Allegato VII

Conformità basata su una valutazione del sistema di gestione della qualità e su una valutazione della documentazione tecnica

Il testo corrisponde alla versione pubblicata in Gazzetta Ufficiale dell'Unione europea, il 12 luglio 2024.

Puoi scaricare il documento ufficiale dal portale di EUR-Lex: clicca qui. (PDF, ITA)

1. Introduzione
La conformità basata su una valutazione del sistema di gestione della qualità e su una valutazione della documentazione tecnica scaturisce dalla procedura di valutazione della conformità di cui ai punti da 2 a 5.

2. Aspetti generali
Il sistema di gestione della qualità approvato per la progettazione, lo sviluppo e la prova dei sistemi di IA a norma dell'articolo 17 deve essere esaminato conformemente al punto 3 e deve essere soggetto alla vigilanza di cui al punto 5. La documentazione tecnica del sistema di IA deve essere esaminata conformemente al punto 4.

3. Sistema di gestione della qualità

3.1. La domanda presentata dal fornitore deve comprendere:

a) il nome e l'indirizzo del fornitore e, nel caso in cui la domanda sia presentata da un rappresentante autorizzato, anche il nome e l'indirizzo di quest'ultimo;

b) l'elenco dei sistemi di IA cui si applica lo stesso sistema di gestione della qualità;

c) la documentazione tecnica di ciascuno dei sistemi di IA cui si applica lo stesso sistema di gestione della qualità;

d) la documentazione relativa al sistema di gestione della qualità che deve contemplare tutti gli aspetti elencati all'articolo 17;

e) una descrizione delle procedure vigenti per garantire che il sistema di gestione della qualità rimanga adeguato ed efficace;

f) una dichiarazione scritta attestante che la stessa domanda non è stata presentata a nessun altro organismo notificato.

3.2. Il sistema di gestione della qualità deve essere valutato dall'organismo notificato, che deve stabilire se soddisfa i requisiti di cui all'articolo 17.

La decisione deve essere notificata al fornitore o al suo rappresentante autorizzato.

Tale notifica deve indicare le conclusioni della valutazione del sistema di gestione della qualità e la decisione di valutazione motivata.

3.3. Il sistema di gestione della qualità approvato deve continuare a essere attuato e mantenuto dal fornitore in modo da rimanere adeguato ed efficiente.

3.4. Il fornitore deve portare all'attenzione dell'organismo notificato qualsiasi modifica prevista del sistema di gestione della qualità approvato o dell'elenco dei sistemi di IA cui si applica tale sistema. :Le modifiche proposte devono essere esaminate dall'organismo notificato, che deve decidere se il sistema di gestione della qualità modificato continua a soddisfare i requisiti di cui al punto 3.2 o se è necessaria una nuova valutazione.

L'organismo notificato deve notificare al fornitore la propria decisione.

Tale notifica deve indicare le conclusioni dell'esame e la decisione di valutazione motivata.

4. Controllo della documentazione tecnica.

4.1. Oltre alla domanda di cui al punto 3, il fornitore deve presentare una domanda a un organismo notificato di propria scelta per la valutazione della documentazione tecnica relativa al sistema di IA che il fornitore intende immettere sul mercato o mettere in servizio e cui si applica il sistema di gestione della qualità di cui al punto 3.

4.2. La domanda deve comprendere:

a) il nome e l'indirizzo del fornitore;

b) una dichiarazione scritta attestante che la stessa domanda non è stata presentata a nessun altro organismo notificato;

c) la documentazione tecnica di cui all'allegato IV.

4.3. La documentazione tecnica deve essere esaminata dall'organismo notificato.

Se del caso e nei limiti di quanto necessario per lo svolgimento dei suoi compiti, all'organismo notificato deve essere concesso pieno accesso ai set di dati di addestramento, convalida e prova utilizzati, anche, ove opportuno e fatte salve le garanzie di sicurezza, attraverso API o altri mezzi e strumenti tecnici pertinenti che consentano l'accesso remoto.

4.4. Nell'esaminare la documentazione tecnica, l'organismo notificato può chiedere al fornitore di presentare elementi probatori supplementari o di eseguire ulteriori prove per consentire una corretta valutazione della conformità del sistema di IA ai requisiti di cui al capo III, sezione 2.

Qualora non sia soddisfatto delle prove effettuate dal fornitore, l'organismo notificato stesso deve effettuare prove adeguate, a seconda dei casi.

4.5. Ove necessario per valutare la conformità del sistema di IA ad alto rischio ai requisiti di cui al capo III, sezione 2, dopo che tutti gli altri mezzi ragionevoli per verificare la conformità sono stati esauriti e si sono rivelati insufficienti, e su richiesta motivata, anche all'organismo notificato deve essere concesso l'accesso ai modelli di addestramento e addestrati del sistema di IA, compresi i relativi parametri.

Tale accesso è soggetto al vigente diritto dell'Unione in materia di protezione della proprietà intellettuale e dei segreti commerciali.

4.6. La decisione dell'organismo notificato deve essere notificata al fornitore o al suo rappresentante autorizzato. Tale notifica deve indicare le conclusioni della valutazione della documentazione tecnica e la decisione di valutazione motivata.

Se il sistema di IA è conforme ai requisiti di cui al capo III, sezione 2, l'organismo notificato deve rilasciare un certificato di valutazione della documentazione tecnica dell'Unione. Tale certificato deve indicare il nome e l'indirizzo del fornitore, le conclusioni dell'esame, le eventuali condizioni di validità e i dati necessari per identificare il sistema di IA.

Il certificato e i suoi allegati devono contenere tutte le informazioni pertinenti per consentire la valutazione della conformità del sistema di IA e il controllo del sistema di IA durante l'uso, ove applicabile.

Se il sistema di IA non è conforme ai requisiti di cui al capo III, sezione 2, l'organismo notificato deve rifiutare il rilascio di un certificato di valutazione della documentazione tecnica dell'Unione e deve informare in merito il richiedente, motivando dettagliatamente il suo rifiuto.

Se il sistema di IA non soddisfa il requisito relativo ai dati utilizzati per l'addestramento, sarà necessario addestrare nuovamente il sistema di IA prima di presentare domanda per una nuova valutazione della conformità. In tal caso, la decisione di valutazione motivata dell'organismo notificato che rifiuta il rilascio del certificato di valutazione della documentazione tecnica dell'Unione contiene considerazioni specifiche sui dati di qualità utilizzati per addestrare il sistema di IA, in particolare sui motivi della non conformità.

4.7. Qualsiasi modifica del sistema di IA che potrebbe incidere sulla conformità ai requisiti o sulla finalità prevista dello stesso deve essere valutata dall'organismo notificato che ha rilasciato il certificato di valutazione della documentazione tecnica dell'Unione. Il fornitore deve informare tale organismo notificato quando intende introdurre una delle modifiche di cui sopra o quando viene altrimenti a conoscenza del verificarsi di tali modifiche. Le modifiche previste devono essere valutate dall'organismo notificato, che deve decidere se esse rendono necessaria una nuova valutazione della conformità a norma dell'articolo 43, paragrafo 4, o se possono essere gestite tramite un supplemento del certificato di valutazione della documentazione tecnica dell'Unione. In quest'ultimo caso, l'organismo notificato deve valutare le modifiche, notificare al fornitore la propria decisione e, in caso di approvazione delle modifiche, rilasciare a quest'ultimo un supplemento del certificato di valutazione della documentazione tecnica dell'Unione.

5. Vigilanza del sistema di gestione della qualità approvato.

5.1. La finalità della vigilanza a cura dell'organismo notificato di cui al punto 3 è garantire che il fornitore sia conforme ai termini e alle condizioni del sistema di gestione della qualità approvato.

5.2. Ai fini della valutazione, il fornitore deve consentire all'organismo notificato di accedere ai locali in cui hanno luogo la progettazione, lo sviluppo e le prove dei sistemi di IA. Il fornitore deve inoltre condividere con l'organismo notificato tutte le informazioni necessarie.

5.3. L'organismo notificato deve eseguire audit periodici per assicurarsi che il fornitore mantenga e applichi il sistema di gestione della qualità e deve trasmettere al fornitore una relazione di audit. Nel contesto di tali audit, l'organismo notificato può effettuare prove supplementari dei sistemi di IA per i quali è stato rilasciato un certificato di valutazione della documentazione tecnica dell'Unione.