Articolo 7 — Modifiche all'Allegato III (Regolamento UE sull'IA)

Articolo 7 del Regolamento (UE) 2024/1689 — Modifiche all'Allegato III. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 7 del Regolamento (UE) 2024/1689 conferisce alla Commissione europea il potere di modificare l'Allegato III — l'elenco delle categorie di sistemi di IA ad alto rischio — mediante atti delegati adottati ai sensi dell'articolo 97. Tale meccanismo consente al perimetro regolatorio del Titolo III di espandersi o contrarsi in risposta a prove empiriche, senza la necessità di una procedura legislativa ordinaria completa.

Nel valutare se aggiungere una nuova categoria di sistema di IA all'Allegato III, la Commissione è tenuta ad applicare un insieme strutturato di criteri. Questi includono: la gravità e l'irreversibilità del danno che il sistema può causare alla salute, alla sicurezza o ai diritti fondamentali; il numero di persone potenzialmente interessate e il loro grado di vulnerabilità; la misura in cui il sistema è già stato dispiegato e i danni nel mondo reale osservati; il grado di supervisione umana mantenuta sugli output automatizzati; e se la normativa applicabile dell'Unione o degli Stati membri fornisce già un livello adeguato di protezione contro i rischi identificati.

Viceversa, la Commissione può rimuovere una categoria dall'Allegato III qualora la base di prove dimostri che il rischio residuo non soddisfa più la soglia che giustifica la classificazione come ad alto rischio, o qualora garanzie equivalenti siano state stabilite mediante altri strumenti vincolanti dell'Unione.

Qualsiasi atto delegato adottato ai sensi dell'articolo 7 è soggetto alla procedura di controllo parlamentare stabilita dall'articolo 97, che conferisce al Parlamento europeo e al Consiglio il diritto di opporsi prima che l'atto entri in vigore. Ciò garantisce la supervisione democratica dell'evoluzione normativa preservando al contempo l'agilità di cui la Commissione ha bisogno per stare al passo con le capacità di IA in rapido sviluppo.

Cosa significa in pratica

L'articolo 7 funziona come il meccanismo adattivo del Regolamento UE sull'IA per la classificazione ad alto rischio. In pratica, significa che il confine tra i sistemi di IA soggetti all'intero regime di conformità ad alto rischio e quelli che non lo sono non è permanentemente fissato alla data di entrata in vigore. Fornitori e deployer devono pertanto monitorare continuamente gli atti delegati della Commissione, non solo al momento dello sviluppo iniziale del prodotto.

Per le organizzazioni che costruiscono o dispiegano sistemi di IA in settori adiacenti all'Allegato III — ad esempio strumenti di IA utilizzati nella gestione della forza lavoro, nella valutazione del credito o nell'erogazione di servizi pubblici — l'articolo 7 crea un rischio di orizzonte di conformità: un sistema che oggi è fuori dall'ambito potrebbe rientrare nell'ambito a seguito di una modifica della Commissione. Le organizzazioni prudenti dovrebbero condurre una valutazione preliminare ad alto rischio anche per i sistemi di confine e progettare la propria architettura di governance in modo da poterla aggiornare.

Per le organizzazioni che operano già nell'ambito delle categorie dell'Allegato III, l'articolo 7 rafforza la necessità di un monitoraggio continuo della conformità. Una modifica che restringe la definizione di una categoria elencata potrebbe alleggerire determinati obblighi, ma le organizzazioni non dovrebbero presumere alcun alleggerimento senza una formale analisi giuridica della portata dell'atto delegato.

In concreto, un fornitore di uno strumento assistito dall'IA che classifica i candidati a un lavoro in un contesto di reclutamento del settore pubblico rientra attualmente nel punto 4 dell'Allegato III. Se la Commissione, basandosi sui dati di sorveglianza post-commercializzazione raccolti ai sensi dell'articolo 72, determina che i sistemi di IA utilizzati nel reclutamento del settore privato da parte di piccole imprese presentano rischi equivalenti, potrebbe estendere tale punto mediante l'articolo 7. La catena di fornitura di quel fornitore, i requisiti di documentazione tecnica e gli obblighi di valutazione della conformità si applicherebbero allora a una gamma più ampia di clienti.

Obblighi principali

• Monitorare gli atti delegati della Commissione: Fornitori e deployer devono seguire qualsiasi atto delegato adottato ai sensi dell'articolo 7 che modifichi l'Allegato III, poiché le modifiche possono alterare il loro stato di conformità senza periodi di tolleranza transitori oltre a quelli specificati nell'atto stesso.
• Mantenere una documentazione del rischio adattabile: La documentazione tecnica e i registri di valutazione della conformità devono essere strutturati in modo da poter essere aggiornati per riflettere qualsiasi riclassificazione di un sistema di IA da non-ad-alto-rischio ad alto rischio, o viceversa.
• Condurre valutazioni dell'orizzonte per i sistemi di confine: Le organizzazioni che operano sistemi di IA in settori adiacenti all'Allegato III dovrebbero valutare periodicamente se le linee guida evolutive della Commissione o i risultati della sorveglianza del mercato indicano una prossima modifica che potrebbe interessare i loro prodotti.
• Partecipare ai processi di consultazione pubblica: La procedura degli atti delegati include consultazioni con le parti interessate rilevanti; i fornitori e le associazioni di settore dovrebbero partecipare per garantire che le prove specifiche del settore siano considerate prima che la Commissione finalizzi le modifiche.
• Rivedere gli obblighi verso i clienti e la catena di fornitura in caso di modifica: Quando una modifica amplia l'Allegato III, i fornitori devono trasmettere gli obblighi contrattuali e tecnici aggiornati ai deployer e agli organismi notificati senza indebito ritardo.
• Monitorare la rimozione di categorie: Quando la Commissione rimuove una categoria, le organizzazioni devono valutare se possono ridurre gli oneri di conformità, ma devono conservare i registri che dimostrano la conformità passata per i periodi durante i quali si applicava lo status ad alto rischio.

Relazione con altri articoli

L'articolo 7 non può essere letto in isolamento rispetto ad altre disposizioni. È direttamente subordinato all'articolo 97, che disciplina l'esercizio del potere delegato, compresa la durata della delega, le condizioni per la revoca e la procedura di opposizione parlamentare.

I criteri che l'articolo 7 prescrive per l'aggiunta di categorie all'Allegato III rispecchiano direttamente il quadro di valutazione del rischio sottostante all'articolo 9 (sistema di gestione del rischio), il che significa che le stesse questioni fattuali che informano una modifica della Commissione informano anche gli obblighi interni di gestione del rischio di un fornitore.

L'articolo 6 definisce la regola primaria per la classificazione ad alto rischio, e l'articolo 7 opera come suo complemento dinamico: insieme determinano quali sistemi di IA ricadono sotto gli obblighi del Titolo III stabiliti dagli articoli da 8 a 49.

I dati di sorveglianza post-commercializzazione raccolti ai sensi dell'articolo 72 e le segnalazioni di incidenti gravi ai sensi dell'articolo 73 alimentano direttamente la base di prove che la Commissione utilizza quando considera le modifiche ai sensi dell'articolo 7, creando un ciclo di feedback tra la vigilanza del mercato e la classificazione normativa. Infine, l'Allegato III è il testo operativo che l'articolo 7 modifica; qualsiasi analisi di conformità deve essere condotta rispetto alla versione dell'Allegato III vigente al momento dell'attività rilevante, non rispetto alla versione in vigore in qualsiasi data precedente.

Calendario di conformità

2 agosto 2024 — Il Regolamento (UE) 2024/1689 è entrato in vigore. L'articolo 7, compreso il potere delegato della Commissione di modificare l'Allegato III, è diventato operativo da tale data. Il periodo di delega dura cinque anni dall'entrata in vigore, rinnovabile per tacita proroga ai sensi dell'articolo 97.

2 febbraio 2025 — Le pratiche di IA vietate ai sensi dell'articolo 5 sono diventate applicabili. Le modifiche dell'articolo 7 non possono derogare ai divieti; qualsiasi sistema che rientri nell'articolo 5 non può essere riabilitato mediante riclassificazione.

2 agosto 2025 — Le norme sui modelli di IA per finalità generali (Titolo VIII) sono diventate applicabili. L'infrastruttura di sorveglianza post-commercializzazione della Commissione ha iniziato a produrre dati che potrebbero informare future modifiche ai sensi dell'articolo 7.

2 agosto 2026 — I sistemi di IA ad alto rischio coperti dalla legislazione armonizzata dell'Unione elencata nell'Allegato I, Sezione A, sono diventati soggetti all'intero regime del Titolo III. Le modifiche dell'articolo 7 che interessano questi settori interagiscono con la normativa vigente in materia di sicurezza dei prodotti.

2 agosto 2027 — I sistemi di IA ad alto rischio elencati nell'Allegato III (diversi da quelli già soggetti a date precedenti) diventano pienamente soggetti agli obblighi del Titolo III. Questo è il principale termine di conformità per la maggior parte delle organizzazioni interessate dalle classificazioni dell'Allegato III, comprese eventuali future modifiche apportate ai sensi dell'articolo 7 prima di tale data. Le modifiche adottate dopo il 2 agosto 2027 specificheranno le proprie date di applicazione in conformità con la procedura degli atti delegati.