Macchine con IA alto rischio: la presunzione di conformità è provvisoria

Chi sta per firmare la dichiarazione UE di conformità di una macchina con un sistema di visione che decide da solo quando fermare la linea deve rispondere a una domanda precisa: su quale norma si regge la conformità di quella parte? Se la risposta è «le norme armonizzate», il fascicolo tecnico oggi si appoggia su un vuoto — per l’intelligenza artificiale ad alto rischio, quella riga della Gazzetta ufficiale non esiste ancora. Esiste però, dal 27 luglio 2026, un articolo che dice cosa fare nel frattempo. Vale la pena sapere esattamente che cosa dice, perché è scritto per essere tolto.

Il paragrafo che chiama le cose con il loro nome

Il regolamento (UE) 2023/1230 — il regolamento macchine, in vigore dal 20 gennaio 2027 (non dal 14, come riporta ancora il testo CELEX non rettificato: una rettifica pubblicata in GU L 169 del 4 luglio 2023 ha spostato la data, e la consolidata lo segna con i marcatori di correzione) — dedica il suo articolo 20 a un solo istituto, dichiarato già nella rubrica: «Presunzione di conformità dei prodotti rientranti nell’ambito di applicazione del presente regolamento». Il paragrafo 1 lo enuncia per il caso ordinario: chi rispetta una norma armonizzata pubblicata in Gazzetta è considerato conforme ai requisiti dell’allegato III che quella norma copre. Lo abbiamo già visto applicato al manuale di istruzioni, dove una sola norma su due, EN ISO 20607:2019, dà davvero questo effetto.

Il regolamento (UE) 2026/1744 dell’8 luglio 2026 — l’Omnibus digitale sull’IA, in vigore dal 27 luglio — aggiunge allo stesso articolo 20 un paragrafo 10, marcato nella consolidata con l’indicatore di modifica ▼M2: «Fino a quando norme armonizzate o specifiche comuni non saranno menzionate o adottate a norma del presente articolo per quanto riguarda i sistemi di IA ad alto rischio, i sistemi di IA ad alto rischio che rientrano nell’ambito di applicazione del presente regolamento e che sono conformi alle pertinenti norme armonizzate menzionate o alle specifiche comuni adottate a norma, rispettivamente, degli articoli 40 e 41 del regolamento (UE) 2024/1689, sono considerati conformi ai requisiti essenziali di sicurezza e di tutela della salute di cui all’allegato III del presente regolamento per quanto riguarda i sistemi di IA ad alto rischio». La parola giusta è quella della rubrica: è una presunzione di conformità, la stessa dell’articolo 20, applicata per la prima volta a un fondamento che non appartiene al regolamento macchine — le norme e le specifiche dell’AI Act.

L’allegato III che aspetta ancora la sua riga

Il motivo per cui serve un paragrafo del genere sta un articolo più indietro. Ne abbiamo già scritto: lo stesso regolamento (UE) 2026/1744 impone alla Commissione di adottare, entro un termine che scade il 2 agosto 2028, atti delegati che aggiungano all’allegato III requisiti dedicati per i sistemi di IA ad alto rischio ai sensi dell’articolo 6, paragrafo 1 dell’AI Act. Fino a quel giorno l’allegato III non contiene, letteralmente, una riga sull’IA: non un requisito, non un rinvio. Il paragrafo 10 dell’articolo 20 è il ponte fra il 27 luglio 2026, quando delega e presunzione sono entrate in vigore insieme, e il momento — ignoto oggi — in cui quella riga verrà scritta.

Un ponte che oggi non appoggia su niente

C’è un dettaglio che il testo del regolamento non dice, e che vale la pena verificare prima di contarci: il paragrafo 10 rinvia alle norme armonizzate menzionate o alle specifiche comuni adottate «a norma, rispettivamente, degli articoli 40 e 41» dell’AI Act. Quelle norme, per l’IA ad alto rischio, non sono ancora state pubblicate in Gazzetta. Lo dice la pagina della Commissione dedicata alla normazione tecnica dell’AI Act, aggiornata l’ultima volta il 10 marzo 2026: «The first harmonised standards are expected to be published by CEN and CENELEC in 2026. After that, the Commission will start the review to assess whether the references to these standards can be published in the Official Journal of the European Union» — le prime norme armonizzate sono attese nel corso del 2026; solo dopo la Commissione avvierà la valutazione per pubblicarne i riferimenti in Gazzetta. Il lavoro tecnico procede — CEN-CENELEC lo conduce nel comitato JTC 21 — ma finché quel riferimento non compare in Gazzetta, non c’è nulla a cui il paragrafo 10 possa agganciarsi: la presunzione esiste in diritto dal 27 luglio, e non ha ancora, nella pratica, un solo caso applicabile.

Che cosa scrivere nel fascicolo, oggi

Per chi marca CE una macchina adesso, questo lascia una sola strada percorribile per la parte di IA: argomentare la conformità direttamente contro i requisiti generali dell’allegato III — gestione dei rischi, robustezza, sorveglianza umana — senza poter invocare né una norma armonizzata macchine specifica (non esiste), né, per ora, il ponte dell’articolo 20, paragrafo 10 (non ha ancora nulla a cui appoggiarsi). È una dimostrazione diretta, più onerosa, e va scritta sapendo che cambierà base due volte: la prima quando la Commissione pubblicherà in Gazzetta la prima norma o specifica comune dell’AI Act, che renderà finalmente operativo il paragrafo 10; la seconda quando l’atto delegato scriverà la riga dedicata dell’allegato III, che sostituirà il ponte con una norma propria del regolamento macchine. Chi progetta oggi una macchina che sarà in produzione nel 2028 costruisce un fascicolo che dovrà reggere tre fondamenti diversi nel tempo, non uno.

Come lo risolviamo noi

È un problema di tracciabilità nel tempo, non solo di redazione. Il controllo che costruiamo per questo segue, macchina per macchina e requisito per requisito, su quale dei tre fondamenti si regge oggi la conformità della parte di IA — allegato III generale, poi la norma AI Act quando comparirà in Gazzetta, poi la riga dedicata quando l’atto delegato la scriverà — e lascia la traccia documentale da esibire all’organismo notificato senza doverla ricostruire a mano quando la base cambia. È l’asse dell’adempiere: un controllo che gira sui documenti reali dell’ufficio tecnico, non un parere che si esaurisce nel momento in cui viene dato.

L’altro asse è decidere. Lo stesso impianto tiene insieme, in un modello operativo unico, il fascicolo tecnico, il censimento delle macchine che rientrano nei punti 5 e 6 dell’allegato I del regolamento macchine, il monitoraggio della Gazzetta ufficiale sulle norme AI Act e le comunicazioni con l’organismo notificato — dati che oggi vivono in uffici diversi e non si parlano. Su quel modello, agenti AI eseguono le verifiche di routine con un operatore al comando: per la manifattura come per difesa, pubblica amministrazione e sanità, dove lo stesso schema — requisiti che cambiano fondamento prima di stabilizzarsi — si ripete ogni volta che una norma di settore incontra l’AI Act. Lo facciamo in due modalità: on-premise, su macchine autonome che non richiedono integrazione profonda nella rete del cliente, oppure sul nostro cloud dedicato, con data center in Italia e locali che presidiamo direttamente — sempre con la gestione condivisa, perché il cliente non deve già avere in casa chi amministra modelli di IA.

Sapete su quale dei tre fondamenti si regge, oggi, il fascicolo della vostra macchina con IA ad alto rischio? Una verifica con un nostro tecnico lo stabilisce in un pomeriggio, prima che l’organismo notificato lo chieda.

Fonti

Quello che non sappiamo

Non sappiamo quando la Commissione adotterà gli atti delegati che scriveranno la riga dell’allegato III sull’IA: il regolamento fissa solo il termine ultimo, il 2 agosto 2028, non una data di adozione. Non sappiamo con certezza assoluta se fra il 10 marzo 2026, ultimo aggiornamento della pagina della Commissione che abbiamo consultato, e oggi sia stata pubblicata in Gazzetta una prima norma armonizzata o specifica comune ai sensi degli articoli 40 o 41 dell’AI Act: non ne abbiamo trovata traccia in una ricerca mirata, ma non abbiamo passato in rassegna ogni decisione di esecuzione della Commissione pubblicata nel periodo. E non sappiamo come un organismo notificato tratterà, nel merito, un fascicolo che argomenta la conformità dell’IA senza norma armonizzata né specifica comune di alcun tipo: il regolamento non lo dice, e non è ancora successo abbastanza da avere un precedente da citare.