Art. 28 Reg. (UE) 2024/1689 — Autorità di notifica

Commento

Il ruolo delle autorità di notifica nel sistema di conformità dell'AI Act

Il Regolamento (UE) 2024/1689 non si affida esclusivamente all'autocontrollo dei fornitori per verificare che i sistemi di IA ad alto rischio rispettino i requisiti della sezione 2 del capo III. Per i sistemi rientranti nell'allegato III, punto 1 (identificazione biometrica) e per i casi in cui le norme armonizzate non siano applicate o siano applicate parzialmente, il regolamento prevede il coinvolgimento obbligatorio di organismi di valutazione della conformità terzi e indipendenti, comunemente noti come «organismi notificati». L'art. 28 disciplina il meccanismo pubblico che presiede alla selezione e al controllo di questi organismi: le autorità di notifica.

La logica del sistema è quella consolidata del diritto europeo dei prodotti: lo Stato membro non certifica direttamente i prodotti (o i sistemi di IA), ma certifica i certificatori, assicurandosi che siano qualificati, indipendenti e affidabili. Le autorità di notifica sono dunque guardiani di secondo livello: non entrano nel merito tecnico di ogni singolo sistema di IA, ma garantiscono che gli organismi abilitati a farlo abbiano le competenze e le garanzie strutturali necessarie.

Il processo di designazione e notifica

La procedura che porta un organismo di valutazione della conformità a diventare «notificato» si articola in tre fasi: valutazione da parte dell'autorità di notifica (o dell'organismo di accreditamento delegato), designazione formale da parte dello Stato membro, e notifica alla Commissione e agli altri Stati membri tramite il sistema NANDO. L'art. 28 disciplina la prima componente istituzionale di questo processo: chi è competente a valutare e come deve essere organizzato.

Il paragrafo 2 consente agli Stati membri di affidare la valutazione tecnica al proprio organismo nazionale di accreditamento ai sensi del Regolamento (CE) n. 765/2008, che in Italia è Accredia. Questa opzione è coerente con il modello europeo di accreditamento: Accredia possiede già l'infrastruttura tecnica, le procedure e le competenze per valutare organismi di certificazione in numerosi settori regolamentati. L'estensione al settore IA richiede tuttavia che l'organismo di accreditamento acquisisca competenze specifiche, in particolare sulle metodologie di addestramento dei modelli, sui test di robustezza e sulla valutazione dell'impatto sui diritti fondamentali.

I requisiti strutturali: imparzialità e assenza di conflitti di interesse

I paragrafi 3, 4 e 5 delineano i requisiti strutturali che le autorità di notifica devono rispettare per garantire l'affidabilità del sistema. Il principio cardine è l'imparzialità: l'autorità di notifica deve essere organizzata in modo tale da non avere interessi — diretti o indiretti — nel settore che monitora. La norma individua due modalità concrete di attuazione:

In primo luogo, la separazione delle funzioni (par. 4): le decisioni di notifica devono essere prese da persone diverse da quelle che hanno condotto la valutazione. Questo principio — mutuato dalla tradizione dei sistemi di accreditamento e certificazione — impedisce che chi ha istruito il fascicolo abbia anche il potere di deciderne l'esito, riducendo il rischio di derive valutative o conflitti psicologici.

In secondo luogo, il divieto di attività commerciali concorrenti (par. 5): l'autorità di notifica non può offrire né svolgere le stesse attività degli organismi di valutazione della conformità che è chiamata a valutare, né servizi di consulenza a essi sovrapponibili su base commerciale o concorrenziale. Un ente pubblico che contemporaneamente valuta e certifica sistemi di IA e vende servizi di consulenza per la certificazione degli stessi non può essere autorità di notifica: il conflitto di interessi sarebbe strutturale.

Riservatezza e coordinamento transfrontaliero

Il paragrafo 6 richiama l'obbligo di riservatezza sancito dall'art. 78 del regolamento. Le autorità di notifica, nell'esercizio delle loro funzioni, vengono a conoscenza di informazioni tecniche e commerciali potenzialmente sensibili — metodologie di addestramento, dati di testing, architetture proprietarie dei sistemi. La tutela di queste informazioni è essenziale per evitare distorsioni competitive e per mantenere la fiducia degli operatori nel sistema di certificazione.

Il paragrafo 1, nella sua parte finale, prevede che le procedure di valutazione e notifica siano sviluppate «nell'ambito della collaborazione tra le autorità di notifica di tutti gli Stati membri». Questo richiamo alla cooperazione transfrontaliera è cruciale: in un mercato unico, un organismo notificato da uno Stato membro può certificare sistemi di IA per l'intera Unione. La coerenza delle procedure di valutazione tra le diverse autorità nazionali è dunque un presupposto del livellamento del campo competitivo e della fiducia reciproca nel sistema.

Requisiti di competenza del personale

Il paragrafo 7 introduce un requisito che spesso passa in secondo piano nelle analisi giuridiche ma è di primaria importanza pratica: le autorità di notifica devono disporre di personale adeguato per competenze e numero. Le competenze richieste spaziano dall'informatica e dall'intelligenza artificiale al diritto, con menzione specifica del «controllo dei diritti fondamentali». Quest'ultimo requisito è significativo: non è sufficiente avere ingegneri del machine learning che valutino la robustezza tecnica di un modello; è necessario che chi valuta un organismo di certificazione di sistemi di IA sappia anche ragionare in termini di proporzionalità, non discriminazione, tutela della privacy e rispetto dei diritti fondamentali della Carta.

Nella fase di costituzione delle autorità di notifica nei diversi Stati membri, questo requisito di competenza multidisciplinare è probabilmente la sfida più difficile: il mercato del lavoro per figure che combinino competenze legali, tecniche e di tutela dei diritti fondamentali nel settore dell'IA è ancora scarso, e la costruzione di queste capacità richiede tempo e investimenti significativi.

Profilo operativo per le imprese: perché l'art. 28 è rilevante

Per un fornitore di sistemi di IA ad alto rischio, l'art. 28 non genera obblighi diretti, ma ha ricadute operative importanti. In primo luogo, la qualità dell'autorità di notifica influisce sulla qualità degli organismi notificati: autorità ben strutturate, con personale competente e procedure rigorose, tendono a designare organismi di valutazione più affidabili, il che riduce il rischio di false conformità e di contestazioni successive. In secondo luogo, in caso di controversie sulla notifica di un organismo o sulla sua idoneità, il fornitore che si è affidato a quell'organismo potrebbe dover interagire con l'autorità di notifica. Infine, per i deployer che operano in più Stati membri, è rilevante sapere che i sistemi notificati da un'autorità di notifica di uno Stato membro producono effetti in tutta l'UE, ma la qualità della supervisione può variare: nelle fasi iniziali di implementazione, è prudente verificare la reputazione e l'esperienza dell'organismo notificato scelto dal fornitore.