Articolo 57 — Sandbox normativi per l'IA (Regolamento IA UE)

Articolo 57 del Regolamento (UE) 2024/1689 — Sandbox normativi per l'IA. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 57 del Regolamento (UE) 2024/1689 impone agli Stati membri di istituire almeno un sandbox normativo per l'IA a livello nazionale, operativo entro il 2 agosto 2026. Tali sandbox devono essere istituiti dall'autorità nazionale competente pertinente o, ove opportuno, congiuntamente con le autorità competenti di altri Stati membri, sotto il coordinamento dell'Ufficio europeo per l'IA. Il quadro del sandbox consente ai fornitori e ai potenziali fornitori di sistemi di IA di sviluppare, addestrare, validare e testare sistemi di IA innovativi in un ambiente reale o simulato sotto la supervisione diretta delle autorità competenti, prima di immettere tali sistemi sul mercato o metterli in servizio.

La partecipazione non costituisce un'esenzione dagli obblighi previsti dal Regolamento né dal diritto dell'Unione o degli Stati membri applicabile. Le autorità competenti possono tuttavia applicare i requisiti giuridici esistenti in modo flessibile o adattato nell'ambito del sandbox, ove ciò non comprometta gli obiettivi di tali disposizioni o non rischi di causare danni alla salute, alla sicurezza o ai diritti fondamentali.

Le organizzazioni partecipanti devono presentare un piano di sandbox e operare in conformità con specifici termini e condizioni stabiliti dall'autorità. Il sandbox ha una durata iniziale di dodici mesi, prorogabile per ulteriori dodici mesi. Gli Stati membri devono riferire annualmente alla Commissione sui risultati dei propri sandbox. La Commissione, in cooperazione con l'Ufficio per l'IA e gli Stati membri, deve emanare orientamenti sull'attuazione pratica del presente articolo, inclusi i criteri di selezione e le procedure dettagliate per la partecipazione.

Cosa significa nella pratica

L'Articolo 57 crea un percorso formale e supervisionato per le organizzazioni che intendono innovare in modo responsabile senza attendere la piena istituzione dell'apparato di conformità. In pratica, il sandbox è più rilevante per le startup e le PMI che stanno sviluppando sistemi di IA che potrebbero rientrare nelle classificazioni ad alto rischio o che operano in territori giuridicamente incerti, come i sistemi che toccano la salute, l'istruzione, l'occupazione, le infrastrutture critiche o le attività di contrasto.

Per un'azienda che intende utilizzare un sandbox, il processo comporta l'identificazione dell'autorità competente nel proprio Stato membro, la presentazione di una domanda con un piano di sandbox che descriva il sistema di IA, gli obiettivi dell'innovazione, la metodologia di test proposta e le salvaguardie in atto. Se accettata, l'autorità assegna un punto di contatto dedicato e può consentire all'organizzazione di testare il sistema con dati reali o in condizioni del mondo reale che altrimenti attiverebbero obblighi più stringenti di pre-immissione sul mercato.

Un esempio concreto: una startup che sviluppa uno strumento di triage medico basato sull'IA che normalmente si qualificherebbe come sistema di IA ad alto rischio ai sensi dell'Annex III potrebbe entrare in un sandbox per condurre pilota clinicamente supervisionati. Durante il sandbox, l'autorità può consentire un'applicazione graduale dei requisiti di valutazione della conformità mentre monitora il comportamento del sistema e la maturità di conformità della startup. Al termine del periodo del sandbox, la startup deve o completare la piena valutazione della conformità e registrare il sistema nella banca dati UE, oppure ritirarlo.

È importante sottolineare che la partecipazione al sandbox non crea immunità normativa. Qualsiasi danno causato agli individui durante i test rimane responsabilità del fornitore e le protezioni dei diritti fondamentali si applicano per tutta la durata. Il sandbox è un ambiente di test e apprendimento, non una rinuncia agli obblighi.

Obblighi principali

• Scadenza per l'istituzione: Ogni Stato membro deve disporre di almeno un sandbox normativo per l'IA funzionante entro il 2 agosto 2026, sotto la supervisione della propria autorità nazionale competente o tramite un accordo di sandbox transfrontaliero congiunto.
• Requisito del piano di sandbox: I partecipanti devono presentare e operare in conformità con un piano di sandbox approvato che definisca il sistema di IA in fase di sviluppo, l'ambito dei test, le salvaguardie e l'applicazione di mercato prevista.
• Responsabilità giuridica continuata: Le organizzazioni partecipanti rimangono pienamente responsabili per qualsiasi danno, pregiudizio o violazione dei diritti causati durante le attività del sandbox; la partecipazione non conferisce immunità ai sensi del diritto civile, penale o della protezione dei dati.
• Limiti di durata: I sandbox sono limitati a dodici mesi, prorogabili una volta per ulteriori dodici mesi, al termine dei quali il sistema deve raggiungere la piena conformità o essere ritirato.
• Accesso prioritario per PMI e startup: Le autorità competenti devono garantire che le PMI e le startup abbiano accesso prioritario o facilitato ai programmi sandbox, anche attraverso procedure di domanda semplificate e supporto dedicato.
• Rendicontazione e trasparenza: Le autorità competenti devono produrre relazioni al termine di ogni ciclo del sandbox che riassumano le attività, i risultati e le lezioni apprese; gli Stati membri devono riferire annualmente alla Commissione sul funzionamento complessivo dei propri programmi sandbox.

Relazione con altri articoli

L'Articolo 57 si inserisce nel Titolo VI (Misure a sostegno dell'innovazione) insieme agli Articoli da 58 a 63, che riguardano le norme specifiche per il trattamento dei dati nel sandbox, i test nel mondo reale al di fuori dei sandbox e le misure per le PMI. È strettamente connesso all'Articolo 58, che stabilisce le condizioni di protezione dei dati in base alle quali i dati personali possono essere trattati nell'ambito di un sandbox allo scopo di sviluppare l'IA nell'interesse pubblico.

L'articolo è anche direttamente collegato agli obblighi per i sistemi di IA ad alto rischio del Titolo III (Articoli 8–51), poiché i sandbox sono principalmente destinati ad assistere i fornitori nel soddisfare tali requisiti prima dell'immissione sul mercato. L'Articolo 74 sulla vigilanza del mercato è rilevante perché l'autorità competente che supervisiona un sandbox può essere lo stesso organismo responsabile della supervisione post-mercato.

L'Articolo 57 dovrebbe inoltre essere letto insieme all'Articolo 3 (definizioni, in particolare le definizioni di "fornitore", "potenziale fornitore" e "sistema di IA") e all'Articolo 96, che disciplina il ruolo dell'Ufficio per l'IA nel coordinamento delle attività transfrontaliere del sandbox e nell'emanazione di orientamenti per l'attuazione.

Calendario di conformità

Il Regolamento IA UE è entrato in vigore il 1° agosto 2024, con obblighi introdotti gradualmente nel corso di un periodo pluriennale. L'Articolo 57 rientra nella data di applicazione generale del 2 agosto 2026, il che significa che gli Stati membri sono tenuti ad avere i propri sandbox normativi per l'IA operativi entro tale data.

Il calendario di conformità più ampio fornisce il contesto per la rilevanza del sandbox: i divieti sulle pratiche di IA a rischio inaccettabile sono diventati esecutivi dal 2 febbraio 2025; gli obblighi relativi ai modelli di IA di uso generale (Titolo VIII) si applicavano dal 2 agosto 2025; e gli obblighi per i sistemi di IA ad alto rischio elencati nell'Annex III si applicano dal 2 agosto 2026, con un'ulteriore proroga al 2 agosto 2027 per i sistemi ad alto rischio coperti dalla legislazione di armonizzazione dell'Unione vigente.

Questa gradualità significa che il meccanismo del sandbox ai sensi dell'Articolo 57 diventa disponibile proprio nel momento in cui gli obblighi per i sistemi ad alto rischio diventano esecutivi, offrendo ai fornitori innovativi un percorso strutturato per testare e perfezionare i propri sistemi sotto supervisione prima di affrontare tutto il peso della valutazione della conformità, della registrazione nella banca dati UE ai sensi dell'Articolo 71 e degli obblighi di monitoraggio post-mercato ai sensi dell'Articolo 72.