Articolo 70 — Autorità nazionale competente (Regolamento UE sull'IA)

Articolo 70 del Regolamento (UE) 2024/1689 — Autorità nazionale competente. Testo ufficiale, interpretazione pratica, obblighi chiave e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 70 del Regolamento (UE) 2024/1689 richiede a ogni Stato membro dell'UE di designare una o più autorità nazionali competenti allo scopo di vigilare sull'applicazione e sull'esecuzione del Regolamento sull'IA. Ogni autorità designata deve essere notificata alla Commissione europea, che rende quindi tali informazioni pubblicamente disponibili.

L'articolo distingue tra due ruoli funzionali che possono essere svolti dagli stessi organismi nazionali o da organismi diversi: l'autorità di vigilanza del mercato, responsabile della supervisione dei sistemi di IA immessi sul mercato o messi in servizio, e l'autorità notificante, responsabile dell'istituzione e dell'attuazione del processo di designazione dell'organismo di valutazione della conformità.

Gli Stati membri devono garantire che l'autorità o le autorità designate dispongano di poteri, risorse, personale tecnico e mezzi finanziari sufficienti per svolgere efficacemente i propri compiti. Qualora uno Stato membro designi più di un'autorità competente, deve delimitare chiaramente le rispettive responsabilità e istituire adeguati meccanismi di coordinamento.

L'articolo 70 richiede altresì agli Stati membri di designare un'autorità competente responsabile della supervisione dei sistemi di IA impiegati da organismi e istituzioni pubbliche. Ciò riconosce la particolare sensibilità dell'uso dell'IA in contesti governativi e la necessità di una vigilanza dedicata, indipendente dalla vigilanza commerciale del mercato.

Gli Stati membri devono comunicare alla Commissione le proprie designazioni, e qualsiasi successiva modifica, senza indebito ritardo.

Cosa significa in pratica

Per i governi nazionali, l'articolo 70 rappresenta un obbligo organizzativo e istituzionale: ogni Stato membro deve prendere una decisione governativa concreta in merito a quale organismo di regolamentazione esistente — o istituzione di nuova creazione — deterrà i poteri di vigilanza ai sensi del Regolamento sull'IA.

In pratica, molti Stati membri stanno ampliando il mandato delle autorità esistenti per la protezione dei dati o dei regolatori digitali, oppure stanno creando nuovi organismi dedicati alla supervisione dell'IA. Paesi come la Francia (con CNIL e Arcom che svolgono un ruolo), la Germania (con la Bundesnetzagentur) e la Spagna (con AESIA) hanno avviato azioni per identificare o creare autorità competenti prima delle scadenze applicabili.

Per gli operatori — fornitori, implementatori, importatori e distributori di sistemi di IA ad alto rischio — la designazione dell'autorità nazionale competente determina quale organismo condurrà audit, indagini e azioni esecutive nei loro confronti. È pertanto essenziale identificare l'autorità competente in ogni Stato membro in cui un sistema di IA viene immesso sul mercato o messo in servizio.

Per gli implementatori di sistemi di IA all'interno delle pubbliche amministrazioni, l'autorità di vigilanza designata per gli organismi pubblici può essere distinta dall'autorità generale di vigilanza del mercato. Ciò significa che le organizzazioni del settore pubblico devono identificare quale organismo sovrintende al loro specifico contesto.

Esempio concreto: un'azienda che fornisce un sistema di identificazione biometrica a un'agenzia nazionale di controllo delle frontiere deve relazionarsi con due autorità nazionali competenti potenzialmente distinte — l'autorità di vigilanza del mercato (che supervisiona il prodotto come sistema ad alto rischio) e l'autorità designata per i dispiegamenti presso organismi pubblici (che supervisiona l'uso finale).

Gli operatori dovrebbero monitorare il registro pubblico delle designazioni delle autorità nazionali competenti dell'Ufficio europeo per l'IA e stabilire punti di contatto diretti con l'organismo nazionale competente.

Obblighi chiave

• Designazione da parte degli Stati membri: Ogni Stato membro dell'UE deve designare almeno un'autorità nazionale competente responsabile della supervisione dell'applicazione del Regolamento UE sull'IA e notificare la propria designazione alla Commissione europea.
• Copertura della doppia funzione: Gli Stati membri devono garantire la copertura sia della funzione di vigilanza del mercato (per i sistemi di IA commercialmente immessi sul mercato) sia della funzione di autorità notificante (per l'accreditamento degli organismi di valutazione della conformità), tramite un unico organismo o più organismi coordinati.
• Supervisione del settore pubblico: Un'autorità competente deve essere specificamente designata per vigilare sui sistemi di IA utilizzati da autorità e organismi pubblici, riconoscendo i particolari requisiti di responsabilità nel dispiegamento governativo dell'IA.
• Adeguate risorse: Le autorità designate devono essere dotate di competenze tecniche, risorse umane e mezzi finanziari sufficienti per svolgere efficacemente le proprie funzioni di supervisione e di esecuzione.
• Coordinamento in caso di più autorità: Qualora sia designata più di un'autorità nazionale, gli Stati membri devono delimitare chiaramente le responsabilità e istituire meccanismi formali di coordinamento per evitare lacune o conflitti nella supervisione.
• Notifica e trasparenza: Gli Stati membri devono comunicare le proprie designazioni alla Commissione senza indebito ritardo, e la Commissione deve rendere tali informazioni pubblicamente accessibili.

Relazione con altri articoli

L'articolo 70 è il fondamento istituzionale dell'intera architettura di esecuzione e vigilanza del mercato del Titolo IX. Deve essere letto congiuntamente all'articolo 74 (vigilanza del mercato e controllo dei sistemi di IA nel mercato dell'Unione), che stabilisce i poteri sostanziali e le procedure che le autorità nazionali competenti esercitano. Gli articoli 75 e 76 riguardano la cooperazione transfrontaliera e la condivisione di informazioni tra le autorità nazionali, che dipende direttamente dalle designazioni effettuate ai sensi dell'articolo 70.

L'articolo 77 disciplina i poteri delle autorità di accedere ai dati e alla documentazione degli operatori, poteri che confluiscono nell'autorità designata ai sensi dell'articolo 70. L'articolo 80 prevede il punto di contatto unico che le autorità nazionali competenti devono istituire per il coordinamento transfrontaliero con l'Ufficio europeo per l'IA istituito ai sensi dell'articolo 64.

A livello dell'Unione, il Comitato europeo per l'IA (articolo 65) e l'Ufficio europeo per l'IA operano accanto alle autorità nazionali competenti, rendendo l'articolo 70 un nodo critico nella struttura di governance multilivello del Regolamento.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, a seguito della pubblicazione nella Gazzetta ufficiale. I suoi obblighi si applicano su base graduale:

• Febbraio 2025: Sono diventati applicabili i divieti sulle pratiche di IA a rischio inaccettabile (Titolo II).
• Agosto 2025: Sono diventati applicabili gli obblighi relativi ai modelli di IA per uso generale (Titolo VIII), le strutture di governance incluso l'Ufficio europeo per l'IA, e — in modo critico per l'articolo 70 — gli obblighi di designazione delle autorità nazionali competenti. Gli Stati membri avrebbero dovuto comunicare le proprie designazioni alla Commissione entro tale data.
• Dicembre 2026: Si applicano gli obblighi per i sistemi di IA ad alto rischio ai sensi dell'Allegato I (legislazione sulla sicurezza dei prodotti).
• Agosto 2027: Piena applicazione degli obblighi per i sistemi di IA ad alto rischio elencati nell'Allegato III, completando il dispiegamento graduale.

Per gli operatori, la rilevanza pratica dell'articolo 70 diventa acuta a partire dall'agosto 2025, quando le autorità nazionali competenti designate acquisiscono poteri attivi di supervisione e di esecuzione. La mappatura dell'autorità nazionale che supervisiona i propri sistemi di IA in ciascuno Stato membro rilevante dovrebbe essere considerata un'azione di conformità da completare entro il terzo trimestre 2025.