Articolo 63 del Regolamento (UE) 2024/1689 — Deroghe a determinati requisiti applicabili ai sistemi di IA ad alto rischio per determinati operatori. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.
Sintesi del testo ufficiale
L'Articolo 63 del Regolamento (UE) 2024/1689 (il Regolamento UE sull'IA), collocato nel Titolo VI — Misure a sostegno dell'innovazione, stabilisce deroghe mirate a determinati requisiti del Capitolo III, Sezione 2 che altrimenti si applicherebbero integralmente ai fornitori e ad altri operatori di sistemi di IA ad alto rischio.
I principali beneficiari sono le microimprese ai sensi della Raccomandazione della Commissione 2003/361/CE (imprese con meno di 10 dipendenti e fatturato annuo o totale di bilancio non superiore a 2 milioni di EUR). Per tali fornitori, l'Articolo 63 consente un approccio semplificato agli obblighi del sistema di gestione della qualità stabiliti nell'Articolo 17, permettendo che le procedure e le politiche siano implementate in modo proporzionato alle dimensioni e alla capacità operativa dell'operatore, anziché attraverso il sistema documentato completo che i fornitori di maggiori dimensioni devono istituire.
L'Articolo 63 affronta inoltre gli operatori di enti pubblici che implementano sistemi di IA ad alto rischio, riconoscendo che le loro strutture di approvvigionamento e governance possono differire materialmente dagli operatori commerciali. Determinati obblighi di documentazione e conformità possono essere adattati laddove un ente pubblico agisca esclusivamente come deployer e il sistema venga acquistato da un fornitore esterno che mantiene gli obblighi primari del fornitore.
In modo cruciale, l'articolo preserva il livello minimo sostanziale di sicurezza: le deroghe riguardano la forma procedurale e la portata, non i requisiti sottostanti di accuratezza, robustezza, cybersicurezza, governance dei dati, trasparenza e supervisione umana. Tutti gli operatori, indipendentemente dalle dimensioni, devono comunque garantire che i sistemi di IA ad alto rischio soddisfino i requisiti tecnici degli Articoli 9-15 e rimangano soggetti agli obblighi di vigilanza del mercato.
Cosa significa nella pratica
L'Articolo 63 è uno strumento di proporzionalità. Il suo effetto pratico è quello di ridurre l'onere amministrativo per i più piccoli operatori di mercato e per determinati deployer del settore pubblico senza compromettere gli obiettivi di sicurezza del Regolamento.
Per i fornitori che sono microimprese, il principale alleggerimento riguarda i sistemi di gestione della qualità dell'Articolo 17. Invece di mantenere un sistema di gestione della qualità completamente documentato con ruoli designati, procedure di gestione dei cambiamenti, piani di monitoraggio post-commercializzazione e controllo sistematico delle versioni, una microimpresa può implementare una governance equivalente attraverso procedure interne più semplici — ad esempio, un documento di politica sintetico, una persona responsabile designata e un registro di base degli incidenti — a condizione che tali misure affrontino adeguatamente il rischio. Gli obblighi di documentazione tecnica dell'Articolo 11 e le procedure di valutazione della conformità degli Articoli 43-44 continuano ad applicarsi integralmente, così come gli obblighi di registrazione nella banca dati dell'UE ai sensi dell'Articolo 71.
Per i deployer che sono enti pubblici, l'Articolo 63 riconosce che, laddove un'autorità appaltante acquisti un sistema di IA ad alto rischio, gli obblighi primari di conformità ricadono sul fornitore. Gli obblighi del deployer ai sensi dell'Articolo 26 — incluse le valutazioni d'impatto sui diritti fondamentali, la designazione della supervisione umana e la registrazione — rimangono intatti, ma l'Articolo 63 fornisce chiarezza contestuale che a tali enti non è richiesto di replicare la documentazione tecnica lato fornitore che non possiedono.
Esempio pratico: una startup legale composta da due persone che immette sul mercato un sistema di IA per la revisione di contratti (Allegato III, punto 5(a) — accesso all'assistenza legale) deve condurre una valutazione di conformità e registrare il sistema, ma può documentare il proprio processo di gestione del rischio attraverso una procedura interna semplificata anziché un sistema di gestione della qualità formale allineato all'ISO. Un grande comune che implementa lo stesso sistema da un fornitore terzo rimane soggetto agli obblighi del deployer ma non è tenuto a produrre il fascicolo tecnico del fornitore.
Gli operatori dovrebbero documentare la loro idoneità alle deroghe — in particolare la loro classificazione come microimpresa — come parte dei loro registri di conformità, poiché le autorità di vigilanza del mercato possono richiedere prove.
Obblighi principali
- Istituire procedure di gestione della qualità proporzionate: i fornitori che sono microimprese devono implementare procedure interne che coprano la sostanza degli obblighi dell'Articolo 17 — gestione del rischio, governance dei dati, documentazione, monitoraggio post-commercializzazione — dimensionate in modo appropriato alle loro dimensioni e al profilo di rischio del sistema di IA, anche se non attraverso un sistema di gestione della qualità formale documentato.
- Mantenere la documentazione tecnica completa: le deroghe dell'Articolo 63 non riducono i requisiti di documentazione tecnica ai sensi dell'Articolo 11 e dell'Allegato IV. I fornitori devono comunque produrre, mantenere e rendere disponibile la documentazione che dimostra la conformità.
- Completare la valutazione di conformità applicabile: tutti i fornitori di sistemi di IA ad alto rischio, comprese le microimprese, devono completare la procedura di valutazione della conformità ai sensi dell'Articolo 43 prima di immettere un sistema sul mercato o metterlo in servizio.
- Registrarsi nella banca dati del Regolamento UE sull'IA: gli obblighi di registrazione ai sensi dell'Articolo 71 si applicano indipendentemente dalle dimensioni dell'operatore; le microimprese devono registrare i sistemi di IA ad alto rischio nella banca dati pubblica dell'UE gestita dalla Commissione.
- Preservare i requisiti di supervisione umana e sicurezza: i requisiti tecnici ai sensi degli Articoli 9-15 (gestione del rischio, governance dei dati, trasparenza, accuratezza, robustezza, cybersicurezza e supervisione umana) non sono soggetti a deroga e devono essere soddisfatti integralmente da tutti i fornitori indipendentemente dalle dimensioni.
- Documentare l'idoneità alla deroga: gli operatori che si avvalgono delle deroghe dell'Articolo 63 dovrebbero conservare documentazione che dimostri il loro status qualificante (ad es. classificazione come microimpresa, o status di deployer ente pubblico) per comprovare il loro approccio alla conformità presso le autorità nazionali di vigilanza del mercato.
Relazione con altri articoli
L'Articolo 63 opera come modificatore di proporzionalità all'interno del più ampio quadro di conformità per i sistemi di IA ad alto rischio e deve essere letto in congiunzione con diverse altre disposizioni.
L'Articolo 17 (Sistemi di gestione della qualità) è l'articolo principale da cui derivano le deroghe per le microimprese; l'Articolo 63 condiziona e limita tali deroghe. Gli Articoli 9-15 stabiliscono il livello tecnico non derogabile che l'Articolo 63 preserva esplicitamente. L'Articolo 26 disciplina gli obblighi del deployer ed è rilevante per le disposizioni di deroga degli enti pubblici. L'Articolo 11 e l'Allegato IV definiscono i requisiti di documentazione tecnica che rimangono pienamente applicabili.
Nel Titolo VI, l'Articolo 63 si affianca agli Articoli 57-62 (sandbox regolamentari per l'IA) e agli Articoli 64-68 (misure di sostegno per le PMI e i test), formando un quadro coerente di sostegno alle PMI. L'Articolo 9 del Titolo I (l'obbligo generale di proporzionalità applicabile a tutti i fornitori) fornisce la motivazione regolamentare alla base delle misure di alleggerimento specifiche dell'Articolo 63. L'Articolo 71 (banca dati dell'UE) e l'Articolo 43 (valutazione della conformità) stabiliscono obblighi che l'Articolo 63 non modifica.
Calendario di conformità
Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta Ufficiale.
Il calendario di applicazione graduale rilevante per l'Articolo 63 è il seguente:
- 2 febbraio 2025 — I divieti sulle pratiche di IA a rischio inaccettabile (Articolo 5) sono diventati applicabili. L'Articolo 63 non è rilevante in questa fase.
- 2 agosto 2025 — Gli obblighi per i modelli di IA per finalità generali (Titolo III, Capitolo V) e le disposizioni di governance sono diventati applicabili. Le deroghe dell'Articolo 63 non si applicano ai fornitori GPAI.
- 2 agosto 2026 — Il quadro completo per i sistemi di IA ad alto rischio ai sensi del Titolo III, Capitolo III, Sezione 2 — inclusi i requisiti da cui l'Articolo 63 prevede deroghe — diventa applicabile ai sistemi elencati nell'Allegato III (sistemi di IA ad alto rischio autonomi, inclusi i casi d'uso di biometria, infrastrutture critiche, istruzione, occupazione, servizi essenziali, contrasto, migrazione e amministrazione della giustizia). Le deroghe dell'Articolo 63 diventano operative da questa data per gli operatori qualificanti.
- 2 agosto 2027 — I sistemi di IA ad alto rischio incorporati in prodotti coperti dalla legislazione armonizzata dell'Allegato I (macchinari, dispositivi medici, aviazione civile, autoveicoli, ecc.) diventano soggetti al quadro completo. Le deroghe dell'Articolo 63 si estendono agli operatori qualificanti in quei settori di prodotto da questa data.
Gli operatori che intendono avvalersi delle deroghe dell'Articolo 63 dovrebbero iniziare le valutazioni interne di idoneità e la pianificazione proporzionata della conformità con largo anticipo rispetto alla data applicabile per la categoria del loro sistema.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Le deroghe dell'Articolo 63 sono disponibili per specifiche categorie di operatori, in particolare le microimprese ai sensi del diritto dell'UE e, in alcune disposizioni, gli enti pubblici che acquistano o utilizzano sistemi di IA ad alto rischio. Questi operatori beneficiano di obblighi di conformità ridotti o modificati rispetto ai requisiti standard di cui al Capitolo III, Sezione 2 del Regolamento.
Le microimprese che sono fornitori di sistemi di IA ad alto rischio possono adempiere a determinati obblighi di documentazione e gestione della qualità in modo semplificato. In particolare, non sono tenute a istituire un sistema di gestione della qualità completo come descritto nell'Articolo 17, a condizione che implementino procedure appropriate proporzionate alle loro dimensioni e alla natura del sistema di IA che immettono sul mercato.
No. L'Articolo 63 prevede deroghe mirate a specifici requisiti procedurali e documentali, non un'esenzione generale. Gli obblighi fondamentali di sicurezza, trasparenza, supervisione umana, accuratezza, robustezza e cybersicurezza continuano ad applicarsi. Le deroghe riguardano principalmente la forma e la portata delle misure di conformità piuttosto che la loro sostanza.
Come parte del quadro per i sistemi di IA ad alto rischio di cui al Titolo III, i requisiti e le deroghe associate ai sensi dell'Articolo 63 si applicano dal 2 agosto 2026 per la maggior parte dei sistemi ad alto rischio elencati nell'Allegato III, e dal 2 agosto 2027 per i sistemi ad alto rischio coperti dall'Allegato I (legislazione sulla sicurezza dei prodotti). Il Regolamento è entrato in vigore il 1° agosto 2024.
L'Articolo 63 è distinto dalle disposizioni sulle sandbox degli Articoli 57-60. Le sandbox offrono un ambiente controllato per testare sistemi di IA innovativi prima dell'immissione sul mercato. Le deroghe dell'Articolo 63, al contrario, si applicano agli operatori nel normale contesto di mercato e forniscono un alleggerimento continuo in termini di proporzionalità piuttosto che una latitudine sperimentale temporanea.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.