Art. 21 Reg. (UE) 2024/1689 — Cooperazione con le autorità competenti

Commento

Il contesto: la vigilanza sui sistemi di IA ad alto rischio

L'articolo 21 si inserisce nel sistema di supervisione ex post previsto dall'AI Act per i sistemi di IA ad alto rischio. Una volta che il sistema è stato immesso sul mercato o messo in servizio, le autorità nazionali competenti — e, in determinati contesti, l'Ufficio per l'IA a livello europeo — devono poter verificare nel tempo il rispetto dei requisiti. L'art. 21 definisce l'obbligo specifico di cooperazione documentale e informativa che grava sui fornitori in questa fase di vigilanza continua.

Va sottolineato che l'obbligo di cooperazione ricade sul fornitore, cioè su chi ha sviluppato il sistema e lo ha immesso sul mercato. Il deployer — l'impresa che usa il sistema sotto la propria autorità — ha obblighi di cooperazione distinti, disciplinati dall'art. 26. Questa distinzione è rilevante soprattutto nelle catene di fornitura complesse, dove lo stesso sistema può transitare attraverso più operatori prima di arrivare all'utilizzatore finale.

La documentazione da fornire su richiesta

Il par. 1 impone al fornitore di trasmettere alle autorità competenti, su richiesta motivata, «tutte le informazioni e la documentazione necessarie per dimostrare la conformità del sistema di IA ad alto rischio ai requisiti di cui alla sezione 2». La sezione 2 del capo III — artt. 9-15 — detta i requisiti tecnici per i sistemi ad alto rischio: sistema di gestione del rischio, governance dei dati, documentazione tecnica, registrazione automatica, trasparenza verso i deployer, sorveglianza umana, robustezza e sicurezza informatica.

Il termine «tutte le informazioni e la documentazione» ha una portata ampia: include la documentazione tecnica redatta ai sensi dell'art. 11 e dell'allegato IV, le politiche di gestione del rischio, i dati di test e validazione, le istruzioni d'uso e qualsiasi altro documento rilevante per valutare la conformità. La richiesta deve essere motivata dall'autorità competente: non si tratta di un'ispezione generalizzata ma di un'attività di verifica indirizzata a elementi specifici.

Un aspetto operativo rilevante è la lingua: la documentazione deve essere trasmessa in una lingua comprensibile all'autorità richiedente, ossia in una delle lingue ufficiali delle istituzioni dell'Unione indicata dallo Stato membro interessato. Per le imprese italiane che esportano sistemi in altri Stati membri, ciò può comportare l'obbligo di predisporre traduzioni della documentazione tecnica in lingua inglese, francese o tedesca. È opportuno pianificare questa esigenza già in fase di sviluppo.

L'accesso ai log automatici

Il par. 2 prevede un obbligo ulteriore: su richiesta motivata, il fornitore deve concedere alle autorità competenti l'accesso ai log generati automaticamente dal sistema di IA ad alto rischio di cui all'art. 12, par. 1, nella misura in cui tali log sono sotto il suo controllo.

L'art. 12 impone ai fornitori di progettare i sistemi ad alto rischio in modo da registrare automaticamente gli eventi rilevanti per il monitoraggio del funzionamento («logging»). I log consentono alle autorità di ricostruire il comportamento del sistema nel tempo, identificare anomalie e valutare se si siano verificati incidenti o comportamenti non conformi. La locuzione «nella misura in cui tali log sono sotto il loro controllo» è importante: il fornitore non risponde di log che sono nella disponibilità esclusiva del deployer, ma deve collaborare per l'accesso a quelli che restano nella propria sfera di controllo — ad esempio i log di addestramento, i log di sistema centralizzati o quelli archiviati sui server del fornitore.

Questa norma si raccorda con l'obbligo del deployer di conservare i log per almeno sei mesi ai sensi dell'art. 26, par. 5. In caso di incidente, le autorità possono richiedere i log sia al fornitore sia al deployer, ricostruendo così la catena completa degli eventi.

Riservatezza delle informazioni

Il par. 3 richiama espressamente l'art. 78, che disciplina gli obblighi di riservatezza a carico delle autorità competenti. Le informazioni acquisite nell'esercizio dei poteri di vigilanza — incluse quelle trasmesse ai sensi dell'art. 21 — devono essere trattate in modo riservato: le autorità non possono divulgarle a terzi, se non nei casi e nei modi previsti dal regolamento. Questo presidio tutela i segreti commerciali dei fornitori e le informazioni tecniche sensibili, bilanciando le esigenze di trasparenza pubblica con quelle di protezione dell'innovazione.

Per le imprese, questa tutela è rilevante: la trasmissione di documentazione tecnica dettagliata alle autorità non implica automaticamente la sua pubblicazione o accessibilità a concorrenti. È tuttavia prudente verificare, caso per caso, se le informazioni trasmesse possano essere oggetto di accesso agli atti da parte di terzi nell'ambito delle normative nazionali sulla trasparenza amministrativa.

Implicazioni pratiche per i fornitori

Per essere pronti a rispondere alle richieste delle autorità ai sensi dell'art. 21, i fornitori di sistemi di IA ad alto rischio dovrebbero adottare alcune misure organizzative preventive: (1) predisporre e aggiornare la documentazione tecnica in forma strutturata e facilmente accessibile; (2) designare un referente interno responsabile della gestione delle richieste delle autorità competenti; (3) pianificare la conservazione dei log per la durata prevista dalla normativa; (4) valutare la disponibilità di traduzioni della documentazione nelle lingue degli Stati membri in cui il sistema è commercializzato. La mancata risposta a una richiesta motivata dell'autorità può configurare un'infrazione al regolamento, con le conseguenze sanzionatorie previste dall'art. 99.