Art. 32 Reg. (UE) 2024/1689 – Presunzione di conformità ai requisiti relativi agli organismi notificati

Il meccanismo della presunzione di conformità nel sistema del Nuovo Approccio

L'articolo 32 del Regolamento (UE) 2024/1689 disciplina la presunzione di conformità per gli organismi di valutazione della conformità (OVC) che aspirano a diventare organismi notificati ai sensi dell'AI Act. La disposizione non riguarda i fornitori di sistemi di IA, bensì gli enti terzi - laboratori, istituti di certificazione, organismi di ispezione - che svolgono il ruolo di verificatori indipendenti della conformità dei sistemi di IA ad alto rischio.

Il meccanismo è mutuato direttamente dal Nuovo Approccio alla regolamentazione tecnica europea, consolidato in decenni di legislazione sui prodotti (direttiva macchine, regolamento dispositivi medici, ecc.). Il principio è semplice ma potente: se un organismo dimostra di rispettare le norme armonizzate applicabili, si presume conforme ai requisiti legali corrispondenti. Questo riduce l'onere probatorio e crea un sistema di fiducia reciproca tra gli Stati membri e le autorità di notifica.

Chi sono gli organismi notificati e perché servono

Gli organismi notificati (Notified Bodies) sono entità terze accreditate e designate dagli Stati membri per effettuare la valutazione della conformità di sistemi di IA ad alto rischio nei casi in cui è richiesta la procedura di terza parte (art. 43). Non tutti i sistemi di IA ad alto rischio richiedono l'intervento di un organismo notificato: per molti è sufficiente l'auto-valutazione del fornitore (art. 43, paragrafo 1). Gli organismi notificati diventano obbligatori nei casi specificamente previsti dall'allegato VI e in altre situazioni definite dal regolamento.

I requisiti che gli OVC devono soddisfare per essere notificati sono elencati all'articolo 31: indipendenza e imparzialità, competenza tecnica, struttura organizzativa adeguata, copertura assicurativa, procedure di riservatezza. L'articolo 32 fornisce il meccanismo con cui un OVC può dimostrare più agevolmente di possedere questi requisiti.

Come funziona la presunzione: norme armonizzate e limiti

La presunzione scatta quando l'OVC «dimostra la propria conformità ai criteri stabiliti nelle pertinenti norme armonizzate o in parti di esse i cui riferimenti sono stati pubblicati nella Gazzetta Ufficiale dell'Unione europea». Due precisazioni operative sono essenziali.

In primo luogo, non è sufficiente che esistano norme armonizzate: i loro riferimenti devono essere stati pubblicati nella GU UE. Fino a quel momento, la norma tecnica può orientare la pratica, ma non genera la presunzione giuridica. Al momento dell'entrata in vigore dell'AI Act, le norme armonizzate specifiche per gli organismi notificati in ambito IA erano ancora in corso di elaborazione da parte di CEN/CENELEC su mandato della Commissione.

In secondo luogo, la presunzione opera solo «nella misura in cui le norme armonizzate applicabili coprano tali requisiti». Se le norme armonizzate coprono, ad esempio, la competenza tecnica e l'indipendenza ma non la struttura organizzativa, l'OVC beneficia della presunzione solo per i primi due aspetti e deve dimostrare altrimenti la conformità agli aspetti non coperti.

Implicazioni pratiche per gli organismi di certificazione

Per un ente di certificazione che intende operare come organismo notificato nell'ambito dell'AI Act, l'articolo 32 suggerisce una strategia in due fasi. In una prima fase - durante l'attuale periodo transitorio, in attesa della pubblicazione delle norme armonizzate - l'ente deve dimostrare la conformità ai requisiti dell'articolo 31 attraverso altri mezzi (documentazione interna, accreditamento da parte di un ente nazionale di accreditamento). Nella seconda fase, una volta disponibili le norme armonizzate pubblicate in GU, potrà avvalersi della presunzione semplificata.

Il percorso di notifica prevede che l'ente sia accreditato dall'ente nazionale di accreditamento (in Italia, Accredia) e che la designazione sia notificata alla Commissione europea attraverso il sistema NANDO. La presunzione di conformità dell'articolo 32 interagisce con il processo di accreditamento: un ente accreditato secondo norme armonizzate coerenti con i requisiti dell'articolo 31 avrà un iter di notifica più agevole.

Il raccordo con il sistema di notifica e la vigilanza

Una volta notificati, gli organismi sono soggetti a vigilanza da parte delle autorità nazionali di notifica (art. 35) e alle procedure di messa in discussione della notifica (art. 39). La presunzione di conformità non è pertanto definitiva: se emergono prove che un organismo notificato non soddisfa più i requisiti dell'articolo 31, la notifica può essere ritirata o sospesa.

Per le imprese che si affidano a un organismo notificato per la valutazione della conformità dei propri sistemi di IA ad alto rischio, è importante verificare che l'organismo sia effettivamente notificato nella Gazzetta Ufficiale e che il suo ambito di notifica copra la categoria di sistema di IA da certificare. Un certificato rilasciato da un organismo non notificato o con ambito di notifica diverso non soddisfa gli obblighi del regolamento.