Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull'intelligenza artificiale e modifica i regolamenti (CE) n, 300/2008, (UE) n, 167/2013, (UE) n, 168/2013, (UE) 2018/858, (UE) 2018/1139 e (UE) 2019/2144 e le direttive 2014/90/UE, (UE) 2016/797 e (UE) 2020/1828 (regolamento sull'intelligenza artificiale) (Testo rilevante ai fini del SEE)
Testo vigente
Art. 61 Consenso informato a partecipare a prove in condizioni reali al di fuori degli spazi di sperimentazione normativa per l'IA
1. Ai fini delle prove in condizioni reali a norma dell'articolo 60, il consenso informato dato liberamente dai soggetti delle prove è ottenuto prima della loro partecipazione a tali prove e dopo che sono stati debitamente informati con indicazioni concise, chiare, pertinenti e comprensibili riguardanti:
a) la natura e gli obiettivi delle prove in condizioni reali e i possibili disagi che possono essere connessi alla loro partecipazione;
b) le condizioni alle quali devono essere effettuate le prove in condizioni reali, compresa la durata prevista della partecipazione del soggetto o dei soggetti;
c) i loro diritti e le garanzie riconosciute al soggetto in relazione alla loro partecipazione, in particolare il loro diritto di rifiutarsi di partecipare e il diritto di ritirarsi dalle prove in condizioni reali in qualsiasi momento, senza alcun conseguente pregiudizio e senza dover fornire alcuna giustificazione;
d) le modalità per richiedere che le previsioni, raccomandazioni o decisioni del sistema di IA siano ignorate o ribaltate;
e) il numero di identificazione unico a livello dell'Unione delle prove in condizioni reali conformemente all'articolo 60, paragrafo 4, lettera c), e i dati di contatto del fornitore o del suo rappresentante legale da cui è possibile ottenere ulteriori informazioni.
2. Il consenso informato è datato e documentato e una copia è consegnata ai soggetti delle prove o al loro rappresentante legale.
Art. 62 Misure per i fornitori e i deployer, in particolare le PMI, comprese le start-up
1. Gli Stati membri intraprendono le azioni seguenti:
a) fornire alle PMI, comprese le start-up, con sede legale o una filiale nell'Unione, un accesso prioritario agli spazi di sperimentazione normativa per l'IA nella misura in cui soddisfano le condizioni di ammissibilità e i criteri di selezione; l'accesso prioritario non impedisce ad altre PMI, comprese le start-up, diverse da quelle di cui al presente paragrafo di accedere allo spazio di sperimentazione normativa per l'IA, purché soddisfino anche le condizioni di ammissibilità e i criteri di selezione;
b) organizzare specifiche attività di sensibilizzazione e formazione sull'applicazione del presente regolamento adattate alle esigenze delle PMI, comprese le start-up, dei deployers e, se del caso, delle autorità pubbliche locali;
c) utilizzare i canali dedicati esistenti e, ove opportuno, istituirne di nuovi per la comunicazione con le PMI, comprese le start-up, i deployers, altri innovatori e, se del caso, le autorità pubbliche locali, al fine di fornire consulenza e rispondere alle domande sull'attuazione del presente regolamento, anche per quanto riguarda la partecipazione agli spazi di sperimentazione normativa per l'IA;
d) agevolare la partecipazione delle PMI e di altri portatori di interessi pertinenti al processo di sviluppo della normazione.
2. Nel fissare le tariffe per la valutazione della conformità a norma dell'articolo 43 si tiene conto degli interessi e delle esigenze specifici delle PMI fornitrici, comprese le start-up, riducendo tali tariffe proporzionalmente alle loro dimensioni, alle dimensioni del loro mercato e ad altri indicatori pertinenti.
3. L'ufficio per l'IA intraprende le azioni seguenti:
a) fornire modelli standardizzati per i settori contemplati dal presente regolamento, come specificato dal comitato nella sua richiesta;
b) sviluppare e mantenere una piattaforma unica di informazione che fornisce informazioni di facile uso in relazione al presente regolamento per tutti gli operatori in tutta l'Unione;
c) organizzare adeguate campagne di comunicazione per sensibilizzare in merito agli obblighi derivanti dal presente regolamento;
d) valutare e promuovere la convergenza delle migliori pratiche nelle procedure di appalto pubblico in relazione ai sistemi di IA.
Art. 63 Deroghe per operatori specifici
1. Le PMI, comprese le start-up, possono conformarsi a determinati elementi del sistema di gestione della qualità di cui all'articolo 17 in modo semplificato, purché non abbiano imprese associate o collegate ai sensi della raccomandazione 2003/361/CE. A tal fine, la Commissione elabora orientamenti sugli elementi del sistema di gestione della qualità che possono essere rispettati in modo semplificato tenendo conto delle esigenze delle PMI, senza incidere sul livello di protezione o sulla necessità di conformità ai requisiti per quanto riguarda i sistemi di IA ad alto rischio.
Capo VII. Governance
Sezione 1. Governance a livello dell'Unione
Art. 64 Ufficio per l'IA
1. La Commissione sviluppa le competenze e le capacità dell'Unione nel settore dell'IA attraverso l'ufficio per l'IA.
2. Gli Stati membri agevolano i compiti affidati all'ufficio per l'IA, come indicato nel presente regolamento.
3. Fatta salva la procedura di bilancio, all'ufficio per l'IA sono assegnate risorse adeguate per svolgere efficacemente le proprie funzioni ed esercitare i propri poteri in relazione all'esecuzione del presente regolamento.
Art. 65 Istituzione e struttura del consiglio per l'IA europeo per l'intelligenza artificiale
1. È istituito un consiglio per l'IA europeo per l'intelligenza artificiale («consiglio per l'IA»).
2. Il consiglio per l'IA è composto di un rappresentante per Stato membro. Il Garante europeo della protezione dei dati partecipa come osservatore. Anche l'ufficio per l'IA partecipa alle riunioni del consiglio per l'IA senza partecipare alle votazioni. Altre autorità, organismi o esperti nazionali e dell'Unione possono essere invitati alle riunioni dal consiglio per l'IA caso per caso, qualora le questioni discusse siano di loro pertinenza.
3. Ciascun rappresentante è designato dal rispettivo Stato membro per un periodo di tre anni, rinnovabile una volta.
4. Gli Stati membri provvedono affinché i loro rappresentanti nel consiglio per l'IA:
a) dispongano delle competenze e dei poteri pertinenti nel proprio Stato membro in modo da contribuire attivamente allo svolgimento dei compiti del consiglio per l'IA di cui all'articolo 66;
b) siano designati come punto di contatto unico nei confronti del consiglio per l'IA e, se del caso tenendo conto delle esigenze degli Stati membri, come punto di contatto unico per i portatori di interessi;
c) abbiano il potere di agevolare la coerenza e il coordinamento tra le autorità nazionali competenti nel rispettivo Stato membro per quanto riguarda l'attuazione del presente regolamento, anche attraverso la raccolta di dati e informazioni pertinenti ai fini dello svolgimento dei loro compiti in seno al consiglio per l'IA.
5. I rappresentanti designati degli Stati membri adottano il regolamento interno del consiglio per l'IA a maggioranza di due terzi. Il regolamento interno stabilisce, in particolare, le procedure per il processo di selezione, la durata del mandato e le specifiche riguardanti i compiti del presidente, le modalità dettagliate relative al voto e l'organizzazione delle attività del consiglio per l'IA e dei suoi sottogruppi.
6.
Il consiglio per l'IA istituisce due sottogruppi permanenti al fine di fornire una piattaforma di cooperazione e scambio tra le autorità di vigilanza del mercato e notificare le autorità su questioni relative rispettivamente alla vigilanza del mercato e agli organismi notificati.
Il sottogruppo permanente per la vigilanza del mercato dovrebbe fungere da gruppo di cooperazione amministrativa (ADCO) per il presente regolamento ai sensi dell'articolo 30 del regolamento (UE) 2019/1020.
Il consiglio per l'IA può istituire altri sottogruppi permanenti o temporanei, se del caso, ai fini dell'esame di questioni specifiche. Se del caso, i rappresentanti del forum consultivo di cui all'articolo 67 possono essere invitati a tali sottogruppi o a riunioni specifiche di tali sottogruppi in qualità di osservatori.
7. Il consiglio per l'IA è organizzato e gestito in modo che sia salvaguardata l'obiettività e l'imparzialità delle sue attività.
8. Il consiglio per l'IA è presieduto da uno dei rappresentanti degli Stati membri. L'ufficio per l'IA provvede alle funzioni di segretariato per il consiglio per l'IA, convoca le riunioni su richiesta della presidenza e prepara l'ordine del giorno in conformità dei compiti del consiglio per l'IA a norma del presente regolamento e del relativo regolamento interno.
Art. 66 Compiti del consiglio per l'IA
Il consiglio per l'IA fornisce consulenza e assistenza alla Commissione e agli Stati membri al fine di agevolare l'applicazione coerente ed efficace del presente regolamento. A tal fine il consiglio per l'IA può in particolare:
a) contribuire al coordinamento tra le autorità nazionali competenti responsabili dell'applicazione del presente regolamento e, in cooperazione con le autorità di vigilanza del mercato interessate e previo accordo di queste ultime, sostenere le attività congiunte delle autorità di vigilanza del mercato di cui all'articolo 74, paragrafo 11;
b) raccogliere e condividere tra gli Stati membri conoscenze e migliori pratiche tecniche e normative;
c) fornire consulenza sull'attuazione del presente regolamento, in particolare per quanto riguarda l'applicazione delle norme sui modelli di IA per finalità generali;
d) contribuire all'armonizzazione delle pratiche amministrative negli Stati membri, anche in relazione alla deroga alle procedure di valutazione della conformità di cui all'articolo 46, al funzionamento degli spazi di sperimentazione normativa per l'IA e alle prove in condizioni reali di cui agli articoli 57, 59 e 60;
e) su richiesta della Commissione o di propria iniziativa, formulare raccomandazioni e pareri scritti su qualsiasi questione pertinente relativa all'attuazione del presente regolamento e alla sua applicazione coerente ed efficace, tra l'altro:
i) sull'elaborazione e l'applicazione di codici di condotta e codici di buone pratiche a norma del presente regolamento, nonché degli orientamenti della Commissione;
ii) sulla valutazione e il riesame del presente regolamento a norma dell'articolo 112, anche per quanto riguarda la comunicazione di incidenti gravi di cui all'articolo 73, e il funzionamento della banca dati dell’UE di cui all'articolo 71, la preparazione degli atti delegati o di esecuzione e gli eventuali allineamenti del presente regolamento alla normativa di armonizzazione elencata nell'allegato I;
iii) sulle specifiche tecniche o sulle norme esistenti relative ai requisiti di cui al capo III, sezione 2;
iv) sull'uso delle norme armonizzate o delle specifiche comuni di cui agli articoli 40 e 41;
v) sulle tendenze, quali la competitività globale europea nell'IA, l'adozione dell'IA nell'Unione e lo sviluppo di competenze digitali;
vi) sulle tendenze relative all'evoluzione della tipologia delle catene del valore dell'IA, in particolare per quanto riguarda le conseguenti implicazioni in termini di responsabilità;
vii) sull'eventuale necessità di modificare l'allegato III conformemente all'articolo 7 e sull'eventuale necessità di una possibile revisione dell'articolo 5 a norma dell'articolo 112, tenendo conto delle pertinenti prove disponibili e degli ultimi sviluppi tecnologici;
f) sostenere la Commissione nella promozione dell'alfabetizzazione in materia di IA, della sensibilizzazione del pubblico e della comprensione dei benefici, dei rischi, delle garanzie e dei diritti e degli obblighi in relazione all'uso dei sistemi di IA;
g) facilitare lo sviluppo di criteri comuni e una comprensione condivisa tra gli operatori del mercato e le autorità competenti dei concetti pertinenti di cui al presente regolamento, anche contribuendo allo sviluppo di parametri di riferimento;
h) cooperare, se del caso, con altre istituzioni e altri organi e organismi dell'Unione nonché con i pertinenti gruppi di esperti e reti dell'Unione, in particolare nei settori della sicurezza dei prodotti, della cibersicurezza, della concorrenza, dei servizi digitali e dei media, dei servizi finanziari, della protezione dei consumatori, dei dati e dei diritti fondamentali;
i) contribuire all'efficace cooperazione con le autorità competenti dei paesi terzi e con le organizzazioni internazionali;
j) assistere le autorità nazionali competenti e la Commissione nello sviluppo delle competenze organizzative e tecniche necessarie per l'attuazione del presente regolamento, anche contribuendo alla valutazione delle esigenze di formazione del personale degli Stati membri coinvolto nell'attuazione del presente regolamento;
k) assistere l'ufficio per l'IA nel sostenere le autorità nazionali competenti nell'istituzione e nello sviluppo di spazi di sperimentazione normativa per l'IA e facilitare la cooperazione e la condivisione di informazioni tra gli spazi di sperimentazione normativa per l’IA;
l) contribuire all'elaborazione di documenti di orientamento e fornire consulenza al riguardo;
m) fornire consulenza alla Commissione sulle questioni internazionali in materia di IA;
n) fornire pareri alla Commissione sulle segnalazioni qualificate relative ai modelli di IA per finalità generali;
o) ricevere pareri dagli Stati membri sulle segnalazioni qualificate relative ai modelli di IA per finalità generali e sulle esperienze e pratiche nazionali in materia di monitoraggio e applicazione dei sistemi di IA, in particolare dei sistemi che integrano i modelli di IA per finalità generali.
Art. 67 Forum consultivo
1. È istituito un forum consultivo per fornire consulenza e competenze tecniche al consiglio per l'IA e alla Commissione, nonché per contribuire ai loro compiti a norma del presente regolamento.
2. La composizione del forum consultivo rappresenta una selezione equilibrata di portatori di interessi, tra cui l'industria, le start-up, le PMI, la società civile e il mondo accademico. La composizione del forum consultivo è equilibrata per quanto riguarda gli interessi commerciali e non commerciali e, all'interno della categoria degli interessi commerciali, per quanto riguarda le PMI e le altre imprese.
3. La Commissione nomina i membri del forum consultivo, conformemente ai criteri stabiliti al paragrafo 2, tra i portatori di interessi con competenze riconosciute nel settore dell'IA.
4. Il mandato dei membri del forum consultivo ha una durata di due anni, prorogabile fino a un massimo di quattro anni.
5. L'Agenzia per i diritti fondamentali, l'ENISA, il Comitato europeo di normazione (CEN), il Comitato europeo di normazione elettrotecnica (CENELEC) e l'Istituto europeo per le norme di telecomunicazione (ETSI) sono membri permanenti del forum consultivo.
6. Il forum consultivo redige il proprio regolamento interno. Esso elegge due copresidenti tra i suoi membri, conformemente ai criteri stabiliti al paragrafo 2. Il mandato dei copresidenti ha una durata di due anni, rinnovabile una volta.
7. Il forum consultivo tiene riunioni almeno due volte all'anno. Il forum consultivo può invitare esperti e altri portatori di interessi alle sue riunioni.
8. Il forum consultivo può elaborare pareri, raccomandazioni e contributi scritti su richiesta del consiglio per l'IA o della Commissione.
9. Il forum consultivo può istituire sottogruppi permanenti o temporanei, se necessario, per esaminare questioni specifiche connesse agli obiettivi del presente regolamento.
10. Il forum consultivo prepara una relazione annuale sulle sue attività. Tale relazione è resa pubblica.
Art. 68 Gruppo di esperti scientifici indipendenti
1. La Commissione adotta, mediante un atto di esecuzione, disposizioni sull'istituzione di un gruppo di esperti scientifici indipendenti («gruppo di esperti scientifici») inteso a sostenere le attività di esecuzione a norma del presente regolamento. Tale atto di esecuzione è adottato secondo la procedura d'esame di cui all'articolo 98, paragrafo 2.
2.
Il gruppo di esperti scientifici è composto da esperti selezionati dalla Commissione sulla base di competenze scientifiche o tecniche aggiornate nel settore dell'IA necessarie per lo svolgimento dei compiti di cui al paragrafo 3 ed è in grado di dimostrare di soddisfare tutte le condizioni seguenti:
a) possesso di particolari conoscenze e capacità nonché competenze scientifiche o tecniche nel settore dell'IA;
b) indipendenza da qualsiasi fornitore di sistemi di IA o di modelli di IA per finalità generali;
c) capacità di svolgere attività in modo diligente, accurato e obiettivo.
La Commissione, in consultazione con il consiglio per l'IA, determina il numero di esperti del gruppo in funzione delle esigenze richieste e garantisce un'equa rappresentanza di genere e geografica.
3. Il gruppo di esperti scientifici fornisce consulenza e sostegno all'ufficio per l'IA, in particolare per quanto riguarda i compiti seguenti:
a) sostenere l'attuazione e l'esecuzione del presente regolamento per quanto riguarda i modelli e i sistemi di IA per finalità generali, in particolare:
i) segnalare all'ufficio per l'IA i possibili rischi sistemici a livello dell'Unione dei modelli di IA per finalità generali, conformemente all'articolo 90;
ii) contribuire allo sviluppo di strumenti e metodologie per valutare le capacità dei modelli e sistemi di IA per finalità generali, anche attraverso parametri di riferimento;
iii) fornire consulenza sulla classificazione dei modelli di IA per finalità generali con rischio sistemico;
iv) fornire consulenza sulla classificazione di vari modelli e sistemi di IA per finalità generali;
v) contribuire allo sviluppo di strumenti e modelli;
b) sostenere il lavoro delle autorità di vigilanza del mercato, su richiesta di queste ultime;
c) sostenere le attività transfrontaliere di vigilanza del mercato di cui all'articolo 74, paragrafo 11, fatti salvi i poteri delle autorità di vigilanza del mercato;
d) sostenere l'ufficio per l'IA nello svolgimento delle sue funzioni nell'ambito della procedura di salvaguardia dell’Unione di cui all'articolo 81.
4. Gli esperti scientifici del gruppo svolgono i loro compiti con imparzialità e obiettività e garantiscono la riservatezza delle informazioni e dei dati ottenuti nello svolgimento dei loro compiti e delle loro attività. Non sollecitano né accettano istruzioni da nessuno nell'esercizio dei loro compiti di cui al paragrafo 3. Ogni esperto compila una dichiarazione di interessi, che rende accessibile al pubblico. L'ufficio per l'IA istituisce sistemi e procedure per gestire attivamente e prevenire potenziali conflitti di interesse.
5. L'atto di esecuzione di cui al paragrafo 1 comprende disposizioni sulle condizioni, le procedure e le modalità dettagliate in base alle quali il gruppo di esperti scientifici e i suoi membri effettuano segnalazioni e chiedono l'assistenza dell'ufficio per l'IA per lo svolgimento dei compiti del gruppo di esperti scientifici.
Art. 69 Accesso al gruppo di esperti da parte degli Stati membri
1. Gli Stati membri possono ricorrere agli esperti scientifici del gruppo affinché sostengano le loro attività di esecuzione a norma del presente regolamento.
2. Gli Stati membri possono essere tenuti a pagare tariffe per la consulenza e il sostegno forniti dagli esperti a un tasso equivalente alle tariffe di retribuzione applicabili alla Commissione ai sensi dell'atto di esecuzione di cui all'articolo 68, paragrafo 1.
3. La Commissione facilita l'accesso tempestivo agli esperti da parte degli Stati membri, ove necessario, e garantisce che la combinazione di attività di sostegno svolte dalle strutture di sostegno dell'Unione per la prova dell'IA a norma dell'articolo 84 e dagli esperti a norma del presente articolo sia organizzata in modo efficiente e fornisca il miglior valore aggiunto possibile.
Sezione 2. Autorità nazionali competenti
Art. 70 Designazione delle autorità nazionali competenti e dei punti di contatto unici
1. Ciascuno Stato membro istituisce o designa come autorità nazionali competenti ai fini del presente regolamento almeno un'autorità di notifica e almeno un'autorità di vigilanza del mercato. Tali autorità nazionali competenti esercitano i loro poteri in modo indipendente, imparziale e senza pregiudizi, in modo da salvaguardare i principi di obiettività delle loro attività e dei loro compiti e garantire l'applicazione e l'attuazione del presente regolamento. I membri di tali autorità si astengono da qualsiasi atto incompatibile con le loro funzioni. A condizione che siano rispettati detti principi, tali compiti e attività possono essere svolti da una o più autorità designate, conformemente alle esigenze organizzative dello Stato membro.
2. Gli Stati membri comunicano alla Commissione l'identità delle autorità di notifica e delle autorità di vigilanza del mercato e i compiti di tali autorità, nonché ogni successiva modifica degli stessi. Gli Stati membri mettono a disposizione del pubblico le informazioni sulle modalità con cui le autorità competenti e i punti di contatto unici possono essere contattati, tramite mezzi di comunicazione elettronica, entro il 2 agosto 2025. Gli Stati membri designano un'autorità di vigilanza del mercato che funga da punto di contatto unico per il presente regolamento e notificano alla Commissione l'identità del punto di contatto unico. La Commissione elabora un elenco dei punti di contatto unici disponibili al pubblico.
3. Gli Stati membri garantiscono che le loro autorità nazionali competenti dispongano di risorse tecniche, finanziarie e umane adeguate, nonché delle infrastrutture necessarie per svolgere efficacemente i loro compiti a norma del presente regolamento. In particolare, le autorità nazionali competenti dispongono di sufficiente personale permanentemente disponibile, le cui competenze e conoscenze comprendono una comprensione approfondita delle tecnologie, dei dati e del calcolo dei dati di IA, della protezione dei dati personali, della cibersicurezza, dei diritti fondamentali, dei rischi per la salute e la sicurezza e una conoscenza delle norme e dei requisiti giuridici esistenti. Gli Stati membri valutano e, se necessario, aggiornano annualmente i requisiti in termini di competenze e risorse di cui al presente paragrafo.
4. Le autorità nazionali competenti adottano misure adeguate per garantire un livello adeguato di cibersicurezza.
5. Nello svolgimento dei propri compiti, le autorità nazionali competenti agiscono in conformità degli obblighi di riservatezza di cui all'articolo 78.
6. Entro il 2 agosto 2025, e successivamente una volta ogni due anni, gli Stati membri riferiscono alla Commissione in merito allo stato delle risorse finanziarie e umane delle autorità nazionali competenti, con una valutazione della loro adeguatezza. La Commissione trasmette tali informazioni al consiglio per l'IA affinché le discuta e formuli eventuali raccomandazioni.
7. La Commissione agevola lo scambio di esperienze tra autorità nazionali competenti.
8. Le autorità nazionali competenti possono fornire orientamenti e consulenza sull'attuazione del presente regolamento, in particolare alle PMI, comprese le start-up, e alle piccole imprese a media capitalizzazione, tenendo conto degli orientamenti e della consulenza del consiglio per l'IA e della Commissione, a seconda dei casi. Ogniqualvolta le autorità nazionali competenti intendono fornire orientamenti e consulenza in relazione a un sistema di IA in settori disciplinati da altre disposizioni di diritto dell'Unione, sono consultate le autorità nazionali competenti a norma di tali disposizioni di diritto dell'Unione, come opportuno.
9. Qualora le istituzioni, gli organi e gli organismi dell'Unione rientrino nell'ambito di applicazione del presente regolamento, il Garante europeo della protezione dei dati agisce in qualità di autorità competente per la loro vigilanza.
Capo VIII. Banca dati dell'ue per i sistemi di ia ad alto rischio
Art. 71 Banca dati dell'UE per i sistemi di IA ad alto rischio elencati nell'allegato III
1. La Commissione, in collaborazione con gli Stati membri, istituisce e mantiene una banca dati dell'UE contenente le informazioni di cui ai paragrafi 2 e 3 del presente articolo relative ai sistemi di IA ad alto rischio di cui all'articolo 6, paragrafo 2, registrati conformemente agli articoli 49 e 60 e ai sistemi di IA che non sono considerati ad alto rischio a norma dell’articolo 6, paragrafo 3, e che sono registrati in conformità dell’articolo 6, paragrafo 4 e dell’articolo 69. Nel definire le specifiche funzionali di tale banca dati, la Commissione consulta gli esperti competenti e, nell'aggiornare le specifiche funzionali di tale banca dati, consulta il consiglio per l'IA.
2. I dati elencati nell'allegato VIII, sezioni A e B, sono inseriti nella banca dati dell'UE dal fornitore o, se del caso, dal rappresentante autorizzato.
3. I dati elencati nell'allegato VIII, sezione C, sono inseriti nella banca dati dell'UE dal deployer che è un'autorità, un'agenzia o un organismo pubblico, conformemente all'articolo 49, paragrafi 3 e 4, o che agisce per conto di essi.
4. Ad eccezione della sezione di cui all'articolo 49, paragrafo 4, e all'articolo 60, paragrafo 4, lettera c), le informazioni contenute nella banca dati dell'UE registrate a norma dell'articolo 49 sono accessibili e disponibili al pubblico in modo facilmente fruibile. Le informazioni dovrebbero essere di facile consultazione e leggibili meccanicamente. Le informazioni registrate a norma dell'articolo 60 sono accessibili solo alle autorità di vigilanza del mercato e alla Commissione, a meno che il fornitore o il potenziale fornitore non abbia dato il suo consenso anche a rendere tali informazioni accessibili al pubblico.
5. La banca dati dell'UE contiene dati personali solo nella misura necessaria per la raccolta e il trattamento delle informazioni in conformità del presente regolamento. Tali informazioni comprendono i nomi e i dati di contatto delle persone fisiche responsabili della registrazione del sistema e aventi l'autorità legale di rappresentare il fornitore o il deployer, se del caso.
6. La Commissione è il titolare del trattamento della banca dati dell'UE. Essa mette a disposizione dei fornitori, dei potenziali fornitori e dei deployer un adeguato sostegno tecnico e amministrativo. La banca dati dell'UE è conforme ai requisiti di accessibilità applicabili.
Capo IX. Monitoraggio successivo all'immissione sul mercato, condivisione delle informazioni e vigilanza del mercato
Sezione 1. Monitoraggio successivo all'immissione sul mercato
Art. 72 Monitoraggio successivo all'immissione sul mercato effettuato dai fornitori e piano di monitoraggio successivo all'immissione sul mercato per i sistemi di IA ad alto rischio
1. I fornitori istituiscono e documentano un sistema di monitoraggio successivo all'immissione sul mercato che sia proporzionato alla natura delle tecnologie di IA e ai rischi del sistema di IA ad alto rischio.
2. Il sistema di monitoraggio successivo all'immissione sul mercato raccoglie, documenta e analizza attivamente e sistematicamente i dati pertinenti che possono essere forniti dai deployer o che possono essere raccolti tramite altre fonti sulle prestazioni dei sistemi di IA ad alto rischio per tutta la durata del loro ciclo di vita e consente al fornitore di valutare la costante conformità dei sistemi di IA ai requisiti di cui al capo III, sezione 2. Se del caso, il monitoraggio successivo all'immissione sul mercato include un'analisi dell'interazione con altri sistemi di IA. Tale obbligo non riguarda i dati operativi sensibili dei deployer che sono autorità di contrasto.
3. Il sistema di monitoraggio successivo all'immissione sul mercato si basa su un piano di monitoraggio successivo all'immissione sul mercato. Il piano di monitoraggio successivo all'immissione sul mercato fa parte della documentazione tecnica di cui all'allegato IV. La Commissione, tenendo nella massima considerazione il parere del consiglio per l'IA, adotta orientamenti, compreso un modello, sul piano di monitoraggio successivo all'immissione sul mercato entro il 2 settembre 2027.
4.
Per i sistemi di IA ad alto rischio disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, qualora tale normativa preveda già un sistema e un piano di monitoraggio successivo all'immissione sul mercato, al fine di garantire la coerenza, evitare duplicazioni e ridurre al minimo gli oneri aggiuntivi, i fornitori possono scegliere di integrare, se del caso, i necessari elementi di cui ai paragrafi 1, 2 e 3 utilizzando il modello di cui al paragrafo 3 nei sistemi e nei piani già esistenti in virtù di tale normativa, a condizione che consegua un livello di protezione equivalente.
Il primo comma del presente paragrafo si applica anche ai sistemi di IA ad alto rischio di cui all'allegato III, punto 5, immessi sul mercato o messi in servizio da istituti finanziari soggetti a requisiti in materia di governance, dispositivi o processi interni stabiliti a norma del diritto dell'Unione in materia di servizi finanziari.
Sezione 2. Condivisione di informazioni su incidenti gravi
Art. 73 Comunicazione di incidenti gravi
1. I fornitori di sistemi di IA ad alto rischio immessi sul mercato dell'Unione segnalano qualsiasi incidente grave alle autorità di vigilanza del mercato degli Stati membri in cui tali incidenti si sono verificati.
2.
La segnalazione di cui al paragrafo 1 è effettuata immediatamente dopo che il fornitore ha stabilito un nesso causale tra il sistema di IA e l'incidente grave o quando stabilisce la ragionevole probabilità di tale nesso e, in ogni caso, non oltre 15 giorni dopo che il fornitore o, se del caso, il deployer, è venuto a conoscenza dell'incidente grave.
Il periodo per la segnalazione di cui al primo comma tiene conto della gravità dell'incidente grave.
3. In deroga al paragrafo 2 del presente articolo, in caso di un'infrazione diffusa o di un incidente grave quale definito all'articolo 3, punto 49, lettera b), la segnalazione di cui al paragrafo 1 del presente articolo è trasmessa immediatamente e non oltre due giorni dopo che il fornitore o, se del caso, il deployer è venuto a conoscenza di tale incidente.
4. In deroga al paragrafo 2, in caso di decesso di una persona, la segnalazione è trasmessa immediatamente dopo che il fornitore o il deployer ha stabilito, o non appena sospetta, un nesso causale tra il sistema di IA ad alto rischio e l'incidente grave, ma non oltre 10 giorni dalla data in cui il fornitore o, se del caso, il deployer è venuto a conoscenza dell'incidente grave.
5. Se necessario per garantire una comunicazione tempestiva, il fornitore o, se del caso, il deployer, può presentare una relazione iniziale incompleta, seguita da una relazione completa.
6.
A seguito della comunicazione di un incidente grave a norma del paragrafo 1, il fornitore svolge senza indugio le indagini necessarie in relazione all'incidente grave e al sistema di IA interessato. Ciò comprende una valutazione del rischio dell'incidente nonché misure correttive.
Il fornitore coopera con le autorità competenti e, se del caso, con l'organismo notificato interessato durante le indagini di cui al primo comma e non svolge alcuna indagine che comporti una modifica del sistema di IA interessato in un modo che possa incidere su un'eventuale successiva valutazione delle cause dell'incidente, prima di informare le autorità competenti di tale azione.
7. Al ricevimento di una notifica relativa a un incidente grave di cui all'articolo 3, punto 49, lettera c), l'autorità di vigilanza del mercato interessata informa le autorità o gli organismi pubblici nazionali di cui all'articolo 77, paragrafo 1. La Commissione elabora orientamenti specifici per facilitare il rispetto degli obblighi di cui al paragrafo 1 del presente articolo. Tali orientamenti sono emanati entro il 2 agosto 2025 e sono valutati periodicamente.
8. L'autorità di vigilanza del mercato adotta le misure appropriate di cui all'articolo 19 del regolamento (UE) 2019/1020 entro sette giorni dalla data di ricevimento della notifica di cui al paragrafo 1 del presente articolo e segue le procedure di notifica previste da tale regolamento.
9. Per i sistemi di IA ad alto rischio di cui all'allegato III che sono immessi sul mercato o messi in servizio da fornitori soggetti a strumenti legislativi dell'Unione che stabiliscono obblighi in materia di segnalazione equivalenti a quelli previsti dal presente regolamento, la notifica è limitata agli incidenti gravi di cui all'articolo 3, punto 49, lettera c).
10. Per i sistemi di IA ad alto rischio che sono componenti di sicurezza di dispositivi, o sono essi stessi dispositivi, disciplinati dai regolamenti (UE) 2017/745 e (UE) 2017/746, la notifica è limitata agli incidenti gravi di cui all'articolo 3, punto 49, lettera c), del presente regolamento, del presente regolamento ed è trasmessa all'autorità nazionale competente scelta a tal fine dagli Stati membri in cui si è verificato l'incidente.
11. Le autorità nazionali competenti notificano immediatamente alla Commissione qualsiasi incidente grave, indipendentemente dal fatto che abbiano o meno preso provvedimenti al riguardo, conformemente all'articolo 20 del regolamento (UE) 2019/1020.
Sezione 3. Applicazione
Art. 74 Vigilanza del mercato e controllo dei sistemi di IA nel mercato dell'Unione
1. Il regolamento (UE) 2019/1020 si applica ai sistemi di IA disciplinati dal presente regolamento. Ai fini dell'efficace applicazione del presente regolamento:
a) ogni riferimento a un operatore economico a norma del regolamento (UE) 2019/1020 si intende fatto anche a tutti gli operatori di cui all'articolo 2, paragrafo 1, del presente regolamento;
b) ogni riferimento a un prodotto a norma del regolamento (UE) 2019/1020 si intende fatto anche a tutti i sistemi di IA che rientrano nell'ambito di applicazione del presente regolamento.
2. Nell'ambito dei loro obblighi in materia di segnalazione a norma dell'articolo 34, paragrafo 4, del regolamento (UE) 2019/1020, le autorità di vigilanza del mercato comunicano annualmente alla Commissione e alle pertinenti autorità nazionali garanti della concorrenza qualsiasi informazione individuata nel corso delle attività di vigilanza del mercato che possa essere di potenziale interesse per l'applicazione del diritto dell'Unione in materia di concorrenza. Essi riferiscono inoltre annualmente alla Commissione in merito al ricorso a pratiche vietate verificatosi nel corso di tale anno e alle misure adottate.
3.
Per i sistemi di IA ad alto rischio collegati a prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, l'autorità di vigilanza del mercato ai fini del presente regolamento è l'autorità responsabile delle attività di vigilanza del mercato designata a norma di tali atti giuridici.
In deroga al primo comma e in determinate circostanze, gli Stati membri possono designare un’altra autorità pertinente che agisca in qualità di autorità di vigilanza del mercato, a condizione che garantiscano il coordinamento con le pertinenti autorità settoriali di vigilanza del mercato responsabili dell’esecuzione della normativa di armonizzazione dell’Unione elencata nell'allegato I.
4. Le procedure di cui agli articoli da 79 a 83 del presente regolamento non si applicano ai sistemi di IA collegati a prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, qualora tali atti giuridici prevedano già procedure che garantiscono un livello equivalente di protezione e aventi lo stesso obiettivo. In tali casi si applicano invece le pertinenti procedure settoriali.
5. Fatti salvi i poteri delle autorità di vigilanza del mercato di cui all'articolo 14 del regolamento (UE) 2019/1020, al fine di garantire l'efficace applicazione del presente regolamento, le autorità di vigilanza del mercato possono esercitare i poteri di cui all'articolo 14, paragrafo 4, lettere d) e j), di tale regolamento a distanza, se del caso.
6. Per i sistemi di IA ad alto rischio immessi sul mercato, messi in servizio o usati da istituti finanziari disciplinati dal diritto dell'Unione in materia di servizi finanziari, l'autorità di vigilanza del mercato ai fini del presente regolamento è l'autorità nazionale pertinente responsabile della vigilanza finanziaria di tali enti ai sensi di tale diritto, nella misura in cui l'immissione sul mercato, la messa in servizio o l'uso del sistema di IA siano direttamente collegati alla fornitura di tali servizi finanziari.
7.
In deroga al paragrafo 6, in determinate circostanze e a condizione che sia garantito il coordinamento, lo Stato membro può individuare un'altra autorità competente come autorità di vigilanza del mercato ai fini del presente regolamento.
Le autorità nazionali di vigilanza del mercato che controllano gli enti creditizi disciplinati nel quadro della direttiva 2013/36/UE, che partecipano al meccanismo di vigilanza unico istituito dal regolamento (UE) n, 1024/2013, dovrebbero comunicare senza indugio alla Banca centrale europea qualsiasi informazione individuata nel corso delle attività di vigilanza del mercato che possa essere di potenziale interesse per i compiti in materia di vigilanza prudenziale della Banca centrale europea specificati in tale regolamento.
8. Per i sistemi di IA ad alto rischio elencati nell'allegato III del presente regolamento, punto 1, nella misura in cui tali sistemi sono utilizzati a fini di attività di contrasto, gestione delle frontiere, giustizia e democrazia e per i sistemi di IA ad alto rischio elencati nell'allegato III del presente regolamento, punti 6, 7 e 8, gli Stati membri designano come autorità di vigilanza del mercato ai fini del presente regolamento le autorità di controllo competenti per la protezione dei dati a norma del regolamento (UE) 2016/679 o della direttiva (UE) 2016/680 o qualsiasi altra autorità designata a norma delle stesse condizioni di cui agli articoli da 41 a 44 della direttiva (UE) 2016/680. Le attività di vigilanza del mercato non pregiudicano in alcun modo l'indipendenza delle autorità giudiziarie né interferiscono in altro modo con le loro attività nell'esercizio delle loro funzioni giurisdizionali.
9. Nei casi in cui le istituzioni, gli organi e gli organismi dell'Unione rientrano nell'ambito di applicazione del presente regolamento, il Garante europeo della protezione dei dati agisce in qualità di autorità di vigilanza del mercato, tranne nei confronti della Corte di giustizia dell'Unione europea nell'esercizio delle sue funzioni giurisdizionali.
10. Gli Stati membri agevolano il coordinamento tra le autorità di vigilanza del mercato designate a norma del presente regolamento e altre autorità o organismi nazionali pertinenti che controllano l'applicazione della normativa di armonizzazione dell'Unione elencata nell'allegato I o di altre disposizioni del diritto dell'Unione che potrebbero essere pertinenti per i sistemi di IA ad alto rischio di cui all'allegato III.
11. Le autorità di vigilanza del mercato e la Commissione possono proporre attività congiunte, comprese indagini congiunte, che dovrebbero essere condotte dalle autorità di vigilanza del mercato o dalle autorità di vigilanza del mercato di concerto con la Commissione, al fine di promuovere la conformità, individuare casi di non conformità, sensibilizzare e fornire orientamenti in relazione al presente regolamento riguardo a specifiche categorie di sistemi di IA ad alto rischio che si rileva presentino un rischio grave in due o più Stati membri conformemente all'articolo 9 del regolamento (UE) 2019/1020. L'ufficio per l'IA fornisce sostegno di coordinamento per le indagini congiunte.
12. Fatti salvi i poteri di cui al regolamento (UE) 2019/1020 e se del caso e nei limiti di quanto necessario per lo svolgimento dei loro compiti, i fornitori concedono alle autorità di vigilanza del mercato pieno accesso alla documentazione nonché ai set di dati di addestramento, convalida e prova utilizzati per lo sviluppo dei sistemi di IA ad alto rischio, anche, ove opportuno e fatte salve le garanzie di sicurezza, attraverso interfacce di programmazione delle applicazioni (API) o altri mezzi e strumenti tecnici pertinenti che consentano l'accesso remoto.
13. Alle autorità di vigilanza del mercato è concesso l'accesso al codice sorgente del sistema di IA ad alto rischio su richiesta motivata e solo qualora siano soddisfatte entrambe le condizioni seguenti:
a) l'accesso al codice sorgente è necessario per valutare la conformità di un sistema di IA ad alto rischio ai requisiti di cui al capo III, sezione 2; e
b) le procedure di prova o di audit e le verifiche basate sui dati e sulla documentazione presentati dal fornitore sono state esaurite o si sono dimostrate insufficienti.
14. Qualsiasi informazione o documentazione ottenuta dalle autorità di vigilanza del mercato è trattata in conformità degli obblighi di riservatezza di cui all'articolo 78.
Art. 75 Vigilanza del mercato e controllo dei sistemi di IA e assistenza reciproca
1.
L'ufficio per l'IA ha competenza esclusiva per il controllo e l'esecuzione degli obblighi a norma del presente regolamento in relazione ai sistemi di IA seguenti:
a) sistemi di IA basati su modelli di IA per finalità generali qualora il modello e il sistema siano sviluppati dallo stesso fornitore o da fornitori che fanno parte della stessa impresa di tale fornitore, ad eccezione di:
i) sistemi di IA relativi a prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I;
ii) sistemi di IA di cui all'allegato III, punto 2;
iii) sistemi di IA forniti dalle autorità di contrasto, dalle autorità di gestione delle frontiere e dagli istituti finanziari, nella misura in cui tali sistemi di IA rientrano nell'ambito di applicazione dell'articolo 74, paragrafo 6; e
iv) sistemi di IA di cui all'allegato III, punto 8, per quanto riguarda l'amministrazione della giustizia;
b) sistemi di IA che costituiscono o sono integrati in piattaforme online di dimensioni molto grandi designate o motori di ricerca online di dimensioni molto grandi designati conformemente al regolamento (UE) 2022/2065.
La competenza esclusiva di cui al primo comma si applica ai fornitori di tali sistemi. Si applica ai deployer di tali sistemi solo se sono anche il fornitore o fanno parte della stessa impresa del fornitore.
1 bis. In deroga all'articolo 73, i fornitori di sistemi di IA ad alto rischio, di competenza dell'ufficio per l'IA a norma del paragrafo 1 del presente articolo, segnalano eventuali incidenti gravi all'ufficio per l'IA. L'articolo 73, paragrafi da 2 a 9, si applica mutatis mutandis. L'ufficio per l'IA trasmette tempestivamente le informazioni pertinenti all'autorità di vigilanza del mercato dello Stato membro nel cui territorio è situato il fornitore o il suo rappresentante legale.
1 ter. Le autorità coinvolte nell'applicazione del presente regolamento cooperano attivamente con l'ufficio per l'IA e gli prestano l'assistenza necessaria per l'esercizio dei suoi poteri, anche, se necessario, in relazione alle ispezioni o ad altre misure di esecuzione poste in essere nel territorio di uno Stato membro. A tal fine, tali autorità dispongono dei poteri previsti dal presente regolamento e dal regolamento (UE) 2019/1020 e, se del caso e nei limiti di quanto necessario per lo svolgimento dei loro compiti a norma del presente paragrafo, conformemente alle procedure nazionali applicabili.
1 quater. Quando adotta misure di indagine o esecuzione nel territorio di uno Stato membro che comportano l'accesso ai dati o al sistema di IA di un'autorità pubblica, l'ufficio per l'IA è assistito dalla pertinente autorità di vigilanza del mercato.
1 quinquies. Prima di adottare una decisione che avrebbe l'effetto di vietare o limitare la messa a disposizione o la messa in servizio del sistema di IA su un mercato nazionale, o una decisione di ritirare o richiamare il sistema di IA da tale mercato, l'ufficio per l'IA notifica, senza indebito ritardo, l'autorità di vigilanza del mercato competente per tale mercato della sua intenzione di adottare una siffatta decisione. L'ufficio per l'IA consulta le autorità coinvolte nell'applicazione del presente regolamento, se del caso, su qualsiasi questione relativa all'applicazione e all'esecuzione del presente regolamento.
1 sexies.
L'ufficio per l'IA è responsabile delle valutazioni della conformità e delle prove dei sistemi di IA di cui al paragrafo 1 del presente articolo che sono classificati come ad alto rischio e sottoposti a una valutazione di conformità da parte di terzi a norma dell'articolo 43, prima che tali sistemi di IA siano immessi sul mercato o messi in servizio. Tali prove e valutazioni verificano che i sistemi siano conformi ai pertinenti requisiti del presente regolamento e possano essere immessi sul mercato o messi in servizio nell'Unione in conformità del presente regolamento. La Commissione affida l'esecuzione di tali prove o valutazioni a organismi notificati designati in conformità del presente regolamento, nel qual caso l'organismo notificato agisce per conto della Commissione. Se un organismo notificato cui la Commissione ha delegato compiti a norma del presente paragrafo non li svolge adeguatamente, la Commissione può revocare la delega con effetto immediato.
Le tariffe per le attività di prova e valutazione sono a carico del fornitore del sistema di IA ad alto rischio che ha presentato alla Commissione la domanda di valutazione della conformità da parte di terzi. Il fornitore paga direttamente all'organismo notificato i costi relativi ai servizi affidati dalla Commissione agli organismi notificati in conformità del presente articolo.
2. Qualora abbiano motivi sufficienti per ritenere che i sistemi di IA per finalità generali che possono essere utilizzati direttamente dai deployer per almeno una finalità classificata come ad alto rischio a norma del presente regolamento non siano conformi ai requisiti di cui al presente regolamento, le pertinenti autorità di vigilanza del mercato cooperano con l'ufficio per l'IA per effettuare valutazioni della conformità e informano di conseguenza il consiglio per l'IA e le altre autorità di vigilanza del mercato.
2 bis.
Qualora abbia motivi fondati e sufficienti di sospettare che un fornitore o un deployer di un sistema di IA di cui al paragrafo 1 del presente articolo abbia violato il presente regolamento, un'autorità di vigilanza del mercato può chiedere all'ufficio per l'IA, attraverso il pertinente punto di contatto unico designato in conformità dell'articolo 70, paragrafo 2, di valutare la questione al fine di adottare le misure di controllo ed esecuzione necessarie per garantire la tempestiva conformità al presente regolamento. Tale richiesta è debitamente motivata e indica almeno:
a) il nome del fornitore o del deployer interessato;
b) una descrizione dei fatti pertinenti, le disposizioni del presente regolamento asseritamente violate ed eventuali motivi fondati e sufficienti per sospettare una violazione, compresa, se del caso, la descrizione degli effetti negativi della presunta violazione;
c) l'autorità di vigilanza del mercato che presenta la richiesta.
L'ufficio per l'IA tiene nella massima considerazione la richiesta e l'autorità di vigilanza del mercato coopera attivamente e presta all'ufficio per l'IA l'assistenza necessaria per l'esercizio dei suoi poteri conformemente al paragrafo 1 bis.
Senza indebito ritardo e in ogni caso entro quattro mesi dal ricevimento della richiesta, l'ufficio per l'IA comunica al punto di contatto unico l'intenzione di esercitare i propri poteri conformemente all'articolo 75 bis oppure i motivi per cui non intende esercitarli. Qualora decida di esercitare i propri poteri conformemente all'articolo 75 bis, l'ufficio per l'IA informa periodicamente tale punto di contatto unico in merito ai principali sviluppi del procedimento e al suo esito, senza divulgare informazioni riservate.
3. Qualora non sia in grado di concludere la propria indagine sul sistema di IA ad alto rischio perché non può accedere a determinate informazioni relative al modello di IA per finalità generali nonostante abbia compiuto tutti gli sforzi opportuni per ottenere tali informazioni, un'autorità di vigilanza del mercato può presentare una richiesta motivata all'ufficio per l'IA, che garantisce l'accesso a tali informazioni. In tal caso, l'ufficio per l'IA fornisce all'autorità richiedente senza indugio, e in ogni caso entro 30 giorni, tutte le informazioni che esso ritiene pertinenti al fine di stabilire se un sistema di IA ad alto rischio non è conforme. Le autorità di vigilanza del mercato salvaguardano la riservatezza delle informazioni ottenute conformemente all'articolo 78 del presente regolamento. La procedura di cui al capo VI del regolamento (UE) 2019/1020 si applica mutatis mutandis.
Art. 75 bis Poteri di controllo ed esecuzione dell'ufficio per l'IA
1. Nell'esercizio dei suoi compiti di controllo ed esecuzione di cui all'articolo 75, paragrafo 1, del presente regolamento l'ufficio per l'IA dispone di tutti i poteri di un'autorità di vigilanza del mercato previsti dalla presente sezione nonché dall'articolo 14, paragrafo 4, e dall'articolo 16, paragrafo 3, del regolamento (UE) 2019/1020. L'ufficio per l'IA è autorizzato a recuperare integralmente dall'operatore pertinente la totalità dei costi delle sue attività di controllo ed esecuzione in relazione ai casi di non conformità, inclusi i costi per le risorse umane e tecniche, conformemente all'articolo 15 del regolamento (UE) 2019/1020. L'articolo 17 del regolamento (UE) 2019/1020 si applica mutatis mutandis.
2.
Qualora abbia motivi ragionevoli per sospettare la non conformità al presente regolamento da parte di un fornitore o di un deployer di un sistema di IA di cui all'articolo 75, paragrafo 1, del presente regolamento l'ufficio per l'IA può adottare una decisione di avviare un'indagine su tale non conformità conformemente all'articolo 14, paragrafo 4, lettera f), del regolamento (UE) 2019/1020. L'ufficio per l'IA notifica all'operatore del sistema di IA interessato l'avvio di tale indagine. L'ufficio per l'IA può esercitare i poteri di cui al paragrafo 1 del presente articolo di propria iniziativa o a seguito di un reclamo ricevuto a norma dell'articolo 85 del presente regolamento, anche prima di avviare un'indagine a norma dell'articolo 14, paragrafo 4, lettera f), del regolamento (UE) 2019/1020.
Qualora abbia motivo di sospettare la non conformità al presente regolamento da parte di un fornitore o di un deployer di un sistema di IA di cui all'articolo 75, paragrafo 1, l'autorità di vigilanza del mercato può inviare all'ufficio per l'IA una richiesta affinché valuti la questione.
3.
L'ufficio per l'IA può esercitare i poteri di cui all'articolo 14, paragrafo 4, lettere a), b) e c), del regolamento (UE) 2019/1020 e all'articolo 74, paragrafi 12 e 13, del presente regolamento mediante richiesta semplice o decisione.
Nel richiedere informazioni, l'ufficio per l'IA indica la base giuridica e la finalità della richiesta, specifica quali informazioni sono richieste e fissa il termine entro il quale le informazioni devono essere fornite. Qualora si tratti di una richiesta semplice, l'ufficio per l'IA precisa inoltre che, sebbene non vi sia alcun obbligo di fornire le informazioni richieste, in caso di risposta volontaria le informazioni devono essere corrette e non fuorvianti e indica le potenziali sanzioni pecuniarie di cui all'articolo 99, paragrafo 5, in caso di fornitura di informazioni inesatte o fuorvianti. Qualora la richiesta sia presentata mediante decisione, l'ufficio per l'IA indica inoltre le sanzioni pecuniarie di cui all'articolo 99, paragrafo 5, in caso di fornitura di informazioni inesatte, incomplete o fuorvianti e indica il diritto di chiedere la revisione della decisione alla Corte di giustizia dell'Unione europea. L'ufficio per l'IA trasmette una copia della richiesta all'autorità di vigilanza del mercato dello Stato membro nel cui territorio è situato l'operatore o il suo rappresentante legale.
4.
Al fine di svolgere i compiti ad esso assegnati a norma della presente sezione, l'ufficio per l'IA può effettuare tutte le necessarie ispezioni a distanza o in loco in virtù dei poteri di cui all'articolo 14, paragrafo 4, lettere d) ed e), del regolamento (UE) 2019/1020 e all'articolo 74, paragrafo 5, del presente regolamento. Quando effettua un'ispezione, l'ufficio per l'IA informa il fornitore interessato dell'oggetto e della finalità dell'indagine, delle pertinenti sanzioni pecuniarie di cui all'articolo 99, paragrafo 5, del presente regolamento nonché del diritto di chiedere la revisione della decisione alla Corte di giustizia dell'Unione europea. Prima di effettuare un'ispezione, l'ufficio per l'IA informa l'autorità di vigilanza del mercato dello Stato membro nel cui territorio è situato l'operatore o il suo rappresentante legale.
Nel corso di tale ispezione, al personale dell'ufficio per l'IA è conferito il potere di:
a) accedere a tutti i locali, i terreni o le proprietà aziendali dell'operatore interessato situati nell'Unione;
b) esaminare i registri, i dati e altri materiali rilevanti per l'esecuzione dei loro compiti, su qualsiasi forma di supporto;
c) prendere o ottenere sotto qualsiasi forma copie o estratti di registri, dati e qualsiasi altro documento;
d) chiedere a una qualsiasi delle persone soggette all'ispezione o ai loro rappresentanti, o a membri del personale spiegazioni orali o scritte su fattori o documenti relativi all'oggetto e alle finalità dell'ispezione e registrarne le risposte;
e) apporre sigilli ai locali, ai registri o ai documenti aziendali per la durata dell'ispezione e nella misura necessaria al suo espletamento.
Se l'ufficio per l'IA constata che una persona fisica o giuridica si oppone a un'ispezione o la ostacola, l'autorità nazionale competente dello Stato membro interessato presta la necessaria assistenza, richiedendo, se del caso, l'assistenza della polizia o di un'autorità di contrasto equivalente, affinché possa effettuare l'ispezione in loco.
Se l'ispezione in loco di locali, terreni o proprietà aziendali richiede l'autorizzazione di un'autorità giudiziaria conformemente al diritto nazionale, l'ufficio per l'IA richiede tale autorizzazione. L'ufficio per l'IA può richiedere tale autorizzazione anche in via preventiva. Qualora sia richiesta tale autorizzazione, l'autorità giudiziaria nazionale verifica tempestivamente che le misure coercitive previste non siano né arbitrarie né sproporzionate tenuto conto dell'oggetto dell'indagine o dell'ispezione nonché dei documenti forniti dall'ufficio per l'IA unitamente alla decisione. Nel verificare la proporzionalità delle misure coercitive, l'autorità giudiziaria nazionale può chiedere all'ufficio per l'IA di fornire spiegazioni dettagliate, in particolare sui motivi per i quali l'ufficio per l'IA sospetta una violazione del presente regolamento e sulla gravità della violazione sospettata e, se del caso, sulla natura del coinvolgimento della persona soggetta alle misure coercitive. L'autorità giudiziaria nazionale non può mettere in discussione la necessità dell'indagine o dell'ispezione, né esigere informazioni contenute nel fascicolo dell'ufficio per l'IA. Conformemente ai trattati, il controllo della legittimità della decisione dell'ufficio per l'IA compete esclusivamente alla Corte di giustizia dell'Unione europea.
5. Su richiesta dell'ufficio per l'IA, l'autorità di vigilanza del mercato competente di uno Stato membro può svolgere nel proprio territorio qualsiasi indagine, ispezione o porre in essere altra misura di accertamento dei fatti in nome e per conto dell'ufficio per l'IA al fine di stabilire se vi sia stata una violazione del presente regolamento. I funzionari delle autorità competenti degli Stati membri incaricati di procedere a tali indagini, ispezioni o porre in essere misure di accertamento dei fatti, così come le persone da esse autorizzate o nominate, esercitano i loro poteri conformemente al loro diritto nazionale.
6. Oltre ai poteri di cui dispone a norma del paragrafo 1 del presente articolo, l'ufficio per l'IA, nell'esercizio delle sue competenze di cui all'articolo 75, paragrafo 1, può:
a) imporre agli operatori di fornire l'accesso ai loro sistemi di IA e fornire spiegazioni in merito;
b) imporre all'operatore l'obbligo di conservare tutti i dati e i documenti ritenuti necessari per valutare l'attuazione e il rispetto degli obblighi di cui al presente regolamento.
7. Al fine di ricevere assistenza nel monitoraggio dell'effettiva attuazione e della conformità alle pertinenti disposizioni del presente regolamento, così come consulenze o conoscenze specifiche nell'esercizio delle proprie competenze a norma dell'articolo 75, paragrafo 1, l'ufficio per l'IA può nominare esperti e revisori esterni indipendenti, nonché esperti, squadre investigative e revisori delle autorità competenti dello Stato membro, con l'accordo dell'autorità interessata. Le informazioni ottenute a seguito di tali azioni di monitoraggio sono condivise con le pertinenti autorità competenti degli Stati membri.
8. Le informazioni raccolte a norma del presente articolo sono utilizzate esclusivamente ai fini del presente regolamento.
Art. 75 ter Impegni
Se, nel corso di un procedimento a norma dell'articolo 75 bis, paragrafo 2, l'operatore interessato offre di assumersi impegni volti a garantire la conformità alle pertinenti disposizioni del presente regolamento, l'ufficio per l'IA può, mediante decisione, rendere tali impegni vincolanti per tale operatore e dichiarare che non vi sono ulteriori motivi di intervento. L'ufficio per l'IA, su richiesta o di propria iniziativa, può riaprire il procedimento qualora:
a) si sia prodotto un cambiamento sostanziale di uno dei fatti su cui si è fondata la decisione;
b) l'operatore agisca in contrasto con i propri impegni; oppure
c) la decisione sia stata fondata su informazioni incomplete, inesatte o fuorvianti trasmesse dall'operatore interessato.
Se ritiene che gli impegni offerti dal fornitore interessato non siano idonei a garantire l'effettiva conformità alle pertinenti disposizioni del presente regolamento, l'ufficio per l'IA respinge tali impegni in una decisione motivata al momento della conclusione del procedimento.
Art. 75 quater Non conformità, sanzioni pecuniarie e penalità di mora
1. L'ufficio per l'IA, qualora constati che un operatore che rientra nell'ambito di applicazione dell'articolo 75, paragrafo 1, non rispetta le pertinenti disposizioni del presente regolamento o gli impegni resi vincolanti a norma dell'articolo 75 ter, adotta una decisione che stabilisce tale non conformità.
2. Prima di adottare una decisione a norma del paragrafo 1, l'ufficio per l'IA comunica le sue constatazioni preliminari all'operatore interessato. Nelle constatazioni preliminari l'ufficio per l'IA spiega le misure che intende adottare, o che ritiene che l'operatore interessato debba adottare, al fine di dar seguito in maniera efficace alle constatazioni preliminari.
3. Nella decisione a norma del paragrafo 1 del presente articolo, l'ufficio per l'IA ordina, se del caso, all'operatore interessato di adottare le misure necessarie per garantire la conformità alle pertinenti disposizioni del presente regolamento entro un termine ragionevole ivi specificato e di fornire informazioni sulle misure che l'operatore intende adottare per conformarsi alla decisione. L'operatore interessato fornisce all'ufficio per l'IA una descrizione delle misure adottate per garantire il rispetto della decisione in seguito alla loro attuazione. Prima di chiedere l'adozione di qualsiasi misura, l'ufficio per l'IA può avviare un dialogo strutturato con l'operatore del sistema di IA in questione. Nel corso di tale dialogo, l'operatore può proporre di assumersi impegni conformemente all'articolo 75 ter.
4.
Una decisione adottata a norma del paragrafo 1 del presente articolo può essere accompagnata dall'imposizione di sanzioni conformemente all'articolo 99, paragrafi da 3 a 7, le cui disposizioni si applicano mutatis mutandis all'ufficio per l'IA nell'esecuzione dei suoi compiti di controllo ed esecuzione di cui all'articolo 75, paragrafo 1.
In particolare, sono soggetti alle sanzioni amministrative pecuniarie di cui all'articolo 99, paragrafo 4:
a) la violazione di qualsiasi applicabile disposizione del presente regolamento, comprese quelle non elencate all'articolo 99, paragrafo 4;
b) il mancato rispetto delle decisioni o delle misure adottate in virtù dei poteri di cui all'articolo 14, paragrafo 4, o all'articolo 16, paragrafo 3, del regolamento (UE) 2019/1020, nonché dei poteri di cui all'articolo 75 bis del presente regolamento;
c) il mancato rispetto di un impegno reso vincolante da una decisione adottata a norma dell'articolo 75 ter.
La fornitura di informazioni inesatte, incomplete o fuorvianti all'ufficio per l'IA per dare seguito a una richiesta è soggetta alle sanzioni amministrative pecuniarie di cui all'articolo 99, paragrafo 5.
5.
L'ufficio per l'IA può adottare una decisione che impone penalità di mora al fine di obbligare gli operatori, per i quali è competente a norma dell'articolo 75, paragrafo 1, a:
a) sottoporsi a un'indagine;
b) a dar seguito a una richiesta di informazioni disposta da una decisione a norma dell'articolo 75 bis, paragrafo 3;
c) sottoporsi a un'ispezione disposta da una decisione a norma dell'articolo 75 bis, paragrafo 4;
d) fornire risposte o spiegazioni corrette e complete nel contesto di un'ispezione disposta da una decisione a norma dell'articolo 75 bis, paragrafo 4;
e) conformarsi alle azioni correttive disposte in virtù dei poteri di cui all'articolo 16 del regolamento (UE) 2019/1020;
f) rispettare gli impegni resi giuridicamente vincolanti mediante decisione a norma dell'articolo 75 ter; oppure
g) conformarsi a una decisione adottata a norma del paragrafo 1 del presente articolo.
Tali penalità di mora sono effettive e proporzionate e, se del caso, il loro importo giornaliero non supera il 5 % del reddito medio giornaliero o del fatturato annuo mondiale dell'esercizio precedente, calcolato a decorrere dalla data stabilita nella decisione.
6. La Corte di giustizia dell'Unione europea ha competenza giurisdizionale anche di merito per esaminare le decisioni dell'ufficio per l'IA che fissano una sanzione pecuniaria o una penalità di mora a norma del presente articolo. Essa può estinguere, ridurre o aumentare la sanzione pecuniaria o la penalità di mora inflitta.
7. I fondi raccolti mediante l'imposizione di sanzioni pecuniarie o penalità di mora a norma del presente articolo contribuiscono al bilancio generale dell'Unione.
8.
I poteri conferiti all'ufficio per l'IA dal presente articolo sono soggetti a un termine di prescrizione di cinque anni. Il termine di prescrizione decorre dal giorno in cui è stata commessa la violazione. Nel caso di violazioni continuate o ripetute il termine di prescrizione decorre invece dal giorno in cui è cessata la violazione.
Il potere dell'ufficio per l'IA di dare esecuzione delle decisioni adottate ai sensi del presente articolo è soggetto a un termine di prescrizione di cinque anni. Il termine di prescrizione decorre dal giorno in cui la decisione diventa definitiva.
L'atto di esecuzione di cui all'articolo 75 quinquies, paragrafo 3, specifica il primo e il secondo comma del presente paragrafo, nonché le circostanze in cui i termini di prescrizione sono interrotti.
9. Qualora accerti l'assenza di motivi per adottare una decisione di non conformità, l'ufficio per l'IA chiude il procedimento mediante una decisione. Tale decisione si applica con effetto immediato.
Art. 75 quinquies Garanzie e ulteriori precisazioni
1. L'articolo 18 del regolamento (UE) 2019/1020 si applica mutatis mutandis agli operatori per i quali l'ufficio per l'IA è competente a norma dell'articolo 75, paragrafo 1 del presente regolamento, fatti salvi i diritti procedurali più specifici previsti dal presente regolamento.
2. Nel corso del procedimento sono pienamente garantiti i diritti di difesa e di accesso al fascicolo degli operatori che rientrano nell'ambito di applicazione dell'articolo 75, paragrafo 1. In considerazione dell'eventuale adozione di decisioni sulla base dell'articolo 75 quater, paragrafo 1, tali operatori hanno il diritto di accedere al fascicolo dell'ufficio per l'IA nel rispetto della procedura di divulgazione negoziata, fermo restando l'interesse legittimo dell'operatore o di un'altra persona interessata alla tutela dei propri segreti aziendali. L'ufficio per l'IA ha il potere di adottare decisioni che stabiliscono tale procedura di divulgazione in caso di disaccordo tra le parti. Il diritto di accesso al fascicolo non si estende alle informazioni riservate e ai documenti interni dell'ufficio per l'IA, del consiglio per l'IA, delle autorità di vigilanza del mercato competenti o di altre autorità pubbliche degli Stati membri. In particolare, il diritto di accesso non si estende alla corrispondenza fra l'ufficio per l'IA e tali autorità. Nessuna disposizione del presente paragrafo osta a che l'ufficio per l'IA divulghi e utilizzi le informazioni necessarie a dimostrare l'esistenza di una violazione.
3. La Commissione può adottare atti di esecuzione riguardanti le modalità pratiche per l'accesso al fascicolo e la divulgazione negoziata delle informazioni di cui al paragrafo 2.
4. L'ufficio per l'IA pubblica le decisioni adottate a norma degli articoli 75 ter e 75 quater. Tale pubblicazione indica i nomi delle parti e il contenuto essenziale della decisione, comprese eventuali sanzioni irrogate. La pubblicazione tiene conto del diritto e dell'interesse legittimo di qualsiasi persona interessata alla protezione delle proprie informazioni riservate.
Art. 76 Controllo delle prove in condizioni reali da parte delle autorità di vigilanza del mercato
1.
Le autorità di vigilanza del mercato hanno le competenze e i poteri per garantire che le prove in condizioni reali siano conformi al presente regolamento.
Qualora le prove in condizioni reali siano fondate sull'articolo 60 bis, qualsiasi riferimento a un'autorità di vigilanza del mercato contenuto nel presente articolo si intende fatto all'autorità nazionale competente o all'autorità appropriata ai sensi della normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione B, e i riferimenti all'articolo 60 si intendono fatti, se del caso, all'articolo 60 bis.
2. Qualora siano effettuate prove in condizioni reali per i sistemi di IA sottoposti a controllo all'interno di uno spazio di sperimentazione normativa per l'IA a norma dell'articolo 58, le autorità di vigilanza del mercato verificano la conformità dell'articolo 60 nell'ambito del loro ruolo di controllo per lo spazio di sperimentazione normativa per l'IA. Tali autorità possono, se del caso, consentire che le prove in condizioni reali siano effettuate dal fornitore o potenziale fornitore in deroga alle condizioni di cui all'articolo 60, paragrafo 4, lettere f) e g).
3. Qualora sia stata informata dal potenziale fornitore, dal fornitore o da un terzo di un incidente grave o abbia altri motivi per ritenere che le condizioni di cui agli articoli 60 e 61 non siano soddisfatte, un'autorità di vigilanza del mercato può adottare una delle seguenti decisioni sul suo territorio, a seconda dei casi:
a) sospendere o cessare le prove in condizioni reali;
b) imporre al fornitore o potenziale fornitore e al deployer o al potenziale deployer di modificare qualsiasi aspetto delle prove in condizioni reali.
4. Ove un'autorità di vigilanza del mercato abbia adottato una decisione di cui al paragrafo 3 o sollevato un'obiezione ai sensi dell'articolo 60, paragrafo 4, lettera b), la decisione o l'obiezione ne indica i motivi ed espone le modalità con cui il fornitore o potenziale fornitore può contestare la decisione o l'obiezione.
5. Se del caso, ove un'autorità di vigilanza del mercato abbia adottato una decisione di cui al paragrafo 3, ne comunica i motivi alle autorità di vigilanza del mercato degli altri Stati membri in cui il sistema di IA è stato sottoposto a prova conformemente al piano di prova.
Art. 77 Poteri delle autorità che tutelano i diritti fondamentali e cooperazione con le autorità di vigilanza del mercato
1. Le autorità o gli organismi pubblici nazionali che controllano o fanno rispettare gli obblighi previsti dal diritto dell'Unione a tutela dei diritti fondamentali, compreso il diritto alla non discriminazione, hanno il potere di richiedere qualsiasi informazione o documentazione creata o mantenuta dall'autorità di vigilanza del mercato competente a norma del presente regolamento o di accedervi, per via elettronica, in una lingua e in un formato leggibile meccanicamente accessibili, quando l'accesso a tali informazioni o documentazione è necessario per l'efficace adempimento dei loro mandati entro i limiti della loro giurisdizione. Il presente articolo non pregiudica le competenze, i compiti, i poteri e l'indipendenza delle autorità o degli organismi pubblici nazionali competenti nell'ambito dei loro mandati.
1 bis. Fatte salve le condizioni specificate nel presente articolo, l'autorità di vigilanza del mercato concede all'autorità pubblica o all'organismo pubblico competenti di cui al paragrafo 1 l'accesso a tali informazioni o documentazione, anche richiedendole al fornitore o al deployer, ove necessario e senza indebito ritardo.
1 ter. Le autorità di vigilanza del mercato e le autorità o gli organismi pubblici di cui al paragrafo 1 cooperano strettamente e si prestano reciprocamente l'assistenza necessaria per l'adempimento dei rispettivi mandati, al fine di garantire l'applicazione coerente del presente regolamento e del diritto dell'Unione a tutela dei diritti fondamentali e di razionalizzare le procedure, rispettando nel contempo i rispettivi compiti, competenze, poteri e indipendenza. Ciò include, in particolare, lo scambio di informazioni, ove necessario, per l'efficace supervisione o esecuzione del presente regolamento e delle altre rispettive normative dell'Unione.
2. Entro il 2 novembre 2024 ciascuno Stato membro individua le autorità o gli organismi pubblici di cui al paragrafo 1 e ne pubblica l'elenco. Gli Stati membri notificano l'elenco alla Commissione e agli altri Stati membri e lo tengono aggiornato.
3. Qualora la documentazione di cui al paragrafo 1 non sia sufficiente per accertare un'eventuale violazione degli obblighi previsti dal diritto dell'Unione a tutela dei diritti fondamentali, l'autorità pubblica o l'organismo pubblico di cui al paragrafo 1 può presentare all'autorità di vigilanza del mercato una richiesta motivata al fine di organizzare una prova del sistema di IA ad alto rischio mediante mezzi tecnici. L'autorità di vigilanza del mercato organizza le prove coinvolgendo da vicino l'autorità pubblica o l'organismo pubblico richiedente entro un termine ragionevole dalla richiesta.
4. Qualsiasi informazione o documentazione ottenuta a norma del presente articolo dalle autorità o dagli organismi pubblici nazionali di cui al paragrafo 1 del presente articolo è trattata in conformità degli obblighi di riservatezza stabiliti all'articolo 78.