Articolo 42 — Presunzione di conformità a determinati requisiti (Regolamento UE sull'IA)

Articolo 42 del Regolamento (UE) 2024/1689 — Presunzione di conformità a determinati requisiti. Testo ufficiale, interpretazione pratica, obblighi chiave e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 42 del Regolamento (UE) 2024/1689 (il Regolamento UE sull'IA) stabilisce un meccanismo noto come presunzione di conformità. In base a tale meccanismo, un sistema di IA ad alto rischio che è stato sviluppato e testato in conformità con norme armonizzate — o parti di esse — i cui riferimenti sono stati pubblicati nella Gazzetta Ufficiale dell'Unione Europea è presunto conforme ai requisiti stabiliti nel Capo 2 del Titolo III del Regolamento, nella misura in cui tali norme armonizzate coprono tali requisiti.

La stessa presunzione si applica quando un fornitore dimostra la conformità con specifiche comuni adottate dalla Commissione europea ai sensi dell'articolo 41 del Regolamento, di nuovo nella misura in cui tali specifiche comuni affrontano i requisiti applicabili.

La presunzione è condizionale e proporzionata: opera solo rispetto ai requisiti che la norma armonizzata o la specifica comune copre effettivamente. Dove una norma o specifica copre solo una parte di un requisito, la presunzione di conformità si applica solo a quella parte. I fornitori rimangono responsabili di dimostrare la conformità con qualsiasi requisito non coperto dalla norma o dalla specifica attraverso altri mezzi appropriati.

Questo articolo riflette l'approccio europeo più ampio alla regolamentazione dei prodotti, rispecchiando meccanismi di presunzione simili presenti nella legislazione di armonizzazione dell'Unione esistente (ad esempio, la Direttiva Macchine e la Direttiva sulle apparecchiature radio), e integra il Regolamento IA nel consolidato Nuovo Quadro Legislativo.

Cosa significa nella pratica

Per i fornitori di sistemi di IA ad alto rischio, l'articolo 42 crea un percorso di conformità pratico che riduce sia il costo che la complessità della dimostrazione di conformità. Invece di costruire argomenti tecnici su misura per ogni requisito applicabile da zero, un fornitore può allineare i propri processi di sviluppo e test con norme armonizzate pubblicate e fare affidamento sulla presunzione risultante per soddisfare le autorità di sorveglianza del mercato e gli organismi notificati.

In termini concreti, un'azienda che sviluppa un dispositivo medico basato sull'IA classificato come ad alto rischio ai sensi dell'Allegato III esaminerebbe le norme armonizzate pubblicate dalla Commissione europea a seguito di mandati di normazione emessi a organismi come il CEN-CENELEC. Dove tali norme sono state pubblicate nella Gazzetta Ufficiale, l'azienda documenta la propria conformità ad esse — coprendo, ad esempio, i requisiti di governance dei dati, trasparenza o robustezza — e registra ciò nella documentazione tecnica come richiesto dall'articolo 11 e dall'Allegato IV.

Dove le norme armonizzate non sono ancora disponibili — il che rimane un limite reale data la novità del Regolamento — i fornitori possono invece utilizzare le specifiche comuni adottate dalla Commissione ai sensi dell'articolo 41 come percorso equivalente verso la presunzione.

È importante sottolineare che la presunzione non rimuove l'obbligo di condurre una valutazione della conformità ai sensi dell'articolo 43. Semplifica la base probatoria di tale valutazione. I team di conformità interni, i consulenti legali e gli organismi notificati dovrebbero trattare l'articolo 42 come una scorciatoia strutturata all'interno dell'architettura più ampia della valutazione della conformità, non come un'esenzione da essa. I fornitori dovrebbero mantenere un monitoraggio aggiornato delle norme armonizzate di nuova pubblicazione, poiché i percorsi di conformità si evolveranno significativamente durante il periodo di implementazione graduale.

Obblighi chiave

• Monitorare le norme armonizzate pubblicate: I fornitori devono monitorare attivamente la Gazzetta Ufficiale dell'Unione Europea per i riferimenti alle norme armonizzate che coprono i requisiti del Capo 2, Titolo III, e aggiornare di conseguenza la loro documentazione tecnica quando vengono pubblicate norme nuove o rivedute.
• Allineare sviluppo e test con le norme applicabili: Per invocare la presunzione, il sistema di IA deve essere stato sviluppato e testato in conformità con la norma armonizzata o la specifica comune pertinente. Un allineamento parziale attiva solo una presunzione parziale.
• Documentare la conformità alle norme nella documentazione tecnica: La prova della conformità alla norma armonizzata o alla specifica comune deve essere registrata nella documentazione tecnica richiesta ai sensi dell'articolo 11 e dell'Allegato IV, con dettagli sufficienti a consentire la ricostruzione e la verifica.
• Identificare e affrontare le lacune non coperte dalle norme: Dove una norma armonizzata o una specifica comune non copre integralmente un requisito del Capo 2, i fornitori devono dimostrare la conformità con la parte non coperta attraverso mezzi tecnici o procedurali alternativi, documentati e difendibili dinanzi alle autorità di sorveglianza del mercato.
• Essere preparati alla confutazione: La presunzione non è assoluta. I fornitori devono conservare prove di supporto sufficienti — risultati dei test, registrazioni di governance dei dati, log di supervisione umana — per comprovare la conformità se la presunzione viene contestata da un organismo notificato o da un'autorità nazionale.
• Considerare le specifiche comuni dell'articolo 41 come soluzione di riserva: Dove non è stata pubblicata o mandata nessuna norma armonizzata, i fornitori dovrebbero valutare se le specifiche comuni emesse dalla Commissione europea ai sensi dell'articolo 41 sono disponibili e applicarle per garantire uno status giuridico equivalente ai sensi dell'articolo 42.

Relazione con altri articoli

L'articolo 42 si trova all'intersezione dell'architettura di normazione e valutazione della conformità del Regolamento e non può essere letto in isolamento.

Dipende direttamente dall'articolo 41 (specifiche comuni), che fornisce il percorso alternativo verso la presunzione dove le norme armonizzate sono assenti o incomplete. La presunzione attivata dall'articolo 42 confluisce direttamente nell'articolo 43 (procedure di valutazione della conformità), che determina il percorso procedurale — controllo interno o coinvolgimento di terzi — che un fornitore deve seguire.

I requisiti rispetto ai quali viene presunta la conformità sono stabiliti negli articoli da 9 a 15 (Capo 2, Titolo III), che coprono la gestione dei rischi, la governance dei dati, la documentazione tecnica, la trasparenza, la supervisione umana, l'accuratezza, la robustezza e la cibersicurezza. L'articolo 11 e l'Allegato IV disciplinano la documentazione tecnica in cui deve essere registrata la conformità alle norme.

L'articolo 40 (norme armonizzate) è la controparte a monte: descrive come vengono emessi i mandati di normazione e come le norme armonizzate acquisiscono il loro status ai sensi del Regolamento. L'articolo 42 è quindi l'effetto giuridico a valle dell'articolo 40.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024 (venti giorni dopo la pubblicazione nella Gazzetta Ufficiale il 12 luglio 2024). L'applicazione delle sue disposizioni è graduale:

• 2 febbraio 2025 — Sono diventati applicabili i divieti sulle pratiche di IA a rischio inaccettabile (articolo 5).
• 2 agosto 2025 — Sono diventate applicabili le norme sui modelli di IA per uso generale (Titolo VIII) e gli obblighi di governance.
• 2 agosto 2026 — Diventano applicabili gli obblighi per i sistemi di IA ad alto rischio elencati nell'Allegato III che non sono componenti di sicurezza di prodotti già coperti dalla legislazione di armonizzazione dell'Unione. L'articolo 42 è direttamente rilevante da questa data per la maggior parte dei fornitori di sistemi ad alto rischio.
• 2 agosto 2027 — I sistemi di IA ad alto rischio che sono componenti di sicurezza di prodotti coperti dalla legislazione di armonizzazione dell'Unione esistente (la categoria "settoriale" ai sensi dell'Allegato II) devono essere conformi.

Per l'articolo 42 in particolare, il calendario pratico è determinato anche dai mandati di normazione della Commissione europea a CEN-CENELEC e ETSI. Le norme armonizzate ai sensi del Regolamento IA non sono ancora completamente pubblicate a metà 2026; i fornitori dovrebbero seguire attentamente la Gazzetta Ufficiale e il programma di lavoro sulla normazione della Commissione. Fino a quando le norme armonizzate non sono disponibili per un dato requisito, il ricorso alle specifiche comuni ai sensi dell'articolo 41 è il principale percorso alternativo.