Articolo 49 — Registrazione (Regolamento UE sull'IA)

Articolo 49 del Regolamento (UE) 2024/1689 — Registrazione. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 49 del Regolamento (UE) 2024/1689 istituisce un regime di registrazione obbligatoria per i sistemi di IA ad alto rischio prima che possano essere immessi sul mercato dell'Unione o messi in servizio. L'articolo impone un obbligo primario ai fornitori: prima dell'immissione sul mercato, devono registrare se stessi e i propri sistemi di IA ad alto rischio nella banca dati UE istituita ai sensi dell'Articolo 71. I fornitori stabiliti al di fuori dell'Unione devono garantire che il loro rappresentante autorizzato completi tale registrazione per loro conto.

Per la specifica categoria di sistemi di IA ad alto rischio coperti dall'Allegato III, punto 8 — sistemi utilizzati per la categorizzazione biometrica e il riconoscimento delle emozioni, dispiegati da autorità di contrasto, gestione delle frontiere, immigrazione e asilo — l'obbligo si estende anche ai responsabili del dispiegamento. Questi devono registrare il loro utilizzo di tali sistemi prima del dispiegamento.

Le informazioni da trasmettere durante la registrazione sono definite nell'Allegato VIII, parti I e II, e devono essere mantenute accurate e aggiornate. In caso di aggiornamenti — ad esempio a seguito di una modifica sostanziale — la registrazione deve essere rivista di conseguenza. I sistemi utilizzati esclusivamente da istituzioni, organi, uffici o agenzie dell'Unione sono registrati in una sezione dedicata e riservata della banca dati, garantendo che le informazioni operative sensibili siano adeguatamente protette pur mantenendo la responsabilità. L'articolo crea in tal modo un meccanismo di trasparenza strutturato e consapevole del ciclo di vita che consente alle autorità di vigilanza del mercato e al pubblico di identificare e monitorare i dispiegamenti di IA ad alto rischio nel Mercato unico.

Cosa significa nella pratica

L'Articolo 49 richiede a qualsiasi azienda che sviluppi o immetta sul mercato un sistema di IA ad alto rischio nell'ambito dell'Allegato III di completare una fase di registrazione funzionalmente paragonabile al deposito di un prodotto presso un'autorità di regolamentazione. In pratica, ciò significa che prima del lancio, il team legale o di conformità del fornitore deve:

1. Creare o aggiornare un account sul portale della banca dati del Regolamento UE sull'IA (gestito dalla Commissione europea ai sensi dell'Articolo 71).
2. Trasmettere le informazioni strutturate ai sensi dell'Allegato VIII — che comprendono l'identità aziendale, la descrizione del sistema, la destinazione d'uso, il riepilogo della gestione dei rischi, il riferimento alla dichiarazione di conformità e l'eventuale numero del certificato dell'organismo notificato.
3. Ottenere un numero di registrazione che deve comparire successivamente nella dichiarazione di conformità UE e accompagnare la documentazione del sistema.

Per i fornitori non UE, il rappresentante autorizzato stabilito nell'Unione è il punto di contatto responsabile della presentazione della registrazione. Ciò rispecchia il modello utilizzato in altri quadri UE di sicurezza dei prodotti.

Per i responsabili del dispiegamento che operano sistemi biometrici ad alto rischio o di riconoscimento delle emozioni nell'ambito del contrasto o della gestione delle frontiere (Allegato III, punto 8), è obbligatoria una registrazione separata lato responsabile del dispiegamento prima che il sistema venga attivato in un ambiente operativo.

Un esempio pratico: un'azienda che fornisce uno strumento di valutazione del merito creditizio basato sull'IA (Allegato III, punto 5b) deve registrare il sistema nella banca dati UE, ottenere il proprio numero di registrazione, includere tale numero nella dichiarazione di conformità e aggiornare la registrazione qualora il modello subisca una modifica sostanziale — come una variazione significativa dei dati di addestramento o della logica di output — validata attraverso il processo di valutazione della conformità.

La registrazione non è un passaggio amministrativo una tantum; è un registro dinamico che traccia il sistema per tutta la sua vita commerciale.

Obblighi principali

• Registrazione pre-immissione sul mercato: I fornitori devono registrare se stessi e i propri sistemi di IA ad alto rischio nella banca dati UE ai sensi dell'Articolo 71 prima che il sistema sia immesso sul mercato o messo in servizio nell'Unione.
• Il rappresentante autorizzato come registrante: Qualora il fornitore sia stabilito al di fuori dell'UE, il rappresentante autorizzato stabilito in uno Stato membro deve completare e presentare la registrazione.
• Registrazione del responsabile del dispiegamento per i sistemi del punto 8: I responsabili del dispiegamento dei sistemi di IA ad alto rischio dell'Allegato III, punto 8 (categorizzazione biometrica, riconoscimento delle emozioni) in contesti di contrasto e di gestione delle frontiere devono registrare il proprio utilizzo previsto prima del dispiegamento.
• Requisiti informativi dell'Allegato VIII: Le registrazioni devono contenere tutte le informazioni specificate nell'Allegato VIII, parti I e II, incluse l'identità del sistema, le capacità, i limiti, la documentazione di conformità e i riferimenti ai certificati.
• Obbligo di accuratezza continuativa: Le informazioni registrate devono essere mantenute aggiornate; qualsiasi modifica sostanziale che attivi una nuova valutazione della conformità richiede un corrispondente aggiornamento della registrazione.
• Voci riservate per gli utilizzi sensibili delle autorità pubbliche: I sistemi utilizzati esclusivamente da autorità di contrasto, gestione delle frontiere, immigrazione e asilo ai sensi dell'Allegato III punti da 1 a 7 sono registrati in una sezione non pubblica della banca dati, bilanciando la trasparenza con la sicurezza operativa.

Relazione con altri articoli

L'Articolo 49 si colloca all'intersezione di diversi obblighi fondamentali e non può essere letto in isolamento.

L'Articolo 71 istituisce e disciplina la banca dati UE in cui vengono registrate le iscrizioni; definisce le responsabilità della Commissione quale amministratore e le norme sull'accessibilità pubblica a cui l'Articolo 49 fa riferimento.

L'Allegato VIII specifica gli esatti campi informativi che devono essere trasmessi, rendendolo operativamente inscindibile dal processo di registrazione.

L'Articolo 47 (dichiarazione di conformità UE) e l'Articolo 48 (marcatura CE) precedono logicamente la registrazione: il numero di riferimento della dichiarazione di conformità deve essere disponibile al momento della registrazione, e il numero di registrazione confluisce a sua volta nella dichiarazione. Insieme, gli Articoli 47, 48 e 49 costituiscono il cancello finale di conformità prima dell'accesso al mercato.

L'Articolo 43 (valutazione della conformità) alimenta la registrazione poiché il certificato dell'organismo notificato ottenuto in quella sede è un campo dati obbligatorio nell'Allegato VIII ove sia richiesta la valutazione di terza parte.

L'Articolo 111 (disposizioni transitorie) disciplina come i calendari di registrazione si raccordino con i sistemi già presenti sul mercato prima dell'entrata in vigore degli obblighi, e va consultato congiuntamente all'Articolo 49 per qualsiasi analisi di sistemi legacy.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale. Tuttavia, gli obblighi di registrazione ai sensi dell'Articolo 49 non si applicano immediatamente all'entrata in vigore; seguono il calendario di applicazione graduale del Regolamento:

• 2 febbraio 2025 — Le pratiche di IA vietate (Articolo 5) sono diventate eseguibili. Nessun impatto diretto sull'Articolo 49, ma rilevante ai fini delle analisi di perimetrazione.
• 2 agosto 2025 — Sono diventati applicabili gli obblighi relativi ai modelli di IA di uso generale (GPAI) (Titolo VIII) e il quadro di governance. La registrazione ai sensi dell'Articolo 49 non è attivata in questa fase per i modelli GPAI che non sono separatamente classificati come ad alto rischio.
• 2 agosto 2026 — Gli obblighi di registrazione ai sensi dell'Articolo 49 si applicano ai sistemi di IA ad alto rischio coperti dall'Allegato III, punti da 1 a 7. Questa è la scadenza di conformità principale per la maggior parte dei fornitori di IA aziendali.
• 2 agosto 2027 — Gli obblighi di registrazione si estendono ai sistemi di IA ad alto rischio disciplinati dall'Allegato II (legislazione di armonizzazione per la sicurezza dei prodotti), come i dispositivi medici e i macchinari.

Fornitori e responsabili del dispiegamento dovrebbero pianificare i flussi di lavoro di registrazione — inclusi la raccolta dei dati dell'Allegato VIII, l'accesso al portale della banca dati UE e le disposizioni per il rappresentante autorizzato — con largo anticipo rispetto alla scadenza dell'agosto 2026, al fine di evitare colli di bottiglia dell'ultimo minuto. I sistemi immessi sul mercato prima di tali date nell'ambito di quadri precedenti beneficiano delle disposizioni transitorie ai sensi dell'Articolo 111, ma si consiglia vivamente ai fornitori di valutare se tali disposizioni si applichino alla propria specifica categoria di prodotto.