- Gli importatori di sistemi di IA ad alto rischio devono verificare, prima dell'immissione sul mercato UE, che il fornitore straniero abbia eseguito la procedura di valutazione della conformità e predisposto tutta la documentazione richiesta.
- Il sistema deve recare la marcatura CE, essere accompagnato dalla dichiarazione di conformità UE e dal manuale d'uso, e il fornitore deve aver nominato un rappresentante autorizzato nell'UE.
- In caso di fondato sospetto di non conformità o di rischio, l'importatore non immette il sistema sul mercato e ne informa il fornitore e le autorità di vigilanza.
- L'importatore deve indicare i propri dati identificativi sul sistema o nella documentazione di accompagnamento e conservare copia dei documenti di conformità per 10 anni.
- L'importatore è tenuto a cooperare con le autorità competenti e a fornire tutta la documentazione richiesta in lingua comprensibile all'autorità nazionale.
Testo dell'articoloVigente
Art. 23 Reg. (UE) 2024/1689 — Obblighi degli importatori
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. Prima di immettere sul mercato un sistema di IA ad alto rischio, gli importatori garantiscono che il sistema sia conforme al presente regolamento verificando che:
a) il fornitore di tale sistema di IA ad alto rischio abbia eseguito la pertinente procedura di valutazione della conformità di cui all'articolo 43;
b) il fornitore abbia redatto la documentazione tecnica conformemente all'articolo 11 e all'allegato IV;
c) il sistema rechi la necessaria marcatura CE e sia accompagnato dalla dichiarazione di conformità UE di cui all’articolo 47 e dalle istruzioni per l'uso;
d) il fornitore abbia nominato un rappresentante autorizzato conformemente all'articolo 22, paragrafo 1.
2. Qualora abbia motivo sufficiente di ritenere che un sistema di IA ad alto rischio non sia conforme al presente regolamento, ovvero sia falsificato o sia accompagnato da una documentazione falsificata, un importatore non lo immette sul mercato fino a quando non sia stato reso conforme. Qualora il sistema di IA ad alto rischio presenti un rischio ai sensi dell'articolo 79, paragrafo 1, l'importatore ne informa il fornitore del sistema, i rappresentanti autorizzati e le autorità di vigilanza del mercato.
3. Gli importatori indicano il loro nome, la loro denominazione commerciale registrata o il loro marchio registrato e l'indirizzo al quale possono essere contattati, sul sistema di IA ad alto rischio e sul suo imballaggio o in un documento di accompagnamento, ove applicabile.
4. Gli importatori garantiscono che, fintantoché un sistema di IA ad alto rischio è sotto la loro responsabilità, le condizioni di stoccaggio o di trasporto, ove applicabili, non pregiudichino la conformità ai requisiti di cui alla sezione 2.
5. Gli importatori conservano, per un periodo di 10 anni dalla data di immissione sul mercato o di messa in servizio del sistema di IA ad alto rischio, una copia del certificato rilasciato dall'organismo notificato, se del caso, delle istruzioni per l'uso e della dichiarazione di conformità UE di cui all’articolo 47.
6. Gli importatori forniscono alla pertinente autorità competente, su richiesta motivata, tutte le informazioni e la documentazione, comprese quelle di cui al paragrafo 5, necessarie per dimostrare la conformità di un sistema di IA ad alto rischio ai requisiti di cui alla sezione 2 in una lingua che può essere compresa facilmente da tale autorità nazionale competente. A tal fine garantiscono altresì che la documentazione tecnica possa essere messa a disposizione di tale autorità.
7. Gli importatori cooperano con le pertinenti autorità competenti in qualsiasi azione intrapresa da tali autorità in relazione a un sistema di IA ad alto rischio immesso sul mercato dagli importatori, in particolare per ridurre e attenuare i rischi che esso comporta.
Stesso numero, altri codici
- Art. 23 D.Lgs. 504/1995 — Depositi fiscali di prodotti energetici
- Articolo 23 L. 184/1983: Revoca dell'affidamento preadottivo
- Art. 23 Cod. Amb. — Presentazione dell'istanza, avvio del procedimento di VIA e pubblicazione degli atti
- Art. 23 D.Lgs. 148/2015 — Contribuzione
- Art. 23 D.Lgs. 159/2011 — Procedimento applicativo
- Art. 23 D.Lgs. 209/2005 — Attività in regime di stabilimento
Commento
Il ruolo dell'importatore nella catena di distribuzione dei sistemi di IA ad alto rischio
L'articolo 23 del Regolamento (UE) 2024/1689 disciplina la figura dell'importatore nell'ambito dei sistemi di IA ad alto rischio. L'importatore è il soggetto stabilito nell'Unione europea che immette sul mercato UE un sistema di IA proveniente da un paese terzo. La norma riproduce, adattandola al settore IA, la logica già consolidata nella legislazione europea sulla sicurezza dei prodotti (si pensi al Regolamento (CE) n. 765/2008 e alla Decisione n. 768/2008/CE), attribuendo all'importatore obblighi propri e distinti da quelli del fornitore straniero.
La scelta di regolamentare specificamente gli importatori risponde a un'esigenza pratica: quando il fornitore è stabilito fuori dall'UE, le autorità di vigilanza nazionali non possono raggiungerlo direttamente con i loro poteri coercitivi. L'importatore funge quindi da «presidio di conformità» sul territorio dell'Unione, assumendo responsabilità precise che lo espongono alle stesse sanzioni previste per i fornitori in caso di inadempimento.
Le verifiche pre-immissione sul mercato (par. 1)
Prima di immettere sul mercato qualsiasi sistema di IA ad alto rischio proveniente da un paese terzo, l'importatore deve svolgere una serie di verifiche documentali puntuali. La norma ne elenca quattro categoricamente:
La prima verifica riguarda l'esecuzione della procedura di valutazione della conformità da parte del fornitore, ai sensi dell'articolo 43. Questa procedura varia a seconda che il sistema sia soggetto a controllo di terza parte (da parte di un organismo notificato) o a valutazione interna: l'importatore deve accertarsi che la procedura corretta sia stata completata e documentata.
La seconda verifica riguarda la documentazione tecnica (artt. 11 e Allegato IV): il fornitore deve averla redatta in modo conforme al regolamento, con descrizione del sistema, delle sue caratteristiche, delle prove effettuate, dei dataset di addestramento e dei parametri di rischio.
La terza verifica riguarda la marcatura CE e la dichiarazione di conformità UE (art. 47): il sistema deve recare fisicamente la marcatura CE o, per i prodotti software, essa deve risultare dalla documentazione di accompagnamento; la dichiarazione di conformità deve essere redatta correttamente e accessibile.
La quarta verifica riguarda la nomina del rappresentante autorizzato nell'UE da parte del fornitore estero, ai sensi dell'art. 22, par. 1. Il rappresentante autorizzato è il soggetto designato dal fornitore per agire per suo conto nell'UE, in particolare nei confronti delle autorità di vigilanza: la sua nomina è un requisito formale imprescindibile.
Il blocco preventivo in caso di non conformità o rischio (par. 2)
Il paragrafo 2 introduce una regola fondamentale: l'importatore che abbia «motivo sufficiente» di ritenere che il sistema di IA ad alto rischio non sia conforme al regolamento, ovvero sia falsificato o accompagnato da documentazione falsificata, non deve immetterlo sul mercato fino a quando il sistema non sia stato reso conforme.
L'espressione «motivo sufficiente» è centrale: non si richiede la certezza della non conformità, ma un indizio ragionevolmente fondato. Questo significa che l'importatore deve adottare una postura attiva di due diligence, non limitarsi a raccogliere formalmente i documenti. Qualora il sistema presenti un rischio ai sensi dell'art. 79, par. 1 (rischio per la salute, la sicurezza o i diritti fondamentali), l'importatore ha anche l'obbligo di informare tempestivamente il fornitore, il rappresentante autorizzato e le autorità di vigilanza del mercato: si tratta di un obbligo di segnalazione che anticipa il sistema di gestione degli incidenti.
Tracciabilità, stoccaggio e conservazione documentale (parr. 3-5)
Il paragrafo 3 impone all'importatore di indicare i propri dati identificativi (nome, denominazione commerciale o marchio, indirizzo di contatto) sul sistema, sull'imballaggio o in un documento di accompagnamento. Questo requisito di tracciabilità consente alle autorità di risalire rapidamente al responsabile dell'immissione sul mercato anche quando il fornitore è estero.
Il paragrafo 4 riguarda la fase logistica: per tutto il tempo in cui il sistema è sotto la responsabilità dell'importatore, le condizioni di stoccaggio e trasporto non devono compromettere la conformità del sistema ai requisiti della Sezione 2. Questo obbligo è particolarmente rilevante per i sistemi IA integrati in hardware o per i dispositivi che richiedono particolari condizioni ambientali di conservazione.
Il paragrafo 5 stabilisce un obbligo di conservazione documentale di 10 anni: l'importatore deve tenere, per questo periodo a partire dall'immissione sul mercato o dalla messa in servizio, copia del certificato dell'organismo notificato (se rilasciato), delle istruzioni per l'uso e della dichiarazione di conformità UE. Si tratta di un termine particolarmente lungo, che impone di strutturare adeguati sistemi di archiviazione.
Cooperazione con le autorità competenti (parr. 6-7)
Su richiesta motivata, l'importatore deve fornire tutte le informazioni e la documentazione necessarie per dimostrare la conformità del sistema in una lingua comprensibile all'autorità richiedente. In contesti multinazionali, questo può richiedere la disponibilità di traduzioni della documentazione tecnica o l'impegno a garantirne la comprensibilità. Il paragrafo 7 estende l'obbligo di cooperazione a qualsiasi azione dell'autorità relativa al sistema, incluse ispezioni e procedure di ritiro o richiamo.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Chi è l'importatore ai sensi dell'AI Act e in cosa si distingue dal fornitore?
L'importatore è il soggetto stabilito nell'Unione europea che immette sul mercato UE un sistema di IA proveniente da un paese terzo. Il fornitore è invece chi sviluppa il sistema o lo immette sul mercato con il proprio nome o marchio. Quando il fornitore è estero, l'importatore assume obblighi propri (art. 23) che lo rendono responsabile diretto nei confronti delle autorità di vigilanza europee: non si limita a svolgere funzioni distributive, ma presidia la conformità del sistema all'ingresso nel mercato UE.
Cosa deve verificare concretamente un importatore prima di immettere sul mercato un sistema di IA ad alto rischio?
Deve verificare quattro elementi: (1) che il fornitore abbia completato la procedura di valutazione della conformità ex art. 43; (2) che la documentazione tecnica sia conforme all'Allegato IV; (3) che il sistema rechi la marcatura CE e sia accompagnato dalla dichiarazione di conformità UE e dalle istruzioni d'uso; (4) che il fornitore abbia nominato un rappresentante autorizzato nell'UE ai sensi dell'art. 22, par. 1. In caso di mancanza anche di uno solo di questi elementi, il sistema non può essere immesso sul mercato.
Per quanti anni deve conservare la documentazione un importatore di sistemi IA ad alto rischio?
L'art. 23, par. 5 impone una conservazione di 10 anni dalla data di immissione sul mercato o di messa in servizio del sistema. I documenti da conservare sono: copia del certificato dell'organismo notificato (se rilasciato), le istruzioni per l'uso e la dichiarazione di conformità UE. Questo periodo decorre da ogni singola messa in servizio, il che in caso di aggiornamenti sostanziali del sistema può comportare il rinnovo del termine.
Cosa succede se l'importatore rileva un rischio dopo aver già immesso il sistema sul mercato?
Se il sistema di IA ad alto rischio presenta un rischio ai sensi dell'art. 79, par. 1 (rischio per la salute, la sicurezza o i diritti fondamentali), l'importatore deve immediatamente informare il fornitore, il rappresentante autorizzato e le autorità di vigilanza del mercato, cooperando con loro per ridurre e attenuare i rischi. L'art. 23 si coordina con la procedura di vigilanza del mercato disciplinata agli artt. 79-81.
L'importatore può essere sanzionato se il sistema di IA non conforme è stato fabbricato dal fornitore estero?
Sì. L'importatore che immette sul mercato un sistema di IA ad alto rischio non conforme è soggetto alle sanzioni previste dall'art. 99 AI Act, indipendentemente dal fatto che la non conformità sia imputabile al fornitore estero. Proprio per questo l'art. 23 impone verifiche pre-immissione: l'importatore risponde per non aver eseguito la dovuta diligenza. In caso di co-responsabilità, i meccanismi di rivalsa contrattuale verso il fornitore estero rimangono nell'ambito del diritto civile applicabile.
Vedi anche