disposizione abilitante che risponde alla realtà pratica per cui i processi di normalizzazione possono essere in ritardo rispetto al ritmo dell'applicazione normativa.

Cosa Significa in Pratica

L'articolo 41 riguarda principalmente i fornitori e gli sviluppatori di sistemi di IA ad alto rischio che operano in settori dove gli organismi europei di normalizzazione — CEN, CENELEC ed ETSI — non hanno ancora pubblicato norme armonizzate, o dove le norme pubblicate sono incomplete o contestate dalla Commissione. In termini pratici, ciò significa che durante la fase iniziale critica dell'applicazione del Regolamento UE sull'IA ai sistemi ad alto rischio, le specifiche comuni possono fungere da principale riferimento tecnico per la conformità.

Per i fornitori di sistemi di IA ad alto rischio in settori quali occupazione, istruzione, infrastrutture critiche o applicazione della legge, l'articolo 41 significa che devono monitorare la Gazzetta ufficiale dell'UE per gli atti di esecuzione della Commissione che stabiliscono specifiche comuni nel loro settore. Quando tali atti vengono pubblicati, i fornitori devono verificare se la propria documentazione tecnica esistente, i sistemi di gestione del rischio, le pratiche di governance dei dati e i parametri di accuratezza soddisfano i requisiti specificati.

Ad esempio, un fornitore di uno strumento di reclutamento assistito dall'IA coperto dall'allegato III, punto 4, dovrebbe verificare se le specifiche comuni affrontano il test dei bias, gli obblighi di trasparenza e i meccanismi di supervisione umana. Se la soluzione esistente del fornitore soddisfa questi requisiti attraverso un approccio tecnico diverso, deve documentare esplicitamente l'equivalenza. Gli importatori e i rappresentanti autorizzati devono verificare che i sistemi che immettono sul mercato dell'UE facciano riferimento alle specifiche comuni applicabili nella loro documentazione di conformità. Gli organismi notificati che effettuano valutazioni della conformità di terzi devono utilizzare le specifiche comuni applicabili come base tecnica di riferimento in assenza di norme armonizzate.

Obblighi Chiave

• Monitorare e applicare gli atti di esecuzione: I fornitori di sistemi di IA ad alto rischio devono identificare e applicare qualsiasi atto di esecuzione della Commissione che stabilisca specifiche comuni pertinenti alla loro categoria di sistema, come pubblicato nella Gazzetta ufficiale dell'UE.
• Aggiornare la documentazione tecnica: Ove esistano specifiche comuni, i fornitori devono riflettere la conformità a tali specifiche nella propria documentazione tecnica come richiesto dall'articolo 11 e dall'allegato IV.
• Presunzione di conformità: I fornitori che rispettano le specifiche comuni applicabili possono fare affidamento sulla presunzione di conformità ai requisiti del capitolo 2 del titolo III coperti da tali specifiche, semplificando il processo di valutazione della conformità.
• Documentare le deviazioni con giustificazione equivalente: I fornitori che scelgono soluzioni tecniche diverse dalle specifiche comuni devono dimostrare e documentare, nel proprio fascicolo tecnico, che il loro approccio raggiunge almeno un livello di protezione equivalente dei requisiti applicabili.
• Partecipazione delle parti interessate: Gli organismi di normalizzazione, gli organismi notificati e le autorità nazionali competenti devono essere consultati dalla Commissione prima dell'adozione delle specifiche comuni, creando obblighi per tali soggetti di impegnarsi costruttivamente nel processo di elaborazione.
• Rispetto della gerarchia procedurale: Le specifiche comuni operano in modo subordinato alle norme armonizzate; i fornitori devono prima valutare se esistono norme armonizzate applicabili prima di ricorrere alle specifiche comuni come riferimento di conformità.

Relazione con Altri Articoli

L'articolo 41 si inserisce nel capitolo 5 del titolo III insieme agli articoli 40 (norme armonizzate), 42 (presunzione di conformità), 43 (procedure di valutazione della conformità), 44 (certificati di conformità) e 47 (dichiarazione di conformità UE). Deve essere letto in stretta connessione con l'articolo 40, che disciplina la via principale verso la conformità tramite norme armonizzate — l'articolo 41 è espressamente sussidiario a tale via.

La presunzione di conformità creata dall'osservanza delle specifiche comuni confluisce direttamente nell'articolo 42, che specifica le condizioni alle quali sorge la presunzione. L'articolo 43 determina quale procedura di valutazione della conformità si applica, e le specifiche comuni influenzeranno se è richiesta l'autovalutazione o la valutazione di terzi da parte di un organismo notificato. I requisiti di documentazione tecnica degli articoli 11 e dell'allegato IV disciplinano come deve essere registrata la conformità alle specifiche comuni. L'articolo 9 (sistema di gestione dei rischi) e l'articolo 17 (sistema di gestione della qualità) devono essere letti anche accanto all'articolo 41, poiché le specifiche comuni possono fissare parametri concreti per come tali sistemi sono implementati per particolari categorie di sistemi di IA.

Calendario di Conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024. La sua applicazione è graduale:

• 2 febbraio 2025 — I divieti sulle pratiche di IA a rischio inaccettabile (articolo 5) sono diventati applicabili.
• 2 agosto 2025 — Le disposizioni sui modelli di IA per uso generale (titolo VIII) e gli obblighi di governance sono diventati applicabili. La richiesta di normalizzazione della Commissione a CEN-CENELEC è stata emessa nel 2023, ma le norme armonizzate pertinenti per i sistemi ad alto rischio non si prevede siano completamente pubblicate prima della metà o fine 2026.
• 2 agosto 2026 — I sistemi di IA ad alto rischio coperti dall'allegato III (autonomi) diventano soggetti ai pieno obblighi di conformità ai sensi del capitolo 2, compreso il requisito di conformità alle norme armonizzate applicabili o alle specifiche comuni.
• 2 agosto 2027 — I sistemi di IA ad alto rischio incorporati in prodotti coperti dall'allegato I (ad esempio, macchinari, dispositivi medici) diventano soggetti ai pieno obblighi.

L'articolo 41 è quindi di immediata rilevanza pratica a partire da metà 2025, mentre i fornitori preparano la documentazione tecnica per la scadenza del 2026. Dato che le norme armonizzate potrebbero non essere disponibili o complete in tempo, la Commissione potrebbe adottare specifiche comuni per colmare il divario, rendendo essenziale per i fornitori monitorare attivamente gli atti di esecuzione nel corso del 2025 e 2026.