Articolo 77 — Poteri delle autorità che tutelano i diritti fondamentali (Regolamento UE sull'IA)

Articolo 77 del Regolamento (UE) 2024/1689 — Poteri delle autorità che tutelano i diritti fondamentali. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 77 del Regolamento (UE) 2024/1689 stabilisce poteri specifici per le autorità pubbliche nazionali il cui mandato comprende la tutela dei diritti fondamentali, consentendo loro di fungere da ulteriore livello di supervisione sui sistemi di IA ad alto rischio distribuiti nella loro giurisdizione.

Ai sensi dell'Articolo 77(1), qualsiasi autorità o organismo pubblico nazionale competente per la vigilanza o l'applicazione di obblighi relativi ai diritti fondamentali — incluse le autorità per la protezione dei dati ai sensi del Regolamento (UE) 2016/679, gli organismi per la parità, le autorità di tutela dei consumatori e agenzie analoghe — ha il potere di richiedere ai distributori di sistemi di IA ad alto rischio l'accesso alla documentazione generata e conservata in conformità al Regolamento. In particolare, tali autorità possono richiedere la valutazione d'impatto sui diritti fondamentali richiesta a determinati distributori ai sensi dell'Article 27, i log generati automaticamente dal sistema di IA conservati ai sensi dell'Article 26(6) e qualsiasi altra documentazione pertinente che dimostri la conformità.

Ai sensi dell'Articolo 77(2), qualora tale autorità abbia ragionevoli motivi di ritenere che un sistema di IA ad alto rischio presenti un rischio per i diritti fondamentali o per la salute e la sicurezza delle persone, deve informare l'autorità di sorveglianza del mercato competente designata ai sensi dell'Article 70 e può fornirle tutte le informazioni pertinenti di cui dispone. L'autorità di sorveglianza del mercato è quindi responsabile dell'adozione delle opportune misure investigative e correttive in conformità alle sue competenze ai sensi del Capitolo VII.

L'Articolo 77 crea quindi un meccanismo di cooperazione strutturata tra gli organismi settoriali per i diritti fondamentali e l'infrastruttura primaria di sorveglianza del mercato, senza attribuire a tali autorità poteri esecutivi diretti sulla conformità dei sistemi di IA indipendentemente dal quadro di sorveglianza del mercato stabilito.

Cosa significa in pratica

L'Articolo 77 ha conseguenze operative dirette per i distributori di sistemi di IA ad alto rischio — in particolare per quelli che operano in settori sensibili come l'occupazione, l'istruzione, l'accesso ai servizi essenziali, l'applicazione della legge, la migrazione e l'amministrazione della giustizia, dove l'esposizione ai diritti fondamentali è più acuta.

I distributori devono essere pronti a rispondere alle richieste di documentazione di un numero più ampio di autorità pubbliche rispetto alla sola autorità primaria di sorveglianza del mercato. Un'autorità per la protezione dei dati che conduce un'indagine su uno strumento di reclutamento assistito dall'IA, un organismo per la parità che indaga su un sistema automatizzato di idoneità alle prestazioni o un'agenzia di tutela dei consumatori che esamina una piattaforma di credit scoring basata sull'IA possono tutti invocare l'Articolo 77 per ottenere la valutazione d'impatto sui diritti fondamentali del distributore e i log del sistema.

In termini pratici, ciò significa che i distributori devono assicurarsi che la propria valutazione d'impatto sui diritti fondamentali ai sensi dell'Article 27 sia completata, aggiornata e facilmente accessibile prima della distribuzione — e non trattata come un esercizio a posteriori. Allo stesso modo, gli obblighi di registrazione ai sensi dell'Article 26 devono essere operativamente attivi affinché i registri possano essere prodotti su richiesta senza ritardi.

Per i fornitori, l'Articolo 77 sottolinea l'importanza di produrre e conservare una documentazione tecnica completa ai sensi dell'Article 11 e istruzioni per l'uso ai sensi dell'Article 13 sufficientemente dettagliate da supportare la conformità del distributore. Se un'autorità per i diritti fondamentali solleva preoccupazioni e notifica l'autorità di sorveglianza del mercato, la documentazione del fornitore sarà centrale in qualsiasi successiva indagine.

Le organizzazioni che distribuiscono sistemi di IA ad alto rischio dovrebbero mappare quali autorità per i diritti fondamentali detengono giurisdizione sulle proprie attività e valutare proattivamente come tali autorità sono likely to interpretare il loro mandato in relazione alla vigilanza sull'IA.

Obblighi principali

• I distributori devono produrre documentazione su richiesta: Su richiesta di un'autorità competente per i diritti fondamentali, i distributori di sistemi di IA ad alto rischio devono fornire accesso alla valutazione d'impatto sui diritti fondamentali (Article 27), ai log generati automaticamente (Article 26(6)) e a qualsiasi altra documentazione pertinente alla valutazione dell'autorità.
• Le autorità per i diritti fondamentali devono notificare le autorità di sorveglianza del mercato: Qualora un'autorità per i diritti fondamentali abbia ragionevoli motivi di ritenere che un sistema di IA ad alto rischio presenti rischi per i diritti fondamentali o per la salute e la sicurezza, è obbligata a informare l'autorità di sorveglianza del mercato competente designata ai sensi dell'Article 70 e a condividere tutte le informazioni pertinenti.
• Le valutazioni d'impatto sui diritti fondamentali devono essere aggiornate e accessibili: Poiché l'Articolo 77 crea un diritto di richiesta di documentazione attivo, i distributori soggetti all'Article 27 non possono rinviare o trascurare la valutazione d'impatto — essa deve esistere ed essere recuperabile quando un'autorità esercita i propri poteri.
• La conservazione dei log deve essere operativa prima della distribuzione: I distributori devono garantire che i meccanismi di registrazione richiesti dall'Article 26(6) siano attivi e che i registri siano conservati in modo da consentire la tempestiva produzione alle autorità che invocano l'Articolo 77.
• È richiesta la cooperazione tra autorità diverse: I distributori e i fornitori devono essere pronti a interagire simultaneamente con più organismi competenti — l'autorità per i diritti fondamentali che avvia l'indagine e l'autorità di sorveglianza del mercato a cui riferisce — senza creare contraddizioni nelle informazioni fornite a ciascuno.

Relazione con altri articoli

L'Articolo 77 si colloca all'intersezione tra il quadro di monitoraggio post-commercializzazione (Capitolo IX) e la più ampia architettura di sorveglianza del mercato (Capitolo VII), e deve essere letto in combinato con diverse altre disposizioni.

L'Article 26 (Obblighi dei distributori) stabilisce i principali obblighi di monitoraggio e registrazione che producono la documentazione a cui le autorità dell'Articolo 77 sono abilitate ad accedere. L'Article 27 (Valutazione d'impatto sui diritti fondamentali per i sistemi di IA ad alto rischio) crea il documento principale che le autorità per i diritti fondamentali richiederanno; i due articoli sono operativamente accoppiati.

L'Article 70 (Designazione delle autorità nazionali competenti e dei punti di contatto unici) identifica le autorità di sorveglianza del mercato a cui gli organismi per i diritti fondamentali devono riferire ai sensi dell'Articolo 77(2). Gli Articles 74 e 75 definiscono i poteri investigativi e correttivi che tali autorità di sorveglianza del mercato possono quindi esercitare a seguito della notifica.

L'Article 13 (Trasparenza e fornitura di informazioni ai distributori) e l'Article 11 (Documentazione tecnica) sono rilevanti perché l'adeguatezza della documentazione fornita dal fornitore condiziona direttamente la capacità del distributore di rispondere alle richieste dell'Articolo 77. L'Article 9 (Sistema di gestione del rischio) fornisce il quadro analitico a monte che dovrebbe informare la valutazione d'impatto sui diritti fondamentali di cui all'Articolo 77.

Per le organizzazioni soggette al GDPR, l'Articolo 77 deve essere letto anche in combinato con gli Articles 35 e 51–59 del Regolamento (UE) 2016/679, che disciplinano le valutazioni d'impatto sulla protezione dei dati e i poteri delle autorità di vigilanza — competenze che si sovrappongono sostanzialmente al quadro dell'Articolo 77 nelle distribuzioni di IA che comportano il trattamento di dati personali.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, venti giorni dopo la pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il calendario di applicazione graduale è il seguente:

• 2 febbraio 2025: Il divieto sulle pratiche di IA a rischio inaccettabile (Article 5) è diventato applicabile.
• 2 agosto 2025: Le norme sui modelli di IA per uso generale (Titolo VIII, Articles 51–56) e gli obblighi di governance (Titolo VII) sono diventati applicabili.
• 2 agosto 2026: L'Articolo 77, insieme all'intero quadro per i sistemi di IA ad alto rischio elencati nell'Annex III (incluse le applicazioni in materia di occupazione, istruzione, servizi essenziali, applicazione della legge, migrazione e giustizia), diventa applicabile. Questa è la scadenza di conformità principale per la maggior parte dei distributori che dovranno probabilmente far fronte a richieste dell'Articolo 77 da parte delle autorità per i diritti fondamentali.
• 2 agosto 2027: Il quadro dell'Articolo 77 — e i più ampi obblighi per i sistemi di IA ad alto rischio — diventa applicabile ai sistemi di IA disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'Annex I (inclusi dispositivi medici, macchinari, aviazione civile e componenti di autoveicoli).

I distributori che gestiscono sistemi di IA ad alto rischio in settori sensibili per i diritti fondamentali dovrebbero completare le proprie valutazioni d'impatto sui diritti fondamentali ai sensi dell'Article 27 e verificare che la propria infrastruttura di registrazione ai sensi dell'Article 26 sia operativa in anticipo rispetto alla scadenza del 2 agosto 2026.