Evaluación de la conformidad

1.  En el caso de los sistemas de IA de alto riesgo enumerados en el anexo III, punto 1, cuando, al demostrar el cumplimiento de los requisitos establecidos en la sección 2 por parte de un sistema de IA de alto riesgo, el proveedor haya aplicado las normas armonizadas a que se refiere el artículo 40, o bien, en su caso, las especificaciones comunes a que se refiere el artículo 41, el proveedor optará por uno de los procedimientos de evaluación de la conformidad siguientes:

a)	el fundamentado en el control interno, mencionado en el anexo VI, o
b)	el fundamentado en la evaluación del sistema de gestión de la calidad y la evaluación de la documentación técnica, con la participación de un organismo notificado, mencionado en el anexo VII.

Al demostrar el cumplimiento de los requisitos establecidos en la sección 2 por parte de un sistema de IA de alto riesgo, el proveedor se atendrá al procedimiento de evaluación de la conformidad establecido en el anexo VII cuando:

a)	las normas armonizadas a que se refiere el artículo 40 no existan, y no se disponga de las especificaciones comunes a que se refiere el artículo 41;
b)	el proveedor no haya aplicado la norma armonizada, o solo haya aplicado parte de esta;
c)	existan las especificaciones comunes a que se refiere la letra a), pero el proveedor no las haya aplicado;
d)	una o varias de las normas armonizadas a que se refiere la letra a) se hayan publicado con una limitación, y únicamente en la parte de la norma objeto de la limitación.

A efectos del procedimiento de evaluación de la conformidad mencionado en el anexo VII, el proveedor podrá escoger cualquiera de los organismos notificados. No obstante, cuando se prevea la puesta en servicio del sistema de IA de alto riesgo por parte de las autoridades garantes del cumplimiento del Derecho, las autoridades de inmigración o las autoridades de asilo, o por las instituciones, órganos u organismos de la Unión, la autoridad de vigilancia del mercado mencionada en el artículo 74, apartado 8 o 9, según proceda, actuará como organismo notificado.

2.  En el caso de los sistemas de IA de alto riesgo mencionados en el anexo III, puntos 2 a 8, los proveedores se atendrán al procedimiento de evaluación de la conformidad fundamentado en un control interno a que se refiere el anexo VI, que no contempla la participación de un organismo notificado.

3.  En el caso de los sistemas de IA de alto riesgo regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, el proveedor del sistema se atendrá al procedimiento de evaluación de la conformidad pertinente exigido de conformidad con los actos legislativos de armonización de la Unión pertinentes. Los requisitos establecidos en la sección 2 del presente capítulo se aplicarán a dichos sistemas de IA de alto riesgo y formarán parte de dicha evaluación. También se llevará a cabo una evaluación del sistema de gestión de la calidad establecido en el artículo 17, y se aplicarán los puntos 3, 4.3, 4.4 y 4.5, el punto 4.6, párrafo quinto, y el punto 5 del anexo VII.

A efectos de dicha evaluación de la conformidad, los organismos notificados que hayan sido notificados con arreglo a los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, estarán facultados para evaluar la conformidad de los sistemas de IA de alto riesgo con los requisitos establecidos en la sección 2 del presente capítulo, a condición de que el cumplimiento por parte de dichos organismos notificados de los requisitos establecidos en el artículo 31, apartados 4, 5, 10 y 11, se haya evaluado en el contexto del procedimiento de notificación con arreglo a los actos legislativos de armonización de la Unión pertinentes, lo que se demuestra mediante la evaluación efectuada en el marco de la notificación existente. Sin perjuicio de lo dispuesto en el artículo 28, dichos organismos notificados que hayan sido notificados de conformidad con los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, solicitarán su designación de conformidad con la sección 4 del presente capítulo a más tardar el 28 de enero de 2028.

Cuando un acto legislativo de armonización de la Unión enumerado en el anexo I, sección A, permita al fabricante del producto recurrir a una evaluación de la conformidad en la que no participen terceros a condición de que el fabricante haya aplicado normas armonizadas para garantizar el cumplimiento de todos los requisitos pertinentes, dicho fabricante solamente podrá recurrir dicha opción si también ha aplicado normas armonizadas o, en su caso, especificaciones comunes previstas en el artículo 41 que contemplen todos los requisitos establecidos en la sección 2 del presente capítulo. La clasificación de un producto como sistema de IA de alto riesgo de conformidad con el artículo 6, apartado 1, no afecta a las opciones relativas al procedimiento de evaluación de la conformidad de que disponen los fabricantes de productos regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, incluida, en su caso, la opción de basarse en normas armonizadas. Los fabricantes de dichos productos no están obligados a optar por un procedimiento de evaluación de la conformidad que implique una evaluación de la conformidad de terceros solo por motivo de que el producto incluya un sistema de IA de alto riesgo como componente de seguridad cuando no lo exijan los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A.

En el caso de los sistemas de IA de alto riesgo que estén regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, y que entren en alguna de las categorías enumeradas en el anexo III, el proveedor del sistema se atendrá al procedimiento de evaluación de la conformidad pertinente exigido en virtud de los actos legislativos de armonización de la Unión enumerados el anexo I, sección A.

4.  Los sistemas de IA de alto riesgo que ya hayan sido objeto de un procedimiento de evaluación de la conformidad se someterán a un nuevo procedimiento de evaluación de la conformidad en caso de modificación sustancial, con independencia de si está prevista una distribución posterior del sistema modificado o de si este continúa siendo utilizado por el responsable del despliegue actual.

En el caso de los sistemas de IA de alto riesgo que continúen aprendiendo tras su introducción en el mercado o su puesta en servicio, los cambios en el sistema de IA de alto riesgo y su funcionamiento que hayan sido predeterminados por el proveedor en el momento de la evaluación inicial de la conformidad y figuren en la información recogida en la documentación técnica mencionada en el anexo IV, punto 2, letra f), no constituirán modificaciones sustanciales.

5.  La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 97 al objeto de modificar los anexos VI y VII actualizándolos a la luz del progreso técnico.

6.  La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 97 al objeto de modificar los apartados 1 y 2 del presente artículo a fin de someter a los sistemas de IA de alto riesgo mencionados en el anexo III, puntos 2 a 8, al procedimiento de evaluación de la conformidad a que se refiere el anexo VII o a partes de este. La Comisión adoptará dichos actos delegados teniendo en cuenta la eficacia del procedimiento de evaluación de la conformidad fundamentado en un control interno mencionado en el anexo VI para prevenir o reducir al mínimo los riesgos para la salud, la seguridad y la protección de los derechos fundamentales que plantean estos sistemas, así como la disponibilidad de capacidades y recursos adecuados por parte de los organismos notificados.

1.  Per i sistemi di IA ad alto rischio elencati nell'allegato III, punto 1, se ha applicato le norme armonizzate di cui all'articolo 40 o, ove applicabile, le specifiche comuni di cui all'articolo 41, nel dimostrare la conformità di un sistema di IA ad alto rischio ai requisiti di cui alla sezione 2, il fornitore sceglie una delle seguenti procedure di valutazione della conformità basate sugli elementi qui di seguito:

a)	il controllo interno di cui all'allegato VI; oppure
b)	la valutazione del sistema di gestione della qualità e la valutazione della documentazione tecnica, con il coinvolgimento di un organismo notificato, di cui all'allegato VII.

Nel dimostrare la conformità di un sistema di IA ad alto rischio ai requisiti di cui alla sezione 2, il fornitore segue la procedura di valutazione della conformità di cui all'allegato VII se:

a)	non esistono le norme armonizzate di cui all'articolo 40 e non sono disponibili le specifiche comuni di cui all'articolo 41;
b)	il fornitore non ha applicato la norma armonizzata o ne ha applicato solo una parte;
c)	esistono le specifiche comuni di cui alla lettera a), ma il fornitore non le ha applicate;
d)	una o più norme armonizzate di cui alla lettera a) sono state pubblicate con una limitazione e soltanto sulla parte della norma che è oggetto di limitazione.

Ai fini della procedura di valutazione della conformità di cui all'allegato VII, il fornitore può scegliere uno qualsiasi degli organismi notificati. Tuttavia, se il sistema di IA ad alto rischio è destinato ad essere messo in servizio dalle autorità competenti in materia di contrasto, di immigrazione o di asilo, nonché da istituzioni, organi o organismi dell'Unione, l'autorità di vigilanza del mercato di cui all'articolo 74, paragrafo 8 o 9, a seconda dei casi, agisce in qualità di organismo notificato.

2.  Per i sistemi di IA ad alto rischio di cui all'allegato III, punti da 2 a 8, i fornitori seguono la procedura di valutazione della conformità basata sul controllo interno di cui all'allegato VI, che non prevede il coinvolgimento di un organismo notificato.

3.  Per i sistemi di IA ad alto rischio disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, il fornitore del sistema segue la pertinente procedura di valutazione della conformità prevista conformemente alla pertinente normativa di armonizzazione dell'Unione. I requisiti di cui alla sezione 2 del presente capo si applicano a tali sistemi di IA ad alto rischio e fanno parte di tale valutazione. Si deve altresì procedere alla valutazione del sistema di gestione della qualità di cui all'articolo 17 e si applica l'allegato VII, punti 3, 4.3, 4.4 e 4.5, punto 4.6, quinto comma, e punto 5.

Ai fini di tale valutazione della conformità, gli organismi notificati che sono stati notificati ai sensi della normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, hanno la facoltà di valutare la conformità dei sistemi di IA ad alto rischio ai requisiti di cui alla sezione 2 del presente capo, a condizione che la conformità di tali organismi notificati ai requisiti di cui all'articolo 31, paragrafi 4, 5, 10 e 11, sia stata valutata nel contesto della procedura di notifica conformemente alla pertinente normativa di armonizzazione dell'Unione, come comprovato dalla valutazione effettuata nell'ambito della notifica esistente. Fatto salvo l'articolo 28, tali organismi notificati che sono stati notificati ai sensi della normativa di armonizzazione dell'Unione di cui all'allegato I, sezione A, presentano domanda di designazione conformemente alla sezione 4 del presente capo entro il 28 gennaio 2028.

Qualora la normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, offra al fabbricante del prodotto la facoltà di avvalersi di una valutazione della conformità che non comporti il coinvolgimento di terzi, purché abbia applicato le norme armonizzate per garantire la conformità a tutti i requisiti pertinenti, tale fabbricante può avvalersi di tale facoltà solo se ha applicato anche le norme armonizzate o, ove applicabili, le specifiche comuni di cui all'articolo 41, che contemplano tutti i requisiti di cui alla sezione 2 del presente capo. La classificazione di un prodotto come sistema di IA ad alto rischio conformemente all'articolo 6, paragrafo 1, non incide sulla scelta della procedura di valutazione della conformità prevista per i fabbricanti di prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, compresa, se del caso, la possibilità di avvalersi di norme armonizzate. I fabbricanti di tali prodotti non sono tenuti a scegliere una procedura di valutazione della conformità che comporti la valutazione della conformità da parte di terzi solo a condizione che il prodotto includa un sistema di IA ad alto rischio come componente di sicurezza, se ciò non è richiesto dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A.

Se un sistema di IA ad alto rischio è disciplinato dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, e rientra in una delle categorie elencate nell'allegato III, il fornitore di tale sistema segue la pertinente procedura di valutazione della conformità prevista ai sensi della pertinente normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A.

4.  I sistemi di IA ad alto rischio che sono già stati oggetto di una procedura di valutazione della conformità sono sottoposti a una nuova procedura di valutazione della conformità nel caso di una modifica sostanziale, indipendentemente dal fatto che il sistema modificato sia destinato a essere ulteriormente distribuito o continui a essere usato dal deployer attuale.

Per i sistemi di IA ad alto rischio che proseguono il loro apprendimento dopo essere stati immessi sul mercato o messi in servizio, le modifiche apportate al sistema di IA ad alto rischio e alle sue prestazioni che sono state predeterminate dal fornitore al momento della valutazione iniziale della conformità e fanno parte delle informazioni contenute nella documentazione tecnica di cui all'allegato IV, punto 2, lettera f), non costituiscono una modifica sostanziale.

5.  Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 97 al fine di modificare gli allegati VI e VII aggiornandoli alla luce del progresso tecnico.

6.  Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 97 che modificano i paragrafi 1 e 2 del presente articolo per assoggettare i sistemi di IA ad alto rischio di cui all'allegato III, punti da 2 a 8, alla procedura di valutazione della conformità di cui all'allegato VII o a parti di essa. La Commissione adotta tali atti delegati tenendo conto dell'efficacia della procedura di valutazione della conformità basata sul controllo interno di cui all'allegato VI nel prevenire o ridurre al minimo i rischi per la salute, la sicurezza e la protezione dei diritti fondamentali posti da tali sistemi, nonché della disponibilità di capacità e risorse adeguate tra gli organismi notificati.