Articolo 72 — Monitoraggio post-commercializzazione da parte dei fornitori e piano di monitoraggio post-commercializzazione per i sistemi di IA ad alto rischio (Regolamento UE sull'IA)

Articolo 72 del Regolamento (UE) 2024/1689 — Monitoraggio post-commercializzazione da parte dei fornitori e piano di monitoraggio post-commercializzazione per i sistemi di IA ad alto rischio. Testo ufficiale, interpretazione pratica, obblighi fondamentali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 72 del Regolamento (UE) 2024/1689 stabilisce un obbligo obbligatorio di monitoraggio post-commercializzazione per i fornitori di sistemi di IA ad alto rischio. I fornitori sono tenuti a raccogliere, documentare e analizzare in modo proattivo i dati rilevanti sulle prestazioni dei loro sistemi di IA ad alto rischio per tutto l'intero ciclo di vita operativo di tali sistemi dopo che sono stati immessi sul mercato o messi in servizio.

L'articolo impone che i fornitori elaborino e attuino un piano di monitoraggio post-commercializzazione, che deve essere proporzionato alla natura della tecnologia di IA ad alto rischio e ai rischi associati. Tale piano deve far parte della documentazione tecnica stabilita ai sensi dell'Articolo 11 e redatto in conformità dell'Allegato IV. Deve definire i metodi e le procedure per raccogliere sistematicamente i dati sulle prestazioni, compresi i dati provenienti dai deployer ove pertinente.

Qualora il monitoraggio riveli che un sistema di IA ad alto rischio non soddisfa più i requisiti stabiliti nel Capitolo III, Sezione 2, il fornitore deve adottare senza indugio le opportune misure correttive. Ciò include l'aggiornamento del sistema, il suo ritiro dal mercato o il suo richiamo ove necessario.

L'Articolo 72 riconosce anche il ruolo dei deployer: i fornitori devono istruire i deployer a fornire i dati operativi pertinenti che non possono essere raccolti direttamente. L'obbligo di monitoraggio è continuo piuttosto che puntuale, riflettendo la natura dinamica delle prestazioni dei sistemi di IA e i contesti in evoluzione in cui tali sistemi vengono distribuiti.

Cosa significa in pratica

Per le organizzazioni che sviluppano o forniscono sistemi di IA ad alto rischio, l'Articolo 72 introduce un obbligo di conformità strutturato e continuativo che si estende ben oltre il momento dell'immissione sul mercato. I fornitori non possono trattare la valutazione della conformità come un esercizio una tantum. Devono invece progettare e rendere operativa un'infrastruttura di monitoraggio prima che il sistema vada in funzione.

In termini pratici, ciò significa definire in anticipo quali dati verranno raccolti dalle istanze distribuite del sistema, come verranno analizzati e quali soglie di prestazione attiveranno una revisione o un'azione correttiva. Ad esempio, un fornitore di uno strumento diagnostico per dispositivi medici basato sull'IA deve specificare quali indicatori — come i tassi di falsi negativi, le disparità di prestazione demografica o le metriche di deriva del modello — verranno monitorati, con quale frequenza e da chi.

I fornitori di sistemi di IA incorporati in prodotti di terzi affrontano una sfida aggiuntiva: dipendono dai deployer per trasmettere i dati operativi a cui il fornitore non può accedere direttamente. Ciò richiede accordi contrattuali con i deployer che definiscano chiaramente gli obblighi di condivisione dei dati, come previsto dalla lettura combinata dell'Articolo 72 e dell'Articolo 25.

Le organizzazioni con sistemi di gestione della qualità (QMS) esistenti — come quelle già conformi alla ISO 13485 per i dispositivi medici o alla ISO 9001 in modo più generale — troveranno un allineamento naturale con i requisiti dell'Articolo 72. Il piano di monitoraggio post-commercializzazione dovrebbe essere integrato nel QMS più ampio documentato ai sensi dell'Articolo 17, piuttosto che essere trattato come un documento autonomo.

I fornitori più piccoli e le startup dovranno dotare questa funzione delle risorse appropriate: l'Articolo 72 non prevede un'esenzione de minimis basata sulle dimensioni dell'azienda, sebbene sia esplicitamente riconosciuta la proporzionalità del piano rispetto al livello di rischio del sistema.

Obblighi fondamentali

• Stabilire un piano di monitoraggio post-commercializzazione proporzionato al livello di rischio e alla natura del sistema di IA ad alto rischio, documentato come parte della documentazione tecnica ai sensi dell'Articolo 11 e dell'Allegato IV.
• Raccogliere e analizzare attivamente i dati post-commercializzazione sulle prestazioni del sistema per tutto il ciclo di vita operativo, inclusi i dati dei deployer ove la raccolta diretta non sia possibile.
• Definire indicatori di prestazione e soglie di azione correttiva in anticipo, specificando quale livello di degradazione o non conformità attiva una revisione formale o una risposta correttiva.
• Adottare azioni correttive senza indugio quando il monitoraggio rivela che il sistema non soddisfa più i requisiti ad alto rischio del Capitolo III, Sezione 2, che possono includere l'aggiornamento, il richiamo o il ritiro del sistema.
• Integrare i risultati del monitoraggio nel sistema di gestione della qualità stabilito ai sensi dell'Articolo 17, garantendo che i risultati confluiscano nel miglioramento del prodotto, negli aggiornamenti della documentazione e nei processi di rivalutazione.
• Istruire i deployer a fornire dati operativamente rilevanti e a cooperare con il processo di monitoraggio post-commercializzazione, supportati da opportuni accordi contrattuali o tecnici.

Relazione con altri articoli

L'Articolo 72 si trova al centro di un insieme di obblighi interconnessi. Alimenta direttamente l'Articolo 73, che disciplina la segnalazione di incidenti gravi e malfunzionamenti alle autorità nazionali competenti: il sistema di monitoraggio stabilito ai sensi dell'Articolo 72 è il meccanismo di rilevamento per gli eventi che l'Articolo 73 richiede di segnalare.

L'Articolo 17 (sistemi di gestione della qualità) fornisce il quadro organizzativo in cui il piano di monitoraggio post-commercializzazione deve essere incorporato. L'Articolo 11 e l'Allegato IV definiscono i requisiti di documentazione tecnica di cui il piano di monitoraggio deve far parte.

L'Articolo 25 assegna le responsabilità tra fornitori e deployer, ed è essenziale per comprendere come i fornitori possano ottenere dati operativi dagli utenti a valle. L'Articolo 26 integra ciò dettagliando gli obblighi dei deployer, incluso il dovere di monitorare l'uso del sistema e segnalare le anomalie al fornitore.

Per i sistemi di IA ad alto rischio che sono componenti di sicurezza in prodotti coperti dalla legislazione di armonizzazione dell'Unione elencata nell'Allegato I, l'Articolo 72 deve essere letto insieme agli obblighi di sorveglianza post-commercializzazione nel regolamento settoriale applicabile, come il Regolamento (UE) 2017/745 sui dispositivi medici o il Regolamento (UE) 2023/1230 sui macchinari, garantendo una conformità coerente e non duplicativa.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, a seguito della sua pubblicazione nella Gazzetta ufficiale dell'Unione europea. Il Regolamento si applica in modo graduale alle diverse categorie di obblighi.

L'Articolo 72, come parte del Titolo IX che disciplina il monitoraggio post-commercializzazione e la vigilanza del mercato, si applica ai fornitori di sistemi di IA ad alto rischio elencati nell'Allegato III (categorie di alto rischio a uso generale come la biometria, l'occupazione, l'istruzione e l'accesso ai servizi essenziali) dal 2 agosto 2027. I sistemi di IA ad alto rischio coperti dall'Allegato I — quelli che sono componenti di sicurezza di prodotti già regolamentati dalla legislazione di armonizzazione dell'Unione esistente — sono anch'essi soggetti agli obblighi completi, incluso l'Articolo 72, dal 2 agosto 2027 nella maggior parte dei casi, in linea con la data generale di applicazione per l'alto rischio.

I fornitori dovrebbero notare che le scadenze precedenti — febbraio 2025 per le pratiche di IA vietate e agosto 2025 per gli obblighi dei modelli di IA a uso generale — non disciplinano direttamente l'Articolo 72, ma le basi per l'infrastruttura di monitoraggio dovrebbero essere poste ben prima della scadenza del 2027. Alle organizzazioni che sviluppano oggi sistemi di IA ad alto rischio si consiglia di iniziare a progettare i piani di monitoraggio post-commercializzazione come parte del processo di preparazione alla conformità, anziché adattarli al momento dell'applicazione.