- L'autorità di notifica informa la Commissione e gli altri Stati membri di ogni modifica rilevante della notifica di un organismo notificato tramite lo strumento elettronico di cui all'art. 30, par. 2.
- Le estensioni della portata della notifica seguono le procedure degli artt. 29-30; le altre modifiche seguono la procedura alleggerita dei parr. 3-9.
- Un organismo notificato che cessa le attività deve darne comunicazione con almeno un anno di preavviso; i certificati restano validi per nove mesi se un altro organismo notificato assume la responsabilità per iscritto.
- Se l'autorità ritiene che l'organismo non soddisfi più i requisiti, può limitare, sospendere o ritirare la designazione a seconda della gravità dell'inadempimento, informando immediatamente Commissione e altri Stati membri.
- In caso di sospensione o limitazione, i certificati possono restare validi alle condizioni del par. 8; in caso di ritiro, per nove mesi alle condizioni del par. 9.
Testo dell'articoloVigente
Art. 36 Reg. (UE) 2024/1689 — Modifiche delle notifiche
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. L'autorità di notifica informa la Commissione e gli altri Stati membri di ogni pertinente modifica della notifica di un organismo notificato tramite lo strumento elettronico di notifica di cui all'articolo 30, paragrafo 2.
2. Le procedure di cui agli articoli 29 e 30 si applicano alle estensioni della portata della notifica. In caso di modifiche della notifica diverse dalle estensioni della sua portata, si applicano le procedure stabilite nei paragrafi da 3 a 9.
3. Qualora decida di cessare le attività di valutazione della conformità, un organismo notificato ne informa l'autorità di notifica e i fornitori interessati quanto prima possibile e almeno un anno prima della cessazione delle attività qualora la cessazione sia stata programmata. I certificati dell'organismo notificato possono restare validi per un periodo di nove mesi dopo la cessazione delle attività dell'organismo notificato purché un altro organismo notificato abbia confermato per iscritto che assumerà la responsabilità per i sistemi di IA ad alto rischio coperti da tale certificato. Quest'ultimo organismo notificato completa una valutazione integrale dei sistemi di IA ad alto rischio coinvolti entro la fine del periodo di nove mesi indicato prima di rilasciare nuovi certificati per gli stessi sistemi. Qualora l'organismo notificato abbia cessato le proprie attività, l'autorità di notifica ritira la designazione.
4. Qualora un'autorità di notifica abbia motivo sufficiente di ritenere che un organismo notificato non soddisfa più i requisiti di cui all'articolo 31 o non adempie i suoi obblighi, l'autorità di notifica indaga senza ritardo sulla questione con la massima diligenza. In tale contesto, essa informa l'organismo notificato interessato in merito alle obiezioni sollevate e gli dà la possibilità di esprimere il suo punto di vista. Se l'autorità di notifica conclude che l'organismo notificato non soddisfa più i requisiti di cui all'articolo 31 o non adempie i suoi obblighi, tale autorità limita, sospende o ritira ladesignazione, a seconda dei casi, in funzione della gravità del mancato rispetto di tali requisiti o dell'inadempimento di tali obblighi. Essa informa immediatamente la Commissione e gli altri Stati membri.
5. Qualora la sua designazione sia stata sospesa, limitata oppure ritirata interamente o in parte, l'organismo notificato informa i fornitori interessati al più tardi entro 10 giorni.
6. In caso di limitazione, sospensione o ritiro di una designazione, l'autorità di notifica adotta le misure appropriate per far sì che i fascicoli dell'organismo notificato interessato siano conservati e messi a disposizione delle autorità di notifica in altri Stati membri nonché delle autorità di vigilanza del mercato, su richiesta.
7. In caso di limitazione, sospensione o ritiro di una designazione, l'autorità di notifica:
a) valuta l'impatto sui certificati rilasciati dall'organismo notificato;
b) entro tre mesi dalla comunicazione delle modifiche della designazione, presenta alla Commissione e agli altri Stati membri una relazione sulle proprie constatazioni;
c) impone all'organismo notificato di sospendere o ritirare, entro un periodo di tempo ragionevole stabilito dall'autorità, i certificati rilasciati indebitamente al fine di garantire la continua conformità dei sistemi di IA ad alto rischio sul mercato;
d) informa la Commissione e gli Stati membri in merito ai certificati di cui ha richiesto la sospensione o il ritiro;
e) fornisce alle autorità nazionali competenti dello Stato membro in cui ha sede il fornitore tutte le informazioni pertinenti sui certificati di cui ha richiesto la sospensione o il ritiro; tale autorità adotta le misure appropriate, laddove necessario, per evitare un rischio potenziale per la salute, la sicurezza o i diritti fondamentali.
8. Ad eccezione dei certificati rilasciati indebitamente, e ove la designazione sia stata sospesa o limitata, i certificati restano validi in uno dei casi seguenti:
a) l'autorità di notifica ha confermato, entro un mese dalla sospensione o dalla limitazione, che sotto il profilo della salute, della sicurezza o dei diritti fondamentali non sussistono rischi per quanto riguarda i certificati oggetto di sospensione o limitazione e l'autorità di notifica ha predisposto un calendario di azioni al fine di porre rimedio alla sospensione o alla limitazione; oppure
b) l'autorità di notifica ha confermato che durante il periodo di sospensione o di limitazione non saranno rilasciati, modificati o rinnovati certificati attinenti alla sospensione e indica se l'organismo notificato è in grado di continuare a svolgere il monitoraggio e rimanere responsabile dei certificati esistenti rilasciati durante il periodo della sospensione o della limitazione; nel caso in cui l'autorità di notifica stabilisca che l'organismo notificato non è in grado di sostenere i certificati in vigore, il fornitore del sistema coperto dal certificato conferma per iscritto alle autorità nazionali competenti dello Stato membro in cui ha la propria sede, entro tre mesi dalla sospensione o dalla limitazione, che un altro organismo notificato qualificato assume temporaneamente le funzioni dell'organismo notificato di svolgere il monitoraggio e assume la responsabilità dei certificati durante il periodo di sospensione o limitazione.
9. Ad eccezione dei certificati rilasciati indebitamente, e ove la designazione sia stata ritirata, i certificati restano validi per un periodo di nove mesi nei casi seguenti:
a) l'autorità nazionale competente dello Stato membro in cui il fornitore del sistema di IA ad alto rischio coperto dal certificato ha la propria sede ha confermato che sotto il profilo della salute, della sicurezza o dei diritti fondamentali non sussistono rischi per quanto riguarda i sistemi di IA ad alto rischio interessati; e
b) un altro organismo notificato ha confermato per iscritto che assume immediatamente la responsabilità per tali sistemi di IA e completa la sua valutazione entro 12 mesi dal ritiro della designazione.
Nei casi di cui al primo comma, l'autorità nazionale competente dello Stato membro in cui il fornitore del sistema coperto dal certificato ha la propria sede può prorogare la validità temporanea dei certificati di ulteriori periodi di tre mesi, per un totale non superiore a dodici mesi. L'autorità nazionale competente o l'organismo notificato che assume le funzioni dell'organismo notificato interessato dalla modifica della designazione informa immediatamente la Commissione, gli altri Stati membri e gli altri organismi notificati.
Stesso numero, altri codici
- Articolo 36 L. 184/1983: Adozione internazionale: Paesi aderenti e non alla Convenzione
- Art. 36 Cod. Amb. — Abrogazioni e modifiche
- Art. 36 D.Lgs. 159/2011 — Relazione dell'amministratore giudiziario
- Art. 36 D.Lgs. 209/2005 — Articolo abrogato
- Art. 36 D.Lgs. 42/2004 — Erogazione del contributo
- Art. 36 CAD — Revoca e sospensione dei certificati qualificati
Commento
Il sistema degli organismi notificati nell'AI Act
Gli organismi notificati sono soggetti terzi accreditati dagli Stati membri che svolgono la valutazione di conformità dei sistemi di IA ad alto rischio rientranti nella prima categoria dell'art. 6, par. 1 (componenti di sicurezza disciplinati dall'allegato I). Rappresentano un nodo critico dell'infrastruttura di conformità del regolamento: senza un organismo notificato accreditato e funzionante, molti fornitori non possono portare i propri prodotti sul mercato europeo.
L'articolo 36 disciplina la gestione delle modifiche che intervengono nel tempo sulla notifica — la designazione formale dell'organismo da parte dell'autorità nazionale competente. Regola sia le modifiche volontarie (l'organismo che cessa le attività o ne riduce la portata) sia quelle sanzionatorie (l'autorità che interviene per inadempimento). La norma ha un'importanza pratica diretta per i fornitori di sistemi di IA ad alto rischio: il cambiamento di organismo notificato impatta direttamente sulla validità dei loro certificati e sulla continuità del percorso di conformità.
Estensioni della portata e modifiche minori
Il par. 2 introduce una distinzione tra due tipi di modifica della notifica. Le estensioni della portata — ossia l'aggiunta di nuove categorie di prodotti o di sistemi di IA all'ambito di valutazione dell'organismo — richiedono di ripercorrere le procedure complete degli artt. 29 e 30: verifica dei requisiti dell'organismo (art. 31), valutazione delle capacità tecniche, notifica alla Commissione. Si tratta in sostanza di una nuova designazione parziale.
Le altre modifiche — ad esempio variazioni organizzative interne, cambi di sede, aggiornamenti del personale, modifiche dei processi di valutazione che non ampliano la portata — seguono invece la procedura alleggerita dei parr. 3-9. Questa distinzione evita di gravare gli organismi con procedure amministrative onerose per cambiamenti non sostanziali, mantenendo al contempo la supervisione delle autorità di notifica e della Commissione.
La cessazione programmata delle attività
Il par. 3 disciplina il caso in cui un organismo notificato decida di cessare le attività di valutazione della conformità. Il regolamento impone due obblighi: informare l'autorità di notifica e i fornitori interessati «quanto prima possibile», comunque con almeno un anno di preavviso se la cessazione è programmata. Il preavviso annuale è pensato per consentire ai fornitori di organizzarsi: individuare un nuovo organismo notificato, avviare le procedure di trasferimento dei certificati e, se necessario, aggiornare la documentazione tecnica.
I certificati rilasciati dall'organismo che cessa possono restare validi per un periodo transitorio di nove mesi dopo la cessazione delle attività, a condizione che un altro organismo notificato abbia confermato per iscritto di assumerne la responsabilità per i sistemi coperti. Quest'ultimo organismo deve completare la valutazione integrale dei sistemi coinvolti entro la fine del periodo di nove mesi, prima di rilasciare nuovi certificati. Se la cessazione avviene senza preavviso o senza che un organismo subentrante sia disponibile, l'autorità di notifica ritira la designazione.
Limitazione, sospensione e ritiro per inadempimento
I parr. 4 e ss. disciplinano il caso più delicato: l'intervento dell'autorità di notifica a fronte di un organismo che non soddisfa più i requisiti del'art. 31 o non adempie ai propri obblighi. L'autorità ha l'obbligo di indagare «senza ritardo e con la massima diligenza», informando l'organismo delle obiezioni e consentendogli di presentare le proprie controdeduzioni prima di adottare qualsiasi misura. Questo contraddittorio preventivo è un presidio di garanzia fondamentale.
Se l'indagine conferma l'inadempimento, l'autorità può adottare tre tipi di misure proporzionate alla gravità: limitazione della designazione (riduzione dell'ambito di attività), sospensione temporanea (interruzione delle attività per un periodo determinato) o ritiro definitivo della designazione. Tutte e tre le misure devono essere comunicate immediatamente alla Commissione e agli altri Stati membri, garantendo la trasparenza a livello europeo. L'organismo deve informare i fornitori interessati entro dieci giorni dalla sospensione, limitazione o ritiro.
La sorte dei certificati in caso di modifica della designazione
La questione più rilevante per i fornitori è la sorte dei certificati già rilasciati dall'organismo la cui designazione è stata modificata. Il regolamento prevede regimi differenziati a seconda del tipo di modifica.
In caso di sospensione o limitazione (par. 8), i certificati restano validi se: (a) l'autorità di notifica conferma entro un mese che non sussistono rischi per salute, sicurezza o diritti fondamentali e predispone un calendario di azioni, oppure (b) l'autorità conferma che durante la sospensione non saranno rilasciati nuovi certificati e l'organismo può continuare a monitorare quelli esistenti; se l'organismo non è in grado di farlo, il fornitore deve confermare entro tre mesi che un altro organismo qualificato assume temporaneamente le funzioni.
In caso di ritiro (par. 9), i certificati restano validi per nove mesi se l'autorità nazionale conferma l'assenza di rischi per i sistemi interessati e un altro organismo notificato ha confermato per iscritto di assumerne la responsabilità, completando la valutazione entro dodici mesi dal ritiro. L'autorità nazionale può prorogare la validità temporanea di ulteriori tre mesi alla volta, per un massimo complessivo di dodici mesi. Tutte le informazioni devono essere comunicate immediatamente alla Commissione, agli altri Stati membri e agli altri organismi notificati.
Implicazioni per i fornitori di sistemi di IA ad alto rischio
Per i fornitori che si affidano a organismi notificati per la valutazione di conformità, l'art. 36 impone un monitoraggio attivo dello stato di designazione del proprio organismo. In pratica: (1) verificate periodicamente che il vostro organismo notificato sia ancora attivo e che la sua designazione non sia stata limitata, sospesa o ritirata (le informazioni sono disponibili nella banca dati NANDO della Commissione e nello strumento elettronico di cui all'art. 30); (2) in caso di avvio di una procedura di modifica della designazione, attivatevi immediatamente per individuare un organismo subentrante, anche prima che la procedura si concluda; (3) conservate copia di tutta la corrispondenza con l'organismo notificato e verificate che le condizioni di validità transitoria dei certificati siano soddisfatte. La perdita improvvisa di un certificato valido può bloccare la commercializzazione del prodotto nell'Unione europea.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Come faccio a sapere se il mio organismo notificato è ancora attivo e la sua designazione è valida?
Le informazioni sugli organismi notificati sono disponibili nella banca dati NANDO (New Approach Notified and Designated Organisations) della Commissione europea, aggiornata in tempo reale. Per i sistemi di IA, le informazioni saranno disponibili anche tramite lo strumento elettronico di notifica di cui all'art. 30, par. 2. Monitorate periodicamente lo stato della designazione del vostro organismo, specialmente in prossimità delle scadenze di rinnovo dei certificati.
Il mio certificato è ancora valido se l'organismo notificato che lo ha rilasciato ha sospeso le attività?
Dipende dalle circostanze. In caso di sospensione della designazione, il certificato resta valido se: (a) l'autorità di notifica conferma entro un mese l'assenza di rischi e predispone un piano di azioni, oppure (b) un altro organismo qualificato assume temporaneamente le funzioni di monitoraggio. Verificate sempre cosa ha dichiarato l'autorità di notifica nel proprio atto di sospensione.
Cosa devo fare se il mio organismo notificato annuncia la cessazione delle attività?
Attivatevi immediatamente: individuate un organismo notificato alternativo accreditato per il vostro tipo di sistema, concordate il trasferimento della documentazione tecnica e avviate le procedure di valutazione con il nuovo organismo. Il regolamento concede nove mesi di validità transitoria al certificato, ma questo termine può essere insufficiente se non iniziate subito il processo di trasferimento.
L'organismo notificato ha l'obbligo di informarmi se la sua designazione viene modificata?
Sì. In caso di sospensione, limitazione o ritiro della designazione, l'organismo notificato deve informare i fornitori interessati al più tardi entro dieci giorni (par. 5). Tuttavia, in situazioni di urgenza o di ritiro improvviso, questo termine potrebbe non essere sufficiente: è prudente monitorare autonomamente lo stato della designazione tramite le banche dati ufficiali.
Posso continuare a commercializzare il mio sistema di IA ad alto rischio durante il periodo di transizione dopo il ritiro della designazione?
Sì, purché siano soddisfatte le condizioni del par. 9: l'autorità nazionale deve aver confermato l'assenza di rischi per i sistemi coperti dal certificato, e un altro organismo notificato deve aver confermato per iscritto di assumerne la responsabilità completando la valutazione entro dodici mesi. Il periodo di validità transitoria è di nove mesi, prorogabile di tre mesi alla volta per un massimo totale di dodici mesi.
Vedi anche