- Ogni Stato membro deve istituire almeno uno spazio di sperimentazione normativa per l'IA (AI regulatory sandbox) a livello nazionale, operativo entro il 2 agosto 2026.
- Il sandbox offre un ambiente controllato in cui i fornitori o potenziali fornitori possono sviluppare, addestrare, testare e convalidare sistemi di IA innovativi per un periodo limitato, prima dell'immissione sul mercato.
- I partecipanti al sandbox che rispettano il piano concordato e seguono gli orientamenti dell'autorità non subiscono sanzioni amministrative per le violazioni che emergono durante la sperimentazione.
- Al termine, l'autorità rilascia una relazione di uscita e una prova scritta delle attività, utilizzabili per accelerare le successive procedure di valutazione della conformità.
- Il GEPD può istituire sandbox per le istituzioni e organi dell'UE, e possono essere costituiti sandbox transfrontalieri tra più Stati membri.
- I partecipanti restano responsabili civilmente per danni arrecati a terzi durante la sperimentazione, indipendentemente dall'esenzione sanzionatoria.
Testo dell'articoloVigente
Art. 57 Reg. (UE) 2024/1689 — Spazi di sperimentazione normativa per l’IA
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. Gli Stati membri provvedono affinché le loro autorità competenti istituiscano almeno uno spazio di sperimentazione normativa per l'IA a livello nazionale, che sia operativo entro il 2 agosto 2026. Tale spazio di sperimentazione può essere inoltre istituito congiuntamente con le autorità competenti di altri Stati membri. La Commissione può fornire assistenza tecnica, consulenza e strumenti per l'istituzione e il funzionamento degli spazi di sperimentazione normativa per l'IA. L'obbligo di cui al primo comma può essere soddisfatto anche partecipando a uno spazio di sperimentazione esistente nella misura in cui tale partecipazione fornisca un livello equivalente di copertura nazionale per gli Stati membri partecipanti.
2. Possono essere altresì istituiti ulteriori spazi di sperimentazione normativa per l'IA a livello regionale o locale, o congiuntamente con le autorità competenti di altri Stati membri.
3. Il Garante europeo della protezione dei dati può inoltre istituire uno spazio di sperimentazione normativa per l'IA per le istituzioni, gli organi e gli organismi dell'Unione e può esercitare i ruoli e i compiti delle autorità nazionali competenti conformemente al presente capo.
4. Gli Stati membri provvedono affinché le autorità competenti di cui ai paragrafi 1 e 2 assegnino risorse sufficienti per conformarsi al presente articolo in maniera efficace e tempestiva. Se del caso, le autorità nazionali competenti cooperano con altre autorità pertinenti e possono consentire il coinvolgimento di altri attori all'interno dell'ecosistema dell'IA. Il presente articolo lascia impregiudicati gli altri spazi di sperimentazione normativa istituiti a norma del diritto dell'Unione o nazionale. Gli Stati membri garantiscono un livello adeguato di cooperazione tra le autorità che controllano tali altri spazi di sperimentazione e le autorità nazionali competenti.
5. Gli spazi di sperimentazione normativa per l'IA istituiti a norma del paragrafo 1 garantiscono un ambiente controllato che promuove l'innovazione e facilita lo sviluppo, l'addestramento, la sperimentazione e la convalida di sistemi di IA innovativi per un periodo di tempo limitato prima della loro immissione sul mercato o della loro messa in servizio conformemente a un piano specifico dello spazio di sperimentazione concordato tra i fornitori o i potenziali fornitori e l’autorità competente. Tali spazi di sperimentazione possono comprendere prove in condizioni reali soggette a controllo nei medesimi spazi.
6. Le autorità competenti, se del caso, forniscono orientamenti e garantiscono il controllo e il sostegno nell’ambito dello spazio di sperimentazione normativa per l’IA al fine di individuare i rischi, in particolare per quanto riguarda i diritti fondamentali, la salute e la sicurezza, le prove, le misure di attenuazione e la loro efficacia, in relazione agli obblighi e ai requisiti del presente regolamento e, se del caso, di altre disposizioni del diritto dell’Unione e nazionale, la conformità ai quali è soggetta a controllo nell'ambito dello spazio di sperimentazione.
7. Le autorità competenti forniscono ai fornitori e ai potenziali fornitori che partecipano allo spazio di sperimentazione normativa per l'IA orientamenti sulle aspettative normative e sulle modalità per soddisfare i requisiti e gli obblighi di cui al presente regolamento. Su richiesta del fornitore o del potenziale fornitore del sistema di IA, l'autorità competente fornisce una prova scritta delle attività svolte con successo nello spazio di sperimentazione. L'autorità competente fornisce inoltre una relazione di uscita che illustra in dettaglio le attività svolte nello spazio di sperimentazione e i relativi risultati e le conclusioni dell'apprendimento. I fornitori possono utilizzare tale documentazione per dimostrare la loro conformità al presente regolamento attraverso la procedura di valutazione della conformità o le pertinenti attività di vigilanza del mercato. A tale riguardo, la relazione di uscita e la prova scritta fornite dall'autorità nazionale competente sono prese favorevolmente in considerazione dalle autorità di vigilanza del mercato e dagli organismi notificati, al fine di accelerare le procedure di valutazione della conformità in misura ragionevole.
8. Fatte salve le disposizioni in materia di riservatezza di cui all'articolo 78, e con l'accordo del fornitore o del potenziale fornitore, la Commissione e il comitato sono autorizzati ad accedere alle relazioni di uscita e ne tengono conto, se del caso, nell'esercizio dei loro compiti a norma del presente regolamento. Se sia il fornitore o il potenziale fornitore sia l'autorità nazionale competente acconsentono esplicitamente, la relazione di uscita può essere messa a disposizione del pubblico attraverso la piattaforma unica di informazione di cui al presente articolo.
9. L'istituzione di spazi di sperimentazione normativa per l'IA mira a contribuire agli obiettivi seguenti:
a) migliorare la certezza del diritto al fine di conseguire la conformità normativa al presente regolamento o, se del caso, ad altre applicabili disposizioni di diritto dell'Unione e nazionale;
b) sostenere la condivisione delle migliori pratiche attraverso la cooperazione con le autorità coinvolte nello spazio di sperimentazione normativa per l'IA;
c) promuovere l'innovazione e la competitività e agevolare lo sviluppo di un ecosistema di IA;
d) contribuire all'apprendimento normativo basato su dati concreti;
e) agevolare e accelerare l'accesso al mercato dell'Unione per i sistemi di IA, in particolare se forniti dalle PMI, comprese le start-up.
10. Le autorità nazionali competenti garantiscono che, nella misura in cui i sistemi di IA innovativi comportano il trattamento di dati personali o rientrano altrimenti nell'ambito di competenza di altre autorità nazionali o autorità competenti che forniscono o sostengono l'accesso ai dati, le autorità nazionali per la protezione dei dati e tali altre autorità nazionali o competenti siano associate al funzionamento dello spazio di sperimentazione normativa per l'IA e partecipino al controllo di tali aspetti nei limiti dei rispettivi compiti e poteri.
11. Gli spazi di sperimentazione normativa per l'IA non pregiudicano i poteri correttivi o di controllo delle autorità competenti che controllano gli spazi di sperimentazione, anche a livello regionale o locale. Qualsiasi rischio significativo per la salute e la sicurezza e i diritti fondamentali individuato durante lo sviluppo e le prove di tali sistemi di IA comporta adeguate misure di attenuazione. Le autorità nazionali competenti hanno il potere di sospendere, in via temporanea o permanente, il processo di prova o la partecipazione allo spazio di sperimentazione, se non è possibile un'attenuazione efficace, e informano l'ufficio per l'IA di tale decisione. Le autorità nazionali competenti esercitano i loro poteri di controllo entro i limiti del pertinente diritto, utilizzando i loro poteri discrezionali nell'attuazione delle disposizioni giuridiche per quanto riguarda uno specifico progetto di spazio di sperimentazione normativa per l'IA, con l'obiettivo di promuovere l'innovazione nell'IA nell'Unione.
12. I fornitori e i potenziali fornitori partecipanti allo spazio di sperimentazione normativa per l'IA restano responsabili ai sensi del diritto dell'Unione e nazionale applicabile in materia di responsabilità per eventuali danni arrecati a terzi a seguito della sperimentazione che ha luogo nello spazio di sperimentazione. Tuttavia, a condizione che i potenziali fornitori rispettino il piano specifico e i termini e le condizioni di partecipazione e seguano in buona fede gli orientamenti forniti dall'autorità nazionale competente, quest'ultima non infligge alcuna sanzione amministrativa in caso di violazione del presente regolamento. Qualora altre autorità competenti responsabili del diritto dell'Unione e nazionale abbiano partecipato attivamente al controllo del sistema di IA nello spazio di sperimentazione e abbiano fornito orientamenti ai fini della conformità, nessuna sanzione amministrativa pecuniaria è inflitta in relazione a tali disposizioni di diritto.
13. Gli spazi di sperimentazione normativa per l'IA sono progettati e attuati in modo tale da agevolare, se del caso, la cooperazione transfrontaliera tra le autorità nazionali competenti.
14. Le autorità nazionali competenti coordinano le loro attività e cooperano nel quadro del comitato.
15. Le autorità nazionali competenti informano l'ufficio per l'IA e il comitato di uno spazio di sperimentazione e possono chiedere sostegno e orientamenti. L'ufficio per l'IA mette a disposizione del pubblico l'elenco degli spazi di sperimentazione normativa pianificati ed esistenti e lo mantiene aggiornato al fine di incoraggiare una maggiore interazione negli spazi di sperimentazione e nella cooperazione transfrontaliera.
16. Le autorità nazionali competenti presentano relazioni annuali all'ufficio per l'IA e al comitato a decorrere dall'anno successivo all'istituzione dello spazio di sperimentazione normativa per l'IA e successivamente ogni anno fino alla sua cessazione, nonché una relazione definitiva. Tali relazioni contengono informazioni sui progressi e sui risultati dell'attuazione di tali spazi di sperimentazione, comprese le migliori pratiche, gli incidenti, gli insegnamenti tratti e le raccomandazioni sulla loro configurazione e, ove pertinente, sull'applicazione ed eventuale revisione del presente regolamento, inclusi i rispettivi atti delegati e di esecuzione, e sull'applicazione di altre disposizioni di diritto dell'Unione soggette a controllo da parte delle autorità competenti nell'ambito dello spazio di sperimentazione. Le autorità nazionali competenti mettono tali relazioni annuali o estratti delle stesse a disposizione del pubblico online. La Commissione tiene conto, se del caso, delle relazioni annuali nell'esercizio dei suoi compiti a norma del presente regolamento.
17. La Commissione sviluppa un'interfaccia unica e dedicata contenente tutte le informazioni pertinenti relative agli spazi di sperimentazione normativa per l'IA per permettere ai portatori di interessi di interagire con gli spazi di sperimentazione normativa per l'IA e di formulare richieste di informazioni presso le autorità competenti e di chiedere orientamenti non vincolanti sulla conformità di prodotti, servizi e modelli aziendali innovativi che integrano le tecnologie di IA, a norma dell'articolo 62, paragrafo 1, lettera c). La Commissione si coordina proattivamente con le autorità nazionali competenti, se del caso.
Stesso numero, altri codici
- Art. 57 D.Lgs. 504/1995 — Privilegi e prescrizione
- Articolo 57 L. 184/1983: Accertamenti del tribunale in casi particolari
- Art. 57 Cod. Amb. — Presidente del Consiglio dei Ministri, Comitato dei Ministri per gli interventi nel settore della difesa del suolo
- Art. 57 D.Lgs. 159/2011 — Elenco dei crediti. Fissazione dell'udienza di verifica dei crediti
- Art. 57 D.Lgs. 209/2005 — Attività di riassicurazione
- Art. 57 D.Lgs. 42/2004 — Articolo 57
Commento
Che cos'è un AI regulatory sandbox e a cosa serve
L'articolo 57 del Regolamento (UE) 2024/1689 (AI Act) disciplina gli spazi di sperimentazione normativa per l'IA, comunemente noti come «AI regulatory sandbox». Si tratta di ambienti controllati, istituiti e supervisionati dalle autorità nazionali competenti, nei quali imprese e sviluppatori — in particolare fornitori o potenziali fornitori — possono sperimentare sistemi di IA innovativi in condizioni reali o semi-reali, prima di immetterli sul mercato o metterli in servizio.
La ratio della disposizione è chiara: l'innovazione in ambito IA procede a ritmi che il diritto fatica a seguire. Un sistema di conformità troppo rigido, applicato già nelle fasi prototipali di sviluppo, rischierebbe di scoraggiare l'investimento — soprattutto da parte di PMI e start-up — e di spostare lo sviluppo tecnologico fuori dai confini dell'Unione. Il sandbox consente di coniugare due esigenze altrimenti in tensione: permettere la sperimentazione libera in un contesto presidiato e raccogliere dati normativi concreti per orientare l'applicazione futura del Regolamento.
Obbligo degli Stati membri e termine di operatività
Il paragrafo 1 introduce un obbligo vincolante per gli Stati membri: garantire che le autorità competenti istituiscano almeno uno spazio di sperimentazione normativa a livello nazionale, operativo entro il 2 agosto 2026. L'obbligo può essere assolto anche partecipando a un sandbox già esistente in un altro Stato membro, purché ciò garantisca una «copertura nazionale equivalente».
Possono essere istituiti spazi aggiuntivi a livello regionale o locale (par. 2). Il Garante europeo della protezione dei dati (GEPD) può istituire un sandbox specifico per le istituzioni, gli organi e gli organismi dell'Unione (par. 3). Questa pluralità di livelli consente di costruire un ecosistema di sandbox articolato, con autorità diverse coinvolte in funzione del tipo di sistema testato e del contesto istituzionale.
Il termine del 2 agosto 2026 è coerente con il calendario generale dell'art. 113 AI Act, che fissa alla stessa data l'applicabilità della gran parte degli obblighi per i sistemi ad alto rischio. Avere un sandbox operativo entro quella data significa offrire ai fornitori uno strumento di preparazione alla conformità durante la fase di transizione.
Il piano di sperimentazione e il ruolo dell'autorità
L'ammissione al sandbox non è automatica. I fornitori o potenziali fornitori devono concordare con l'autorità competente un piano specifico dello spazio di sperimentazione che definisce: le caratteristiche del sistema testato, gli obiettivi della sperimentazione, le condizioni operative, le misure di attenuazione dei rischi identificati e i criteri di successo o di interruzione (par. 5).
L'autorità competente ha un duplice ruolo: da un lato, fornisce orientamenti sulle aspettative normative e su come soddisfare i requisiti del Regolamento (par. 7); dall'altro, mantiene i propri poteri di controllo e può sospendere o interrompere la sperimentazione se emergi rischi significativi per salute, sicurezza o diritti fondamentali che non possono essere adeguatamente attenuati (par. 11).
Le autorità nazionali per la protezione dei dati e le altre autorità competenti per il diritto settoriale devono essere coinvolte nel funzionamento del sandbox quando i sistemi comportano il trattamento di dati personali o ricadono nella loro sfera di competenza (par. 10). Questo coordinamento è essenziale per evitare che la sperimentazione «in sandbox» diventi una zona franca rispetto all'applicazione del GDPR o di altre normative settoriali.
L'esenzione sanzionatoria: ambito e limiti
Uno degli aspetti più rilevanti sul piano operativo è l'esenzione dalle sanzioni amministrative prevista dal paragrafo 12. Condizioni cumulative per beneficiarne:
Se queste condizioni sono soddisfatte, l'autorità non infligge sanzioni amministrative per violazioni del Regolamento che emergono durante la sperimentazione. Analogamente, se altre autorità competenti hanno partecipato attivamente al controllo e hanno fornito orientamenti, nessuna sanzione pecuniaria è inflitta per le disposizioni di diritto che quelle autorità hanno supervisionato.
Attenzione: l'esenzione sanzionatoria non elimina la responsabilità civile per danni a terzi. Il par. 12 è esplicito: i partecipanti restano responsabili ai sensi del diritto dell'Unione e nazionale applicabile in materia di responsabilità civile per eventuali danni arrecati a terzi nel corso della sperimentazione. Il sandbox non è una zona di immunità, ma una zona di sperimentazione sorvegliata con esenzione dalle sanzioni pubbliche, non da quelle civili.
Documentazione di uscita e accelerazione della conformità
Al termine della partecipazione al sandbox, l'autorità competente rilascia due documenti di rilevante valore pratico (par. 7):
Questi documenti possono essere utilizzati dal fornitore per dimostrare la propria conformità nelle successive procedure di valutazione della conformità (artt. 43-44 AI Act) o nell'ambito delle attività di vigilanza del mercato. Le autorità di vigilanza e gli organismi notificati sono tenuti a «prendere favorevolmente in considerazione» tali documenti, accelerando le procedure di valutazione in misura ragionevole. Si tratta di un incentivo concreto alla partecipazione al sandbox: non solo si sperimenta in sicurezza, ma si ottengono credenziali riconoscibili che velocizzano la successiva conformità.
Obiettivi del sandbox e dimensione europea
Il paragrafo 9 elenca gli obiettivi istituzionali degli spazi di sperimentazione: migliorare la certezza del diritto, favorire la condivisione delle best practice tra autorità, promuovere l'innovazione, contribuire all'apprendimento normativo basato su dati concreti, e agevolare l'accesso al mercato dell'UE soprattutto per PMI e start-up. Quest'ultimo obiettivo ha un valore di policy rilevante: il sandbox è pensato anche come strumento di politica industriale per ridurre le barriere all'ingresso per i soggetti con minore capacità di strutturare processi di compliance complessi.
La dimensione europea è rafforzata dall'obbligo di cooperazione transfrontaliera (par. 13) e dalla previsione che la Commissione sviluppi un'interfaccia unica dedicata per consentire agli stakeholder di interagire con tutti gli spazi di sperimentazione dell'Unione (par. 17). La Commissione pubblica e aggiorna l'elenco degli spazi di sperimentazione pianificati ed esistenti.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Entro quando devono essere operativi gli AI regulatory sandbox negli Stati membri?
Il par. 1 dell'art. 57 impone agli Stati membri di garantire l'operatività di almeno uno spazio di sperimentazione normativa per l'IA a livello nazionale entro il 2 agosto 2026, data che coincide con la piena applicabilità degli obblighi per i sistemi di IA ad alto rischio ai sensi dell'art. 113 AI Act.
Chi può accedere al sandbox e come si avvia la partecipazione?
I soggetti che possono accedere al sandbox sono i fornitori e i potenziali fornitori di sistemi di IA. L'accesso non è automatico: il fornitore deve concordare con l'autorità nazionale competente un piano specifico di sperimentazione che definisce gli obiettivi, le condizioni operative e le misure di attenuazione dei rischi. L'autorità fornisce orientamenti durante tutta la durata della sperimentazione.
Chi partecipa al sandbox è esonerato da tutte le sanzioni?
No. L'esenzione sanzionatoria prevista dal par. 12 riguarda le sanzioni amministrative per violazioni del Regolamento che emergono durante la sperimentazione, a condizione che il partecipante rispetti il piano, i termini di partecipazione e gli orientamenti dell'autorità in buona fede. La responsabilità civile per danni a terzi resta intatta: il sandbox non elimina l'obbligo di risarcire i danni eventualmente causati.
I documenti prodotti nel sandbox hanno valore nelle successive procedure di conformità?
Sì. La relazione di uscita e la prova scritta rilasciate dall'autorità al termine del sandbox devono essere «prese favorevolmente in considerazione» dalle autorità di vigilanza del mercato e dagli organismi notificati nelle procedure di valutazione della conformità, accelerando tali procedure in misura ragionevole.
Il GDPR si applica durante la sperimentazione nel sandbox?
Sì. Il par. 10 dell'art. 57 prevede espressamente che, quando i sistemi testati comportano il trattamento di dati personali, le autorità nazionali per la protezione dei dati siano associate al funzionamento del sandbox. Il sandbox non costituisce una deroga al GDPR: le garanzie in materia di protezione dei dati si applicano integralmente durante la sperimentazione.
Vedi anche