Articolo 45 — Obblighi di informazione degli organismi notificati (Regolamento UE sull'IA)

Articolo 45 del Regolamento (UE) 2024/1689 — Obblighi di informazione degli organismi notificati. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 45 del Regolamento (UE) 2024/1689 stabilisce specifici obblighi di informazione gravanti sugli organismi notificati per tutto il ciclo di vita delle loro attività di valutazione della conformità concernenti i sistemi di IA ad alto rischio elencati nell'allegato III e, ove applicabile, nell'allegato II.

Ai sensi dell'articolo 45, gli organismi notificati sono tenuti a informare l'autorità notificante — l'organismo nazionale responsabile della loro designazione e supervisione — di tutte le valutazioni della conformità effettuate, incluse quelle rifiutate o ritirate prima del completamento. Quest'obbligo di trasparenza si estende alle circostanze che potrebbero incidere sulla portata, sulle condizioni o sulla validità continuativa della notifica, come le modifiche alla struttura, alla proprietà, alla competenza o alle risorse dell'organismo.

Gli organismi notificati devono inoltre comunicare alla propria autorità notificante qualsiasi richiesta di informazioni ricevuta dalle autorità di vigilanza del mercato, consentendo una vigilanza coordinata oltre i confini nazionali. Sono altresì tenuti a segnalare reclami, ricorsi e altre informazioni pertinenti relative ai sistemi di IA ad alto rischio che hanno valutato, su richiesta o di propria iniziativa quando la questione è significativa per l'azione regolatoria.

L'articolo 45 prevede inoltre che gli organismi notificati si scambino tra loro e con la Commissione informazioni su questioni relative ai risultati negativi delle valutazioni della conformità, istituendo così un meccanismo collettivo di condivisione delle conoscenze. Ciò impedisce ai fornitori di cercare valutatori più indulgenti dopo aver ricevuto una valutazione rifiutata da un organismo notificato — una pratica talvolta denominata certificate shopping.

L'articolo costituisce la pietra angolare dell'infrastruttura di responsabilità del sistema degli organismi notificati, garantendo che le autorità nazionali e la Commissione mantengano una reale vigilanza sul modo in cui le valutazioni della conformità vengono condotte in tutto il territorio dell'Unione.

Cosa significa in pratica

Per gli organismi notificati, l'articolo 45 introduce una cultura di divulgazione continua e proattiva che va ben oltre il semplice rilascio o rifiuto di certificati. In termini operativi, un organismo notificato deve istituire procedure interne per registrare e segnalare tutti gli eventi significativi alla propria autorità notificante nazionale, anche quando tali eventi non si traducono in un certificato formale.

Si consideri uno scenario in cui un fornitore di un sistema di IA ad alto rischio utilizzato nella selezione del personale presenti documentazione per una valutazione della conformità, ma l'organismo notificato identifichi lacune critiche nella documentazione tecnica e nel sistema di gestione dei rischi. Anche se il fornitore ritira la domanda prima che venga emesso un rifiuto formale, l'articolo 45 richiede che l'organismo notificato segnali tale ritiro. L'autorità notificante e, attraverso i meccanismi di scambio di informazioni, gli altri organismi notificati vengono così avvisati che un sistema non conforme potrebbe essere ripresentato altrove per la valutazione.

Analogamente, se un'autorità di vigilanza del mercato — come un regolatore nazionale della protezione dei consumatori — contatta un organismo notificato chiedendo informazioni su un sistema precedentemente valutato che ha causato danni, l'organismo notificato deve informare la propria autorità notificante di tale richiesta. Ciò crea una pista documentale che consente una risposta regolatoria coordinata.

Gli organismi notificati devono inoltre rivedere continuamente le proprie disposizioni interne in materia di risorse e competenze. Qualora dovessero stabilire che il loro personale o la loro capacità tecnica non copre più determinate categorie di sistemi di IA, devono notificare tempestivamente tale cambiamento affinché la portata della loro designazione possa essere adeguata — tutelando l'integrità del mercato impedendo valutazioni in aree in cui l'organismo non dispone di vera competenza.

Per i fornitori, questo quadro significa che una valutazione rifiutata o ritirata non è un evento riservato. È pertanto consigliabile svolgere la dovuta diligenza prima di coinvolgere un organismo notificato.

Obblighi principali

• Segnalazione di valutazioni rifiutate e ritirate: Gli organismi notificati devono informare l'autorità notificante di qualsiasi valutazione della conformità rifiutata o ritirata dal fornitore prima del completamento, incluse le ragioni ove accertabili.
• Divulgazione di circostanze che incidono sulla portata: Qualsiasi cambiamento nello status giuridico, nella proprietà, nel personale direttivo, nella struttura organizzativa o nella competenza tecnica dell'organismo che potrebbe incidere sulla sua notifica deve essere comunicato all'autorità notificante senza indebito ritardo.
• Condivisione di informazioni con altri organismi notificati: Gli organismi notificati sono tenuti a scambiare informazioni sui risultati negativi delle valutazioni e sulle questioni correlate con gli organismi notificati omologhi e con la Commissione, impedendo il certificate shopping in tutto il territorio dell'Unione.
• Segnalazione di contatti con le autorità di regolamentazione: La ricezione di richieste di informazioni da parte delle autorità di vigilanza del mercato, delle autorità nazionali competenti o di altri organismi di regolamentazione deve essere resa nota all'autorità notificante, consentendo una vigilanza coordinata.
• Comunicazione di reclami e ricorsi: I reclami significativi, i ricorsi avverso le decisioni di valutazione e le informazioni di post-commercializzazione riguardanti i sistemi di IA valutati devono essere segnalati su richiesta o in modo proattivo ove giustificato.
• Mantenimento della disponibilità per gli audit: Gli organismi notificati devono mettere a disposizione dell'autorità notificante tutta la documentazione, i registri e le prove pertinenti delle loro attività di valutazione a supporto del monitoraggio continuativo della loro designazione.

Relazione con altri articoli

L'articolo 45 opera all'interno di una fitta rete di disposizioni che disciplinano il quadro degli organismi notificati ai sensi del Titolo III, Capitolo 5. È inseparabile dall'articolo 33, che stabilisce gli obblighi e i requisiti generali che gli organismi notificati devono soddisfare per ottenere e mantenere la loro designazione, e dall'articolo 34, che fissa le norme relative alle filiali e al subappalto che incidono sulla trasparenza organizzativa.

Il processo di notifica e designazione disciplinato dagli articoli 35 e 36 fornisce il contesto istituzionale per l'articolo 45: l'autorità notificante che riceve informazioni ai sensi dell'articolo 45 è lo stesso organismo che può sospendere o ritirare una notifica ai sensi dell'articolo 35 qualora le informazioni divulgate rivelino una non conformità.

L'articolo 44 (certificati di conformità) e l'articolo 46 (deroga alle procedure di valutazione della conformità) dovrebbero essere letti insieme all'articolo 45, in quanto stabiliscono i risultati del processo di valutazione della conformità la cui integrità gli obblighi di informazione dell'articolo 45 sono destinati a proteggere.

A livello di vigilanza del mercato, gli articoli 74-76 si affidano implicitamente ai flussi di informazioni creati dall'articolo 45 per funzionare efficacemente, così come i meccanismi di coordinamento che coinvolgono il Comitato europeo per l'intelligenza artificiale (EAIB) istituito ai sensi dell'articolo 65.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la sua pubblicazione nella Gazzetta Ufficiale dell'Unione Europea (GU L 2024/1689, 12 luglio 2024). L'articolo 45 rientra nelle disposizioni applicabili ai sistemi di IA ad alto rischio ai sensi del Titolo III.

Il calendario di applicazione graduale è il seguente:

• 1° agosto 2024 — Entrata in vigore; iniziano gli obblighi preparatori per gli Stati membri e la Commissione.
• 2 febbraio 2025 — Le pratiche di IA vietate (Titolo II, articolo 5) sono diventate applicabili.
• 2 agosto 2025 — Gli obblighi relativi ai modelli di IA a uso generale (Titolo VIII) e le disposizioni di governance sono diventati applicabili; i processi di designazione degli organismi notificati dovevano essere operativamente avanzati entro tale data.
• 2 agosto 2026 — L'articolo 45, insieme all'insieme completo degli obblighi del Titolo III Capitolo 5 relativi agli organismi notificati e alle valutazioni della conformità per i sistemi di IA ad alto rischio elencati nell'allegato III, diventa pienamente applicabile. Gli organismi notificati devono essere pienamente conformi ai propri obblighi di informazione a decorrere da tale data.
• 2 agosto 2027 — Scadenza estesa per determinati sistemi di IA ad alto rischio coperti dalla legislazione di armonizzazione dell'Unione esistente elencata nell'allegato II, Sezione 1, che concede ai produttori di tali settori regolamentati ulteriore tempo per adattare i processi di valutazione della conformità.

Le organizzazioni che cercano di essere designate come organismi notificati dovrebbero avere le proprie procedure di gestione delle informazioni e di divulgazione in atto ben prima della scadenza dell'agosto 2026, per garantire di poter dimostrare la conformità sin dal primo giorno di piena applicazione.