Art. 45 Reg. (UE) 2024/1689 — Obblighi di informazione degli organismi notificati

Commento

Il ruolo degli obblighi informativi nella coerenza del sistema di certificazione

L'articolo 45 del Regolamento (UE) 2024/1689 (AI Act) disciplina gli obblighi di informazione degli organismi notificati e costituisce uno degli strumenti chiave per garantire la coerenza e l'affidabilità del sistema di certificazione a livello europeo. In assenza di questi obblighi, ciascun organismo notificato opererebbe in modo isolato, con il rischio che approcci valutativi divergenti tra Paesi diversi creino distorsioni nel mercato unico e opportunità di forum shopping da parte dei fornitori.

Nel contesto del Regolamento, l'organismo notificato è il soggetto terzo indipendente che certifica la conformità dei sistemi di IA ad alto rischio ai requisiti tecnici del capo III, sezione 2. A differenza del fornitore (che sviluppa il sistema) e del deployer (che lo utilizza), l'organismo notificato svolge una funzione di garanzia pubblica nell'interesse del mercato e dei destinatari finali dei sistemi certificati. Proprio questa funzione giustifica gli obblighi di trasparenza e condivisione introdotti dall'art. 45.

Obblighi verso l'autorità di notifica nazionale

Il paragrafo 1 elenca le informazioni che l'organismo notificato deve trasmettere alla propria autorità di notifica nazionale. Si tratta di un flusso informativo continuo, non limitato ai soli casi problematici:

• Certificati rilasciati relativi alla valutazione della documentazione tecnica UE (allegato VII, modulo di valutazione A) e approvazioni dei sistemi di gestione della qualità: l'autorità di notifica ha così un quadro aggiornato dell'attività certificatoria.
• Rifiuti, limitazioni, sospensioni e ritiri di certificati e approvazioni: questo flusso ha un valore di vigilanza diretta, consentendo all'autorità di monitorare i casi problematici e di coordinarsi con le autorità di vigilanza del mercato se necessario.
• Circostanze che influiscono sull'ambito o sulle condizioni della notifica: l'organismo deve segnalare proattivamente qualsiasi evento che possa compromettere la propria capacità di operare nei termini della notifica ricevuta (es. perdita di competenze in un settore specifico, cambiamenti organizzativi, conflitti di interesse emersi).
• Richieste di informazioni da parte delle autorità di vigilanza del mercato: questo obbligo garantisce che l'autorità di notifica sia informata di eventuali indagini in corso su sistemi da essa certificati.
• Attività svolte su richiesta, incluse quelle transfrontaliere e in subappalto: la trasparenza sulle attività esternalizzate è essenziale per garantire che il subappalto non comprometta la qualità e l'indipendenza della valutazione.

Obblighi verso gli altri organismi notificati

Il paragrafo 2 introduce un obbligo di condivisione orizzontale tra organismi notificati, che va oltre il tradizionale rapporto verticale con l'autorità di notifica. Gli organismi notificati si informano reciprocamente su:

• Approvazioni dei sistemi di gestione della qualità rifiutate, sospese o ritirate: questo consente agli altri organismi di identificare sistemi di gestione che non raggiungono gli standard richiesti, anche se valutati da un altro organismo.
• Certificati di valutazione della documentazione tecnica rifiutati, ritirati, sospesi o altrimenti limitati.

Il paragrafo 3 estende questo obbligo ai risultati negativi della valutazione della conformità per sistemi dello stesso tipo, verso gli organismi che svolgono attività simili. Questo meccanismo è fondamentale per evitare che un fornitore che abbia ricevuto un rifiuto da un organismo notificato si rivolga a un altro organismo senza che quest'ultimo sia informato del precedente esito negativo. È il principale strumento anti-forum-shopping del sistema.

La riservatezza come limite agli obblighi informativi

Il paragrafo 4 stabilisce che gli obblighi informativi incontrano un limite nel principio di riservatezza sancito dall'art. 78 del Regolamento. Le informazioni che l'organismo ottiene nell'esercizio delle proprie funzioni (documentazione tecnica dei fornitori, risultati delle valutazioni, dati sui sistemi) devono essere trattate con riservatezza. Il bilanciamento tra trasparenza sistemica e riservatezza commerciale è garantito dal fatto che gli obblighi di condivisione orizzontale riguardano tipicamente i risultati (certificati rilasciati, rifiutati, ecc.) e non i contenuti della documentazione tecnica dei fornitori.

Implicazioni pratiche per i fornitori di sistemi ad alto rischio

Sebbene l'art. 45 sia direttamente indirizzato agli organismi notificati, ha riflessi importanti per i fornitori di sistemi di IA ad alto rischio:

• Un rifiuto di certificazione da parte di un organismo notificato viene comunicato agli altri organismi notificati che svolgono attività simili. Il fornitore non può quindi limitare le conseguenze di un esito negativo semplicemente cambiando organismo certificatore: il nuovo organismo sarà informato del precedente rifiuto e potrà richiedergli chiarimenti.
• Il fornitore ha interesse a risolvere le non conformità rilevate dall'organismo notificato in modo sostanziale, non formale, poiché la documentazione del rifiuto circolerà nel sistema.
• In caso di subappalto della valutazione a un organismo terzo, la qualità del subappalto deve essere equivalente a quella della valutazione diretta: l'autorità di notifica riceverà informazioni anche sulle attività in subappalto.

Il raccordo con la vigilanza del mercato

Gli obblighi informativi dell'art. 45 si raccordano con il sistema di vigilanza del mercato disciplinato dagli artt. 74 ss. del Regolamento. Quando l'autorità di vigilanza del mercato indaga su un sistema di IA ad alto rischio già certificato, può richiedere informazioni all'organismo notificato che ha rilasciato il certificato. L'obbligo dell'organismo di comunicare all'autorità di notifica le richieste ricevute dalle autorità di vigilanza del mercato garantisce un flusso informativo coordinato che consente al sistema di governance di funzionare in modo integrato.