- Gli organismi di valutazione della conformità che vogliono operare come organismi notificati ai sensi dell'AI Act devono presentare una domanda di notifica all'autorità di notifica dello Stato membro in cui sono stabiliti.
- La domanda deve descrivere le attività di valutazione, i moduli di conformità applicabili e le categorie di sistemi di IA per cui si dichiara competenza, accompagnata ove possibile da un certificato di accreditamento.
- In assenza di accreditamento, l'organismo deve fornire prove documentali equivalenti per consentire la verifica, il riconoscimento e il monitoraggio della propria conformità ai requisiti dell'art. 31.
- Le designazioni già ottenute ai sensi di altre normative di armonizzazione dell'Unione possono essere utilizzate come documentazione di supporto, evitando duplicazioni burocratiche.
- La documentazione deve essere aggiornata ogni volta che intervengono cambiamenti di rilievo, garantendo il monitoraggio continuativo da parte dell'autorità competente.
Testo dell'articoloVigente
Art. 29 Reg. (UE) 2024/1689 — Domanda di notifica presentata dagli organismi di valutazione della conformità
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. Gli organismi di valutazione della conformità presentano una domanda di notifica all'autorità di notifica dello Stato membro in cui sono stabiliti.
2. La domanda di notifica è accompagnata da una descrizione delle attività di valutazione della conformità, del modulo o dei moduli di valutazione della conformità e dei tipi di sistemi di IA per i quali tale organismo di valutazione della conformità dichiara di essere competente, nonché da un certificato di accreditamento, se disponibile, rilasciato da un organismo nazionale di accreditamento che attesti che l'organismo di valutazione della conformità è conforme ai requisiti di cui all'articolo 31. Sono aggiunti documenti validi relativi alle designazioni esistenti dell'organismo notificato richiedente ai sensi di qualsiasi altra normativa di armonizzazione dell'Unione.
3. Qualora non possa fornire un certificato di accreditamento, l'organismo di valutazione della conformità interessato fornisce all'autorità di notifica tutte le prove documentali necessarie per la verifica, il riconoscimento e il monitoraggio periodico della sua conformità ai requisiti di cui all'articolo 31.
4. Per gli organismi notificati designati ai sensi di qualsiasi altra normativa di armonizzazione dell'Unione, tutti i documenti e i certificati connessi a tali designazioni possono essere utilizzati a sostegno della loro procedura di designazione a norma del presente regolamento, a seconda dei casi. L'organismo notificato aggiorna la documentazione di cui ai paragrafi 2 e 3 del presente articolo ogni volta che si verificano cambiamenti di rilievo, al fine di consentire all'autorità responsabile degli organismi notificati di monitorare e verificare il continuo rispetto di tutte le prescrizioni di cui all'articolo 31.
Stesso numero, altri codici
- Art. 29 D.Lgs. 504/1995 — Deposito di prodotti alcolici assoggettati ad accisa ed esercizi di vendita
- Articolo 29 L. 184/1983: Adozione internazionale e Convenzione dell'Aja
- Art. 29 Cod. Amb. — (Sistema sanzionatorio)
- Art. 29 D.Lgs. 148/2015 — Fondo di integrazione salariale
- Art. 29 D.Lgs. 159/2011 — Indipendenza dall'esercizio dell'azione penale
- Art. 29 D.Lgs. 209/2005 — Divieto di operare in regime di prestazione di servizi
Commento
Il ruolo degli organismi notificati nell'AI Act
Il Regolamento (UE) 2024/1689 prevede che i sistemi di IA ad alto rischio di alcune categorie — in particolare quelli che non sono soggetti a normative di armonizzazione dell'Unione «a legislazione precedente» (allegato I) — debbano sottoporsi a procedure di valutazione della conformità di terza parte prima di poter essere immessi sul mercato. Gli organismi che svolgono queste valutazioni sono denominati «organismi notificati» e la loro designazione segue una procedura specifica articolata in più fasi, di cui l'articolo 29 disciplina il primo passo: la domanda di notifica.
Il sistema degli organismi notificati nell'AI Act è mutuato dalla tradizione della legislazione tecnica europea (il cosiddetto «Nuovo Approccio» e il suo successore, il «Nuovo Quadro Legislativo»), dove figure analoghe operano nei settori dei dispositivi medici, delle macchine, dei prodotti da costruzione e di molti altri ambiti. L'AI Act estende questo modello al settore dell'intelligenza artificiale, introducendo alcuni adattamenti specifici dettati dalle peculiarità dei sistemi di IA.
Contenuto della domanda di notifica
L'articolo 29, par. 2, elenca in modo tassativo gli elementi che la domanda deve contenere. Il primo è una descrizione delle attività di valutazione della conformità che l'organismo intende svolgere: deve essere chiaro se l'organismo si propone di effettuare audit tecnici, verifiche di documentazione, prove di sistema o una combinazione di queste attività.
Il secondo elemento è l'indicazione dei moduli di valutazione della conformità per cui l'organismo dichiara competenza. L'allegato VII dell'AI Act definisce i moduli applicabili: il modulo di controllo interno (allegato VI) e il modulo basato sulla valutazione del sistema di gestione della qualità e sulla valutazione della documentazione tecnica (allegato VII). Non tutti gli organismi sono tenuti a coprire tutti i moduli; la domanda può riguardare uno solo di essi.
Il terzo elemento è la specificazione dei tipi di sistemi di IA per cui l'organismo dichiara competenza tecnica. Questa indicazione è fondamentale perché la valutazione della conformità di sistemi di IA ad alto rischio richiede competenze molto eterogenee: un organismo specializzato in sistemi medici potrebbe non avere le competenze necessarie per valutare sistemi di identificazione biometrica o sistemi di valutazione del merito creditizio.
Il quarto elemento è il certificato di accreditamento rilasciato dall'organismo nazionale di accreditamento competente (in Italia, Accredia), qualora disponibile. L'accreditamento attesta che l'organismo soddisfa i requisiti tecnici e organizzativi di cui all'art. 31, seguendo le norme EN ISO/IEC 17000 ss. Quando il certificato non è ancora disponibile — ad esempio perché l'organismo è nelle fasi iniziali del processo di accreditamento — la norma consente la presentazione di prove documentali equivalenti.
La valorizzazione delle designazioni esistenti
Il paragrafo 4 introduce una misura di semplificazione burocratica significativa: i documenti e i certificati relativi a designazioni già ottenute ai sensi di altre normative di armonizzazione dell'Unione (ad esempio, una designazione come organismo notificato ai sensi della direttiva sui dispositivi medici MDR o del regolamento sulle macchine) possono essere utilizzati a sostegno della domanda di notifica per l'AI Act.
Questa disposizione risponde a un'esigenza pratica concreta: molti sistemi di IA ad alto rischio sono componenti di prodotti già soggetti a valutazioni di conformità di terza parte (dispositivi medici, veicoli, macchine industriali). Gli organismi notificati che già operano in questi settori hanno sviluppato competenze tecnico-organizzative che sono in parte trasferibili alla valutazione dei sistemi di IA incorporati. Permettere il riuso della documentazione esistente riduce i costi di accesso al mercato della valutazione della conformità e incentiva gli organismi già qualificati a richiedere la notifica anche per l'AI Act.
Il dovere di aggiornamento continuativo
Il paragrafo 4 impone un obbligo di aggiornamento attivo: ogni volta che si verificano «cambiamenti di rilievo» — ad esempio, un'espansione delle categorie di sistemi per cui si dichiara competenza, un cambio di struttura organizzativa, la perdita di personale chiave o la modifica delle procedure interne di valutazione — l'organismo deve aggiornare la documentazione presentata all'atto della domanda. Questo obbligo consente all'autorità responsabile degli organismi notificati di esercitare un monitoraggio continuativo sull'adeguatezza dell'organismo, non limitato alla fase di prima designazione.
Il mancato aggiornamento in presenza di cambiamenti rilevanti costituisce una violazione dell'art. 29 e può comportare misure da parte dell'autorità di notifica, fino alla sospensione o alla revoca della notifica dell'organismo.
Implicazioni pratiche per gli organismi che intendono operare nel settore
Per un organismo che intende operare come notificato per l'AI Act, i passi fondamentali sono: avviare l'accreditamento presso l'organismo nazionale competente; predisporre documentazione delle competenze del personale; valorizzare eventuali designazioni esistenti; strutturare un sistema di gestione documentale per gli aggiornamenti periodici. Il database NANDO della Commissione pubblica l'elenco degli organismi notificati anche per l'AI Act.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Tutti gli organismi di valutazione della conformità possono diventare organismi notificati per l'AI Act?
No. Devono soddisfare i requisiti tecnici e organizzativi di cui all'art. 31 AI Act e ottenere la notifica tramite la procedura prevista dagli artt. 28-39. Il punto di partenza è la domanda di cui all'art. 29, accompagnata preferibilmente da un certificato di accreditamento rilasciato dall'organismo nazionale competente.
È obbligatorio avere il certificato di accreditamento per presentare la domanda?
No, il certificato di accreditamento è preferibile ma non obbligatorio. In sua assenza, l'organismo può presentare prove documentali equivalenti che dimostrino il rispetto dei requisiti dell'art. 31. Tuttavia, la procedura di verifica senza accreditamento è generalmente più lunga e richiede una valutazione più approfondita da parte dell'autorità di notifica.
Un organismo già notificato per la direttiva macchine può usare quella designazione per l'AI Act?
Sì, in parte. I documenti e certificati relativi a designazioni esistenti ai sensi di altre normative di armonizzazione dell'Unione possono essere utilizzati a sostegno della domanda per l'AI Act. Tuttavia, l'organismo deve comunque dimostrare competenze specifiche nei sistemi di IA, che possono differire significativamente da quelle richieste per i prodotti tradizionali.
Cosa succede se l'organismo non aggiorna la documentazione dopo cambiamenti rilevanti?
Il mancato aggiornamento viola l'art. 29, par. 4, e può portare a misure da parte dell'autorità responsabile degli organismi notificati, che possono includere la sospensione dell'autorizzazione a svolgere valutazioni della conformità fino alla regolarizzazione o, nei casi più gravi, la revoca della notifica.
Come si trova l'elenco degli organismi notificati per l'AI Act?
La Commissione europea pubblica e aggiorna il database NANDO (New Approach Notified and Designated Organisations), accessibile sul sito della Commissione, che include anche le notifiche relative all'AI Act. Gli organismi in attesa di notifica o con designazione provvisoria sono indicati con lo stato corrispondente.
Vedi anche