Articolo 71 — Banca dati UE per i sistemi di IA ad alto rischio (Regolamento UE sull'IA)

Articolo 71 del Regolamento (UE) 2024/1689 — Banca dati UE per i sistemi di IA ad alto rischio. Testo ufficiale, interpretazione pratica, obblighi fondamentali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 71 del Regolamento (UE) 2024/1689 istituisce la banca dati UE per i sistemi di IA ad alto rischio, ponendo la responsabilità della sua creazione e manutenzione sulla Commissione europea. La banca dati è concepita per fungere da archivio centralizzato e accessibile al pubblico che aumenta la trasparenza riguardo ai sistemi di IA ad alto rischio prima che vengano immessi sul mercato UE o messi in servizio.

Ai sensi dell'Articolo 71, i fornitori di sistemi di IA ad alto rischio che rientrano nell'ambito di applicazione dell'Allegato III sono tenuti a registrare i loro sistemi nella banca dati prima dell'immissione sul mercato o della messa in servizio. In casi specifici, anche i deployer di sistemi dell'Allegato III sono soggetti a requisiti di registrazione. Le informazioni da trasmettere sono definite nell'Allegato VIII e coprono i dettagli essenziali di identificazione e tecnici del sistema, il suo scopo previsto, l'approccio seguito per la valutazione della conformità e i riferimenti alla dichiarazione di conformità UE.

L'articolo istituisce due sezioni distinte all'interno della banca dati: una sezione accessibile al pubblico per la maggioranza dei sistemi di IA ad alto rischio, e una sezione riservata accessibile solo alle pertinenti autorità di vigilanza del mercato, alla Commissione e all'Ufficio IA, che copre i sistemi utilizzati dalle autorità pubbliche in settori sensibili come il contrasto, la gestione delle frontiere, l'immigrazione e l'asilo. Questa struttura a doppio binario bilancia l'interesse pubblico alla trasparenza con le legittime preoccupazioni di riservatezza nelle operazioni sensibili del settore pubblico. La Commissione ha il compito di garantire che la banca dati sia funzionale, facile da usare e interoperabile con altri registri nazionali e dell'UE pertinenti.

Cosa significa in pratica

Per i fornitori di sistemi di IA ad alto rischio coperti dall'Allegato III, la conseguenza pratica più immediata dell'Articolo 71 è la fase obbligatoria di registrazione che deve essere completata prima di qualsiasi distribuzione commerciale o operativa. La registrazione non è un'attività secondaria — è un obbligo condizionante che deve essere soddisfatto a monte dell'ingresso sul mercato, il che significa che i processi di conformità devono essere strutturati per completare la registrazione come parte della lista di controllo pre-lancio.

I fornitori devono creare un account sulla piattaforma della banca dati UE gestita dalla Commissione e trasmettere le informazioni prescritte nell'Allegato VIII. Ciò include una descrizione strutturata del sistema di IA, il suo scopo previsto, la procedura di valutazione della conformità seguita, un riferimento alla dichiarazione di conformità UE e, ove applicabile, il certificato di esame UE del tipo rilasciato da un organismo notificato. Sono richiesti anche i riferimenti al piano di monitoraggio post-commercializzazione.

Ad esempio, un fornitore che sviluppa uno strumento di selezione dei curricula basato sull'IA utilizzato nel reclutamento (una categoria dell'Allegato III, Titolo IV) deve registrare il sistema nella sezione pubblica della banca dati prima di renderlo disponibile ai reparti HR degli Stati membri dell'UE. Al contrario, una forza di polizia nazionale che distribuisce un sistema di IA per il riconoscimento facciale in tempo reale negli spazi pubblici si registrerebbe nella sezione riservata, con accesso limitato alle autorità di vigilanza.

I deployer di alcuni sistemi di IA ad alto rischio dell'Allegato III — in particolare quelli che operano nel settore pubblico o distribuiscono sistemi con un impatto sociale significativo — devono anche verificare che i sistemi che mettono in servizio siano adeguatamente registrati e possono avere essi stessi obblighi di registrazione supplementari a seconda della categoria del sistema. Le organizzazioni dovrebbero mappare i propri portafogli di IA rispetto alle categorie dell'Allegato III e integrare i flussi di lavoro di registrazione nelle loro procedure di governance dell'IA più ampie.

Obblighi fondamentali

• Registrazione del fornitore prima dell'immissione sul mercato: I fornitori di sistemi di IA ad alto rischio dell'Allegato III devono registrare il sistema nella banca dati UE prima di immetterlo sul mercato o di metterlo in servizio nell'UE.
• Trasmissione delle informazioni dell'Allegato VIII: La registrazione richiede la trasmissione completa e accurata di tutti i campi informativi prescritti nell'Allegato VIII, inclusi la descrizione del sistema, lo scopo previsto, i dettagli della valutazione della conformità e i riferimenti alla dichiarazione di conformità.
• Registrazione del deployer nei casi specificati: I deployer di alcuni sistemi di IA ad alto rischio dell'Allegato III (in particolare i deployer del settore pubblico) hanno propri obblighi di registrazione e devono inserire le informazioni pertinenti prima di mettere il sistema in servizio.
• Registrazione nella sezione riservata per i settori sensibili: I sistemi di IA utilizzati dalle autorità pubbliche nel contrasto, nel controllo delle frontiere, nell'immigrazione e nell'asilo devono essere registrati nella sezione non pubblica e riservata della banca dati anziché nella sezione pubblica generale, con accesso controllato di conseguenza.
• Mantenere aggiornate le informazioni di registrazione: I fornitori e i deployer devono garantire che le informazioni registrate rimangano accurate e aggiornate per tutto il ciclo di vita del sistema, aggiornando le voci quando si verificano cambiamenti rilevanti (ad es., modifiche sostanziali che richiedono una nuova valutazione della conformità).
• Manutenzione e interoperabilità della Commissione: La Commissione europea è obbligata a istituire, mantenere e tenere la banca dati operativa, facile da usare e interoperabile con altri registri pertinenti, garantendone l'accessibilità a lungo termine al pubblico e alle autorità competenti.

Relazione con altri articoli

L'Articolo 71 opera come lo strumento pratico attraverso cui gli obblighi di documentazione e trasparenza stabiliti altrove nel Regolamento vengono resi pubblicamente visibili. Si collega strettamente all'Articolo 48 (dichiarazione di conformità UE) e all'Articolo 47 (rappresentanti autorizzati), poiché il riferimento alla dichiarazione di conformità è un campo obbligatorio della banca dati. Le procedure di valutazione della conformità stabilite negli Articoli 43 e 44 confluiscono direttamente in ciò che i fornitori devono divulgare al momento della registrazione.

L'Articolo 71 opera anche in tandem con l'Articolo 49 (obblighi di registrazione come articolo autonomo nel Titolo VI), che fa riferimento alla banca dati come meccanismo per adempiere a tali obblighi. I requisiti informativi dell'Allegato VIII sono inseparabili dagli obblighi di documentazione tecnica dell'Allegato IV (Articoli 11 e 12). Per la vigilanza post-commercializzazione, l'Articolo 71 supporta il quadro di vigilanza del mercato degli Articoli 74 e 75, poiché le autorità nazionali e l'Ufficio IA possono utilizzare le voci della banca dati come punto di partenza per le attività di monitoraggio e applicazione. Infine, l'Articolo 78 (riservatezza) disciplina il modo in cui le informazioni sensibili trasmesse alla banca dati, in particolare nella sezione riservata, devono essere trattate dalle autorità competenti.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, avviando il calendario di applicazione graduale stabilito nell'Articolo 113.

• 1° agosto 2024 — Il Regolamento entra in vigore; la Commissione avvia i lavori preparatori per istituire l'infrastruttura della banca dati UE.
• 2 febbraio 2025 — Le pratiche di IA vietate (Articolo 5) diventano applicabili; nessun obbligo di registrazione ai sensi dell'Articolo 71 ancora attivo.
• 2 agosto 2025 — Gli obblighi relativi ai modelli GPAI e le disposizioni di governance (Titolo III, Capitolo III e Titolo V) diventano applicabili; la banca dati dell'Articolo 71 non è ancora operativa per queste categorie.
• 2 agosto 2026 — Gli obblighi di registrazione ai sensi dell'Articolo 71 diventano applicabili per i fornitori e i deployer di sistemi di IA ad alto rischio dell'Allegato III (esclusi quelli già coperti dalla legislazione di armonizzazione dell'Unione elencata nell'Allegato I). Questa è la data di attivazione principale per la banca dati UE per la maggioranza dei sistemi nel campo di applicazione.
• 2 agosto 2027 — I sistemi di IA ad alto rischio coperti dalla legislazione sulla sicurezza dei prodotti dell'Allegato I (ad es., dispositivi medici, macchinari) già presenti sul mercato prima del 2 agosto 2024 devono conformarsi a tutti gli obblighi applicabili inclusa la registrazione, purché abbiano subito una modifica sostanziale.

Le organizzazioni che sviluppano o distribuiscono sistemi di IA dell'Allegato III dovrebbero trattare la scadenza di agosto 2026 come l'obiettivo operativo definitivo per la disponibilità alla registrazione nella banca dati, integrando i flussi di lavoro di registrazione nei propri programmi di conformità con largo anticipo.