«Il nostro software di screening dei CV dovrà avere il marchio CE?» Se sei una software house o una PMI che sviluppa IA per finalità dell'Allegato III, la risposta è sì. Dal 2 dicembre 2027 un sistema di IA ad alto rischio non potrà essere immesso sul mercato né messo in servizio senza aver superato una valutazione di conformità, senza dichiarazione di conformità UE e senza marcatura CE. La buona notizia: per la maggior parte dei casi non serve un organismo notificato. La cattiva: il controllo interno non è un'autocertificazione di una pagina.
Chi deve farlo, e da quando
Gli obblighi ricadono sul fornitore del sistema ad alto rischio: chi lo sviluppa e lo immette sul mercato o lo mette in servizio a proprio nome, anche per uso interno. Lo diventa anche chi, ai sensi dell'art. 25, appone il proprio marchio su un sistema ad alto rischio, lo modifica in modo sostanziale o ne cambia la finalità rendendolo ad alto rischio.
L'art. 16 del Regolamento UE 2024/1689 elenca gli obblighi del fornitore. Quelli che compongono il «percorso CE» sono quattro:
| Passo | Articolo | Cosa produce |
|---|---|---|
| Valutazione di conformità | art. 43 | Esito documentato della verifica dei requisiti |
| Dichiarazione di conformità UE | art. 47 | Documento firmato con cui ti assumi la responsabilità |
| Marcatura CE | art. 48 | Marchio fisico o digitale sul sistema |
| Registrazione | art. 49 | Iscrizione tua e del sistema nella banca dati UE |
Con il Regolamento (UE) 2026/1744 (Digital Omnibus) le date sono state rinviate e rese certe: 2 dicembre 2027 per i sistemi stand-alone dell'Allegato III, 2 agosto 2028 per l'IA integrata in prodotti già regolamentati (Allegato I). Sembra lontano, ma la documentazione tecnica e il sistema qualità richiedono mesi.
Quale procedura: controllo interno o organismo notificato
L'art. 43 distingue in base al punto dell'Allegato III:
- Punti 2–8 (infrastrutture critiche, istruzione, lavoro, servizi essenziali come il merito creditizio, forze dell'ordine, migrazione, giustizia): controllo interno secondo l'Allegato VI, senza organismo notificato.
- Punto 1 (biometria): il fornitore sceglie tra controllo interno e procedura dell'Allegato VII con un organismo notificato; quest'ultima diventa obbligatoria se non applica integralmente norme armonizzate o specifiche comuni.
Per i sistemi dell'Allegato I si segue invece la procedura prevista dalla normativa di prodotto (macchine, dispositivi medici, ecc.), che integra i requisiti dell'AI Act.
Cosa significa «controllo interno»
L'Allegato VI chiede al fornitore di verificare tre cose:
- che il sistema di gestione della qualità sia conforme all'art. 17;
- che la documentazione tecnica (art. 11 e Allegato IV) dimostri il rispetto dei requisiti degli artt. 8–15: gestione dei rischi, governance dei dati, registrazione dei log, trasparenza verso il deployer, sorveglianza umana, accuratezza, robustezza e cybersicurezza;
- che il processo di progettazione e sviluppo e il monitoraggio successivo all'immissione sul mercato (art. 72) siano coerenti con quella documentazione.
Nessun ente esterno firma al posto tuo: per questo l'autorità di vigilanza guarderà proprio quel fascicolo.
Dichiarazione UE e marcatura CE
La dichiarazione di conformità UE (art. 47) va redatta per ogni sistema, in forma leggibile da una macchina, cartacea o firmata elettronicamente, con il contenuto dell'Allegato V. Firmandola, il fornitore si assume la responsabilità della conformità. Va tradotta in una lingua comprensibile alle autorità degli Stati in cui il sistema è distribuito, aggiornata se serve e conservata per dieci anni. Se il prodotto ricade anche in altre normative UE che richiedono una dichiarazione, se ne redige una sola.
La marcatura CE (art. 48) va apposta in modo visibile, leggibile e indelebile o, se non è possibile, sull'imballaggio o sulla documentazione. Per il software conta la marcatura CE digitale: è ammessa se è facilmente raggiungibile dall'interfaccia di accesso al sistema o tramite un codice leggibile da una macchina. Se è intervenuto un organismo notificato, accanto al marchio va il suo numero di identificazione.
Registrazione e vita dopo il marchio
Prima dell'immissione sul mercato, il fornitore registra sé stesso e il sistema nella banca dati UE (artt. 49 e 71). Fanno eccezione i sistemi di infrastruttura critica (Allegato III, punto 2), registrati a livello nazionale.
La marcatura non chiude il lavoro:
- Modifica sostanziale → nuova valutazione di conformità (art. 43(4)). Non lo sono gli apprendimenti continui predeterminati e descritti nella documentazione tecnica.
- Monitoraggio post-commercializzazione (art. 72) per tutta la vita del sistema, sulla base di un piano che fa parte della documentazione tecnica.
- Conservazione decennale (art. 18) di documentazione tecnica, documentazione del sistema qualità e dichiarazione UE.
Le violazioni degli obblighi del fornitore sono punibili fino a 15 milioni di euro o al 3% del fatturato mondiale annuo (art. 99(4)); per le PMI si applica l'importo più basso dei due.
Cosa cambia per PMI e small mid-cap
Il Digital Omnibus ha esteso alcune semplificazioni:
- il sistema di gestione della qualità semplificato dell'art. 63, prima riservato alle microimprese, è disponibile per le PMI;
- la documentazione tecnica semplificata vale per PMI e small mid-cap, e gli organismi notificati devono accettarla.
Semplificato non significa facoltativo: i requisiti degli artt. 8–15 restano identici. Sul fronte delle norme tecniche, la EN 18286 sul sistema qualità ai fini dell'AI Act è stata approvata da CEN-CENELEC a luglio 2026; la presunzione di conformità (art. 40) scatta solo quando il riferimento è pubblicato in Gazzetta ufficiale UE, quindi verificane lo stato prima di farci affidamento.
Checklist in sei passi
- Conferma la classificazione: il sistema rientra davvero nell'Allegato III, e in quale punto?
- Scegli la procedura: Allegato VI o, per la biometria, Allegato VII.
- Imposta il sistema qualità (art. 17), sfruttando la versione semplificata se sei una PMI.
- Costruisci il fascicolo tecnico (Allegato IV), incluso il piano di monitoraggio post-commercializzazione.
- Firma la dichiarazione UE, apponi la marcatura CE (digitale, per il software) e registra il sistema.
- Definisci in anticipo cosa sarà «modifica sostanziale» nel tuo ciclo di rilascio.
Da dove partire
La valutazione di conformità è un esame che fai a te stesso: ha valore solo se qualcuno lo ha messo alla prova prima dell'autorità. Un gap assessment indipendente confronta il tuo sistema e la tua documentazione con gli artt. 8–17 e con l'Allegato IV, e ti dice quanto manca alla marcatura CE — con il tempo che resta fino al 2 dicembre 2027.