Articolo 43 — Valutazione della conformità (Regolamento UE sull'IA)

Articolo 43 del Regolamento (UE) 2024/1689 — Valutazione della conformità. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 43 del Regolamento (UE) 2024/1689 stabilisce le procedure di valutazione della conformità che i fornitori di sistemi di IA ad alto rischio devono seguire prima di immettere un sistema sul mercato o metterlo in servizio nell'Unione europea.

Per i sistemi di IA ad alto rischio coperti dalla normativa di armonizzazione dell'Unione elencata nell'Allegato I — come i prodotti soggetti alla Direttiva Macchine, al Regolamento sui dispositivi medici o alle norme di sicurezza dell'aviazione civile — si applica la procedura di valutazione della conformità applicabile ai sensi di tale normativa settoriale, integrata dai requisiti del Capitolo 2 del Titolo III dell'atto sull'IA. Laddove la normativa settoriale non preveda il coinvolgimento di terzi, il fornitore deve seguire la procedura di controllo interno stabilita nell'Allegato VI dell'atto sull'IA.

Per i sistemi di IA ad alto rischio elencati nell'Allegato III, l'articolo 43 prevede due percorsi. Per impostazione predefinita, i fornitori seguono la procedura di controllo interno dell'Allegato VI. Tuttavia, laddove il sistema comporti l'identificazione biometrica in tempo reale o a posteriori a distanza di persone fisiche (diverse da quelle escluse dall'articolo 6, paragrafo 3), o qualora non esista alcuna norma armonizzata che copra tutti i requisiti pertinenti e non sia stata adottata alcuna specifica comune, la valutazione deve essere effettuata da un organismo notificato conformemente all'Allegato VII.

Qualsiasi sistema di IA ad alto rischio che subisca una modifica sostanziale dopo aver ricevuto una dichiarazione di conformità UE o un certificato deve essere sottoposto a una nuova valutazione della conformità. L'articolo conferma inoltre che gli organismi notificati devono essere notificati alla Commissione e alle autorità degli Stati membri prima di effettuare le valutazioni, e che i certificati rilasciati rimangono validi salvo revoca.

Cosa significa nella pratica

Per la maggior parte dei fornitori di sistemi di IA ad alto rischio elencati nell'Allegato III — che riguardano settori come la selezione del personale, l'istruzione, il credit scoring, la gestione delle infrastrutture critiche e l'amministrazione della giustizia — l'articolo 43 significa che l'autovalutazione interna è il percorso di conformità predefinito. Il sistema di gestione della qualità del fornitore, la documentazione tecnica e i documenti di conformità devono essere in ordine prima che la dichiarazione di conformità venga firmata e il marchio CE apposto. Non è richiesto alcun revisore esterno a meno che il sistema non rientri in una delle categorie che richiedono il coinvolgimento di un organismo notificato.

Per i fornitori i cui sistemi rientrano nella normativa settoriale dell'Allegato I — ad esempio, un sistema di IA incorporato in un dispositivo medico di classe IIb, o in apparecchiature aeronautiche critiche per la sicurezza — la valutazione della conformità ai sensi dell'atto sull'IA si aggiunge a qualsiasi procedura settoriale già applicabile. In pratica, ciò significa coinvolgere l'organismo notificato già designato ai sensi del Regolamento sui dispositivi medici o l'autorità aeronautica competente, assicurandosi che tale organismo sia competente anche per valutare i requisiti specifici dell'IA.

L'elemento operativamente più significativo dell'articolo 43 è il requisito di ripetere la valutazione della conformità dopo una modifica sostanziale. I team di sviluppo e i responsabili di prodotto devono quindi incorporare un formale checkpoint di gestione delle modifiche nel ciclo di vita dello sviluppo dell'IA: qualsiasi aggiornamento che alteri la destinazione d'uso, le caratteristiche prestazionali o il profilo di rischio del sistema deve essere valutato rispetto alla definizione di modifica sostanziale prima del deployment.

Gli importatori e i distributori non sono essi stessi responsabili dell'effettuazione della valutazione della conformità, ma devono verificare che il fornitore abbia completato la procedura e che la documentazione sia disponibile. I deployer che operano in settori regolamentati dovrebbero richiedere conferma del percorso di valutazione applicabile nell'ambito della due diligence sui fornitori.

Obblighi principali

• Selezionare il corretto percorso di valutazione: I fornitori devono determinare se il loro sistema di IA ad alto rischio rientra nella normativa settoriale dell'Allegato I o nell'Allegato III, e applicare la procedura corrispondente (controllo interno ai sensi dell'Allegato VI, o valutazione dell'organismo notificato ai sensi dell'Allegato VII ove previsto).
• Effettuare la valutazione prima dell'immissione sul mercato: La valutazione della conformità deve essere completata e la dichiarazione di conformità UE firmata prima che il sistema venga immesso sul mercato dell'Unione o messo in servizio — non retroattivamente.
• Coinvolgere un organismo notificato ove richiesto: I sistemi che comportano l'identificazione biometrica remota in tempo reale a fini di contrasto, o per i quali non esiste alcuna norma armonizzata applicabile e nessuna specifica comune copre tutti i requisiti, richiedono una valutazione da parte di terzi effettuata da un organismo notificato accreditato.
• Integrare la valutazione IA con le procedure settoriali: Per i prodotti dell'Allegato I, la valutazione della conformità specifica per l'IA deve essere allineata con — e ove possibile integrata nella — valutazione della conformità settoriale esistente, utilizzando lo stesso organismo notificato ove competente.
• Rivalutare dopo una modifica sostanziale: Qualsiasi modifica sostanziale a un sistema di IA ad alto rischio che ha già superato la valutazione della conformità attiva una nuova valutazione obbligatoria prima che il sistema modificato possa essere deployato o commercializzato.
• Conservare la documentazione per la revisione post-commercializzazione: I fornitori devono conservare la documentazione tecnica, i registri del sistema di gestione della qualità e la dichiarazione di conformità per dieci anni dopo che il sistema è stato immesso sul mercato, e renderli disponibili alle autorità nazionali competenti su richiesta.

Relazione con altri articoli

L'articolo 43 non può essere letto in isolamento. È l'espressione procedurale dei requisiti sostanziali stabiliti negli articoli da 8 a 15 (Capitolo 2 del Titolo III), che definiscono gli standard tecnici e di governance che i sistemi di IA ad alto rischio devono soddisfare — tra cui la gestione dei rischi, la governance dei dati, la trasparenza, la supervisione umana, l'accuratezza e la robustezza della sicurezza informatica. La definizione di cosa costituisce un sistema di IA ad alto rischio — e quindi attiva l'articolo 43 — è stabilita dall'articolo 6 letto congiuntamente con gli Allegati I e III.

La procedura di controllo interno citata nell'articolo 43 è descritta in dettaglio nell'Allegato VI, mentre la procedura dell'organismo notificato è stabilita nell'Allegato VII. L'articolo 44 disciplina i certificati rilasciati dagli organismi notificati a seguito di una valutazione ai sensi dell'Allegato VII, comprese le condizioni di sospensione e revoca. L'articolo 45 riguarda gli obblighi degli organismi notificati durante la valutazione. L'articolo 47 riguarda la dichiarazione di conformità UE che i fornitori devono redigere al completamento della procedura. L'articolo 48 collega il completamento della valutazione della conformità al diritto di apporre il marchio CE ai sensi dell'articolo 49.

Per i fornitori i cui sistemi si qualificano anche come modelli di IA per uso generale con rischio sistemico, l'interazione con gli obblighi del Titolo VIII deve essere considerata insieme all'articolo 43.

Calendario di conformità

Il Regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024, venti giorni dopo la sua pubblicazione nella Gazzetta ufficiale dell'Unione europea del 12 luglio 2024.

L'articolo 43 non si applica immediatamente a tutti i sistemi di IA ad alto rischio. Il calendario di applicazione graduale stabilito dall'articolo 113 prevede che:

• 2 febbraio 2025 — I divieti sulle pratiche di IA a rischio inaccettabile (Titolo II) sono diventati applicabili. L'articolo 43 non era ancora in vigore.
• 2 agosto 2025 — Gli obblighi relativi ai modelli di IA per uso generale (Titolo VIII) sono diventati applicabili. Gli obblighi di valutazione della conformità ai sensi dell'articolo 43 non erano ancora in vigore per la maggior parte dei sistemi ad alto rischio.
• 2 agosto 2026 — L'articolo 43 diventa pienamente applicabile ai fornitori di sistemi di IA ad alto rischio elencati nell'Allegato III (sistemi di IA ad alto rischio autonomi in settori quali biometria, occupazione, istruzione e infrastrutture critiche).
• 2 agosto 2027 — La scadenza entro la quale gli obblighi, compresa la valutazione della conformità, si applicano ai sistemi di IA ad alto rischio incorporati in prodotti dell'Allegato I già disciplinati dalla normativa di armonizzazione dell'Unione e immessi sul mercato prima dell'agosto 2026.

I fornitori dovrebbero considerare la scadenza dell'agosto 2026 come la data di conformità operativa per i fini della pianificazione interna, assicurandosi che i sistemi di gestione della qualità, la documentazione tecnica e le procedure di valutazione siano operativi con largo anticipo.