Articolo 16: obblighi del fornitore di IA ad alto rischio
I 12 obblighi del fornitore secondo l’articolo 16 del regolamento sull’IA: chi è fornitore, quando si applicano e le sanzioni dell’articolo 99(4).
I fornitori di sistemi di IA ad alto rischio devono rispettare i 12 obblighi dell’articolo 16, dalla gestione della qualità alla marcatura CE.
Riguarda i fornitori che immettono un tale sistema sul mercato dell’UE, ovunque siano stabiliti. Gli obblighi si applicano dal 2 dicembre 2027 per i sistemi dell’allegato III (usi elencati, come la selezione del personale). Per i sistemi dell’allegato I (IA in prodotti soggetti a determinate norme UE di sicurezza) si applicano dal 2 agosto 2028. Le violazioni possono essere punite con sanzioni fino a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4)). Per prima cosa, verificate ogni obbligo qui sotto rispetto al vostro sistema.
Un fornitore deve rispettare 12 obblighi
Le lettere da a) a l) seguono le lettere dell’articolo 16.
Rispettare i requisiti della sezione 2
Il sistema deve rispettare i requisiti della sezione 2 (articoli da 8 a 15): gestione dei rischi, governance dei dati, documentazione tecnica, conservazione delle registrazioni, trasparenza, sorveglianza umana, accuratezza, robustezza e cibersicurezza.
Indicare nome e indirizzo di contatto
Riportate sul sistema il vostro nome, la denominazione commerciale registrata o il marchio registrato e l’indirizzo di contatto. Se non è possibile, riportateli sull’imballaggio o nella documentazione di accompagnamento.
Disporre di un sistema di gestione della qualità
Predisponete un sistema di gestione della qualità conforme all’articolo 17. Deve essere documentato sotto forma di politiche, procedure e istruzioni scritte.
Conservare la documentazione per 10 anni
Conservate per 10 anni i documenti elencati nell’articolo 18, a decorrere dall’immissione sul mercato o dalla messa in servizio del sistema. Comprendono la documentazione tecnica, la documentazione del sistema di gestione della qualità e la dichiarazione di conformità UE.
Conservare i log generati automaticamente
Conservate i log che il sistema genera automaticamente, nella misura in cui sono sotto il vostro controllo (articolo 19). Conservateli per un periodo adeguato alla finalità prevista, di almeno sei mesi, salvo diversa disposizione del diritto dell’Unione o nazionale.
Completare una valutazione della conformità
Accertatevi che il sistema superi la procedura di valutazione della conformità dell’articolo 43 prima di immetterlo sul mercato o di metterlo in servizio.
Redigere la dichiarazione di conformità UE
Redigete una dichiarazione di conformità UE a norma dell’articolo 47.
Apporre la marcatura CE
Apponete la marcatura CE sul sistema, come richiede l’articolo 48. Se non è possibile, apponetela sull’imballaggio o nella documentazione di accompagnamento.
Registrare il sistema nella banca dati UE
Rispettate gli obblighi di registrazione dell’articolo 49(1): registrate voi stessi e il sistema nella banca dati UE prima di immetterlo sul mercato o di metterlo in servizio. L’articolo 49(1) riguarda i sistemi dell’allegato III, tranne il punto 2 (infrastrutture critiche).
Adottare azioni correttive
Se ritenete che il sistema non sia conforme, adottate subito le azioni correttive dell’articolo 20: renderlo conforme, ritirarlo, disabilitarlo o richiamarlo. Informate i distributori e, se del caso, i deployer, il rappresentante autorizzato e gli importatori.
Dimostrare la conformità su richiesta
Se un’autorità nazionale competente ne fa richiesta motivata, dimostrate che il sistema rispetta i requisiti della sezione 2.
Rispettare i requisiti di accessibilità
Accertatevi che il sistema rispetti i requisiti di accessibilità delle direttive (UE) 2016/2102 e (UE) 2019/882.
Il fornitore è chi immette il sistema sul mercato con il proprio nome
Il fornitore sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (articolo 3, punto 3).
Un deployer, importatore, distributore o altro terzo diventa fornitore in tre casi (articolo 25(1)). Appone il proprio nome o marchio su un sistema ad alto rischio già sul mercato. Apporta una modifica sostanziale che lascia il sistema ad alto rischio. Oppure modifica la finalità prevista di un sistema non ad alto rischio, che così lo diventa.
Il nuovo fornitore assume gli obblighi dell’articolo 16. Il fornitore iniziale non è più considerato fornitore di quel sistema e deve cooperare con il nuovo fornitore (articolo 25(2)). Ciò non si applica se il fornitore iniziale ha chiaramente specificato che il suo sistema di IA non deve essere trasformato in un sistema di IA ad alto rischio. Il fornitore e il terzo che fornisce componenti, strumenti o modelli per il sistema devono concordare per iscritto le informazioni e l’accesso tecnico di cui il fornitore ha bisogno (articolo 25(4)). Gli strumenti liberi e open source sono esclusi, salvo che siano modelli di IA per finalità generali.
Fornitori e deployer hanno obblighi distinti
Date, limiti e sanzioni per i fornitori
Date di applicazione
L’articolo 16 si applica dal 2 dicembre 2027 ai sistemi dell’allegato III e dal 2 agosto 2028 a quelli dell’allegato I (articolo 113). Un sistema ad alto rischio immesso sul mercato prima della data di applicazione è interessato solo se in seguito la sua progettazione cambia in modo significativo (articolo 111(2)). In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)).
Dove l’articolo 16 non si applica
Per i sistemi collegati a prodotti della sezione B dell’allegato I (norme su macchine, veicoli a motore, ferrovie e aviazione civile, tra le altre), si applicano solo l’articolo 6(1), l’articolo 60 bis e gli articoli da 102 a 112. L’articolo 16 non si applica a tali sistemi (articolo 2(2)). Il regolamento esclude inoltre i sistemi di IA usati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (articolo 2(3)). Per i prodotti della sezione B dell’allegato I, gli articoli 57, 58 e 59 si applicano solo nella misura in cui i requisiti per i sistemi di IA ad alto rischio sono stati integrati in tale normativa di armonizzazione dell’Unione.
Sanzioni
La violazione degli obblighi del fornitore dell’articolo 16 può essere punita con una sanzione fino a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4), lettera a). Per le PMI, comprese le start-up, e per le piccole imprese a media capitalizzazione la sanzione arriva al massimo all’importo più basso dei due (articolo 99(6) e (6 bis)).
Come Scanara supporta gli obblighi del fornitore
Scanara vi guida in valutazioni del sistema di gestione della qualità (articolo 17), della catena del valore (articolo 25) e della preparazione alla valutazione della conformità (articolo 43). Dalle vostre risposte e dalle scansioni dei repository redige bozze della documentazione tecnica (allegato IV) e della dichiarazione di conformità UE (allegato V). Voi verificate e decidete. Scanara struttura le prove per la registrazione, mentre la registrazione la effettuate voi.
Domande frequenti sugli obblighi del fornitore
Cosa succede se un fornitore viola un obbligo dell’articolo 16?
Al fornitore può essere inflitta una sanzione fino a 15 milioni di EUR o al 3 % del fatturato mondiale annuo, se superiore (articolo 99(4), lettera a). Per le PMI, comprese le start-up, e le piccole imprese a media capitalizzazione la sanzione arriva al massimo all’importo più basso (articolo 99(6) e (6 bis)). Gli Stati membri stabiliscono le norme sulle sanzioni, e le autorità nazionali competenti o i giudici irrogano le sanzioni (articolo 99(1) e (9)). Si tiene conto della natura, della gravità e della durata della violazione e delle dimensioni dell’operatore (articolo 99(7)).
Se costruisco su un modello di terzi, sono io il fornitore?
Sì, se immettete il sistema di IA ad alto rischio sul mercato con il vostro nome (articolo 3, punto 3). Il fornitore del modello mantiene i propri obblighi per un modello di IA per finalità generali (articoli 53 e 55), che non sostituiscono i vostri obblighi dell’articolo 16. Voi e il fornitore del modello dovete concordare per iscritto le informazioni e l’accesso tecnico di cui avete bisogno (articolo 25(4)). Gli strumenti liberi e open source sono esclusi, salvo che siano modelli di IA per finalità generali.
Da quando si applicano gli obblighi dell’articolo 16?
Si applicano dal 2 dicembre 2027 ai sistemi dell’allegato III e dal 2 agosto 2028 a quelli dell’allegato I (articolo 113, come modificato dal regolamento (UE) 2026/1744). Un sistema già sul mercato prima di tale data è soggetto al regolamento solo se in seguito la sua progettazione cambia in modo significativo (articolo 111(2)). In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111(2)).
Il dettaglio di ogni obbligo
Articolo 17: sistema di gestione della qualità
Illustra i 13 aspetti che il sistema di gestione della qualità di un fornitore deve coprire.
Articolo 11: documentazione tecnica
Illustra la documentazione tecnica che un fornitore deve redigere e tenere aggiornata.
Articolo 26: obblighi dei deployer
Illustra gli obblighi delle organizzazioni che usano sistemi di IA ad alto rischio.
Articolo 6: quando un sistema di IA è ad alto rischio
Spiega le due vie per cui un sistema di IA è considerato ad alto rischio.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.