Ai Act e medical device: tutte le date da segnare in agenda anche per evitare sanzioni

L’Ai Act approvato in estate prevede numerose disposizioni applicabili alla realizzazione, alla commercializzazione e all’utilizzo di sistemi di intelligenza artificiale: è dunque destinato ad avere un enorme impatto anche nel settore medical device. Come il MDR poi, l’AI Act prevede tempi di applicazione diversi per le varie tipologie di prescrizione. Utile fare una panoramica delle scadenze da tenere in considerazione, per potersi efficacemente organizzare e non incorrere in eventuali sanzioni.

2 febbraio 2025

Ai sensi dell’articolo 113, dopo sei mesi dall’entrata in vigore del regolamento (e dunque il 2 febbraio 2025) troveranno applicazione le prime norme dell’AI Act, ossia quelle del Capo I e del Capo II. Nello specifico, il Capo I determina:

• l’oggetto del regolamento, ossia in generale il miglioramento del funzionamento del mercato interno e la promozione della diffusione di un’intelligenza artificiale antropocentrica e affidabile, garantendo al contempo un livello elevato di protezione della salute, della sicurezza e dei diritti fondamentali (articolo 1);
• l’ambito di applicazione (articolo 2);
• le definizioni applicabili (articolo 3);
• l’obbligo generale di alfabetizzazione in materia di IA di fornitori e di deployer, relativamente al proprio personale e a chiunque altro si occupi del funzionamento dei sistemi di IA per loro conto (articolo 4).

Il Capo II contiene invece la descrizione delle pratiche di AI vietate (articolo 5): più esattamente si tratta del divieto di immissione sul mercato, messa in servizio e, più in generale, utilizzazione di alcuni sistemi di AI considerati troppo pericolosi (esempio riconoscimento biometrico in tempo reale). Tale data, dunque, dovrà essere tenuta in debita considerazione non soltanto da chi realizza e commercializza sistemi di AI descritti all’articolo 5, ma altresì che i sistemi di IA che rientrano in questo elenco (che dovrà interrompere l’utilizzazione).

2 maggio 2025

Entro il 2 maggio 2025 dovranno poi essere completati i codici di buone pratiche (articolo 56): tali codici hanno l’obiettivo di contribuire alla corretta applicazione del regolamento, contemplando almeno gli obblighi di cui agli artt. 53 (obblighi dei fornitori di modelli di IA per finalità generali) e 55 (obblighi dei fornitori di modelli di IA per finalità generali con rischio sistemico). Sarà poi l’Ufficio europeo per l’IA ad invitare i fornitori di modelli di IA per finalità generali ad aderire ai codici così determinati.

2 agosto 2025

Dopo un anno dell’entrata in vigore del regolamento (ossia il 2 agosto 2025) diventerà applicabile in particolare il capo V, che detta le norme relative ai modelli di IA per finalità generali (articolo 113). Tale capo disciplina innanzitutto a quali condizioni un modello di IA per finalità generali deve essere considerato “a rischio sistemico” (articolo 51) e le conseguenze di tale qualificazione (articolo 52).
Sono poi individuati gli obblighi dei fornitori dei sistemi di IA per finalità generali agli arti. 53 e 54, nonché quelli dei sistemi per finalità generali che presentano per un rischio sistemico all’art. 55. Inoltre, troveranno applicazione (articolo 113):

• la sezione 4 del capo III relativa alle autorità di notifica e agli organismi notificati;
• il capo VII titolato Governance, che contiene tra le norme relative all’istituzione, alla struttura e ai compiti del consiglio per l’IA, del gruppo di esperti scientifici indipendenti, e quelle dedicate alle autorità nazionali competenti. In particolare, il 2 agosto 2025 è il termine ultimo per gli Stati membri per mettere a disposizione del pubblico le informazioni di contatto delle nominate autorità di notifica e delle autorità di vigilanza del mercato, nonché i rispettivi compiti;

Attenzione perché in data 2 agosto 2025 parte anche l’applicazione del capo XII sulle sanzioni (ad esclusione dell’articolo 101 che disciplina le sanzioni pecuniarie per i fornitori di modelli di IA per finalità generali). Entro questa data, inoltre, la Commissione dovrà elaborare orientamenti specifici per facilitare il rispetto degli obblighi di segnalazione di incidenti gravi alle autorità di vigilanza del mercato da parte dei fornitori di sistemi di IA ad alto rischio (articolo 73 paragrafo 7).

2 febbraio 2026

Entro questa data la Commissione dovrà fornire orientamenti che specificano l’attuazione pratica dell’articolo 6 (ossia quello relativo alle regole di classificazione dei sistemi di IA ad alto rischio – tra cui rientrano tutti i AI -SAMD di classe IIa, IIb, III) con un elenco esaustivo di esempi pratici di casi d’uso di sistemi di IA ad alto rischio e no. Inoltre, entro tale data la Commissione dovrà adottare un atto di esecuzione che stabilisce disposizioni dettagliate in cui si definisce un modello per il piano di monitoraggio successivo all’immissione sul mercato, nonché un elenco di elementi da includere nel piano (articolo 72 para. 3).

2 agosto 2026

Qui scatta la data l’applicazione delle restanti parti del regolamento (articolo 113). Sono pochissime le norme che slittano al 2 agosto 2027 (come descritto nel paragrafo sotto). Da questo momento, dunque, si dovranno applicare in toto:

• le prescrizioni relative ai sistemi di IA ad alto rischio ai sensi dell’Allegato III;
• gli obblighi degli operatori economici relativi a tali sistemi.

Entro il 2 agosto 2026, poi, le autorità competenti nazionali devono aver istituito almeno un regulatory sandbox (articolo 57 paragrafo 1).

2 agosto 2027

L’ultimo blocco di norme è quello che più interessa il settore medical device. Da tale data devono trovare applicazione le regole di classificazione per i sistemi di IA ad alto rischio di cui all’Allegato I (quindi tutti i AO-SAMD di classa IIa, IIb e III – articolo 6 paragrafo 1) ed i corrispondenti obblighi degli operatori economici ed attori coinvolti. Entro questa data, poi, l’articolo 111 prescrive che i fornitori di modelli di IA per finalità generali che sono stato immessi in commercio prima del 2 agosto 2025 abbiamo adottato le misure necessarie per conformarsi agli obblighi del regolamento. Per quanto le date del 2 agosto 2026 e 2027 possano sembrare molto lontane nel tempo, occorre tenere in considerazione che gli obblighi previsti dal regolamento sono molti complessi: iniziare a strutturare la relativa compliance per tempo diventa, di conseguenza, fondamentale per condurre un’attività commerciale (ed un utilizzo di tali sistemi) lecita.

2 agosto 2028

Da ultimo l’articolo 112 paragrafo 2 prescrive che entro questa data, e successivamente ogni quattro anni, la Commissione valuti e riferisca al Parlamento europeo e al Consiglio in merito:

• alla necessità di modifiche che amplino le rubriche settoriali esistenti o ne aggiungano di nuove all’Allegato III;
• modifiche dell’elenco dei sistemi di IA che richiedono ulteriori misure di trasparenza di cui all’articolo 50;
• modifiche volte a migliorare l’efficacia del sistema di supervisione e di governance.

Inoltre, entro tale data la Commissione dovrà:

• valutare e trasmettere al Parlamento europeo e al Consiglio la relativa relazione, il funzionamento dell’ufficio per l’IA, se all’ufficio per l’IA siano stati conferiti poteri e competenze adeguati per svolgere i suoi compiti e se sia pertinente e necessario per la corretta attuazione ed esecuzione del regolamento potenziare l’ufficio per l’IA e le sue competenze di esecuzione e aumentarne le risorse (articolo 112 paragrafo 5);
• presentare una relazione, aggiornata ogni quattro anni e presentata al Parlamento e al Consiglio, nonché resa pubblica, sull’esame dei progressi compiuti riguardo allo sviluppo di prodotti della normazione relativi allo sviluppo efficiente sotto il profilo energetico di modelli di IA per finalità generali e valuta la necessità di ulteriori misure o azioni, comprese misure o azioni vincolanti (articolo 112 paragrafo 6);
• valutare l’impatto e l’efficacia dei codici di condotta volontari per la promozione dell’applicazione dei requisiti di cui al capo III, sezione 2, per i sistemi di IA diversi dai sistemi di IA ad alto rischio ed eventualmente di altri requisiti supplementari per i sistemi di IA diversi dai sistemi di IA ad alto rischio, anche per quanto riguarda la sostenibilità ambientale, aggiornando tale valutazione ogni tre anni (articolo 112 paragrafo 7).

Rubrica "I DISPOSITIVI MEDICI TRA NORMATIVA E REGOLATORIO"

Leggi gli altri articoli presenti nella nostra rubrica in collaborazione con AboutPharma

VAI ALLA RUBRICA