Valutazione della conformità

1.  Per i sistemi di IA ad alto rischio elencati nell'allegato III, punto 1, se ha applicato le norme armonizzate di cui all'articolo 40 o, ove applicabile, le specifiche comuni di cui all'articolo 41, nel dimostrare la conformità di un sistema di IA ad alto rischio ai requisiti di cui alla sezione 2, il fornitore sceglie una delle seguenti procedure di valutazione della conformità basate sugli elementi qui di seguito:

a)	il controllo interno di cui all'allegato VI; oppure
b)	la valutazione del sistema di gestione della qualità e la valutazione della documentazione tecnica, con il coinvolgimento di un organismo notificato, di cui all'allegato VII.

Nel dimostrare la conformità di un sistema di IA ad alto rischio ai requisiti di cui alla sezione 2, il fornitore segue la procedura di valutazione della conformità di cui all'allegato VII se:

a)	non esistono le norme armonizzate di cui all'articolo 40 e non sono disponibili le specifiche comuni di cui all'articolo 41;
b)	il fornitore non ha applicato la norma armonizzata o ne ha applicato solo una parte;
c)	esistono le specifiche comuni di cui alla lettera a), ma il fornitore non le ha applicate;
d)	una o più norme armonizzate di cui alla lettera a) sono state pubblicate con una limitazione e soltanto sulla parte della norma che è oggetto di limitazione.

Ai fini della procedura di valutazione della conformità di cui all'allegato VII, il fornitore può scegliere uno qualsiasi degli organismi notificati. Tuttavia, se il sistema di IA ad alto rischio è destinato ad essere messo in servizio dalle autorità competenti in materia di contrasto, di immigrazione o di asilo, nonché da istituzioni, organi o organismi dell'Unione, l'autorità di vigilanza del mercato di cui all'articolo 74, paragrafo 8 o 9, a seconda dei casi, agisce in qualità di organismo notificato.

2.  Per i sistemi di IA ad alto rischio di cui all'allegato III, punti da 2 a 8, i fornitori seguono la procedura di valutazione della conformità basata sul controllo interno di cui all'allegato VI, che non prevede il coinvolgimento di un organismo notificato.

3.  Per i sistemi di IA ad alto rischio disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, il fornitore del sistema segue la pertinente procedura di valutazione della conformità prevista conformemente alla pertinente normativa di armonizzazione dell'Unione. I requisiti di cui alla sezione 2 del presente capo si applicano a tali sistemi di IA ad alto rischio e fanno parte di tale valutazione. Si deve altresì procedere alla valutazione del sistema di gestione della qualità di cui all'articolo 17 e si applica l'allegato VII, punti 3, 4.3, 4.4 e 4.5, punto 4.6, quinto comma, e punto 5.

Ai fini di tale valutazione della conformità, gli organismi notificati che sono stati notificati ai sensi della normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, hanno la facoltà di valutare la conformità dei sistemi di IA ad alto rischio ai requisiti di cui alla sezione 2 del presente capo, a condizione che la conformità di tali organismi notificati ai requisiti di cui all'articolo 31, paragrafi 4, 5, 10 e 11, sia stata valutata nel contesto della procedura di notifica conformemente alla pertinente normativa di armonizzazione dell'Unione, come comprovato dalla valutazione effettuata nell'ambito della notifica esistente. Fatto salvo l'articolo 28, tali organismi notificati che sono stati notificati ai sensi della normativa di armonizzazione dell'Unione di cui all'allegato I, sezione A, presentano domanda di designazione conformemente alla sezione 4 del presente capo entro il 28 gennaio 2028.

Qualora la normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, offra al fabbricante del prodotto la facoltà di avvalersi di una valutazione della conformità che non comporti il coinvolgimento di terzi, purché abbia applicato le norme armonizzate per garantire la conformità a tutti i requisiti pertinenti, tale fabbricante può avvalersi di tale facoltà solo se ha applicato anche le norme armonizzate o, ove applicabili, le specifiche comuni di cui all'articolo 41, che contemplano tutti i requisiti di cui alla sezione 2 del presente capo. La classificazione di un prodotto come sistema di IA ad alto rischio conformemente all'articolo 6, paragrafo 1, non incide sulla scelta della procedura di valutazione della conformità prevista per i fabbricanti di prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, compresa, se del caso, la possibilità di avvalersi di norme armonizzate. I fabbricanti di tali prodotti non sono tenuti a scegliere una procedura di valutazione della conformità che comporti la valutazione della conformità da parte di terzi solo a condizione che il prodotto includa un sistema di IA ad alto rischio come componente di sicurezza, se ciò non è richiesto dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A.

Se un sistema di IA ad alto rischio è disciplinato dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A, e rientra in una delle categorie elencate nell'allegato III, il fornitore di tale sistema segue la pertinente procedura di valutazione della conformità prevista ai sensi della pertinente normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione A.

4.  I sistemi di IA ad alto rischio che sono già stati oggetto di una procedura di valutazione della conformità sono sottoposti a una nuova procedura di valutazione della conformità nel caso di una modifica sostanziale, indipendentemente dal fatto che il sistema modificato sia destinato a essere ulteriormente distribuito o continui a essere usato dal deployer attuale.

Per i sistemi di IA ad alto rischio che proseguono il loro apprendimento dopo essere stati immessi sul mercato o messi in servizio, le modifiche apportate al sistema di IA ad alto rischio e alle sue prestazioni che sono state predeterminate dal fornitore al momento della valutazione iniziale della conformità e fanno parte delle informazioni contenute nella documentazione tecnica di cui all'allegato IV, punto 2, lettera f), non costituiscono una modifica sostanziale.

5.  Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 97 al fine di modificare gli allegati VI e VII aggiornandoli alla luce del progresso tecnico.

6.  Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 97 che modificano i paragrafi 1 e 2 del presente articolo per assoggettare i sistemi di IA ad alto rischio di cui all'allegato III, punti da 2 a 8, alla procedura di valutazione della conformità di cui all'allegato VII o a parti di essa. La Commissione adotta tali atti delegati tenendo conto dell'efficacia della procedura di valutazione della conformità basata sul controllo interno di cui all'allegato VI nel prevenire o ridurre al minimo i rischi per la salute, la sicurezza e la protezione dei diritti fondamentali posti da tali sistemi, nonché della disponibilità di capacità e risorse adeguate tra gli organismi notificati.

1.  W odniesieniu do systemów AI wysokiego ryzyka wymienionych w załączniku III pkt 1, w przypadku gdy do wykazania zgodności systemu AI wysokiego ryzyka z wymogami ustanowionymi w sekcji 2 dostawca zastosował normy zharmonizowane, o których mowa w art. 40, lub, w stosownych przypadkach, wspólne specyfikacje, o których mowa w art. 41, dostawca wybiera jedną z następujących procedur oceny zgodności w oparciu o:

a)	kontrolę wewnętrzną, o której mowa w załączniku VI; lub
b)	ocenę systemu zarządzania jakością i ocenę dokumentacji technicznej przeprowadzaną z udziałem jednostki notyfikowanej, o której to procedurze mowa w załączniku VII.

Przy wykazywaniu zgodności systemu AI wysokiego ryzyka z wymogami ustanowionymi w sekcji 2 dostawca postępuje zgodnie z procedurą oceny zgodności ustanowioną w załączniku VII, w przypadku gdy:

a)	normy zharmonizowane, o których mowa w art. 40, nie istnieją, a wspólne specyfikacje, o których mowa w art. 41, nie są dostępne;
b)	dostawca nie zastosował normy zharmonizowanej lub zastosował jedynie jej część;
c)	wspólne specyfikacje, o których mowa w lit. a), istnieją, ale dostawca ich nie zastosował;
d)	co najmniej jedna z norm zharmonizowanych, o których mowa w lit. a), została opublikowana z ograniczeniem i jedynie w odniesieniu do tej części normy, której dotyczy ograniczenie.

Na potrzeby procedury oceny zgodności, o której mowa w załączniku VII, dostawca może wybrać dowolną jednostkę notyfikowaną. Jednak w przypadku gdy system ma zostać oddany do użytku przez organy ścigania, organy imigracyjne lub organy azylowe lub przez instytucje, organy i jednostki organizacyjne Unii, funkcję jednostki notyfikowanej pełni organ nadzoru rynku, o którym mowa odpowiednio w art. 74 ust. 8 lub ust. 9.

2.  W przypadku systemów AI wysokiego ryzyka, o których mowa w załączniku III pkt 2–8, dostawcy postępują zgodnie z procedurą oceny zgodności opierającą się na kontroli wewnętrznej, o której mowa w załączniku VI i która nie przewiduje udziału jednostki notyfikowanej.

3.  W przypadku systemów AI wysokiego ryzyka objętych zakresem stosowania unijnego prawodawstwa harmonizacyjnego wymienionego w załączniku I sekcja A dostawca systemu postępuje zgodnie z odpowiednią procedurą oceny zgodności wymaganą na podstawie odpowiedniego unijnego prawodawstwa harmonizacyjnego. W odniesieniu do tego rodzaju systemów AI wysokiego ryzyka zastosowanie mają wymogi ustanowione w sekcji 2 niniejszego rozdziału i stanowią one jeden z elementów tej oceny. Ocena systemu zarządzania jakością określona w art. 17 powinna być przeprowadzona, oraz zastosowanie mają pkt 3, 4.3, 4.4 i 4.5 oraz pkt 4.6 akapit piąty i pkt 5 załącznika VII.

Na potrzeby tej oceny zgodności jednostki notyfikowane, które notyfikowano zgodnie z unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku I sekcja A, są uprawnione do przeprowadzania oceny zgodności systemów AI wysokiego ryzyka z wymogami ustanowionymi w sekcji 2 niniejszego rozdziału, o ile zgodność tych jednostek notyfikowanych z wymogami ustanowionymi w art. 31 ust. 4, 5, 10 i 11 została oceniona w kontekście procedury notyfikacyjnej przewidzianej w odpowiednim unijnym prawodawstwie harmonizacyjnym, co wykazano w drodze oceny w ramach istniejącej notyfikacji. Bez uszczerbku dla art. 28 takie jednostki notyfikowane, które notyfikowano zgodnie z unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku I sekcja A, składają wniosek o wyznaczenie zgodnie z sekcją 4 niniejszego rozdziału najpóźniej do dnia 28 stycznia 2028 r.

W przypadku gdy unijne prawodawstwo harmonizacyjne wymienione w załączniku I sekcja A zapewnia producentowi produktu możliwość polegania na ocenie zgodności, w której nie jest zaangażowana strona trzecia, pod warunkiem że producent ten zastosował normy zharmonizowane w celu zapewnienia zgodności ze wszystkimi stosownymi wymogami, taki producent może skorzystać z tej możliwości wyłącznie w przypadku, gdy zapewnił również zgodność z normami zharmonizowanymi lub – w stosownych przypadkach – wspólnymi specyfikacjami, o których mowa w art. 41, obejmującymi wszystkie wymogi ustanowione w sekcji 2 niniejszego rozdziału. Klasyfikacja produktu jako systemu AI wysokiego ryzyka zgodnie z art. 6 ust. 1 nie ma wpływu na wybór procedury oceny zgodności przez producentów produktów objętych unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku I sekcja A, w tym, w stosownych przypadkach, na możliwość polegania na normach zharmonizowanych. Producenci takich produktów nie są zobowiązani do wyboru procedury oceny zgodności obejmującej ocenę zgodności przeprowadzaną przez osobę trzecią, wyłącznie z tego powodu, że produkt zawiera system AI wysokiego ryzyka jako element bezpieczeństwa, jeżeli nie jest to wymagane na mocy unijnego prawodawstwa harmonizacyjnego wymienionego w załączniku I sekcja A.

W przypadku gdy system AI wysokiego ryzyka jest objęty zarówno unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku I sekcja A, jak i należy do jednej z kategorii wymienionych w załączniku III, dostawca tego systemu stosuje odpowiednią procedurę oceny zgodności wymaganą na podstawie odpowiedniego unijnego prawodawstwa harmonizacyjnego wymienionego w załączniku I sekcja A.

4.  Systemy AI wysokiego ryzyka, które poddano już procedurze oceny zgodności, poddaje się nowej procedurze oceny zgodności w przypadku gdy wprowadza się w nich istotne zmiany, niezależnie od tego, czy zmieniony system jest przeznaczony do dalszej dystrybucji lub czy ma być nadal wykorzystywany przez obecny podmiot stosujący.

W przypadku systemów AI wysokiego ryzyka, które nadal uczą się po wprowadzeniu ich do obrotu lub po oddaniu ich do użytku, istotnej zmiany nie stanowią zmiany w systemie AI wysokiego ryzyka i jego skuteczności działania, które dostawca z góry zaplanował w chwili przeprowadzania początkowej oceny zgodności i które są częścią informacji zawartych w dokumentacji technicznej, o której mowa w pkt 2 lit. f) załącznika IV.

5.  Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 97 w celu zmiany załączników VI i VII poprzez ich zmianę w świetle postępu technicznego.

6.  Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 97 w celu zmiany ust. 1 i 2 niniejszego artykułu, aby objąć systemy AI wysokiego ryzyka, o których mowa w załączniku III pkt 2–8, procedurą oceny zgodności, o której mowa w załączniku VII, lub elementami tej procedury. Komisja przyjmuje takie akty delegowane, biorąc pod uwagę skuteczność procedury oceny zgodności opierającej się na kontroli wewnętrznej, o której mowa w załączniku VI, w zapobieganiu ryzyku dla zdrowia i bezpieczeństwa oraz ryzyku związanemu z ochroną praw podstawowych stwarzanemu przez takie systemy lub minimalizowaniu takiego ryzyka, a także uwzględniając dostępność odpowiednich zdolności i zasobów wśród jednostek notyfikowanych.