Articolo 74 — Vigilanza del mercato e controllo dei sistemi di IA nel territorio dell'Unione (Regolamento UE sull'IA)

Articolo 74 del Regolamento (UE) 2024/1689 — Vigilanza del mercato e controllo dei sistemi di IA nel territorio dell'Unione. Testo ufficiale, interpretazione pratica, obblighi fondamentali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 74 del Regolamento (UE) 2024/1689 stabilisce il quadro per la vigilanza del mercato e il controllo dei sistemi di IA nel territorio dell'UE, costituendo la struttura portante dell'esecuzione del Titolo IX. Esso impone agli Stati membri di designare le autorità di vigilanza del mercato in conformità al Regolamento (UE) 2019/1020 sulla vigilanza del mercato e sulla conformità dei prodotti, che si applica mutatis mutandis ai sistemi di IA coperti dal Regolamento UE sull'IA, salvo laddove il Regolamento IA preveda specifiche deroghe.

L'articolo conferisce alle autorità nazionali designate il potere di indagare sui sistemi di IA già immessi sul mercato o messi in servizio, sia che siano forniti a fini commerciali o di altra natura. Le autorità hanno il diritto di accedere alla documentazione tecnica, ai set di dati di addestramento, al codice sorgente ove necessario e proporzionato, e a qualsiasi altra informazione necessaria per valutare la conformità. Possono ordinare agli operatori — fornitori, deployer, importatori e distributori — di adottare misure correttive, incluse la limitazione o la proibizione dell'uso, il ritiro di un sistema dal mercato o l'organizzazione di un richiamo.

Qualora un sistema di IA presenti un rischio grave, le autorità nazionali devono notificarlo alla Commissione e a tutti gli altri Stati membri attraverso i meccanismi di allerta rapida stabiliti. L'Articolo 74 affronta anche la situazione in cui i sistemi di IA sono incorporati in prodotti regolamentati da altra legislazione di armonizzazione dell'Unione, chiarendo che l'autorità di vigilanza del mercato settoriale pertinente mantiene la competenza applicando al contempo i requisiti del Regolamento IA in coordinamento con il quadro generale di vigilanza. Per i modelli di IA a uso generale, l'Ufficio europeo per l'IA esercita funzioni di vigilanza equivalenti a livello dell'Unione, garantendo una supervisione coerente per i componenti di IA che operano attraverso frontiere nazionali e categorie di prodotti.

Cosa significa in pratica

Per le organizzazioni che sviluppano, importano, distribuiscono o dispiegano sistemi di IA nell'UE, l'Articolo 74 trasforma il processo di valutazione della conformità da un ostacolo una tantum a un obbligo di conformità continuativo. Il conseguimento della marcatura CE o il completamento di una valutazione interna della conformità non immunizzano un sistema da un esame post-commercializzazione. Le autorità possono avviare indagini in qualsiasi momento durante il ciclo di vita operativo del sistema, attivate da reclami, incidenti segnalati attraverso il meccanismo di notifica degli incidenti gravi ai sensi dell'Articolo 73, o campagne di vigilanza proattiva.

I fornitori devono garantire che la documentazione tecnica rimanga aggiornata, accessibile e sufficientemente dettagliata per supportare l'audit di un'autorità. Se un sistema viene aggiornato — attraverso il riaddestramento del modello, il fine-tuning o cambiamenti significativi allo scopo previsto — la documentazione deve riflettere tali cambiamenti e, ove richiesto, potrebbe essere necessaria una nuova valutazione della conformità.

I deployer di sistemi di IA ad alto rischio devono aspettarsi che le autorità possano contattarli direttamente per capire come un sistema viene utilizzato in pratica, in particolare quando il contesto di distribuzione differisce dal caso d'uso originariamente previsto dal fornitore. I deployer devono cooperare pienamente e dovrebbero mantenere registri operativi e registri di supervisione umana come prova di un utilizzo conforme.

Gli importatori e i distributori sono responsabili di verificare che i prodotti che trattano portino documentazione e marcature valide prima di immetterli sul mercato UE, poiché l'Articolo 74 può comportare ordini correttivi diretti a qualsiasi soggetto della catena di fornitura.

In pratica, le organizzazioni dovrebbero stabilire procedure interne per rispondere alle richieste di vigilanza del mercato, nominare un contatto di conformità designato e condurre revisioni interne periodiche per garantire che le prestazioni reali del sistema continuino a corrispondere alla baseline della valutazione della conformità.

Obblighi fondamentali

• Designare punti di cooperazione: I fornitori, i deployer, gli importatori e i distributori devono identificare contatti interni in grado di interagire prontamente con le autorità nazionali di vigilanza del mercato e fornire accesso alla documentazione richiesta.
• Mantenere la documentazione tecnica accessibile: Tutta la documentazione richiesta ai sensi dell'Articolo 11 e dell'Allegato IV deve rimanere aggiornata ed essere messa a disposizione delle autorità di vigilanza del mercato su richiesta, anche per i sistemi già in fase di distribuzione.
• Cooperare con le indagini: Gli operatori devono rispondere alle richieste ufficiali, concedere l'accesso ai locali e ai sistemi ove richiesto, e non ostacolare o ritardare le attività di vigilanza — la mancanza di cooperazione può di per sé costituire una violazione soggetta a sanzioni ai sensi dell'Articolo 99.
• Segnalare gli incidenti gravi: Qualora i fornitori o i deployer vengano a conoscenza di un incidente grave come definito nell'Articolo 3, devono notificarlo all'autorità di vigilanza del mercato pertinente in conformità all'Articolo 73, che a sua volta attiva un'azione coordinata nell'ambito del quadro dell'Articolo 74.
• Attuare le misure correttive quando ordinate: Alla ricezione di un ordine da un'autorità di vigilanza del mercato — che si tratti di modificare, limitare, ritirare o richiamare un sistema di IA — gli operatori devono agire entro i tempi specificati e informare l'autorità delle misure adottate.
• Conformità alla notifica transfrontaliera: Qualora un sistema risulti presentare un rischio grave e sia oggetto di una misura di esecuzione nazionale, l'autorità notifica la Commissione e gli altri Stati membri; gli operatori interessati possono essere tenuti ad estendere le misure correttive simultaneamente in più giurisdizioni.

Relazione con altri articoli

L'Articolo 74 funge da livello di esecuzione che dà effetto pratico ai requisiti sostanziali definiti altrove nel regolamento. Si basa direttamente sull'Articolo 73 (monitoraggio post-commercializzazione e segnalazione degli incidenti gravi), che genera i dati e le notifiche che attivano molte indagini di vigilanza. È inscindibilmente collegato agli Articoli 11 e 12 (documentazione tecnica e tenuta dei registri) e agli Articoli 16 e 26 (obblighi dei fornitori e dei deployer), poiché questi definiscono ciò che le autorità hanno il diritto di esaminare.

L'articolo si interfaccia con l'Articolo 9 (sistemi di gestione del rischio) e l'Articolo 72 (piani di monitoraggio post-commercializzazione) poiché i dati sulle prestazioni reali raccolti nell'ambito di tali disposizioni diventano prove in qualsiasi revisione di vigilanza. Per gli scenari di rischio grave, gli Articoli da 79 a 83 disciplinano le misure correttive e di protezione specifiche che le autorità di vigilanza del mercato possono applicare a seguito di un'indagine avviata ai sensi dell'Articolo 74. L'articolo si integra anche orizzontalmente con il Regolamento (UE) 2019/1020, il quadro generale di vigilanza del mercato UE, le cui procedure e i cui meccanismi di notifica adotta per riferimento.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, a seguito della pubblicazione nella Gazzetta ufficiale. L'applicazione del regolamento è graduale:

• 2 febbraio 2025: I divieti sulle pratiche di IA a rischio inaccettabile (Articolo 5) sono diventati applicabili. Le autorità di vigilanza del mercato hanno ricevuto la competenza per indagare e applicare le sanzioni contro i sistemi vietati a partire da questa data.
• 2 agosto 2025: Le disposizioni sui modelli di IA a uso generale (Titolo III, Capitolo V) e il quadro di governance associato, incluso il ruolo di vigilanza dell'Ufficio europeo per l'IA, sono diventati applicabili. La vigilanza del mercato dei modelli GPAI e dei sistemi a rischio sistemico rientra in questo regime.
• 2 dicembre 2026: Le norme applicabili ai sistemi di IA ad alto rischio elencati nell'Allegato III (utilizzati da organismi pubblici) e gli obblighi associati di monitoraggio post-commercializzazione e vigilanza ai sensi del Titolo IX, incluso il quadro completo dell'Articolo 74 per tali sistemi, diventano applicabili.
• 2 agosto 2027: I restanti sistemi di IA ad alto rischio nell'Allegato III e i sistemi di IA regolamentati dalla legislazione di armonizzazione dell'Unione elencata nell'Allegato I diventano soggetti al regime completo di conformità e vigilanza.

Le organizzazioni dovrebbero trattare le date graduate come punti di attivazione — l'infrastruttura di vigilanza (documentazione, segnalazione degli incidenti, procedure di cooperazione) dovrebbe essere in atto prima della data pertinente, non dopo l'arrivo della prima richiesta.