Articolo 75 — Assistenza reciproca, sorveglianza del mercato e controllo dei modelli di IA per uso generale (Regolamento UE sull'IA)

Articolo 75 del Regolamento (UE) 2024/1689 — Assistenza reciproca, sorveglianza del mercato e controllo dei modelli di IA per uso generale. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 75 del Regolamento (UE) 2024/1689 istituisce il quadro di sorveglianza del mercato e di assistenza reciproca transfrontaliera applicabile ai sistemi di IA in generale, e introduce meccanismi specifici di vigilanza per i modelli di IA per uso generale (GPAI). L'articolo si colloca nel Titolo IX, che disciplina il monitoraggio post-commercializzazione e la sorveglianza del mercato lungo l'intera catena del valore dell'IA.

Per i sistemi di IA diversi dai modelli GPAI, l'Articolo 75 richiede agli Stati membri di designare autorità di sorveglianza del mercato competenti a verificare la conformità al Regolamento e di coordinarsi tra loro e con la Commissione. Tali autorità sono dotate dei poteri investigativi ed esecutivi previsti dal Regolamento (UE) 2019/1020 (il Regolamento sulla sorveglianza del mercato), adattati alle specificità dell'IA.

Per i modelli di IA per uso generale — compresi quelli classificati come presentanti un rischio sistemico ai sensi dell'Article 51 — l'articolo attribuisce la competenza di vigilanza primaria all'Ufficio europeo per l'IA, operante sotto l'autorità della Commissione. L'Ufficio per l'IA è abilitato a richiedere documentazione e informazioni tecniche ai fornitori di modelli GPAI, condurre valutazioni, verificare la conformità agli obblighi stabiliti negli Articles 53 e 55, e adottare o raccomandare misure correttive. Qualora un modello GPAI con rischio sistemico risulti non conforme, l'Ufficio per l'IA può richiedere al fornitore di adottare misure correttive, limitare l'accesso al modello o avviare procedure di ritiro. Le autorità nazionali mantengono la facoltà di intervenire in relazione a specifici sistemi di IA a valle distribuiti nel loro territorio, anche quando il modello GPAI sottostante è vigilato a livello dell'Unione.

Cosa significa in pratica

L'Articolo 75 crea un'architettura di applicazione a due livelli che i professionisti e i team di conformità devono comprendere chiaramente.

Per i fornitori e i distributori di sistemi di IA che non sono modelli GPAI — in particolare i sistemi ad alto rischio elencati negli Annexes I e III — la sorveglianza del mercato è svolta dalle autorità nazionali designate ai sensi dell'Article 70. Tali autorità hanno il potere di ispezionare, verificare e ordinare azioni correttive. Se un sistema di IA non conforme viene identificato in uno Stato membro, l'Articolo 75 richiede a quell'autorità di notificarlo agli altri Stati membri e alla Commissione attraverso il meccanismo RAPEX/Safety Gate, attivando una risposta coordinata. Le aziende che operano in più giurisdizioni dell'UE devono quindi essere pronte a interagire con più di un'autorità nazionale e devono mantenere una documentazione che possa essere prodotta tempestivamente su richiesta in qualsiasi punto dell'Unione.

Per i fornitori di modelli GPAI — compresi gli sviluppatori di modelli fondativi che rendono i modelli disponibili tramite API, pesi aperti o prodotti integrati — le implicazioni pratiche sono più significative. L'Ufficio europeo per l'IA agisce come interlocutore principale. I fornitori devono aspettarsi che l'Ufficio per l'IA richieda accesso alla documentazione tecnica, ai riepiloghi dei dati di addestramento, alle metodologie di valutazione, ai risultati del red-teaming e alle segnalazioni di incidenti. Quando il rischio sistemico è determinato ai sensi dell'Article 51 (attualmente attivato a partire dalla soglia di addestramento di 10^25 FLOP o per designazione della Commissione), l'Articolo 75 abilita l'Ufficio per l'IA a condurre propri test avversariali o a commissionare valutazioni di terze parti.

I distributori a valle che integrano modelli GPAI in applicazioni ad alto rischio devono essere consapevoli che un rilievo nei confronti del fornitore a monte ai sensi dell'Articolo 75 può influenzare lo stato di conformità del proprio prodotto. I contratti con i fornitori di modelli GPAI dovrebbero includere disposizioni relative agli obblighi di notifica, ai doveri di cooperazione e alle tempistiche di rimedio in caso di indagine dell'Ufficio per l'IA.

Obblighi principali

• Gli Stati membri devono designare o istituire una o più autorità nazionali di sorveglianza del mercato competenti per i sistemi di IA, notificare alla Commissione tali designazioni e garantire che tali autorità dispongano di poteri, risorse e indipendenza adeguati.
• Le autorità nazionali di sorveglianza del mercato devono cooperare tra loro e con l'Ufficio europeo per l'IA, condividere informazioni sui sistemi di IA non conformi attraverso i meccanismi di condivisione delle informazioni dell'Unione e adottare azioni coordinate quando un rischio viene identificato in più di uno Stato membro.
• I fornitori di modelli GPAI devono cooperare con l'Ufficio europeo per l'IA su richiesta, fornire accesso alla documentazione tecnica, alle valutazioni dei modelli e alle informazioni rilevanti per la sicurezza, e attuare le misure correttive indicate dall'Ufficio per l'IA entro i termini prescritti.
• I fornitori di modelli GPAI con rischio sistemico sono soggetti a una vigilanza rafforzata da parte dell'Ufficio per l'IA, inclusa la possibilità di valutazioni dirette, audit indipendenti e misure vincolanti fino al ritiro dal mercato.
• I fornitori e i distributori a valle devono, su richiesta delle autorità nazionali competenti, fornire tutte le informazioni necessarie per valutare la conformità di un sistema di IA, incluse le informazioni sul modello GPAI o sui componenti forniti da terzi.
• L'Ufficio europeo per l'IA deve mantenere il coordinamento con le autorità nazionali di sorveglianza del mercato nell'esercizio dei propri poteri di vigilanza sui modelli GPAI, al fine di evitare decisioni contrastanti e garantire un'applicazione coerente del Regolamento nel mercato unico.

Relazione con altri articoli

L'Articolo 75 non può essere letto isolatamente. Esso rende operativi gli obblighi stabiliti negli Articles 53 e 55 per i fornitori di modelli GPAI, e gli obblighi per i sistemi ad alto rischio degli Articles 9-17, stabilendo chi li applica e come.

L'Article 70 disciplina la designazione e l'organizzazione delle autorità nazionali di sorveglianza del mercato e deve essere letto come disposizione fondamentale a cui l'Articolo 75 aggiunge dimensioni transfrontaliere e specifiche per i modelli GPAI. L'Article 71 riguarda le attività di sorveglianza del mercato in senso più ampio, mentre l'Article 72 riguarda la banca dati dell'UE per i sistemi di IA ad alto rischio che supporta gli sforzi di sorveglianza.

L'Article 51 è direttamente rilevante in quanto definisce la soglia di rischio sistemico che attiva la vigilanza rafforzata dell'Ufficio per l'IA ai sensi dell'Articolo 75. L'Article 94 attribuisce alla Commissione poteri di esecuzione per adottare norme procedurali per le indagini dell'Ufficio per l'IA. L'Article 80 disciplina le misure protettive dell'Unione quando uno Stato membro agisce contro un sistema non conforme, il che interagisce con gli obblighi di assistenza reciproca dell'Articolo 75. I professionisti dovrebbero inoltre consultare il Regolamento (UE) 2019/1020, che fornisce il quadro procedurale di base per la sorveglianza del mercato che l'Articolo 75 incorpora e adatta per l'IA.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale. Il Regolamento si applica quindi in fasi:

• 2 febbraio 2025 — Le disposizioni sulle pratiche di IA vietate (Titolo II, Article 5) sono diventate applicabili.
• 2 agosto 2025 — Le disposizioni sui modelli di IA per uso generale (Capitolo V, Articles 51–56) e il quadro di sorveglianza del mercato, incluso l'Articolo 75, sono diventati applicabili. Entro tale data gli Stati membri erano tenuti ad aver designato le proprie autorità nazionali di sorveglianza del mercato e ad aver notificato la Commissione.
• 2 dicembre 2026 — I sistemi di IA ad alto rischio coperti dall'Annex I (normativa sulla sicurezza dei prodotti) devono conformarsi pienamente al Regolamento.
• 2 agosto 2027 — Tutti i restanti sistemi di IA ad alto rischio elencati nell'Annex III devono conformarsi, completando la piena applicazione graduale del Regolamento.

Per i fornitori di modelli GPAI, l'Articolo 75 è quindi già in vigore. L'Ufficio europeo per l'IA è operativo dalla sua istituzione all'interno della struttura della Commissione, e i fornitori devono considerare i suoi poteri investigativi come immediatamente esercitabili. Le autorità nazionali di sorveglianza del mercato sono ugualmente attive per i sistemi di IA non-GPAI già presenti sul mercato.