Art. 42 Reg. (UE) 2024/1689 – Presunzione di conformità a determinati requisiti

Funzione delle presunzioni di conformità nel sistema AI Act

L'articolo 42 del Regolamento (UE) 2024/1689 (AI Act) introduce due presunzioni legali di conformità parziale per i sistemi di IA ad alto rischio. Non si tratta di esenzioni generali dagli obblighi del Regolamento, né di una scorciatoia per evitare la valutazione di conformità: le presunzioni operano su aspetti specifici e circoscritti, consentendo ai fornitori di beneficiare di una semplificazione probatoria quando determinati standard o condizioni di sviluppo sono già stati rispettati.

Il meccanismo è coerente con l'approccio del legislatore europeo in altri settori tecnico-normativi (es. il Nuovo Approccio nella direttiva macchine, nel quadro delle norme armonizzate EN): chi dimostra di rispettare determinati standard tecnici riconosciuti può presumere la propria conformità ai requisiti essenziali corrispondenti, fermo restando il potere delle autorità di confutare tale presunzione.

Prima presunzione: conformità ai requisiti sui dati di addestramento (art. 10, par. 4)

Il paragrafo 1 dell'art. 42 stabilisce che i sistemi di IA ad alto rischio addestrati e testati con dati che rispecchiano il contesto specifico di utilizzo si presumono conformi ai requisiti di cui all'art. 10, par. 4. Questo paragrafo impone che i dati di addestramento, validazione e test siano caratterizzati da determinate proprietà: rilevanza, rappresentatività, assenza di errori nella misura del possibile, completezza rispetto alle caratteristiche rilevanti per la finalità del sistema.

La presunzione si attiva quando il fornitore può dimostrare che i dati utilizzati per addestrare il sistema rispecchiano il contesto geografico, comportamentale, contestuale o funzionale specifico all'interno del quale il sistema è destinato a operare. In pratica:

• Un sistema di riconoscimento facciale addestrato su un dataset che include soggetti con le caratteristiche demografiche della popolazione in cui sarà impiegato beneficia della presunzione;
• Un sistema di scoring del credito addestrato con dati di clienti di un determinato paese e settore economico, e testato con dati dello stesso contesto, beneficia della presunzione per quel mercato specifico;
• Un sistema addestrato su dataset globali non rappresentativi del contesto di utilizzo effettivo non può beneficiare della presunzione.

Questa presunzione ha rilevanza pratica soprattutto nella documentazione tecnica (allegato IV) e nella dichiarazione di conformità UE: il fornitore può fare riferimento alla conformità contestuale dei dati come elemento di supporto alla presunzione, riducendo l'onere di dimostrare punto per punto il rispetto di ciascun requisito dell'art. 10, par. 4.

Seconda presunzione: conformità ai requisiti di cibersicurezza (art. 15)

Il paragrafo 2 dell'art. 42 introduce una presunzione di conformità ai requisiti di cibersicurezza dell'art. 15 per i sistemi che abbiano ottenuto una certificazione o una dichiarazione di conformità nell'ambito del Cybersecurity Act (Regolamento (UE) 2019/881), purché i riferimenti siano stati pubblicati nella Gazzetta Ufficiale dell'Unione europea.

L'art. 15 AI Act impone ai sistemi di IA ad alto rischio requisiti di robustezza, accuratezza e cibersicurezza: il sistema deve essere resiliente agli attacchi informatici che potrebbero comprometterne il comportamento o i risultati, con misure tecniche adeguate in relazione al contesto di utilizzo e agli aggressori plausibili.

La presunzione opera nella misura in cui tali requisiti siano contemplati nel certificato di cibersicurezza o nella dichiarazione di conformità. Non è quindi una copertura automatica e totale: il fornitore deve verificare che la certificazione ottenuta abbia effettivamente incluso nel proprio perimetro i requisiti di cibersicurezza rilevanti per l'art. 15 AI Act. Una certificazione di livello «basic» ai sensi del Cybersecurity Act potrebbe non essere sufficiente a coprire tutti i requisiti di resilienza richiesti dall'art. 15 per sistemi ad alto rischio ad elevata esposizione.

Natura delle presunzioni: iuris tantum, non iuris et de iure

Entrambe le presunzioni introdotte dall'art. 42 sono relative (iuris tantum): possono essere confutate dalle autorità di vigilanza del mercato qualora emergano elementi contrari. L'autorità può, nell'ambito di un'attività di sorveglianza o a seguito di un incidente, rilevare che, nonostante la certificazione di cibersicurezza o la rappresentatività dei dati di addestramento, il sistema presenta carenze nei requisiti coperti dalla presunzione. In tal caso, la presunzione cede e il fornitore deve dimostrare positivamente la conformità.

Le presunzioni non sostituiscono la procedura di valutazione della conformità ai sensi degli artt. 43-44 AI Act, né la marcatura CE né la dichiarazione di conformità UE. Sono strumenti di alleggerimento probatorio parziale, non di esenzione totale dagli obblighi di conformità.

Implicazioni pratiche per i fornitori

Per un fornitore che sviluppa un sistema di IA ad alto rischio, l'art. 42 suggerisce due linee di azione strategica:

1. Progettazione dei dataset in chiave contestuale: investire nella raccolta e curazione di dati di addestramento rappresentativi del contesto geografico e funzionale di utilizzo non è solo una buona pratica di sviluppo dell'IA (riduce il bias, migliora le prestazioni), ma genera anche un beneficio regolatorio diretto attivando la presunzione dell'art. 42, par. 1. Questo vantaggio deve essere documentato formalmente e richiamato nella documentazione tecnica.

2. Ottenere certificazioni di cibersicurezza rilevanti: laddove esistano schemi di certificazione della cibersicurezza ai sensi del Cybersecurity Act applicabili al tipo di sistema sviluppato, ottenere la certificazione con copertura dei requisiti pertinenti all'art. 15 AI Act semplifica la conformità e la prova in sede di sorveglianza. I fornitori dovrebbero mappare i requisiti di cibersicurezza dell'art. 15 rispetto ai criteri degli schemi di certificazione disponibili per verificare se la copertura è effettiva.