Articolo 43 AI Act: la valutazione della conformità dei sistemi ad alto rischio

Pubblicata il

Copertina: articolo 43 dell'AI Act
Immagine generata con AI

Il fornitore di un sistema ad alto rischio dimostra che il sistema rispetta i requisiti del capo III, sezione 2, con un controllo interno oppure con un organismo notificato, a seconda della categoria: lo dice l'articolo 43 dell'AI Act (Regolamento UE 2024/1689). La esegue il fornitore, non chi usa lo strumento. L'Omnibus digitale sull'IA, il Regolamento (UE) 2026/1744 che ha modificato l'AI Act a luglio 2026, ha riscritto il paragrafo 3 (i prodotti regolati dalla normativa di armonizzazione dell'Allegato I, sezione A); gli altri cinque paragrafi sono identici al testo originale del 2024. Commento esteso sui paragrafi 2, 3 e 4, breve sugli altri.

L’articolo 43 dell’AI Act prevede ben sei paragrafi su una domanda sola: come dimostra il fornitore che il suo sistema ad alto rischio rispetta i requisiti?

La risposta dipende dalla categoria del sistema.

Per i prodotti già regolati da una normativa europea di armonizzazione la regola è cambiata di recente: il paragrafo 3 è stato riscritto dall’Omnibus.

Perché l’articolo 43 dell’AI Act è importante per uno studio professionale o per un’azienda?

La valutazione della conformità non la esegue chi usa lo strumento: la esegue il fornitore, prima di immettere il sistema sul mercato o di metterlo in servizio (articolo 16, lettera f, dell’AI Act nella pagina sugli obblighi dei fornitori). Per lo studio professionale, il libero professionista o un’azienda la domanda da fare al fornitore o al venditore di sistemi di intelligenza artificiale è la seguente: quale procedura ha seguito, e dove è scritto. La voce valutazione di conformità la spiega in breve.

Gli strumenti che uno studio o un’azienda usa più spesso, come quelli per selezionare il personale, ricadono di solito nell’Allegato III, ai punti dal 2 all’8. Per questi la valutazione è più semplice: il fornitore la fa da solo, con un controllo interno, senza un organismo notificato, e firma lui la dichiarazione UE. Lo prevede il paragrafo 2 dell’articolo 43. Se è lo studio a diventare fornitore, nei casi dell’articolo 25, la procedura tocca a lui. Un esempio concreto: Uso un software che fa una prima scrematura dei curriculum. Sono ad alto rischio?

Cosa cambia nell’articolo 43 dell’AI Act con l’Omnibus?

L’Omnibus ha cambiato solo il paragrafo 3, quello sui prodotti già regolati da norme europee. Gli altri paragrafi (1, 2, 4, 5 e 6) sono rimasti identici. Lo abbiamo verificato confrontando il testo parola per parola con l’atto originale, non solo guardando i segni di modifica del testo consolidato. La stessa conclusione si trova nella tabella della pagina sul Digital Omnibus.

Per chi fabbrica un prodotto che contiene un sistema di AI, le novità più importanti sono tre frasi aggiunte in chiusura. La prima: se il sistema è regolato dalla normativa del prodotto e rientra anche in una categoria dell’Allegato III, il fornitore segue la procedura della normativa del prodotto. La seconda: la classificazione come sistema ad alto rischio ai sensi dell’articolo 6, paragrafo 1, dell’AI Act non cambia la scelta della procedura. La terza: se la normativa del prodotto non richiede una valutazione di terzi, il fabbricante non è obbligato a sceglierla solo perché il prodotto contiene un sistema di AI come componente di sicurezza.

La valutazione inoltre si allarga. Comprende anche il sistema di gestione della qualità dell’articolo 17 dell’AI Act. Dell’allegato VII si applicano i punti 3, 4.3, 4.4, 4.5, 4.6 (quinto comma) e 5, mentre prima si applicavano solo i punti dal 4.3 al 4.6.

Cambiano anche le regole per gli organismi notificati. Quelli già notificati per il prodotto possono valutare anche i sistemi di AI, a condizione che nella loro notifica siano stati verificati i requisiti dell’articolo 31, paragrafi 4, 5, 10 e 11 (prima bastavano i paragrafi 4, 10 e 11). Devono chiedere la designazione entro il 28 gennaio 2028, fatto salvo l’articolo 28 dell’AI Act.

Resta invece come prima l’eccezione per il fabbricante: può evitare la valutazione di terzi solo se ha applicato le norme armonizzate o le specifiche comuni che coprono tutti i requisiti della sezione 2.

Le altre differenze sono solo di formulazione: «atti giuridici» diventa «normativa di armonizzazione dell’Unione» e «controllare» diventa «valutare».

Da quando si applica l’articolo 43 dell’AI Act?

In pratica, il fornitore deve avere la valutazione pronta quando scattano gli obblighi dei sistemi ad alto rischio, perché è quello che la valutazione serve a dimostrare. Per i sistemi dell’Allegato III gli obblighi scattano dal 2 dicembre 2027, per quelli dell’Allegato I dal 2 agosto 2028 (articolo 6, paragrafi 2 e 1, dell’AI Act). Questo collegamento è una lettura, non una data scritta nel testo, ed è la stessa della voce sulla valutazione di conformità. Sulla carta, invece, l’articolo 43 si applica già dal 2 agosto 2026, la data generale. Il motivo è tecnico: l’articolo sta nella sezione 5 del capo III, con gli articoli da 40 a 49, e l’articolo 113 dell’AI Act dà date proprie alle sezioni da 1 a 4 ma non nomina la 5. L’unica data scritta nell’articolo 43 è nel paragrafo 3: entro il 28 gennaio 2028 gli organismi notificati devono chiedere la designazione.

Cosa chiedere al fornitore se dice che «la valutazione è stata fatta»?

Un caso tipico: lo studio valuta uno strumento per selezionare candidature o gestire collaboratori, e il fornitore dice che «la valutazione è stata fatta». Sono strumenti dell’Allegato III, e le domande da fargli sono quattro. La prima: quale procedura ha seguito? Per questi strumenti di solito basta il controllo interno del fornitore, senza organismo notificato, e la dichiarazione la firma lui. La seconda: dove è documentata? La terza: lo strumento è stato modificato in modo sostanziale dopo l’ultima valutazione, e in quel caso ne è stata fatta una nuova? La quarta: se lo strumento continua ad apprendere dopo la vendita, quei cambiamenti erano previsti in anticipo e descritti nella documentazione tecnica, come chiede il paragrafo 4 dell’articolo 43?

Cosa non è la valutazione della conformità dell’articolo 43 dell’AI Act?

La valutazione di conformità riguarda solo i sistemi ad alto rischio e viene spesso confusa con tre cose diverse. Non è un via libera dato in anticipo da un’autorità: per gli strumenti dell’Allegato III, dal punto 2 all’8, la fa il fornitore. Non è la marcatura CE, che ne è la conseguenza ed è regolata dall’articolo 48 dell’AI Act. E non è la valutazione d’impatto sulla protezione dei dati, prevista dall’articolo 35 del GDPR (Regolamento UE 2016/679).

I casi che partono da qui: Uso un software che fa una prima scrematura dei curriculum. Sono ad alto rischio? e Sono un deployer senza saperlo? Come capire se l’AI Act ti riguarda.

Paragrafo 1

Per i sistemi di IA ad alto rischio elencati nell'allegato III, punto 1, se ha applicato le norme armonizzate di cui all'articolo 40 o, ove applicabile, le specifiche comuni di cui all'articolo 41, nel dimostrare la conformità di un sistema di IA ad alto rischio ai requisiti di cui alla sezione 2, il fornitore sceglie una delle seguenti procedure di valutazione della conformità basate sugli elementi qui di seguito: a) il controllo interno di cui all'allegato VI; oppure b) la valutazione del sistema di gestione della qualità e la valutazione della documentazione tecnica, con il coinvolgimento di un organismo notificato, di cui all'allegato VII. Nel dimostrare la conformità di un sistema di IA ad alto rischio ai requisiti di cui alla sezione 2, il fornitore segue la procedura di valutazione della conformità di cui all'allegato VII se: a) non esistono le norme armonizzate di cui all'articolo 40 e non sono disponibili le specifiche comuni di cui all'articolo 41; b) il fornitore non ha applicato la norma armonizzata o ne ha applicato solo una parte; c) esistono le specifiche comuni di cui alla lettera a), ma il fornitore non le ha applicate; d) una o più norme armonizzate di cui alla lettera a) sono state pubblicate con una limitazione e soltanto sulla parte della norma che è oggetto di limitazione. Ai fini della procedura di valutazione della conformità di cui all'allegato VII, il fornitore può scegliere uno qualsiasi degli organismi notificati. Tuttavia, se il sistema di IA ad alto rischio è destinato ad essere messo in servizio dalle autorità competenti in materia di contrasto, di immigrazione o di asilo, nonché da istituzioni, organi o organismi dell'Unione, l'autorità di vigilanza del mercato di cui all'articolo 74, paragrafo 8 o 9, a seconda dei casi, agisce in qualità di organismo notificato.

In pratica

Questo paragrafo riguarda i sistemi di riconoscimento biometrico, cioè l’Allegato III, punto 1. È il meno vicino all’attività ordinaria di uno studio. Se il fornitore ha applicato le norme armonizzate o le specifiche comuni, può scegliere tra due strade: un controllo interno fatto da lui (allegato VI) o la valutazione di un organismo notificato (allegato VII). Deve invece passare dall’organismo notificato quando le norme non esistono, quando non le ha applicate o le ha applicate solo in parte, o quando sono state pubblicate con una limitazione. In quest’ultimo caso l’obbligo vale solo per la parte limitata. Per i sistemi destinati alle forze dell’ordine, all’immigrazione, all’asilo o alle istituzioni dell’Unione, il ruolo dell’organismo notificato lo svolge l’autorità di vigilanza del mercato (articolo 74, paragrafo 8 o 9, dell’AI Act).

Paragrafo 2

Per i sistemi di IA ad alto rischio di cui all'allegato III, punti da 2 a 8, i fornitori seguono la procedura di valutazione della conformità basata sul controllo interno di cui all'allegato VI, che non prevede il coinvolgimento di un organismo notificato.

In pratica

Questo è il paragrafo più vicino a uno studio. Riguarda gli strumenti dell’Allegato III dal punto 2 all’8, tra cui quelli per selezionare le candidature e gestire i lavoratori (punto 4) e quelli per l’accesso a servizi privati essenziali (punto 5). Per questi strumenti il fornitore fa la valutazione da solo, con il controllo interno dell’allegato VI e senza organismo notificato, e firma lui la dichiarazione UE prevista dall’articolo 47 dell’AI Act. Per lo studio la domanda da fare a chi vende lo strumento è semplice: quale procedura ha seguito e dove è documentata. Un esempio concreto: Uso un software che fa una prima scrematura dei curriculum. Sono ad alto rischio?

Paragrafo 3

Per i sistemi di IA ad alto rischio disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, il fornitore del sistema segue la pertinente procedura di valutazione della conformità prevista conformemente alla pertinente normativa di armonizzazione dell'Unione. I requisiti di cui alla sezione 2 del presente capo si applicano a tali sistemi di IA ad alto rischio e fanno parte di tale valutazione. Si deve altresì procedere alla valutazione del sistema di gestione della qualità di cui all'articolo 17 e si applica l'allegato VII, punti 3, 4.3, 4.4 e 4.5, punto 4.6, quinto comma, e punto 5. Ai fini di tale valutazione della conformità, gli organismi notificati che sono stati notificati ai sensi della normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, hanno la facoltà di valutare la conformità dei sistemi di IA ad alto rischio ai requisiti di cui alla sezione 2 del presente capo, a condizione che la conformità di tali organismi notificati ai requisiti di cui all'articolo 31, paragrafi 4, 5, 10 e 11, sia stata valutata nel contesto della procedura di notifica conformemente alla pertinente normativa di armonizzazione dell'Unione, come comprovato dalla valutazione effettuata nell'ambito della notifica esistente. Fatto salvo l'articolo 28, tali organismi notificati che sono stati notificati ai sensi della normativa di armonizzazione dell'Unione di cui all'allegato I, sezione A, presentano domanda di designazione conformemente alla sezione 4 del presente capo entro il 28 gennaio 2028. Qualora la normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, offra al fabbricante del prodotto la facoltà di avvalersi di una valutazione della conformità che non comporti il coinvolgimento di terzi, purché abbia applicato le norme armonizzate per garantire la conformità a tutti i requisiti pertinenti, tale fabbricante può avvalersi di tale facoltà solo se ha applicato anche le norme armonizzate o, ove applicabili, le specifiche comuni di cui all'articolo 41, che contemplano tutti i requisiti di cui alla sezione 2 del presente capo. La classificazione di un prodotto come sistema di IA ad alto rischio conformemente all'articolo 6, paragrafo 1, non incide sulla scelta della procedura di valutazione della conformità prevista per i fabbricanti di prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, compresa, se del caso, la possibilità di avvalersi di norme armonizzate. I fabbricanti di tali prodotti non sono tenuti a scegliere una procedura di valutazione della conformità che comporti la valutazione della conformità da parte di terzi solo a condizione che il prodotto includa un sistema di IA ad alto rischio come componente di sicurezza, se ciò non è richiesto dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A. Se un sistema di IA ad alto rischio è disciplinato dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, e rientra in una delle categorie elencate nell'allegato III, il fornitore di tale sistema segue la pertinente procedura di valutazione della conformità prevista ai sensi della pertinente normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A.

In pratica

Questo paragrafo riguarda chi produce oggetti già regolati da norme europee di prodotto, come macchine o dispositivi medici, quando contengono un sistema di AI che fa da componente di sicurezza (Allegato I, sezione A). In questi casi il fornitore segue la procedura prevista dalla normativa del prodotto, e i requisiti dell’AI Act entrano nella stessa valutazione. È il paragrafo riscritto dall’Omnibus, con quattro novità. La valutazione comprende ora anche il sistema di gestione della qualità (articolo 17 dell’AI Act e punti 3 e 5 dell’allegato VII). Gli organismi notificati possono valutare questi sistemi solo se è stato verificato anche il paragrafo 5 dell’articolo 31. Gli organismi già notificati per il prodotto devono chiedere la designazione, secondo la sezione 4 del capo III, entro il 28 gennaio 2028, fatto salvo l’articolo 28. In chiusura, tre frasi nuove chiariscono il rapporto con la normativa del prodotto. Il dettaglio è nella sezione «Cosa cambia con l’Omnibus». Per uno studio conta poco in modo diretto, perché riguarda chi produce e non chi usa.

Paragrafo 4

I sistemi di IA ad alto rischio che sono già stati oggetto di una procedura di valutazione della conformità sono sottoposti a una nuova procedura di valutazione della conformità nel caso di una modifica sostanziale, indipendentemente dal fatto che il sistema modificato sia destinato a essere ulteriormente distribuito o continui a essere usato dal deployer attuale. Per i sistemi di IA ad alto rischio che proseguono il loro apprendimento dopo essere stati immessi sul mercato o messi in servizio, le modifiche apportate al sistema di IA ad alto rischio e alle sue prestazioni che sono state predeterminate dal fornitore al momento della valutazione iniziale della conformità e fanno parte delle informazioni contenute nella documentazione tecnica di cui all'allegato IV, punto 2, lettera f), non costituiscono una modifica sostanziale.

In pratica

Quando un sistema ad alto rischio già valutato subisce una modifica sostanziale, va valutato di nuovo. Vale anche se il sistema modificato non viene venduto ad altri e continua a usarlo lo stesso deployer. Non contano come modifica sostanziale i cambiamenti che il sistema fa da solo continuando ad apprendere dopo la vendita, se il fornitore li aveva previsti nella valutazione iniziale e descritti nella documentazione tecnica (allegato IV, punto 2, lettera f). Per uno studio il punto è questo: se adatta uno strumento oltre l’uso previsto, la modifica sostanziale è uno dei casi in cui diventa fornitore (articolo 25, paragrafo 1, lettera b, dell’AI Act). A quel punto la nuova valutazione tocca a lui.

Paragrafo 5

Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 97 al fine di modificare gli allegati VI e VII aggiornandoli alla luce del progresso tecnico.

In pratica

La Commissione può aggiornare gli allegati VI e VII, cioè le due procedure di valutazione, per seguire il progresso tecnico. Lo fa con atti delegati (articolo 97 dell’AI Act). Per uno studio non ci sono conseguenze dirette.

Paragrafo 6

Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 97 che modificano i paragrafi 1 e 2 del presente articolo per assoggettare i sistemi di IA ad alto rischio di cui all'allegato III, punti da 2 a 8, alla procedura di valutazione della conformità di cui all'allegato VII o a parti di essa. La Commissione adotta tali atti delegati tenendo conto dell'efficacia della procedura di valutazione della conformità basata sul controllo interno di cui all'allegato VI nel prevenire o ridurre al minimo i rischi per la salute, la sicurezza e la protezione dei diritti fondamentali posti da tali sistemi, nonché della disponibilità di capacità e risorse adeguate tra gli organismi notificati.

In pratica

Oggi per gli strumenti dell’Allegato III dal punto 2 all’8 basta il controllo interno del fornitore. Questo paragrafo dice che in futuro potrebbe cambiare. Con atti delegati, la Commissione può modificare i paragrafi 1 e 2 e chiedere per questi sistemi la procedura con organismo notificato dell’allegato VII, in tutto o in parte. Per decidere deve tenere conto di quanto funziona il controllo interno e di quanti organismi notificati sono disponibili. Per ora non è cambiato nulla.

Il testo previgente, per confronto

La versione precedente all'Reg. UE 2026/1744, prima della riscrittura commentata qui sopra.

Paragrafo 3. Per i sistemi di IA ad alto rischio disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, il fornitore segue la pertinente procedura di valutazione della conformità prevista da tali atti giuridici. I requisiti di cui alla sezione 2 del presente capo si applicano a tali sistemi di IA ad alto rischio e fanno parte di tale valutazione. Si applicano anche i punti 4.3, 4.4, 4.5 e il punto 4.6, quinto comma, dell'allegato VII. Ai fini di tale valutazione, gli organismi notificati che sono stati notificati a norma di tali atti giuridici hanno la facoltà di controllare la conformità dei sistemi di IA ad alto rischio ai requisiti di cui alla sezione 2, a condizione che la conformità di tali organismi notificati ai requisiti di cui all'articolo 31, paragrafi 4, 10 e 11, sia stata valutata nel contesto della procedura di notifica a norma di tali atti giuridici. Qualora un atto giuridico elencato nell'allegato I, sezione A, consenta al fabbricante del prodotto di sottrarsi a una valutazione della conformità da parte di terzi, purché abbia applicato tutte le norme armonizzate che contemplano tutti i requisiti pertinenti, tale fabbricante può avvalersi di tale facoltà solo se ha applicato anche le norme armonizzate o, ove applicabili, le specifiche comuni di cui all'articolo 41, che contemplano tutti i requisiti di cui alla sezione 2 del presente capo.

Testo verificato su EUR-Lex il 19 settembre 2026. Il paragrafo 3 è stato sostituito dal Digital Omnibus; i paragrafi 1, 2, 4, 5 e 6 sono identici al testo originale del 2024 (confronto parola per parola). Il testo originale del 2024 è disponibile solo come articolo intero, non diviso in paragrafi: il testo previgente del paragrafo 3 è ricavato dall'articolo intero e verificato su EUR-Lex..