- L'autorità di vigilanza del mercato può accertare una «non conformità formale» quando il sistema di IA ad alto rischio presenta vizi documentali o di marcatura, indipendentemente dalla sua pericolosità tecnica intrinseca.
- I vizi formali rilevanti includono: apposizione irregolare della marcatura CE, mancanza della marcatura CE, assenza o redazione scorretta della dichiarazione di conformità UE, mancata registrazione nella banca dati UE, assenza del rappresentante autorizzato, documentazione tecnica non disponibile.
- In caso di non conformità formale, l'autorità concede al fornitore un termine per sanarla; se il vizio persiste, può limitare o vietare la messa a disposizione del sistema sul mercato, o disporne il richiamo o il ritiro.
- Le misure correttive devono essere «appropriate e proporzionate»: la gravità del vizio formale incide sull'intensità dell'intervento dell'autorità.
Testo dell'articoloVigente
Art. 83 Reg. (UE) 2024/1689 — Non conformità formale
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. L'autorità di vigilanza del mercato di uno Stato membro chiede al fornitore pertinente, entro un termine che essa può prescrivere, di porre fine alla contestata non conformità qualora giunga a una delle conclusioni riportate di seguito:
a) la marcatura CE è stata apposta in violazione dell'articolo 48;
b) la marcatura CE non è stata apposta;
c) la dichiarazione di conformità UE di cui all’articolo 47 non è stata redatta;
d) la dichiarazione di conformità UE di cui all’articolo 47 non è stata redatta correttamente;
e) la registrazione nella banca dati dell'UE di cui all’articolo 71 non è stata effettuata;
f) se del caso, non è stato nominato nessun rappresentante autorizzato;
g) la documentazione tecnica non è disponibile.
2. Se la non conformità di cui al paragrafo 1 permane, l'autorità di vigilanza del mercato dello Stato membro interessato adotta misure appropriate e proporzionate per limitare o proibire la messa a disposizione sul mercato del sistema di IA ad alto rischio o per garantire che sia richiamato o ritirato dal mercato senza ritardo.
Stesso numero, altri codici
- Art. 83 Cod. Amb. — acque di balneazione
- Art. 83 D.Lgs. 159/2011 — Ambito di applicazione della documentazione antimafia
- Art. 83 D.Lgs. 209/2005 — Articolo abrogato
- Art. 83 D.Lgs. 42/2004 — Destinazione del bene restituito
- Art. 83 CAD — Articolo abrogato
- Art. 83 Codice Civile: Matrimonio celebrato davanti a ministri dei
Commento
La non conformità formale come categoria autonoma di illecito
L'articolo 83 del Regolamento (UE) 2024/1689 introduce una categoria distinta di violazione dell'AI Act: la non conformità formale. Si tratta di vizi che attengono agli adempimenti documentali, di marcatura e di registrazione richiesti dal regolamento, piuttosto che alla qualità tecnica o alla sicurezza intrinseca del sistema di IA. L'utilità di questa categoria autonoma è duplice: da un lato, consente alle autorità di vigilanza di intervenire in modo rapido e standardizzato quando rilevano vizi formali facilmente accertabili; dall'altro, invia un segnale chiaro ai fornitori che gli obblighi documentali non sono «burocrazia di secondo piano» ma elementi costitutivi della conformità, la cui violazione è sanzionabile.
La norma si inserisce in un solco già consolidato nella legislazione europea sui prodotti: analoghe disposizioni esistono, ad esempio, nel Regolamento (CE) n. 765/2008 sulla vigilanza del mercato e nella Direttiva 2006/42/CE sulle macchine. L'AI Act replica questo schema adattandolo al settore dei sistemi di IA ad alto rischio.
Il catalogo dei vizi formali (par. 1)
Il paragrafo 1 elenca sette tipologie di non conformità formale che legittimano l'intervento dell'autorità di vigilanza. Vale la pena analizzarle singolarmente, poiché ciascuna corrisponde a un obbligo preciso del regolamento la cui violazione è autonomamente rilevante.
La prima tipologia (lett. a) riguarda la marcatura CE apposta in violazione dell'art. 48: si tratta del caso in cui il fornitore ha apposto la marcatura CE senza aver completato la procedura di conformità richiesta, o in assenza dei presupposti. La seconda tipologia (lett. b) riguarda invece l'omissione totale della marcatura CE su un sistema che avrebbe dovuto recarla. La terza e quarta tipologia (lett. c e d) riguardano la dichiarazione di conformità UE ex art. 47: rispettivamente, la sua mancata redazione e la sua redazione scorretta (ad esempio, con dati incompleti o non conformi al modello prescritto). La quinta tipologia (lett. e) riguarda la mancata registrazione nella banca dati UE degli sistemi di IA ad alto rischio ex art. 71, strumento fondamentale per la trasparenza e la vigilanza del mercato. La sesta tipologia (lett. f) riguarda la mancata nomina del rappresentante autorizzato ex art. 22 per i fornitori extra-UE. La settima tipologia (lett. g) riguarda la documentazione tecnica non disponibile — sia nel senso della mancata redazione sia in quello della mancata messa a disposizione dell'autorità su richiesta.
La procedura di intervento: termine e misure (par. 2)
La procedura disciplinata dall'art. 83 è articolata in due fasi sequenziali. Nella prima fase, l'autorità di vigilanza del mercato che accerta una non conformità formale «chiede al fornitore pertinente di porre fine alla contestata non conformità entro un termine che essa può prescrivere». Il termine non è prefissato dalla norma ma determinato dall'autorità caso per caso: questo consente di calibrare il tempo concesso in base alla natura del vizio (una mancanza documentale è normalmente sanabile più rapidamente di un problema strutturale).
La seconda fase si attiva solo se la non conformità persiste dopo la scadenza del termine concesso. In tal caso, l'autorità adotta «misure appropriate e proporzionate» per: limitare o proibire la messa a disposizione sul mercato del sistema, oppure garantirne il richiamo o il ritiro senza ritardo. Il principio di proporzionalità vincola la scelta tra queste misure: non è automaticamente legittimo disporre il ritiro dal mercato per un vizio formale che il fornitore avrebbe potuto sanare con un minimo sforzo, mentre il divieto di ulteriore commercializzazione può essere giustificato in presenza di vizi gravi e persistenti.
Distinzione dalla non conformità sostanziale
È importante distinguere la non conformità formale disciplinata dall'art. 83 dalla non conformità «sostanziale» (o materiale), che riguarda il mancato rispetto dei requisiti tecnici degli artt. 9-15. Le due procedure sono distinte: la non conformità sostanziale è disciplinata dagli artt. 79-82, che prevedono un iter più articolato con coinvolgimento delle autorità degli altri Stati membri e, in certi casi, della Commissione. La non conformità formale dell'art. 83 è invece concepita come procedura più rapida e snella, proprio perché i vizi formali sono più facilmente accertabili e sanabili.
Nella pratica, le due tipologie possono concorrere: un sistema che non rispetta i requisiti tecnici dell'art. 10 (governance dei dati) potrebbe anche mancare della documentazione tecnica (art. 83, lett. g) che dovrebbe descrivere le misure adottate per la gestione dei dati. In tal caso, l'autorità può avviare parallelamente entrambe le procedure.
Implicazioni per i piani di conformità dei fornitori
L'art. 83 impone di trattare gli adempimenti documentali e di marcatura con la stessa serietà dei requisiti tecnici. Una checklist pre-lancio deve verificare: (1) procedura di valutazione della conformità completata e marcatura CE apposta correttamente; (2) dichiarazione di conformità UE redatta ex art. 47; (3) registrazione nella banca dati UE ex art. 71; (4) nomina del rappresentante autorizzato nell'UE (per i fornitori extra-UE); (5) documentazione tecnica pronta per la trasmissione all'autorità su richiesta. La scadenza generale per i sistemi ad alto rischio è il 2 agosto 2026.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Qual è la differenza tra non conformità formale (art. 83) e non conformità sostanziale nell'AI Act?
La non conformità formale (art. 83) riguarda vizi documentali, di marcatura o di registrazione: mancanza della marcatura CE, dichiarazione di conformità assente o scorretta, mancata registrazione nella banca dati UE, documentazione tecnica non disponibile, ecc. La non conformità sostanziale riguarda invece il mancato rispetto dei requisiti tecnici e organizzativi degli artt. 9-15 (governance dei dati, robustezza, trasparenza, supervisione umana, ecc.). Le due procedure sono distinte, ma possono concorrere.
Cosa può fare l'autorità di vigilanza se un fornitore non risponde entro il termine concesso ex art. 83?
Se la non conformità formale persiste dopo la scadenza del termine concesso dall'autorità, quest'ultima adotta misure appropriate e proporzionate per: limitare o proibire la messa a disposizione sul mercato del sistema di IA ad alto rischio, oppure garantire che il sistema sia richiamato o ritirato dal mercato senza ritardo. Il principio di proporzionalità impone di calibrare la misura alla gravità e alla natura del vizio.
La marcatura CE di un sistema di IA ad alto rischio è sempre obbligatoria?
Sì, per i sistemi di IA ad alto rischio immessi sul mercato UE. La marcatura CE attesta che il sistema ha superato la procedura di valutazione della conformità richiesta (autovalutazione o valutazione di terza parte da parte di un organismo notificato, a seconda dei casi) e che soddisfa i requisiti del regolamento. L'apposizione della marcatura senza aver completato la procedura corretta costituisce essa stessa una non conformità formale ai sensi dell'art. 83, lett. a.
La banca dati UE dei sistemi di IA ad alto rischio è pubblica?
Sì, almeno in parte. L'art. 71 prevede che la banca dati EU-IA sia accessibile al pubblico, sebbene alcune informazioni commercialmente sensibili possano essere protette. La registrazione è obbligatoria per i fornitori di sistemi di IA ad alto rischio prima dell'immissione sul mercato o della messa in servizio. La mancata registrazione costituisce non conformità formale ex art. 83, lett. e.
Un deployer può essere soggetto alle misure previste dall'art. 83?
L'art. 83 si riferisce espressamente al 'fornitore pertinente' come destinatario della richiesta dell'autorità. Gli obblighi di marcatura, documentazione tecnica e registrazione nella banca dati UE gravano principalmente sul fornitore. Il deployer ha obblighi distinti (supervisione umana, gestione dei log, segnalazione degli incidenti), il cui inadempimento è disciplinato da altre disposizioni del regolamento. Tuttavia, se il deployer ha assunto obblighi del fornitore per effetto di modifiche sostanziali del sistema, può essere soggetto anch'esso agli obblighi e alle relative procedure di vigilanza.
Vedi anche