Che cosa disciplina l’articolo 16 e a chi si applica
L’articolo 16 del regolamento (UE) 2024/1689 elenca gli obblighi dei fornitori di sistemi di intelligenza artificiale ad alto rischio. Non è un elenco autonomo di tutti i requisiti tecnici applicabili al sistema: stabilisce chi deve garantirne la conformità e quali attività organizzative e documentali spettano al fornitore, insieme agli altri obblighi previsti dal regolamento.
Il primo passo è identificare correttamente il ruolo dell’organizzazione. L’articolo 16 si rivolge al fornitore, mentre l’articolo 26 disciplina gli obblighi del deployer, cioè di chi utilizza il sistema sotto la propria autorità. L’articolo 25 prevede casi in cui altre entità possono essere considerate fornitori, per esempio in seguito a determinate modifiche o a un cambiamento di funzione. La denominazione usata nel contratto, da sola, non determina quindi il ruolo giuridico dell’impresa.
Gli otto obblighi del fornitore
L’articolo 16 contiene otto lettere. In sintesi, il fornitore deve garantire che il sistema soddisfi i requisiti applicabili della sezione 2 del capo III; indicare il proprio nome o marchio e un indirizzo di contatto; predisporre un sistema di gestione della qualità; conservare la documentazione pertinente; conservare i log generati automaticamente quando sono sotto il suo controllo; completare la procedura di valutazione della conformità applicabile; redigere la dichiarazione UE di conformità e apporre la marcatura CE; adempiere agli obblighi di registrazione previsti.
Per definire il contenuto di ciascun compito, la disposizione rinvia ad altri articoli. Per esempio, il contenuto e la conservazione della documentazione tecnica sono specificati dall’articolo 11 e dall’allegato IV; la gestione della qualità dall’articolo 17; la valutazione della conformità dall’articolo 43; la dichiarazione e la marcatura dagli articoli 47 e 48. L’articolo 16, quindi, non sostituisce tali disposizioni: attribuisce le responsabilità al fornitore.
Obbligo e prova da poter reperire
| Articolo 16 | Controllo o prova verificabile |
|---|---|
| a) Conformità ai requisiti applicabili | Matrice che collega i requisiti applicabili alle prove, ai responsabili e allo stato della verifica. |
| b) Identificazione e contatti | Nome o marchio e indirizzo di contatto indicati sul sistema, sull’imballaggio o nella documentazione, secondo i casi. |
| c) Gestione della qualità | Procedure e registrazioni che attestano il sistema richiesto dall’articolo 17. |
| d) Documentazione tecnica | Fascicolo aggiornato secondo l’articolo 11 e l’allegato IV, con controllo delle versioni. |
| e) Log automatici | Politica di conservazione e accesso, con prove di quali log siano sotto il controllo del fornitore. |
| f) Valutazione della conformità | Fascicolo e risultato della valutazione applicabile, con le azioni correttive documentate. |
| g) Dichiarazione e marcatura CE | Dichiarazione UE di conformità e prova della marcatura secondo gli articoli pertinenti. |
| h) Registrazione | Prova della registrazione richiesta e dati coerenti con la versione immessa sul mercato. |
Come trasformare gli obblighi in controlli dimostrabili
L’articolo 16 non prescrive uno strumento di gestione, un formato unico per il fascicolo o un modello tecnico specifico. Le prove di conformità vanno organizzate attorno al singolo obbligo e alle disposizioni richiamate. Una matrice di tracciabilità utile indica ogni requisito, il documento o controllo che lo supporta, il responsabile, la data di revisione e gli eventuali limiti ancora da risolvere.
La documentazione deve riferirsi alla versione effettivamente immessa sul mercato. Un fascicolo adeguato per una versione precedente potrebbe non bastare dopo modifiche alla progettazione, ai dati, alla finalità prevista o ai componenti. Il team dovrebbe mantenere un processo di controllo delle modifiche per stabilire quando rivedere prove, documentazione, valutazione della conformità e registrazione. Si tratta di una raccomandazione operativa: l’articolo 16 attribuisce gli obblighi, ma non definisce da solo il flusso interno di progettazione.
Ciclo pratico di verifica
Processo consigliato per organizzare le prove, senza confonderlo con una sequenza imposta alla lettera dall’articolo 16.
- 01Stabilire chi agisce come fornitore per ciascun sistema e ciascuna versione; documentare gli eventuali cambiamenti di ruolo secondo il regolamento.
- 02Aprire una matrice delle otto lettere dell’articolo 16 e collegare ciascuna agli articoli complementari e alle relative prove.
- 03Verificare che documentazione tecnica, log, dichiarazione, marcatura e dati di registrazione si riferiscano alla stessa versione e alla stessa finalità prevista.
- 04Assegnare responsabili e date di revisione; registrare carenze, decisioni e azioni correttive.
- 05Prima di immettere sul mercato il sistema o di modificarlo in modo sostanziale, verificare quali obblighi e procedure debbano essere aggiornati.
Fornitore e deployer: ripartizione dei compiti
L’articolo 16 attribuisce al fornitore compiti legati alla conformità del sistema prima e durante la sua immissione sul mercato o messa in servizio, compresi la documentazione, la valutazione della conformità e l’eventuale registrazione. L’articolo 26 riguarda chi impiega il sistema. Tra i suoi obblighi figurano utilizzarlo secondo le istruzioni per l’uso, affidare la sorveglianza umana a persone competenti e autorizzate, monitorarne il funzionamento e, quando opportuno, sospenderne l’uso e segnalare i rischi o gli incidenti secondo il regolamento.
La ripartizione non implica che le informazioni circolino automaticamente né che ogni responsabilità ricada su una sola parte. Nei casi applicabili, il fornitore deve mettere a disposizione le istruzioni e le informazioni necessarie; il deployer deve utilizzare il sistema conformemente a tali indicazioni e adempiere ai propri obblighi. Nei contratti e nelle procedure per gli incidenti è utile definire canali, responsabili, scadenze interne e dati minimi necessari per segnalare i problemi, senza presentare gli accordi privati come sostitutivi degli obblighi di legge.
Ripartizione operativa indicativa
| Fornitore — articolo 16 | Deployer — articolo 26 |
|---|---|
| Garantisce che il sistema soddisfi i requisiti applicabili e completa i compiti di conformità di propria competenza. | Utilizza il sistema secondo le istruzioni e ne controlla l’impiego nel contesto reale. |
| Mantiene la documentazione tecnica e il sistema di gestione della qualità richiesti. | Assegna una sorveglianza umana adeguata e assicura competenza e autorità per intervenire. |
| Adempie agli obblighi applicabili di identificazione, dichiarazione, marcatura e registrazione. | Monitora il funzionamento, conserva i log sotto il proprio controllo e interviene in caso di rischi secondo il regolamento. |
| Gestisce gli obblighi di comunicazione e cooperazione previsti dal regolamento. | Segnala gli incidenti o i rischi ai soggetti pertinenti e può avere propri obblighi informativi. |
Sorveglianza, log e incidenti: evitare attribuzioni imprecise
L’articolo 16 distingue l’obbligo di conservare i log generati automaticamente quando sono sotto il controllo del fornitore da altri compiti di sorveglianza o segnalazione disciplinati da disposizioni correlate. Non è corretto riassumere tutto come un obbligo generale e identico di «monitorare» l’uso in qualunque contesto: l’articolo 26 impone obblighi operativi al deployer, mentre gli obblighi del fornitore vanno ricostruiti leggendo l’articolo 16 insieme alle altre disposizioni del regolamento.
La segnalazione degli incidenti gravi e la cooperazione con le autorità sono disciplinate da altri articoli. L’articolo 16, da solo, non contiene la procedura completa, i destinatari né tutte le scadenze. Il fornitore dovrebbe mappare i rinvii normativi applicabili, predisporre un canale di escalation e conservare le prove delle comunicazioni richieste. Se l’applicabilità di un obbligo dipende da circostanze specifiche, va verificata sul testo completo e vigente, non dedotta da una checklist generica.
Date di applicazione e sanzioni: verificare prima di pianificare
Il regolamento (UE) 2024/1689 è entrato in vigore il 1º agosto 2024 e prevede un’applicazione graduale. L’applicazione generale è prevista dal 2 agosto 2026, mentre determinati capi e disposizioni si applicano prima o dopo secondo il calendario dell’articolo 113 e le relative modifiche. Per un sistema specifico, la data esatta va verificata insieme alle disposizioni transitorie e alla categoria pertinente: non è prudente presumere che tutti gli obblighi dell’articolo 16 inizino contemporaneamente per ogni sistema.
L’articolo 99 prevede sanzioni amministrative per le violazioni del regolamento, con massimali che variano in funzione dell’infrazione e che, per le imprese, possono essere espressi come importo fisso o come percentuale del fatturato mondiale annuo totale dell’esercizio precedente. Quando l’articolo lo prevede, si applica l’importo più elevato. Non tutte le violazioni dell’articolo 16 comportano necessariamente lo stesso massimale. L’autorità competente deve considerare le circostanze e i criteri previsti dal regolamento. Prima di usare una cifra per una decisione aziendale, occorre verificare la categoria esatta della violazione, la disposizione sanzionatoria applicabile e le eventuali norme speciali pertinenti.
Checklist di conformità ed errori frequenti
Una verifica efficace deve distinguere ciò che il regolamento impone dalle scelte interne che aiutano a dimostrarne il rispetto. Sono obblighi legali i compiti elencati nell’articolo 16 e i requisiti previsti dagli articoli richiamati. Assegnare un responsabile per ciascuna lettera, usare una matrice delle prove e programmare revisioni periodiche sono invece pratiche consigliate: non vanno presentate come formati prescritti espressamente dall’articolo 16.
È inoltre opportuno evitare tre errori: trattare fornitore e deployer come se fossero lo stesso soggetto; supporre che l’elenco dell’articolo 16 comprenda tutti i requisiti tecnici; attribuire all’articolo 16 date, procedure per gli incidenti o sanzioni disciplinate da altri articoli. La disposizione non impone di per sé un modello o una tecnologia specifici. L’applicabilità dei singoli obblighi dipende dalla configurazione del sistema e dal resto del regolamento.
Checklist finale: obblighi legali e pratiche consigliate
| Verifica | Natura | Prova o azione |
|---|---|---|
| Identificare e documentare il ruolo di fornitore. | Obbligo legale, in base al regolamento e ai fatti. | Analisi delle funzioni, dei contratti, del marchio, delle modifiche e della finalità prevista. |
| Coprire tutte le otto lettere dell’articolo 16. | Obbligo legale. | Matrice con stato, riferimento applicabile e prova reperibile. |
| Mantenere documentazione e sistema di qualità secondo gli articoli specifici. | Obbligo legale; i formati interni possono variare. | Fascicolo con versioni controllate e registrazioni conformi all’articolo 11, all’allegato IV e all’articolo 17. |
| Assegnare un responsabile e una data di revisione a ciascuna prova. | Pratica consigliata. | Matrice RACI o registro interno dei responsabili e delle revisioni. |
| Concordare canali di scambio con i deployer. | Pratica consigliata per agevolare la conformità; non sostituisce gli obblighi legali. | Procedura per richieste, escalation dei rischi e gestione degli incidenti. |
| Verificare il testo vigente prima di approvare il piano, comprese date e sanzioni. | Controllo giuridico consigliato. | Verifica del calendario applicabile e della disposizione sanzionatoria pertinente. |
Verifica pratica prima di chiudere la revisione
Usate queste domande come controllo finale: una risposta negativa o incerta dovrebbe generare un’attività di revisione, non una presunzione di conformità.
- 01È stato identificato il fornitore effettivo per questa versione e per questa finalità prevista?
- 02Ogni obbligo dell’articolo 16 ha una prova aggiornata e un responsabile?
- 03Le prove rinviano agli articoli complementari corretti e non soltanto all’articolo 16?
- 04Sono distinti i controlli del fornitore dagli obblighi del deployer previsti dall’articolo 26?
- 05Date, eccezioni e sanzioni sono state verificate nel testo ufficiale applicabile?
Questioni aperte
- Le fonti fornite comprendono il testo dell’articolo 16 e riferimenti all’articolo 25 e al capo III, ma non link specifici agli articoli 26, 99 e 113. Prima di assumere decisioni giuridiche, il confronto dettagliato, il calendario e le sanzioni devono essere verificati sul testo ufficiale consolidato.
- L’applicazione degli obblighi e delle date può dipendere dalla categoria del sistema, dalle disposizioni transitorie, dalle modifiche normative e dalle circostanze specifiche di commercializzazione o impiego.
- Il controllo dei log, la qualifica di fornitore e gli obblighi di comunicazione dipendono dai fatti e dalle disposizioni applicabili; non si possono determinare sulla sola base della denominazione contrattuale delle parti.
Continua a esplorare
Fonti consultate
Correzioni e trasparenza
Se trovi un dato errato o non aggiornato, inviaci la pagina e la fonte da verificare.
Proponi una correzione