Articolo 58 del Regolamento (UE) 2024/1689 — Condizioni per l'istituzione e il funzionamento dei sandbox normativi per l'IA. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.
Sintesi del testo ufficiale
L'Articolo 58 del Regolamento (UE) 2024/1689 stabilisce le condizioni in base alle quali i sandbox normativi per l'IA devono essere creati e gestiti. Pone un obbligo diretto sugli Stati membri di garantire che almeno un sandbox sia istituito a livello nazionale entro il 2 agosto 2026. Il Garante europeo della protezione dei dati deve istituire un sandbox per le istituzioni, gli organi, gli uffici e le agenzie dell'Unione che rientrano nell'ambito di applicazione del Regolamento.
L'articolo stabilisce che i sandbox devono operare sulla base di un piano specifico concordato tra il partecipante e l'autorità competente. La partecipazione è limitata nel tempo, di norma a dodici mesi, prorogabili per ulteriori dodici mesi. La selezione dei partecipanti deve seguire criteri trasparenti ed equi; le PMI e le startup devono essere prioritarie laddove soddisfino le condizioni di ammissibilità.
Le autorità competenti devono fornire orientamenti, supervisione e supporto adeguato ai partecipanti durante tutto il periodo del sandbox. I partecipanti rimangono soggetti a tutto il diritto dell'Unione e nazionale applicabile durante le attività del sandbox, inclusi gli obblighi in materia di sicurezza, diritti fondamentali e protezione dei dati. I dati personali trattati durante le attività del sandbox devono essere gestiti in conformità con il Regolamento (UE) 2016/679 (GDPR), il Regolamento (UE) 2018/1725 e la Direttiva (UE) 2016/680, e non devono essere utilizzati per scopi diversi da quelli indicati nel piano del sandbox senza esplicita autorizzazione.
Al termine del sandbox, i partecipanti devono presentare una relazione finale. Le autorità competenti possono pubblicare una sintesi dei risultati, contribuendo alla base di prove più ampia per la regolamentazione dell'IA nell'Unione.
Cosa significa nella pratica
L'Articolo 58 ha conseguenze pratiche per un'ampia gamma di soggetti interessati — autorità nazionali di regolamentazione, innovatori e team legali.
Per le autorità nazionali competenti, l'articolo crea un obbligo vincolante: almeno un sandbox funzionale deve esistere in ogni Stato membro entro il 2 agosto 2026. I regolatori che non hanno ancora avviato programmi sandbox devono accelerare la progettazione della governance, l'allocazione delle risorse e il coordinamento inter-agenzia (in particolare con le autorità per la protezione dei dati). I sandbox transfrontalieri, che l'Articolo 58 consente esplicitamente, richiedono protocolli di coordinamento bilaterali o multilaterali tra le autorità nazionali.
Per i fornitori e i potenziali fornitori, il sandbox offre un percorso strutturato per testare sistemi di IA ad alto rischio o innovativi sotto la supervisione normativa prima della piena immissione sul mercato. In concreto, una startup che sviluppa un sistema di punteggio predittivo del rischio per le decisioni di credito — un probabile sistema ad alto rischio ai sensi dell'Annex III — potrebbe richiedere di partecipare a un sandbox nazionale per valutare la conformità e perfezionare la documentazione tecnica prima che le norme per i sistemi ad alto rischio diventino pienamente applicabili.
Per i team legali e di conformità, l'Articolo 58 non crea una vacanza dalla conformità. Tutti gli obblighi sostanziali ai sensi di altro diritto applicabile rimangono in vigore durante la partecipazione al sandbox. Le valutazioni d'impatto sulla protezione dei dati sono ancora richieste ove pertinente; le salvaguardie dei diritti fondamentali non possono essere derogate. Ciò che il sandbox offre è un dialogo normativo strutturato, un feedback tempestivo da parte delle autorità di vigilanza e un certo grado di flessibilità procedurale — non una deroga alle norme sostanziali.
Le organizzazioni che considerano la partecipazione al sandbox dovrebbero coinvolgere tempestivamente la propria autorità nazionale competente, predisporre un piano dettagliato per il sandbox che comprenda obiettivi, metodologia, governance dei dati e criteri di uscita, e documentare in modo approfondito tutte le decisioni e i risultati in previsione dell'obbligo di relazione finale.
Obblighi principali
- Gli Stati membri devono istituire almeno un sandbox normativo per l'IA a livello nazionale entro il 2 agosto 2026; il Garante europeo della protezione dei dati deve istituire un sandbox per le istituzioni, gli organi, gli uffici e le agenzie dell'Unione.
- La partecipazione al sandbox deve essere disciplinata da un piano scritto concordato tra il partecipante e l'autorità competente, che specifichi il sistema di IA da sviluppare o testare, le attività da svolgere, gli obiettivi, la durata e le modalità di supervisione.
- La durata è limitata a dodici mesi, prorogabili una volta per ulteriori dodici mesi, per un massimo totale di ventiquattro mesi; le proroghe devono essere giustificate e approvate dall'autorità competente.
- I criteri di selezione devono essere trasparenti e non discriminatori; le PMI e le startup che soddisfano le condizioni di ammissibilità devono essere prioritarie, in linea con l'intento politico pro-innovazione del Titolo VI.
- Tutto il diritto dell'Unione e nazionale applicabile continua ad applicarsi durante il periodo del sandbox, inclusi il GDPR, la normativa settoriale e i requisiti di sicurezza; i dati personali possono essere trattati solo per gli scopi indicati nel piano del sandbox.
- Una relazione finale deve essere presentata al termine del periodo del sandbox, documentando le attività, i risultati, le lezioni apprese e le misure adottate o pianificate per garantire la conformità prima dell'immissione sul mercato o della messa in servizio.
Relazione con altri articoli
L'Articolo 58 si inserisce nel Titolo VI (Misure a sostegno dell'innovazione) e deve essere letto insieme alle disposizioni circostanti di tale titolo. L'Articolo 57 definisce cos'è un sandbox normativo per l'IA e stabilisce l'obbligo generale del quadro, costituendo la base su cui l'Articolo 58 costruisce le proprie condizioni operative. L'Articolo 59 disciplina il regime specifico applicabile al trattamento dei dati personali nell'ambito dei sandbox, fornendo l'interfaccia per la protezione dei dati che l'Articolo 58 richiede ma non dettaglia direttamente. L'Articolo 60 estende analoghe disposizioni di test a condizioni del mondo reale al di fuori dei sandbox per determinati sistemi di IA ad alto rischio.
Al di là del Titolo VI, l'Articolo 58 si collega agli obblighi dei fornitori di sistemi di IA ad alto rischio del Titolo III, poiché la partecipazione al sandbox è più rilevante proprio per i sistemi che possono rientrare nelle classificazioni dell'Annex III. Interagisce anche con l'Articolo 74 (vigilanza del mercato) e l'Articolo 70 (riservatezza), poiché le autorità competenti esercitano i poteri di vigilanza nell'ambito del sandbox e gestiscono informazioni commercialmente sensibili condivise dai partecipanti.
Calendario di conformità
Il Regolamento IA UE è entrato in vigore il 1° agosto 2024, dando avvio a un calendario di applicazione graduale. Le date principali rilevanti per l'Articolo 58 sono:
- 1° agosto 2024 — Il Regolamento entra in vigore; tutte le disposizioni avviano il loro conto alla rovescia verso l'applicazione.
- 2 febbraio 2025 — I divieti sulle pratiche di IA a rischio inaccettabile (Articolo 5) diventano applicabili.
- 2 agosto 2025 — Gli obblighi relativi ai modelli GPAI (Titolo VIII) e le disposizioni di governance diventano applicabili.
- 2 agosto 2026 — L'Articolo 58 diventa pienamente applicabile: gli Stati membri devono aver istituito almeno un sandbox normativo nazionale per l'IA operativo entro tale data. Anche il sandbox del Garante europeo della protezione dei dati per le istituzioni dell'Unione deve essere operativo.
- 2 dicembre 2026 / 2 agosto 2027 — Gli obblighi per i sistemi di IA ad alto rischio ai sensi dell'Annex III (e dell'Annex I per i sistemi integrati) diventano pienamente applicabili — il periodo per il quale la partecipazione al sandbox è strategicamente più rilevante per i fornitori che sviluppano sistemi ad alto rischio.
Le organizzazioni e le autorità nazionali dovrebbero trattare il 2 agosto 2026 come una scadenza rigida per la disponibilità del sandbox, non come un obiettivo verso cui pianificare all'ultimo momento.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Un sandbox normativo per l'IA è un ambiente controllato istituito da una o più autorità nazionali competenti che consente ai fornitori e ai potenziali fornitori di sviluppare, addestrare, testare e validare sistemi di IA innovativi sotto la supervisione normativa prima di immetterli sul mercato o di metterli in servizio.
La partecipazione è aperta ai fornitori e ai potenziali fornitori di sistemi di IA, inclusi PMI e startup. I criteri di selezione devono essere trasparenti e le autorità nazionali competenti devono dare la priorità ai richiedenti che siano PMI o startup, a condizione che soddisfino le condizioni di ammissibilità stabilite nell'Articolo 58.
No. La partecipazione a un sandbox non esenta i fornitori dai propri obblighi di responsabilità ai sensi del Regolamento IA o di altro diritto dell'Unione o nazionale applicabile. Tuttavia, le autorità competenti possono esercitare i propri poteri di vigilanza con un certo grado di flessibilità durante il periodo del sandbox, a condizione che siano mantenute le protezioni della sicurezza pubblica e dei diritti fondamentali.
Il periodo del sandbox è limitato nel tempo. Come regola generale, la partecipazione dura dodici mesi e può essere prorogata una volta per ulteriori dodici mesi, per una durata totale massima di ventiquattro mesi.
Sì. L'Articolo 58 prevede esplicitamente la possibilità di sandbox congiunti che coinvolgono le autorità competenti di due o più Stati membri, a sostegno dell'innovazione transfrontaliera e dell'applicazione coerente delle norme nel mercato unico.
Al termine del sandbox, i partecipanti devono presentare una relazione all'autorità competente che descriva i risultati delle attività svolte, le lezioni apprese e, ove pertinente, le misure adottate per garantire la conformità prima dell'immissione sul mercato. L'autorità competente può pubblicare una sintesi di tali risultati.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.