Regolamento (UE) 2026/1744

Regolamento (UE) 2026/1744 / Omnibus digitale sull'IA

ID 26743 | 24 Luglio 2026 / Allegato

Regolamento (UE) 2026/1744 
del Parlamento europeo e del Consiglio, dell'8 luglio 2026, che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 per quanto riguarda la semplificazione dell'attuazione di regole armonizzate sull'intelligenza artificiale (Omnibus digitale sull'IA) 

PE/30/2026/REV/1

GU L 2026/1744 del 24.7.2026

Entrata in vigore: 27.07.2026

__________

IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 114,

vista la proposta della Commissione europea,

previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,

visto il parere della Banca centrale europea,

visto il parere del Comitato economico e sociale europeo,

visto il parere del Comitato delle regioni,

deliberando secondo la procedura legislativa ordinaria,

considerando quanto segue:

(1) Il regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio stabilisce regole armonizzate sull'intelligenza artificiale (IA) e mira a migliorare il funzionamento del mercato interno e a promuovere la diffusione di un'IA antropocentrica e affidabile, garantendo nel contempo un livello elevato di protezione della salute, della sicurezza e dei diritti fondamentali, e promuovendo l'innovazione. Il regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024. L'entrata in applicazione delle sue disposizioni avviene in modo scaglionato ed entro il 2 agosto 2027 le norme saranno tutte applicabili.

(2) L'esperienza acquisita dall'attuazione delle parti del regolamento (UE) 2024/1689 già applicabili può fornire indicazioni utili per l'attuazione delle parti che devono ancora essere applicate. In tale contesto, il ritardo nella preparazione delle norme, che forniscono soluzioni tecniche ai fornitori di sistemi di IA ad alto rischio per garantire il rispetto dei propri obblighi a norma di tale regolamento, e il ritardo nella definizione dei quadri di governance e di valutazione della conformità a livello nazionale hanno comportato un onere di conformità più gravoso del previsto. Dalle consultazioni dei portatori di interessi è inoltre emersa la necessità di misure aggiuntive per facilitare l'attuazione e la conformità e fornire chiarimenti in merito, senza ridurre il livello di protezione della salute, della sicurezza e dei diritti fondamentali dai rischi connessi all'IA che le disposizioni del regolamento (UE) 2024/1689 mirano a conseguire.

(3) È necessario modificare in modo mirato il regolamento (UE) 2024/1689 al fine di affrontare talune sfide relative all'attuazione, nell'ottica di un'applicazione efficace, semplice e uniforme delle pertinenti norme.

(4) Al fine di consentire l'innovazione in materia di IA nei settori pubblico e privato, è importante che la Commissione e le autorità competenti degli Stati membri garantiscano che la supervisione sulle normative settoriali e nazionali, la loro applicazione e il loro monitoraggio, non creino sovrapposizioni, interpretazioni incoerenti o applicazioni divergenti.

(5) Il regolamento (UE) 2024/1689 stabilisce regole orizzontali per i sistemi di IA al fine di garantire un livello costante ed elevato di tutela degli interessi pubblici in materia di salute, sicurezza e diritti fondamentali. Per i sistemi di IA ad alto rischio di cui all'articolo 6, paragrafo 1, tale regolamento si applica in combinato disposto con la normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A. In alcuni casi è possibile che tale normativa di armonizzazione dell'Unione stabilisca requisiti che garantiscono un livello di tutela degli interessi pubblici pertinenti uguale o superiore a quello garantito dai requisiti o dagli obblighi specifici di cui al regolamento (UE) 2024/1689. In tal caso dovrebbe essere possibile limitare l'applicazione dei requisiti o degli obblighi specifici stabiliti dal regolamento (UE) 2024/1689 al fine di agevolare la conformità e ridurre al minimo gli oneri amministrativi e le duplicazioni, preservando nel contempo il livello di protezione garantito da tale regolamento. Tale limitazione dovrebbe essere possibile se, e nella misura in cui, la normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, stabilisce requisiti che prevedono un livello di tutela della salute, della sicurezza o dei diritti fondamentali equivalente a quello garantito dal requisito o dall'obbligo in questione. Alla Commissione dovrebbe essere conferito il potere di adottare atti delegati per integrare tale regolamento individuando tali casi e specificando i prodotti interessati, i requisiti o gli obblighi che possono essere oggetto di limitazione, nonché le condizioni e la portata di eventuali limitazioni, in modo da non ridurre il livello di protezione previsto dal regolamento (UE) 2024/1689.

(6) Gran parte delle imprese dell'Unione è costituito da piccole e medie imprese, la maggior parte delle quali sono microimprese e piccole imprese. Le imprese che sforano i limiti definiti per le microimprese e le piccole e medie imprese (PMI), ossia le piccole imprese a media capitalizzazione, svolgono un ruolo fondamentale nell'economia dell'Unione. Rispetto alle PMI, le piccole imprese a media capitalizzazione tendono a dimostrare un ritmo di crescita e un livello di innovazione e digitalizzazione più elevati. Tuttavia le sfide in relazione agli oneri amministrativi che si trovano ad affrontare sono analoghe a quelle delle PMI, il che rende necessaria una proporzionalità nell'attuazione del regolamento (UE) 2024/1689 e un sostegno mirato. Al fine di consentire una transizione agevole da PMI a piccola impresa a media capitalizzazione, è importante affrontare in modo coerente l'effetto che il regolamento potrebbe avere sulla loro attività quando tali imprese diventano piccole imprese a media capitalizzazione e si trovano a dover rispettare le norme che si applicano alle grandi imprese. Il regolamento (UE) 2024/1689 prevede diverse misure per gli operatori di piccole dimensioni, che dovrebbero essere estese alle piccole imprese a media capitalizzazione, se del caso, salvaguardando nel contempo gli obiettivi generali e il livello di protezione previsti dal regolamento (UE) 2024/1689. Al fine di chiarire il trattamento delle PMI e delle piccole imprese a media capitalizzazione nel regolamento (UE) 2024/1689, è necessario introdurre definizioni di PMI e piccole imprese a media capitalizzazione che corrispondano rispettivamente alla definizione di cui all'allegato della raccomandazione 2003/361/CE della Commissione e all'allegato della raccomandazione (UE) 2025/1099 della Commissione.

(7) La nozione di «componente di sicurezza» è fondamentale per la classificazione di determinati sistemi di IA come ad alto rischio conformemente al regolamento (UE) 2024/1689. La nozione dovrebbe pertanto essere circoscritta in modo da includere unicamente i sistemi di IA che potrebbero incidere negativamente sulla salute e sulla sicurezza delle persone o dei beni, in linea con l'approccio basato sul rischio di tale regolamento. La definizione di cui all'articolo 3, punto 14), del regolamento (UE) 2024/1689 non fornisce la chiarezza necessaria per consentire ai fornitori di sistemi di IA di determinare se un sistema di IA possa essere considerato un componente di sicurezza e, di conseguenza, rischia di estendere la classificazione ad alto rischio di sistemi di IA al di là di quanto giustificato dall'approccio basato sul rischio di tale regolamento. È pertanto necessario modificare tale definizione. In primis, è necessario chiarire il concetto di «funzione di sicurezza». La funzione di sicurezza dovrebbe essere una finalità prevista del sistema, determinata dal fornitore del sistema stesso. Un sistema di IA svolge una funzione di sicurezza se la sua finalità prevista, come determinata dal fornitore, è quella di prevenire o attenuare i rischi per la salute e la sicurezza di persone o beni. Nello specifico, ciò non comprende i sistemi di IA destinati a svolgere esclusivamente funzioni relative all'assistenza agli utenti, all'ottimizzazione delle prestazioni, all'efficienza dei servizi, all'automazione, alla praticità o ad aspetti non connessi alla sicurezza delle operazioni di controllo della qualità. Il semplice fatto che un sistema di IA sia integrato in un prodotto sottoposto alla normativa di armonizzazione dell'Unione, o che operi al suo interno, non implica, di per sé, che svolga una funzione di sicurezza.

(8) L'articolo 4 del regolamento (UE) 2024/1689 impone attualmente a tutti i fornitori e deployer di sistemi di IA l'obbligo di garantire l'alfabetizzazione in materia di IA del loro personale. Lo sviluppo dell'alfabetizzazione in materia di IA, a partire dall'istruzione e dalla formazione e proseguendo con l'apprendimento permanente, è fondamentale per dotare i fornitori, i deployer e le altre persone interessate delle competenze necessarie per prendere decisioni informate in merito alla diffusione dei sistemi di IA. L'esperienza condivisa dai portatori di interessi rivela tuttavia che una soluzione che imponga obblighi rigorosi per garantire un livello sufficiente di alfabetizzazione in materia di IA non sarebbe adatta a tutti i tipi di fornitori e deployer in relazione alla promozione dell'alfabetizzazione in materia di IA. Inoltre i dati indicano che l'imposizione di tali obblighi crea un onere aggiuntivo in termini di conformità, in particolare per le imprese più piccole, mentre l'alfabetizzazione in materia di IA dovrebbe essere una priorità strategica, indipendentemente dagli obblighi normativi e dalle possibili sanzioni. Alla luce di tali informazioni, è opportuno modificare l'articolo 4 del regolamento (UE) 2024/1689 al fine di imporre ai fornitori e ai deployer di adottare misure a sostegno dello sviluppo dell'alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto. La Commissione e gli Stati membri dovrebbero sostenere e agevolare gli sforzi dei fornitori e dei deployer di sistemi di IA, anche attraverso l'offerta di opportunità di formazione, la fornitura di risorse informative e lo scambio di buone pratiche e altre iniziative . Nell'adempiere a tale obbligo, la Commissione e gli Stati membri potrebbero tenere conto dei quadri europei delle competenze, ad esempio il quadro delle competenze digitali per i cittadini (DigComp) e il quadro di riferimento per l'introduzione all'intelligenza artificiale nell'istruzione primaria e secondaria. Il consiglio europeo per l'intelligenza artificiale («consiglio per l'IA») dovrebbe sostenere la Commissione e gli Stati membri adottando raccomandazioni che stabiliscano obiettivi comuni da conseguire al fine di adempiere ai loro obblighi e dovrebbe garantire scambi regolari tra la Commissione e gli Stati membri sull'argomento, mentre l'alleanza per l'IA applicata dovrebbe consentire la discussione con la comunità in generale.

(9) Il rilevamento e la correzione delle distorsioni costituiscono un interesse pubblico rilevante in quanto proteggono le persone fisiche dagli effetti negativi delle distorsioni, compresa la discriminazione. Per tale ragione, il regolamento (UE) 2024/1689 fornisce una base giuridica che autorizza i fornitori di sistemi di IA ad alto rischio a trattare categorie particolari di dati personali in determinati casi eccezionali e nel rispetto di rigorose garanzie. Tale base giuridica è legata all'obbligo di tali fornitori di stabilire pratiche relative al rilevamento, alla prevenzione e alla correzione delle distorsioni suscettibili di incidere sulla salute e sulla sicurezza delle persone, di avere un impatto negativo sui diritti fondamentali o di comportare discriminazioni vietate dal diritto dell'Unione. Tuttavia, le distorsioni suscettibili di avere tali effetti potrebbero anche derivare dalle azioni dei deployer di sistemi di IA ad alto rischio. Inoltre, tali distorsioni potrebbero insorgere anche nel caso di altri sistemi o modelli di IA. Ad esempio, le distorsioni negli strumenti di ammissibilità o di valutazione del rischio utilizzati per valutare le domande per l'ottenimento di vari tipi di permessi o licenze pubblici possono comportare una limitazione dei diritti o di fatto escludere taluni gruppi dall'accesso ai servizi pubblici. Di conseguenza, sussiste un interesse pubblico rilevante a consentire, eccezionalmente e ove strettamente necessario, il trattamento di categorie particolari di dati personali ai fini del rilevamento e della correzione delle distorsioni da parte dei fornitori e dei deployer di altri sistemi e modelli di IA e da parte dei deployer di sistemi di IA ad alto rischio. È pertanto necessario estendere la base giuridica, statuita dal regolamento (UE) 2024/1689, a tali fornitori e deployer. Tale base giuridica dovrebbe essere soggetta alle medesime limitazioni, condizioni e garanzie applicabili in conformità del vigente articolo 10, paragrafo 5, di tale regolamento, garantendo in tal modo la conformità all'articolo 9, paragrafo 2, lettera g), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (8), all'articolo 10, paragrafo 2, lettera g), del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio e all'articolo 10, lettera a), della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio. Inoltre, per consentire ai fornitori di sistemi di IA ad alto rischio di intraprendere, legittimamente, attività di rilevamento e correzione delle distorsioni in preparazione della conformità ai requisiti relativi ai sistemi di IA ad alto rischio, compreso l'articolo 10, paragrafo 2, lettere f) e g), del regolamento (UE) 2024/1689, la base giuridica stabilita dall'articolo 4 bis del regolamento (UE) 2024/1689 dovrebbe applicarsi a decorrere dalla data di entrata in applicazione di tale regolamento.

(10) L'articolo 5 del regolamento (UE) 2024/1689 vieta determinate pratiche dei sistemi di IA che sono particolarmente dannose e abusive, contrarie a determinati valori dell'Unione e che violano taluni diritti fondamentali. L'articolo 5 deve essere oggetto di un riesame periodico, come stabilito all'articolo 112, paragrafo 1, di tale regolamento. Alla luce delle evoluzioni tecnologiche e sociali successive all'adozione di tale regolamento, compresi l'impiego e l'uso diffuso di sistemi di IA che generano immagini, video e audio intimi non consensuali e materiale analogo («materiale intimo non consensuale») e materiale di abuso sessuale su minori, è necessario modificare l'articolo 5 di tale regolamento.

(11) Il materiale intimo non consensuale costituisce una forma di violenza e abuso sessuali nei confronti delle persone, in particolare le donne. I sistemi di IA che generano o manipolano tale materiale rappresentano un grave rischio per la salute e la sicurezza e per i diritti fondamentali, compresi la dignità umana, l'autonomia personale, l'integrità e la vita privata delle vittime, il che può causare danni psicologici e di altra natura potenzialmente gravi e duraturi, e consentono abusi su larga scala. La proliferazione di tali tecnologie, spesso descritte come applicazioni di «nudificazione», ha determinato l'urgente necessità di un divieto normativo esplicito. Il materiale di abuso sessuale su minori, compreso il materiale interamente o parzialmente sintetico, costituisce una grave minaccia per la sicurezza e i diritti fondamentali dei minori. I sistemi di IA che generano o manipolano tale tipo di materiale comportano un grave rischio per la dignità umana e i diritti dei minori, e rischiano di normalizzare, amplificare e perpetuare la violenza sessuale sui minori. Di conseguenza è necessaria una modifica dell'articolo 5 del regolamento (UE) 2024/1689 sia per proteggere le donne, i minori, altre persone e la società da pratiche gravemente dannose, perseguendo in tal modo gli obiettivi di tale regolamento, sia per chiarire ai fornitori e ai deployer la portata dei loro obblighi, affrontando così le sfide legate all'attuazione.

(12) È necessario definire chiaramente la portata del divieto, compresa in particolare la portata degli obblighi dei fornitori e dei deployer. Tale divieto non dovrebbe impedire ai fornitori di sviluppare le capacità tecniche dei sistemi di IA di generare o manipolare immagini, video, audio o materiale analogo. Per quanto riguarda i fornitori, il divieto dovrebbe essere limitato all'immissione sul mercato o alla messa in servizio dei sistemi di IA che generano o manipolano materiale intimo non consensuale o materiale di abuso sessuale su minori in due casi. In primo luogo, il divieto dovrebbe agire sui sistemi destinati a generare o a manipolare tale tipo di materiale. In secondo luogo, dovrebbe agire sui sistemi in cui tale generazione o manipolazione è un risultato ragionevolmente prevedibile e riproducibile, e per i quali non sono in vigore misure tecniche di sicurezza ragionevoli e adeguate né altre garanzie, tenendo conto che si possa ragionevolmente prevedere un uso improprio, per prevenire in modo affidabile e correggere, se necessario, tale risultato e qualsiasi uso improprio osservato o segnalato, compresa l'elusione di tali misure. Le misure tecniche e altre garanzie intese a prevenire la generazione di tale materiale potrebbero includere la pulizia dei dati, l'addestramento al rifiuto (refusal training), la progettazione sicura dei prompt e i controlli dell'output, le barriere di sicurezza (guardrail) relative ai runtime prompt, meccanismi di classificazione e filtraggio dei contenuti, restrizioni d'uso, meccanismi di rilevamento degli abusi e meccanismi di notifica e azione. Tali misure preventive dovrebbero essere ragionevoli per lo specifico sistema di IA e sono considerate adeguate se sono in linea con le misure all'avanguardia e se prevengono in modo dimostrabile o riducono in misura sufficiente, in ciascun caso specifico, la probabilità di generare o di manipolare tale tipo di materiale, tenendo conto degli usi impropri noti e ragionevolmente prevedibili, compresa l'elusione ragionevolmente prevedibile delle misure preventive senza modifiche tecniche significative. Per i fornitori che mantengono un controllo effettivo sulla fornitura di sistemi di IA, ad esempio attraverso una piattaforma o un'interfaccia web, ciò potrebbe includere metodi di monitoraggio e segnalazione dei casi di uso improprio nel pieno rispetto del diritto dell'Unione in materia di tutela della vita privata e protezione dei dati. In caso di elusione osservata o segnalata delle misure preventive o di altre garanzie, dovrebbero essere adottate misure correttive adeguate, a condizione che tali misure siano ragionevoli, tenendo conto dello specifico sistema di IA, compresa la strategia di rilascio e distribuzione (ad esempio il rilascio in modalità open source). Per quanto riguarda i deployer, l'uso di un sistema di IA dovrebbe essere vietato solo qualora il deployer lo utilizzi per generare o manipolare materiale intimo non consensuale o materiale di abuso sessuale su minori. Sono compresi i casi in cui un deployer utilizza o fa un uso improprio di sistemi di IA immessi sul mercato, o messi in servizio, che non dispongono di misure preventive ragionevoli e adeguate oppure i casi in cui un deployer elude le misure preventive o utilizza per tali scopi sistemi di IA leciti ma non destinati a generare o manipolare tale tipo di materiale. Il divieto di utilizzo non si applica pertanto all'uso di un sistema di IA per scopi leciti, come la generazione o la manipolazione di materiale diverso dal materiale intimo non consensuale o dal materiale di abuso sessuale su minori, anche nei casi in cui il sistema di IA non disponga di garanzie ragionevoli e adeguate che avrebbero dovuto essere messe in atto dal fornitore, né si applica alla generazione o alla manipolazione accidentali di tali contenuti. Per quanto riguarda il divieto relativo al materiale intimo non consensuale, qualora un sistema di IA sia destinato alla generazione o alla manipolazione di materiale oggetto di tale divieto, le misure e le altre garanzie dovrebbero includere mezzi adeguati alla distribuzione del sistema di IA che permettano di ottenere e di dimostrare in modo affidabile il consenso prestato dalla persona ritratta a tale generazione o manipolazione, conformemente al regolamento (UE) 2016/679. Il divieto relativo al materiale intimo non consensuale dovrebbe essere limitato a rappresentazioni realistiche delle parti intime, in particolare genitali, pube, ano, natiche scoperte oppure seno, capezzoli o areole femminili scoperti, o di atti sessualmente espliciti. Tale «realismo» si riferisce alla rappresentazione del volto, della voce o del corpo della persona in modo credibile e realistico, indipendentemente dal carattere realistico del contesto di tale rappresentazione o dal fatto che corrisponda pienamente alla voce o all'aspetto effettivi della persona ritratta. Di contro, sono escluse le raffigurazioni caricaturali o fisicamente impossibili del corpo di una persona. Il divieto di materiale intimo non consensuale non pregiudica la generazione o la manipolazione di altre forme di materiale di nudo, come il materiale che non ritrae persone fisiche identificabili, le rappresentazioni realistiche di nudi parziali in cui non vengono mostrate le parti intime né atti sessualmente espliciti, o le opere artistiche di nudo non realistiche che non ritraggono realisticamente persone fisiche identificabili impegnate in atti sessualmente espliciti o che non ritraggono le parti intime. Inoltre, il divieto non riguarda le applicazioni di IA generativa in cui le parti intime non vengono mostrate o, se mostrate, sono soggette al consenso liberamente prestato, specifico, informato, inequivocabile ed esplicito della persona ritratta (ad esempio applicazioni di prova virtuale e applicazioni mediche, quali simulazioni anatomiche e mammografie); il divieto non preclude l'uso eccezionale di sistemi di IA che generano o manipolano rappresentazioni delle parti intime di una persona identificabile, conformemente al diritto in materia di diritti fondamentali, compreso il diritto in materia di protezione dei dati, e al diritto sanitario applicabile, a fini di diagnosi e trattamento medico da parte di professionisti sanitari qualora la persona interessata non sia in grado di prestare il proprio consenso (ad esempio in una situazione di emergenza). Infine, il divieto di «manipolare» materiale intimo non consensuale esclude i casi in cui il materiale intimo preesistente è manipolato in modo da non aumentare l'esposizione delle parti intime ritratte né alterare la natura degli atti sessualmente espliciti ritratti, ad esempio il semplice miglioramento di un'immagine esistente che ritrae parti intime o di un video che ritrae atti sessualmente espliciti, quali il cambiamento di sfondo, l'aggiunta di un titolo di testo oppure l'aumento del contrasto o della luminosità. Di contro, rientra nell'ambito di applicazione del divieto qualsiasi manipolazione di materiale, compreso il materiale che già ritrae parti intime o atti sessualmente espliciti, che aumenta il livello di esposizione delle parti intime ritratte o che altera la natura di qualsiasi atto sessualmente esplicito rappresentato.

(13) Il divieto relativo al materiale di abuso sessuale su minori non dovrebbe impedire l'immissione sul mercato, la messa in servizio o l'uso di un sistema di IA qualora sia applicabile una causa di giustificazione ai sensi del diritto nazionale, come previsto dall'articolo 5, paragrafo 1, della direttiva 2011/93/UE del Parlamento europeo e del Consiglio. Ciò comprende le attività svolte nei limiti dei poteri giuridici nazionali, quali la generazione o la manipolazione legittime di materiale di abuso sessuale su minori da parte delle autorità per condurre procedimenti penali o per prevenire reati, individuarli o indagare, nonché l'uso legittimo di un sistema di IA nel contesto delle attività di «red teaming» (simulazione di attacco) e di valutazione per verificare se il sistema rispetta il divieto stabilito dal presente regolamento.

(14) Tali divieti costituiscono ingerenze giustificate nella libertà di espressione e di informazione e nella libertà d'impresa. Perseguono obiettivi di interesse generale e tutelano i diritti e le libertà altrui, inclusi i diritti e le libertà sanciti dall'articolo 1, dell'articolo 3, paragrafo 1, e degli articoli 4, 7, 8, 21, 23 e 24 della Carta dei diritti fondamentali dell'Unione europea (Carta), e sono particolarmente mirati. Nel caso del materiale intimo, i divieti sono limitati alle rappresentazioni realistiche di persone fisiche identificabili e ai casi in cui il sistema di IA è utilizzato per aumentare il livello di nudità o esplicitezza e non si applicano alla generazione o alla manipolazione che avviene previo consenso della persona interessata. Inoltre, i divieti si limitano a imporre ai fornitori di attuare misure e garanzie «ragionevoli e adeguate» nel caso di sistemi non destinati a generare o manipolare il materiale vietato. Sono inoltre conformi al diritto dell'Unione vigente, tra cui la direttiva 2011/93/UE e la direttiva (UE) 2024/1385 del Parlamento europeo e del Consiglio. Le ingerenze rispettano il senso degli articoli 11 e 16 della Carta, sono previste dalla legge e sono proporzionate.

(15) Le condotte oggetto di tali divieti possono anche violare altre norme, comprese quelle in materia di diritto penale. I divieti in questione non ostano all'esercizio dell'azione penale ai sensi di tali norme. Tuttavia, nella misura in cui una violazione dei divieti può comportare l'imposizione di sanzioni di natura penale, che possono essere stabilite a norma dell'articolo 99, paragrafo 1, del regolamento (UE) 2024/1689, e nella misura in cui la medesima condotta è sanzionata a norma del diritto penale, compreso il diritto penale che rientra nell'ambito di applicazione delle direttive 2011/93/UE e (UE) 2024/1385, gli Stati membri sono tenuti a garantire il rispetto del principio del ne bis in idem conformemente alla Carta.

(16) I divieti lasciano impregiudicati i mezzi di ricorso di cui le persone dispongono ai sensi della legislazione nazionale per tutelare i loro diritti fondamentali, compreso il diritto all'immagine, alla vita privata e alla dignità umana.

(17) Al fine di garantire la coerenza, evitare duplicazioni e ridurre al minimo gli oneri amministrativi relativi alla procedura di designazione degli organismi notificati ai sensi del regolamento (UE) 2024/1689, mantenendo nel contempo lo stesso livello di controllo, è opportuno che sia disponibile una procedura di domanda unica e di valutazione unificata per i nuovi organismi di valutazione della conformità e organismi notificati designati ai sensi della normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, del regolamento (UE) 2024/1689, quali i regolamenti (UE) 2017/745 e (UE) 2017/746 del Parlamento europeo e del Consiglio, qualora tale domanda e procedura siano stabilite dalla normativa di armonizzazione dell'Unione. La procedura di domanda unica e di valutazione unificata mira ad agevolare, sostenere e accelerare la procedura di designazione conformemente al regolamento (UE) 2024/1689, garantendo nel contempo la conformità alle disposizioni applicabili agli organismi notificati conformemente a tale regolamento e alla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, di tale regolamento. La procedura di valutazione unificata dovrebbe essere applicata nel rispetto dei compiti e delle responsabilità delle autorità coinvolte. È inoltre opportuno chiarire che un organismo di valutazione della conformità designato ai sensi di più di un elemento della normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, dovrebbe essere tenuto a presentare un'unica domanda per essere designato ai sensi del presente regolamento.

(18) Al fine di garantirne un'applicazione agevole e la coerenza, è opportuno modificare il regolamento (UE) 2024/1689. È opportuno effettuare una correzione tecnica all'articolo 43, paragrafo 3, primo comma, del regolamento (UE) 2024/1689 al fine di allineare i requisiti di valutazione della conformità a quelli previsti per i fornitori di sistemi di IA ad alto rischio di cui all'articolo 16 di tale regolamento. È inoltre opportuno chiarire che, qualora un fornitore di un sistema di IA ad alto rischio sia soggetto alla procedura di valutazione della conformità ai sensi della normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, del regolamento (UE) 2024/1689, e la valutazione della conformità si estenda alla conformità del sistema di gestione della qualità di tale regolamento e di tale normativa di armonizzazione dell'Unione, il fornitore dovrebbe poter includere gli aspetti relativi ai sistemi di gestione della qualità ai sensi di tale regolamento come parte dei sistemi di gestione della qualità ai sensi di tale normativa di armonizzazione dell'Unione, conformemente all'articolo 17, paragrafo 3, del regolamento (UE) 2024/1689. L'articolo 43, paragrafo 3, secondo comma, di tale regolamento, dovrebbe essere modificato per chiarire che gli organismi notificati che sono stati notificati ai sensi della normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, del regolamento (UE) 2024/1689 e che intendono valutare i sistemi di IA ad alto rischio disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, di tale regolamento, dovrebbero disporre della facoltà di valutare la conformità dei sistemi di IA ad alto rischio a determinate condizioni per 18 mesi dal 27 luglio 2026. Tale modifica non pregiudica l'articolo 28 del regolamento (UE) 2024/1689, pertanto gli organismi di valutazione della conformità che desiderano essere designati e notificati a norma di tale regolamento possono presentare una domanda in qualsiasi momento durante e dopo tali 18 mesi. È inoltre opportuno modificare il regolamento (UE) 2024/1689 al fine di chiarire che, qualora un sistema di IA ad alto rischio sia disciplinato dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, del regolamento (UE) 2024/1689 e rientri in uno dei casi d'uso elencati nell'allegato III di tale regolamento, il fornitore dovrebbe seguire la pertinente procedura di valutazione della conformità prevista dalla normativa di armonizzazione pertinente.

(19) I regolamento (UE) 2024/1689 e (UE) 2024/2847 del Parlamento europeo e del Consiglio si completano a vicenda affinché sia garantita la sicurezza e la cibersicurezza dei prodotti contenenti elementi digitali. Secondo l'articolo 12 del regolamento (UE) 2024/2847, laddove i sistemi di IA ad alto rischio e i processi messi in atto dai fabbricanti soddisfino i requisiti essenziali di cibersicurezza di cui al regolamento (UE) 2024/2847, dovrebbero essere considerati conformi ai requisiti di cibersicurezza stabiliti all'articolo 15 del regolamento (UE) 2024/1689 nella misura in cui tali requisiti siano contemplati dalla dichiarazione di conformità UE, o da parti di essa, rilasciata a norma del regolamento (UE) 2024/2847. Al fine di migliorare la visibilità dell'interazione tra il regolamento (UE) 2024/1689 e il regolamento (UE) 2024/2847, la disposizione di cui all'articolo 12 del regolamento (UE) 2024/2847 dovrebbe riflettersi anche nel regolamento (UE) 2024/1689. L'interazione tra i due strumenti non dovrebbe essere pregiudicata.

(20) Conformemente all'articolo 6, paragrafo 1, del regolamento (UE) 2024/1689, un sistema di IA è classificato come ad alto rischio quando è un componente di sicurezza di un prodotto disciplinato dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, di tale regolamento e tale prodotto richiede una valutazione della conformità da parte di terzi. Il requisito secondo cui il prodotto deve essere oggetto di una valutazione della conformità da parte di terzi non incide tuttavia sulla scelta del fabbricante per quanto riguarda la procedura di valutazione della conformità del prodotto. Qualora la normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, consenta di scegliere, tra le procedure di valutazione della conformità, una procedura di valutazione della conformità basata su norme armonizzate, tale possibilità rimane applicabile anche ai prodotti in cui è integrato un sistema di IA ad alto rischio. L'articolo 6, paragrafo 1, del regolamento (UE) 2024/1689 non dovrebbe essere inteso imporre che i prodotti in cui è integrato un sistema di IA ad alto rischio debbano essere automaticamente sottoposti a una valutazione della conformità da parte di terzi che coinvolga un organismo notificato. Qualora tale possibilità sia prevista dalla normativa di armonizzazione dell'Unione, il fornitore del prodotto in cui è integrato il sistema di IA ad alto rischio potrebbe continuare ad avvalersi di norme armonizzate per conformarsi ai requisiti della normativa di armonizzazione dell'Unione e del regolamento (UE) 2024/1689 come procedura di valutazione della conformità.

(21) Al fine di rafforzare la competitività e l'innovazione, è essenziale sostenere gli operatori economici che sono tenuti a rispettare contemporaneamente i requisiti o gli obblighi di cui al capo III, sezioni 2 e 3, del regolamento (UE) 2024/1689 e i requisiti e gli obblighi pertinenti stabiliti dalla normativa di armonizzazione dell'Unione elencata nell'allegato I di tale regolamento. Per sostenere e semplificare i percorsi di conformità normativa di tali operatori economici, la Commissione dovrebbe chiedere, senza indebito ritardo, alle organizzazioni europee di normazione di elaborare prodotti della normazione, comprese, se del caso, norme armonizzate. Tali prodotti della normazione dovrebbero basarsi sulle norme armonizzate pubblicate nella Gazzetta ufficiale dell'Unione europea che conferiscano la presunzione di conformità ai requisiti o agli obblighi previsti dal regolamento (UE) 2024/1689, nonché sulle eventuali norme armonizzate pertinenti pubblicate nella Gazzetta ufficiale dell'Unione europea che conferiscano la presunzione di conformità ai requisiti o agli obblighi pertinenti stabiliti dalla normativa di armonizzazione dell'Unione elencata nell'allegato I di tale regolamento. Tali prodotti della normazione dovrebbero contribuire a ridurre l'incertezza giuridica, evitare inutili duplicazioni delle attività di valutazione della conformità, delle prove e degli obblighi di documentazione e comunicazione e ridurre i costi di conformità, in particolare per le piccole e medie imprese e le start-up. Lo sviluppo tempestivo di tali prodotti è essenziale per fornire agli operatori economici soluzioni tecniche pratiche e affidabili, rafforzare la certezza del diritto e agevolare l'immissione sul mercato, la messa in servizio e l'uso di sistemi di IA in conformità del presente regolamento e della normativa di armonizzazione dell'Unione elencata nell'allegato I di tale regolamento.

(22) Al fine di semplificare la conformità e ridurre i costi associati, è opportuno semplificare la registrazione dei sistemi di IA di cui all'articolo 6, paragrafo 3, del regolamento (UE) 2024/1689 nella banca dati dell'UE ai sensi dell'articolo 49, paragrafo 2, di tale regolamento, razionalizzando il contenuto richiesto dall'allegato VIII di tale regolamento. Sebbene rimanga essenziale, ai fini di un'efficace vigilanza del mercato e della responsabilità pubblica, che tali sistemi di IA siano registrati nella banca dati dell'Unione, gli obblighi di registrazione dovrebbero essere semplificati e resi più proporzionati. Tale semplificazione assicurerebbe un migliore equilibrio senza compromettere la protezione prevista dal regolamento (UE) 2024/1689. Tali sistemi di IA non sono considerati ad alto rischio in quanto non presentano un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali delle persone. Inoltre, un fornitore che applichi l'articolo 6, paragrafo 3, del regolamento (UE) 2024/1689 è obbligato a documentare la valutazione prima che tale sistema di IA sia immesso sul mercato oppure messo in servizio. Le autorità nazionali competenti dovrebbero poter chiedere tale valutazione.

(23) Gli articoli 57, 58 e 60 del regolamento (UE) 2024/1689 dovrebbero essere modificati per rafforzare ulteriormente la cooperazione a livello dell'Unione negli spazi di sperimentazione normativa per l'IA, promuovere la chiarezza e la coerenza nella governance degli spazi di sperimentazione normativa per l'IA ed estendere l'ambito di applicazione delle prove in condizioni reali al di fuori degli spazi di sperimentazione normativa per l'IA ai sistemi di IA ad alto rischio disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I di tale regolamento. In particolare, al fine di consentire, ove applicabile, una semplificazione procedurale nei progetti supervisionati negli spazi di sperimentazione normativa per l'IA che includono anche prove in condizioni reali, il piano di prova in condizioni reali dovrebbe essere integrato nel piano dello spazio di sperimentazione concordato dai fornitori o dai potenziali fornitori e dall'autorità competente.

(24) È inoltre opportuno prevedere la possibilità che l'ufficio europeo per l'intelligenza artificiale (ufficio per l'IA) istituisca uno spazio di sperimentazione normativa a livello dell'Unione per i sistemi di IA disciplinati dall'articolo 75, paragrafo 1, del regolamento (UE) 2024/1689. Per garantire la coerenza, la certezza del diritto e un'efficiente ripartizione delle responsabilità di controllo tra il livello dell'Unione e quello nazionale, è opportuno definire chiaramente l'ambito di applicazione dello spazio di sperimentazione normativa per l'IA a livello dell'Unione al fine di evitare qualsiasi sovrapposizione con gli spazi di sperimentazione normativa per l'IA a livello nazionale istituiti ai sensi di tale regolamento. Al fine di promuovere l'innovazione e agevolare l'adozione dell'IA, le PMI, comprese le start-up, e le piccole imprese a media capitalizzazione dovrebbero avere accesso prioritario agli spazi di sperimentazione normativa per l'IA istituiti dall'ufficio per l'IA.

(25) È inoltre opportuno chiarire le disposizioni sulla cooperazione tra le pertinenti autorità competenti per la gestione di uno spazio di sperimentazione normativa per l'IA al fine di garantirne l'efficace funzionamento. Per tale ragione, i poteri conferiti alla Commissione di adottare atti di esecuzione che precisino le modalità dettagliate per l'istituzione, lo sviluppo, l'attuazione, il funzionamento e la supervisione degli spazi di sperimentazione normativa per l'IA dovrebbero essere estesi per comprendere anche aspetti relativi alla governance di tali spazi di sperimentazione normativa. Inoltre, quando gli spazi di sperimentazione normativa per l'IA comportano sistemi di IA innovativi che trattano dati personali o rientrano altrimenti nell'ambito di competenza di altre autorità nazionali o autorità competenti che forniscono o sostengono l'accesso ai dati, le pertinenti autorità di vigilanza competenti dovrebbero essere associate al funzionamento dello spazio di sperimentazione normativa per l'IA e partecipare al controllo di tali aspetti avvalendosi dei rispettivi compiti e poteri.

(26) Al fine di promuovere l'innovazione, è opportuno inoltre estendere l'ambito di applicazione delle prove in condizioni reali al di fuori degli spazi di sperimentazione normativa per l'IA di cui all'articolo 60 del regolamento (UE) 2024/1689, attualmente riguardante i sistemi di IA ad alto rischio elencati nell'allegato III di tale regolamento, e consentire ai fornitori e ai potenziali fornitori di sistemi di IA ad alto rischio disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I di tale regolamento di sottoporre anche tali sistemi a prove in condizioni reali, purché vi siano garanzie sufficienti. Ciò lascia impregiudicato il diritto dell'Unione o nazionale concernente le prove in condizioni reali di sistemi di IA ad alto rischio relativi a prodotti disciplinati da tale normativa di armonizzazione dell'Unione.

(27) È inoltre opportuno garantire che sia possibile realizzare prove in condizioni reali dei sistemi di IA ad alto rischio disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione B, del regolamento (UE) 2024/1689. Tali sistemi sono soggetti ai requisiti e alle procedure della normativa settoriale pertinente e, nella maggior parte dei casi, non sono direttamente soggetti a tale regolamento. Tali atti settoriali integreranno, a tempo debito, requisiti corrispondenti a quelli di cui agli articoli da 8 a 15 di tale regolamento. È pertanto opportuno garantire che gli Stati membri possano autorizzare prove in condizioni reali dei sistemi di IA al fine di valutare e verificare la conformità di tali sistemi ai requisiti di cui agli articoli da 8 a 15 di tale regolamento. Se gli Stati membri decidono di autorizzare tali prove, tale regolamento dovrebbe imporre loro di adottare quadri che stabiliscano i requisiti dettagliati ad esse applicabili. Tale regolamento dovrebbe definire gli elementi essenziali di tali quadri. Nell'elaborare tali quadri, gli Stati membri dovrebbero garantire un elevato livello di protezione della salute e della sicurezza dei diritti fondamentali delle persone fisiche. Prima di attuare il quadro, gli Stati membri dovrebbero notificarlo alla Commissione. Le prove in condizioni reali dovrebbero essere conformi alla pertinente normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione B, del regolamento (UE) 2024/1689, comprese le disposizioni applicabili in materia di prove. Ciò non dovrebbe tuttavia incidere sull'applicazione del nuovo articolo relativo alle prove in condizioni reali.

(28) L'articolo 63 del regolamento (UE) 2024/1689 offre alle microimprese che sono fornitori di sistemi di IA ad alto rischio la possibilità di beneficiare di una procedura semplificata per adempiere l'obbligo di istituire un sistema di gestione della qualità. Al fine di agevolare la conformità di un maggior numero di innovatori, tale possibilità dovrebbe essere estesa a tutte le PMI, comprese le start-up.

(29) Tenuto conto dell'importante ruolo dell'ufficio per l'IA per una governance efficace e coordinata del regolamento (UE) 2024/1689, ulteriormente rafforzato dal presente regolamento, e fatti salvi il prossimo quadro finanziario pluriennale e la procedura di bilancio, la Commissione dovrebbe assegnare risorse umane, finanziarie e tecniche adeguate all'ufficio per l'IA al fine di garantire che possa svolgere efficacemente, ed entro tempi ragionevoli, i suoi compiti in relazione all'applicazione del regolamento (UE) 2024/1689, compresa l'assegnazione di sufficiente personale permanente con competenze e conoscenze tecniche approfondite.

(30) È opportuno modificare l'articolo 69 del regolamento (UE) 2024/1689 al fine di semplificare la struttura delle tariffe del gruppo di esperti scientifici. Qualora gli Stati membri ricorrano alle competenze del gruppo di esperti, le tariffe che potrebbero essere tenuti a corrispondere agli esperti dovrebbero essere equivalenti alla remunerazione che la Commissione è tenuta a versare in circostanze analoghe.

(31) Al fine di rafforzare il sistema di governance dei sistemi di IA , è necessario chiarire il ruolo dell'ufficio per l'IA nel monitoraggio e nella supervisione della conformità di tali sistemi di IA al regolamento (UE) 2024/1689. La Commissione ha competenza esclusiva per quanto riguarda i modelli di IA per finalità generali a norma dell'articolo 88 di tale regolamento. Al fine di aumentare la coerenza, la chiarezza e l'efficacia, e alla luce della portata e delle ripercussioni dei sistemi di IA in relazione a tali competenze, è opportuno circoscrivere l'ambito di applicazione della competenza esclusiva dell'ufficio per l'IA in materia di supervisione dei sistemi. In particolare, l'ufficio per l'IA dovrebbe avere competenza esclusiva sui sistemi di IA basati su modelli di IA per finalità generali, non solo quando sia il sistema che il modello sono sviluppati dallo stesso fornitore, ma anche quando sono sviluppati da fornitori che fanno parte della stessa impresa. Tuttavia, in alcuni casi, in particolare in presenza di una supervisione settoriale specifica, la responsabilità dovrebbe rimanere in capo alla pertinente autorità nazionale competente. Di conseguenza, è opportuno prevedere alcune eccezioni. L'ambito di applicazione soggettivo di tale competenza esclusiva dovrebbe estendersi ai fornitori di tali sistemi di IA e ai loro deployer all'interno della stessa impresa. Gli altri deployer dovrebbero rimanere soggetti al controllo e all'esecuzione a livello nazionale. Inoltre, sono esclusi i sistemi di IA immessi sul mercato, messi in servizio o usati da istituzioni, organi e organismi dell'Unione, che sono soggetti alla supervisione del Garante europeo della protezione dei dati a norma dell'articolo 74, paragrafo 9, del regolamento (UE) 2024/1689.

(32) Inoltre, tenuto conto dell'attuale sistema di vigilanza e di esecuzione a norma del regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio, è opportuno conferire alla Commissione i poteri di un'autorità di vigilanza del mercato competente a norma del regolamento (UE) 2024/1689 quando un sistema di IA può essere considerato una piattaforma online di dimensioni molto grandi o un motore di ricerca online di dimensioni molto grandi in conformità del regolamento (UE) 2022/2065, o quando è integrato in una siffatta piattaforma o in un siffatto motore di ricerca. Ciò dovrebbe contribuire a garantire un esercizio coerente ed efficace dei poteri di controllo ed esecuzione della Commissione ai sensi del regolamento (UE) 2024/1689 e del regolamento (UE) 2022/2065, così come quelli applicabili ai modelli di IA per finalità generali integrati in tali piattaforme o motori di ricerca. Ciò è opportuno anche alla luce dell'importanza di tali piattaforme e motori di ricerca, in considerazione della loro portata, del loro impatto e dei danni complessi e considerevoli che potrebbero causare alla società. L'ambito di applicazione soggettivo di tale competenza esclusiva dovrebbe estendersi ai fornitori di tali sistemi di IA e ai loro deployer all'interno della stessa impresa. Nel caso di sistemi di IA integrati in piattaforme o motori di ricerca online di grandi dimensioni o che possono essere considerati tali, il punto di partenza per la valutazione dei sistemi di IA è costituito dalla valutazione dei rischi, dalle misure di attenuazione e dagli obblighi di revisione previsti dagli articoli 34, 35 e 37 del regolamento (UE) 2022/2065, fatti salvi i poteri dell'ufficio per l'IA di indagare e contestare ex post il mancato rispetto delle norme del regolamento (UE) 2024/1689. Nel contesto dell'analisi di tale valutazione dei rischi, delle misure di attenuazione e delle revisioni, i servizi della Commissione responsabili dell'applicazione del regolamento (UE) 2022/2065 possono chiedere il parere dell'ufficio per l'IA in merito all'esito di un'eventuale valutazione dei rischi precedente o parallela effettuata in conformità del regolamento (UE) 2024/1689 e all'applicabilità dei divieti a norma del regolamento (UE) 2024/1689. Inoltre l'ufficio per l'IA e le autorità nazionali competenti dovrebbero, in conformità del regolamento (UE) 2024/1689, coordinare le loro attività di esecuzione con le autorità competenti di vigilanza e di applicazione del regolamento (UE) 2022/2065, compresa la Commissione, al fine di garantire il rispetto dei principi di leale cooperazione, proporzionalità e ne bis in idem, mentre le informazioni ottenute a norma di un regolamento saranno utilizzate ai fini della vigilanza e dell'applicazione dell'altro solo previo consenso dell'impresa. In particolare tali autorità dovrebbero scambiarsi regolarmente opinioni e tenere conto, nei rispettivi ambiti di competenza, delle sanzioni pecuniarie e delle sanzioni inflitte allo stesso fornitore per la stessa condotta mediante una decisione definitiva in procedimenti relativi a violazioni di altre norme dell'Unione o nazionali, al fine di garantire che le sanzioni pecuniarie e le sanzioni complessivamente inflitte siano proporzionate e corrispondano alla gravità delle violazioni commesse.

(33) Nel quadro della supervisione e dell'applicazione degli obblighi in relazione ai sistemi di IA per i quali è competente, l'ufficio per l'IA ha lo stesso ruolo e la stessa responsabilità di un'autorità di vigilanza del mercato a norma del regolamento (UE) 2024/1689. Di conseguenza, è necessario che l'ufficio per l'IA sia dotato degli stessi poteri e delle stesse responsabilità di cui dispongono le autorità di vigilanza del mercato a norma di tale regolamento e del regolamento (UE) 2019/1020 del Parlamento europeo e del Consiglio («poteri generali»). Ciò dovrebbe garantire l'applicazione adeguata ed efficace dei requisiti e degli obblighi di cui al regolamento (UE) 2024/1689. Tuttavia, è necessario specificare, integrare e inquadrare taluni elementi essenziali e altri aspetti delle competenze generali, nonché le relative garanzie («disposizioni specifiche»). In particolare, è necessario stabilire disposizioni che disciplinino il rapporto tra l'ufficio per l'IA e le autorità nazionali; disposizioni che specifichino, integrino e limitino i poteri di richiedere informazioni e di effettuare ispezioni in loco; disposizioni che disciplinino le indagini, compresa la possibilità di rendere gli impegni vincolanti; e disposizioni che specifichino e limitino il potere di accertare la non conformità e imporre sanzioni pecuniarie o penalità di mora. Qualora un tipo di potere generale sia stato così specificato, l'ufficio per l'IA non può eludere le condizioni e i limiti di tali poteri invocando un potere generale connesso. Per contro, l'ufficio per l'IA può invocare alcuni tipi di poteri generali che non sono specificati e inquadrati in relazione all'ufficio per l'IA, come il potere di adottare misure di cui all'articolo 16, paragrafo 3, del regolamento (UE) 2019/1020. Se necessario ai fini della corretta attuazione del regolamento (UE) 2024/1689, la Commissione dovrebbe poter adottare atti di esecuzione che definiscano ulteriormente le norme e le procedure relative all'applicazione dei termini di prescrizione, all'accesso al fascicolo e alla divulgazione negoziata di informazioni. Nell'esercizio di tutti questi poteri, l'ufficio per l'IA deve rispettare la Carta. Inoltre, l'ufficio per l'IA è soggetto alle garanzie e alla protezione dei diritti fondamentali stabilite nelle disposizioni specifiche.

(34) Oltre a tali garanzie procedurali e in materia di diritti fondamentali, i diritti procedurali previsti dall'articolo 18 del regolamento (UE) 2019/1020 dovrebbero applicarsi mutatis mutandis ai fornitori di sistemi di IA, fatti salvi i diritti procedurali più specifici previsti dal regolamento (UE) 2024/1689. Quando le autorità nazionali di vigilanza del mercato, mediante il punto di contatto unico, chiedono all'ufficio per l'IA di adottare misure di controllo e di esecuzione per quanto riguarda i sistemi di IA sotto il suo esclusivo controllo, l'ufficio per l'IA dovrebbe informare il punto di contatto unico, entro quattro mesi dal ricevimento di tale richiesta, della sua intenzione di esercitare i suoi poteri di controllo e di esecuzione o dei motivi per cui non esercita i suoi poteri. Se decide di esercitare i suoi poteri di controllo e di esecuzione, l'ufficio per l'IA dovrebbe inoltre informare il punto di contatto unico in merito all'esito finale di tali procedimenti e agli sviluppi intermedi che l'ufficio per l'IA ritiene abbiano un impatto importante nell'indagine, compresa la decisione di avviare un procedimento, imporre una sanzione pecuniaria e ritirare o richiamare il sistema di IA dal mercato.

(35) Per consentire ai sistemi di IA che sono sotto la supervisione dell'ufficio per l'IA ai sensi dell'articolo 75 del regolamento (UE) 2024/1689 e soggetti a valutazione della conformità da parte di terzi di accedere al mercato dell'Unione, la Commissione dovrebbe essere responsabile delle valutazioni della conformità di tali sistemi prima della loro immissione sul mercato.

(36) L'articolo 77 e le disposizioni correlate del regolamento (UE) 2024/1689 costituiscono un importante meccanismo di governance, in quanto mirano a consentire alle autorità o agli organismi responsabili del controllo e dell'esecuzione del diritto dell'Unione inteso a proteggere i diritti fondamentali di adempiere il loro mandato a condizioni specifiche e di promuovere la cooperazione con le autorità di vigilanza del mercato responsabili del controllo e dell'esecuzione di tale regolamento. È necessario chiarire la portata di tale cooperazione, nonché specificare quali autorità pubbliche o organismi pubblici ne beneficiano. Al fine di rafforzare la cooperazione, è opportuno chiarire che le richieste di accesso alle informazioni e alla documentazione dovrebbero essere presentate all'autorità di vigilanza del mercato competente, che dovrebbe rispondere a tali richieste senza indebito ritardo, e che le autorità o gli organismi coinvolti dovrebbero avere l'obbligo reciproco di cooperare. È opportuno chiarire che tali disposizioni non pregiudicano le competenze, i compiti, i poteri e l'indipendenza delle autorità o degli organismi pubblici nazionali competenti nell'ambito dei loro mandati. In particolare, tali disposizioni non limitano i poteri di cui dispongono tali autorità e organismi di chiedere informazioni in virtù di altre disposizioni del diritto dell'Unione o nazionale. Di conseguenza, tali autorità e organismi conservano il potere di chiedere direttamente informazioni agli operatori in forza del loro mandato o di altre disposizioni del diritto dell'Unione o nazionale.

(37) I requisiti applicabili ai sistemi di IA ad alto rischio di cui al regolamento (UE) 2024/1689 affrontano rischi specifici intrinseci ai sistemi di IA, tra cui le distorsioni, il comportamento imprevedibile dei modelli, la scarsa robustezza o accuratezza, la vulnerabilità agli attacchi di terzi e la mancanza di trasparenza del sistema di IA. Affrontando i rischi specifici dell'IA, tale regolamento integra i requisiti stabiliti nella normativa di armonizzazione dell'Unione elencata nell'allegato I di tale regolamento, senza duplicarli. Il regolamento (UE) 2024/1689 prevede meccanismi che permettono agli operatori economici di ridurre al minimo gli oneri di conformità. In particolare, l'articolo 8, paragrafo 2, sull'interazione con la legislazione settoriale, l'articolo 9, paragrafo 10, sulla gestione dei rischi e l'articolo 17, paragrafo 3, sulla gestione della qualità permettono agli operatori economici di integrare, ove necessario e opportuno, una valutazione dei rischi specifici dell'IA nei sistemi di gestione dei rischi e della qualità esistenti. L'articolo 40 del regolamento (UE) 2024/1689 impone inoltre alla Commissione di precisare che le norme armonizzate elaborate ai sensi di tale regolamento devono essere coerenti con le norme elaborate ai sensi della normativa di armonizzazione dell'Unione elencata nell'allegato I di tale regolamento. La Commissione dovrebbe fornire orientamenti per aiutare gli operatori economici dei sistemi di IA ad alto rischio di cui all'allegato I del regolamento (UE) 2024/1689 a conformarsi a tale regolamento, in particolare formulando orientamenti sull'applicazione dell'articolo 8, paragrafo 2, dell'articolo 9, paragrafo 10, e dell'articolo 17, paragrafo 3, di tale regolamento (quali meccanismi per ridurre al minimo l'onere di conformità, conformemente ai principi di complementarità e proporzionalità. Tali orientamenti dovrebbero essere pubblicati al più tardi entro il 1° agosto 2027.

(38) Al fine di concedere ai fornitori di sistemi di IA generativa soggetti agli obblighi di marcatura di cui all'articolo 50, paragrafo 2, del regolamento (UE) 2024/1689 un periodo di tempo sufficiente per adeguare le loro pratiche entro un termine ragionevole senza perturbare il mercato, è opportuno introdurre un periodo transitorio di quattro mesi per i fornitori che hanno già immesso i loro sistemi sul mercato prima del 2 agosto 2026.

(39) Al fine di concedere ai fornitori di sistemi di IA ad alto rischio un periodo di tempo sufficiente e di chiarire le norme applicabili ai sistemi di IA già immessi sul mercato o messi in servizio prima che si applichino le pertinenti disposizioni del regolamento (UE) 2024/1689, è opportuno chiarire l'ambito di applicazione del periodo di tolleranza previsto dall'articolo 111, paragrafo 2, di tale regolamento. Ai fini dell'articolo 111, paragrafo 2, il periodo di tolleranza dovrebbe applicarsi quando il tipo e modello del sistema di IA è già stato immesso sul mercato. Ciò significa che se almeno un'unità singola del sistema di IA ad alto rischio è stata immessa sul mercato o messa legittimamente in servizio prima della data specificata nell'articolo 111, paragrafo 2, le altre unità singole dello stesso tipo e modello di sistema di IA ad alto rischio sono soggette al periodo di tolleranza previsto dall'articolo 111, paragrafo 2, e possono quindi continuare a essere immesse sul mercato, messe a disposizione o messe in servizio sul mercato dell'Unione senza ulteriori obblighi, requisiti o la necessità di certificazioni aggiuntive, purché la progettazione di tale sistema di IA ad alto rischio rimanga invariata. Ai fini dell'applicazione del periodo di tolleranza di cui all'articolo 111, paragrafo 2, il fattore determinante è la data in cui la prima unità di quel tipo e modello di sistema di IA ad alto rischio è stata immessa sul mercato o messa in servizio per la prima volta nel mercato dell'Unione. Qualsiasi modifica significativa della progettazione di tale sistema di IA dopo la data specificata all'articolo 111, paragrafo 2, dovrebbe comportare l'obbligo per il fornitore di conformarsi pienamente a tutte le pertinenti disposizioni di tale regolamento applicabili ai sistemi di IA ad alto rischio, compresi i requisiti di valutazione della conformità.

(40) L'articolo 113 del regolamento (UE) 2024/1689 stabilisce le date di entrata in vigore e applicazione di tale regolamento, specificando in particolare che la data generale di applicazione è il 2 agosto 2026. Per quanto riguarda gli obblighi relativi ai sistemi di IA ad alto rischio di cui al capo III, sezioni 1, 2 e 3, del regolamento (UE) 2024/1689, il ritardo nella disponibilità di norme, specifiche comuni e orientamenti alternativi e il ritardo nella costituzione delle autorità nazionali competenti comportano difficoltà che compromettono l'efficace entrata in applicazione di tali obblighi e rischiano di aumentare in modo significativo i costi di attuazione, in modo tale da non giustificare il mantenimento della data iniziale di applicazione, fissata al 2 agosto 2026. Pertanto, è opportuno che la data di applicazione del capo III, sezioni 1, 2 e 3, sia fissata al 2 dicembre 2027 per i sistemi di IA classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 2, e dell'allegato III, e al 2 agosto 2028 per i sistemi di IA classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 1, e dell'allegato I . La distinzione tra l'entrata in applicazione delle disposizioni relative ai sistemi di IA classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 2, e dell'allegato III e dell'articolo 6, paragrafo 1, e dell'allegato I di tale regolamento è coerente con la differenza tra le date iniziali di applicazione previste dal regolamento (UE) 2024/16899 e mira a fornire il tempo necessario per l'adeguamento e l'attuazione degli obblighi corrispondenti. La tempestiva disponibilità di strumenti di sostegno, compresi orientamenti, norme pertinenti, specifiche comuni e codici di buone pratiche è importante al fine di ridurre il rischio di interpretazioni divergenti e di un'applicazione disomogenea delle norme tra gli Stati membri. Al fine di garantire la certezza del diritto ed evitare ulteriori ritardi nell'applicazione del regolamento (UE) 2024/1689, la Commissione dovrebbe garantire che le misure a sostegno della conformità al capo III, sezioni 1, 2 e 3, di tale regolamento siano in vigore in tempo utile per assicurare un'attuazione tempestiva ed efficace delle disposizioni necessarie.

(41) Alla luce dell'obbiettivo di ridurre per i cittadini, le imprese e le pubbliche amministrazioni le sfide in materia di attuazione, è essenziale che le condizioni armonizzate per l'attuazione di determinate norme siano adottate solo se strettamente necessario. A tal fine, è opportuno sopprimere determinati poteri conferiti alla Commissione ai fini dell'adozione di tali condizioni armonizzate mediante atti di esecuzione qualora non sia necessario. È pertanto opportuno modificare l'articolo 50, paragrafo 7, l'articolo 56, paragrafo 6, e l'articolo 72, paragrafo 3, del regolamento (UE) 2024/1689 al fine di sopprimere i poteri conferiti alla Commissione di adottare atti di esecuzione. Dato che i codici di buone pratiche di cui all'articolo 50, paragrafo 7, e all'articolo 56, paragrafo 6, hanno effetti giuridici limitati e, in particolare, non conferiscono una presunzione di conformità, non è strettamente necessario che tali codici siano approvati mediante un atto di esecuzione. I fornitori dovrebbero potersi avvalere, a norma dell'articolo 53, paragrafo 4, e dell'articolo 54, paragrafo 2, del regolamento (UE) 2024/1689, di codici di buone pratiche considerati adeguati a norma dell'articolo 56, paragrafo 6, di tale regolamento. La soppressione del potere di adottare un modello armonizzato per il piano di monitoraggio successivo all'immissione sul mercato di cui all'articolo 72, paragrafo 3, del regolamento (UE) 2024/1689 presenta l'ulteriore vantaggio di offrire ai fornitori di sistemi di IA ad alto rischio una maggiore flessibilità nell'attuazione di un sistema di monitoraggio successivo all'immissione sul mercato adeguato alla loro organizzazione. Allo stesso tempo, riconoscendo la necessità di chiarire in che modo i fornitori di sistemi di IA ad alto rischio sono tenuti a conformarsi all'obbligo di cui all'articolo 72, paragrafo 1, del regolamento (UE) 2024/1689, la Commissione dovrebbe essere tenuta a pubblicare orientamenti, compreso un modello volontario, sul piano di monitoraggio successivo all'immissione sul mercato entro il 2 settembre 2027.

(42) L'uso dell'intelligenza artificiale nelle macchine può contribuire a promuovere l'innovazione e a migliorare l'efficienza di tali macchine. L'applicazione del regolamento (UE) 2023/1230 del Parlamento europeo e del Consiglio e del regolamento (UE) 2024/1689 potrebbe portare a sovrapposizioni. Allo stesso tempo, è importante garantire un livello di protezione per quanto riguarda i rischi connessi all'uso dell'intelligenza artificiale nelle macchine che sia coerente con il livello di protezione previsto dal regolamento (UE) 2024/1689 per quanto riguarda i sistemi di IA ad alto rischio. Data la natura specifica delle macchine e del settore delle macchine, e al fine di rispondere alla necessità di semplificare il quadro normativo per le macchine basate sull'IA, è opportuno passare a un approccio settoriale spostando il regolamento (UE) 2023/1230 dalla sezione A alla sezione B dell'allegato I del regolamento (UE) 2024/1689. In primo luogo, l'applicazione del regolamento (UE) 2024/1689 a tali macchine dovrebbe, di conseguenza, essere limitata alle disposizioni di cui all'articolo 2, paragrafo 2, di tale regolamento. Il riferimento alla direttiva 2006/42/CE dovrebbe essere spostato dalla sezione A alla sezione B dell'allegato I del regolamento (UE) 2024/1689 e aggiornato in modo da rinviare al regolamento (UE) 2023/1230. In secondo luogo, è fondamentale garantire che il regolamento (UE) 2023/1230 integri requisiti essenziali in materia di salute e sicurezza per i sistemi di IA ad alto rischio classificati a norma dell'articolo 6, paragrafo 1, del regolamento (UE) 2024/1689 e utilizzati come componenti di sicurezza in macchine o i sistemi di IA ad alto rischio che costituiscono macchine, garantendo un livello di protezione coerente con il regolamento (UE) 2024/1689. A tal fine, la Commissione dovrebbe essere tenuta ad adottare atti delegati che modifichino l'allegato III del regolamento (UE) 2023/1230 al fine di tenere conto dei requisiti pertinenti di cui al capo III, sezione 2, e agli articoli 17, 19, 72 e 73 del regolamento (UE) 2024/1689. Al fine di evitare un vuoto giuridico e garantire l'allineamento con l'entrata in applicazione delle pertinenti norme sui sistemi di IA ad alto rischio di cui al regolamento (UE) 2024/1689, tali atti delegati dovrebbero applicarsi entro il 2 agosto 2028. Per gli stessi motivi, i fabbricanti dovrebbero essere liberi di fare affidamento a norme armonizzate o specifiche comuni adottate a norma del regolamento (UE) 2024/1689 o da esso indicate che contemplano i requisiti essenziali pertinenti per la presunzione di conformità ai sensi dell'articolo 20 del regolamento (UE) 2023/1230 fino a quando norme armonizzate o specifiche comuni relative all'IA non saranno adottate a norma del regolamento (UE) 2023/1230 o da questo indicate.

(43) Le valutazioni della conformità dei sistemi di IA ad alto rischio a norma del regolamento (UE) 2024/1689 possono richiedere il coinvolgimento di organismi di valutazione della conformità. Solo gli organismi di valutazione della conformità designati ai sensi di tale regolamento possono effettuare valutazioni della conformità e solo per le attività relative alle categorie e ai tipi di sistemi di IA interessati. Per consentire di specificare l'ambito di applicazione della designazione degli organismi di valutazione della conformità notificati a norma dell'articolo 30 del regolamento (UE) 2024/1689 è necessario redigere un elenco dei codici, delle categorie e dei corrispondenti tipi di sistemi di IA. L'elenco dei codici dovrebbe tenere conto del fatto che il sistema di IA sia o meno un componente di un prodotto o sia esso stesso un prodotto disciplinato dalla normativa di armonizzazione dell'Unione elencata nell'allegato I del regolamento (UE) 2024/1689 (denominati «codici AIP», per i sistemi di IA disciplinati dalla normativa sui prodotti) o un sistema elencato nell'allegato III di tale regolamento, che attualmente riguarda solo i sistemi di IA biometrici di cui all'allegato III, punto 1 (denominati «codici AIB», per i sistemi di IA biometrici). Sia i codici AIP che i codici AIB sono codici verticali. I codici AIP sono codici di riferimento che rimandano alla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, del regolamento (UE) 2024/1689. I codici AIB sono nuovi codici specifici del regolamento (UE) 2024/1689 che identificano i sistemi di IA biometrici di cui all'allegato III, punto 1, di tale regolamento. L'elenco dei codici dovrebbe inoltre tenere conto dei tipi specifici e delle tecnologie alla base dei sistemi di IA (denominati «codici AIH», per i codici orizzontali dei sistemi di IA). I codici AIH sono nuovi codici specifici per la tecnologia di IA e possono essere applicati in combinazione con i codici verticali AIP o AIB. I codici AIH riguardano i tipi e le tecnologie alla base dei sistemi di IA. L'elenco dei codici, che comprende tre categorie, dovrebbe fornire una tipologia multidimensionale dei sistemi di IA che garantisca che gli organismi di valutazione della conformità designati come organismi notificati siano pienamente competenti per i sistemi di IA che sono tenuti a valutare.

(44) Il regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio (19) stabilisce norme comuni nel settore dell'aviazione civile. L'articolo 108 del regolamento (UE) 2024/1689 modifica il regolamento (UE) 2018/1139 per garantire che la Commissione, nell'adottare qualsiasi atto delegato o di esecuzione pertinente a norma del regolamento (UE) 2018/1139, tenga conto, sulla base delle specificità tecniche e normative del settore dell'aviazione civile e senza interferire con i vigenti meccanismi di governance, valutazione della conformità e applicazione e con le autorità ivi istituite, dei requisiti obbligatori per i sistemi di IA ad alto rischio stabiliti dal regolamento (UE) 2024/1689. È necessario apportare una correzione tecnica per modificare ulteriori articoli del regolamento (UE) 2018/1139 al fine di garantire che i requisiti obbligatori per i sistemi di IA ad alto rischio sanciti dal regolamento (UE) 2024/1689 siano pienamente contemplati al momento dell'adozione degli atti delegati o di esecuzione pertinenti a norma del regolamento (UE) 2018/1139.

(45) Al fine di modificare determinati elementi non essenziali dei regolamento (UE) 2024/1689 e (UE) 2023/1230, è opportuno delegare alla Commissione il potere di adottare atti conformemente all'articolo 290 del trattato sul funzionamento dell'Unione europea per:

- limitare l'applicazione dei requisiti o degli obblighi specifici di cui al regolamento (UE) 2024/1689 qualora la normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, di tale regolamento stabilisca requisiti che garantiscono un livello di protezione equivalente;
- modificare l'elenco dei codici, delle categorie e dei corrispondenti tipi di sistemi di IA di cui all'allegato XIV del regolamento (UE) 2024/1689; e
- modificare l'allegato III del regolamento (UE) 2023/1230 per tenere conto dei requisiti pertinenti del regolamento (UE) 2024/1689.

È di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti, nel rispetto dei principi stabiliti nell'accordo interistituzionale «Legiferare meglio» del 13 aprile 2016. In particolare, al fine di garantire la parità di partecipazione alla preparazione degli atti delegati, il Parlamento europeo e il Consiglio ricevono tutti i documenti contemporaneamente agli esperti degli Stati membri, e i loro esperti hanno sistematicamente accesso alle riunioni dei gruppi di esperti della Commissione incaricati della preparazione di tali atti delegati.

(46) Al fine di garantire tempestivamente la certezza del diritto, in vista dell'imminente applicazione generale del regolamento (UE) 2024/1689, è opportuno che il presente regolamento entri in vigore con urgenza il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

(47) Conformemente all'articolo 42, paragrafi 1 e 2, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati e il comitato europeo per la protezione dei dati sono stati consultati e hanno formulato il loro parere congiunto il 20 gennaio 2026.

[...] Segue in allegato

Collegati

Allegati

Allegati

	Descrizione	Lingua	Dimensioni	Downloads
	Regolamento (UE) 2026/1744	IT	1122 kB	6