Il Capo VII del Regolamento (UE) 2024/1689 (articoli 64-70) definisce l’architettura istituzionale che deve far funzionare l’AI Act. Non è una questione tecnica: dietro ai tetti sanzionatori dell’articolo 99 e ai requisiti della Sezione 2 del Capo III ci sono autorità reali che vigilano, classificano, sanzionano e cooperano. Il Capo VII definisce chi sono, come si coordinano e con quali compiti.
Articolo 64 — L’ufficio per l’IA
L’articolo 64, nella sua brevità, affida il ruolo di cabina di regia alla Commissione europea: «La Commissione sviluppa le competenze e le capacità dell’Unione nel settore dell’IA attraverso l’ufficio per l’IA». L’ufficio per l’IA — AI Office nella dicitura inglese — è istituito all’interno della Commissione ed è il centro operativo del Regolamento: ha competenze dirette sui modelli di IA per finalità generali, gestisce la banca dati UE dei sistemi ad alto rischio, coordina la cooperazione con le autorità nazionali, supporta la preparazione dei codici di buone pratiche.
Il paragrafo 2 impone agli Stati membri di agevolare i compiti affidati all’ufficio. È una clausola di leale cooperazione che si traduce, in pratica, nello scambio di informazioni e nella risposta alle richieste dell’ufficio nei casi in cui abbia competenze sovrapposte o parallele rispetto alle autorità nazionali.
Articolo 65 — Il Consiglio per l’IA
L’articolo 65 istituisce il Consiglio per l’IA europeo per l’intelligenza artificiale (nel testo: «consiglio per l’IA»). È composto da «un rappresentante per Stato membro». Il Garante europeo della protezione dei dati partecipa come osservatore; l’ufficio per l’IA partecipa senza diritto di voto. Altre autorità, organismi o esperti nazionali e dell’Unione possono essere invitati caso per caso.
I rappresentanti sono designati dagli Stati membri per un mandato di tre anni, rinnovabile una volta. Il paragrafo 4 li qualifica ulteriormente: devono avere «competenze e poteri pertinenti» nel proprio Stato per contribuire attivamente, essere designati come «punto di contatto unico» nei confronti del Consiglio e avere il potere di «agevolare la coerenza e il coordinamento tra le autorità nazionali competenti» all’interno del proprio Paese. Non è un dettaglio: il rappresentante italiano nel Consiglio dovrà essere in grado di fare sintesi tra tutte le amministrazioni nazionali che toccheranno l’AI Act.
Il Consiglio istituisce due sottogruppi permanenti: uno per la vigilanza del mercato e uno per gli organismi notificati (paragrafo 6). Il sottogruppo di vigilanza del mercato funge da piattaforma di cooperazione tra autorità nazionali, analoga al ruolo che altri gruppi di cooperazione svolgono in altri Regolamenti armonizzati.
Articolo 66 — Compiti del Consiglio per l’IA
L’articolo 66 stabilisce che il Consiglio «fornisce consulenza e assistenza alla Commissione e agli Stati membri al fine di agevolare l’applicazione coerente ed efficace del presente regolamento». L’elenco dei compiti è articolato: coordinamento tra autorità nazionali, raccolta e condivisione di buone pratiche tecniche e normative, consulenza sull’attuazione (in particolare per le norme sui modelli GPAI), armonizzazione delle pratiche amministrative (comprese le deroghe alle procedure di valutazione della conformità dell’articolo 46, gli spazi di sperimentazione normativa degli articoli 57, 59 e 60), raccomandazioni e pareri scritti su questioni come i codici di condotta, la revisione del Regolamento (articolo 112), le specifiche tecniche relative ai requisiti della Sezione 2 del Capo III, le norme armonizzate (articoli 40 e 41), le tendenze di mercato, la possibile modifica dell’Allegato III conformemente all’articolo 7 e la possibile revisione dell’articolo 5.
È un mandato ampio che va dal piano tecnico a quello squisitamente politico — i pareri sulla revisione dei divieti dell’articolo 5 toccano il nucleo più delicato del Regolamento.
Articolo 67 — Il forum consultivo
L’articolo 67 istituisce un forum consultivo per fornire competenze tecniche e consulenza al Consiglio per l’IA e alla Commissione. La composizione è pensata per garantire una rappresentanza equilibrata degli stakeholder: industria, start-up, PMI, società civile, mondo accademico. È lo spazio in cui le osservazioni dei portatori di interesse possono entrare nel processo decisionale sull’attuazione del Regolamento senza passare dai canali intergovernativi del Consiglio.
Articolo 68 — Il gruppo di esperti scientifici indipendenti
L’articolo 68 istituisce il gruppo di esperti scientifici indipendenti, che la Commissione adotta con atto di esecuzione. Gli esperti sono selezionati dalla Commissione sulla base di competenze scientifiche o tecniche aggiornate e devono soddisfare tre condizioni cumulative: possesso di particolari conoscenze nel settore dell’IA; indipendenza da qualsiasi fornitore di sistemi di IA o di modelli di IA per finalità generali; capacità di svolgere attività in modo diligente, accurato e obiettivo.
Il compito del gruppo è sostenere l’ufficio per l’IA, in particolare per quanto riguarda i modelli GPAI. L’articolo 68 paragrafo 3 elenca i compiti specifici: segnalare all’ufficio per l’IA i possibili rischi sistemici a livello UE dei modelli GPAI (in coordinamento con l’articolo 90), contribuire allo sviluppo di strumenti e metodologie per valutare le capacità dei modelli, fornire consulenza sulla classificazione dei modelli GPAI con rischio sistemico, sostenere le autorità di vigilanza del mercato.
È il meccanismo attraverso cui il Regolamento tiene aperto un canale scientifico di controllo esterno sui modelli di frontiera — una scelta non scontata, visto quanto è concentrato il know-how tecnico sui foundation model nelle stesse aziende che li sviluppano.
Articolo 69 — L’accesso degli Stati al gruppo di esperti
L’articolo 69 consente agli Stati membri di avvalersi del gruppo di esperti scientifici per sostenere le loro attività di attuazione del Regolamento. È una clausola che evita che il gruppo di esperti diventi una risorsa esclusiva dell’ufficio per l’IA: uno Stato membro che deve classificare un sistema complesso o valutare un rischio può chiedere assistenza direttamente. Il Regolamento prevede però un contributo finanziario da parte degli Stati che usufruiscono del servizio, secondo modalità definite dalla Commissione.
Articolo 70 — Le autorità nazionali competenti
L’articolo 70 è quello che tocca più da vicino l’ordinamento italiano. Il paragrafo 1 obbliga ciascuno Stato membro a istituire o designare come autorità nazionali competenti «almeno un’autorità di notifica e almeno un’autorità di vigilanza del mercato». Sono due funzioni distinte, che possono essere affidate a soggetti diversi oppure concentrate in uno stesso soggetto, a seconda delle esigenze organizzative dello Stato membro.
Il paragrafo 2 fissa la scadenza operativa: «Gli Stati membri mettono a disposizione del pubblico le informazioni sulle modalità con cui le autorità competenti e i punti di contatto unici possono essere contattati, tramite mezzi di comunicazione elettronica, entro il 2 agosto 2025». Gli Stati membri designano anche un’autorità di vigilanza del mercato come punto di contatto unico per l’AI Act. La Commissione elabora un elenco pubblico dei punti di contatto unici degli Stati membri.
Il paragrafo 3 entra nel merito sostanziale delle risorse: «Gli Stati membri garantiscono che le loro autorità nazionali competenti dispongano di risorse tecniche, finanziarie e umane adeguate, nonché delle infrastrutture necessarie». Il personale deve avere «una comprensione approfondita delle tecnologie, dei dati e del calcolo dei dati di IA, della protezione dei dati personali, della cibersicurezza, dei diritti fondamentali, dei rischi per la salute e la sicurezza e una conoscenza delle norme e dei requisiti giuridici esistenti». Gli Stati membri valutano e, se necessario, aggiornano annualmente i requisiti in termini di competenze e risorse.
Il paragrafo 4 è breve ma sostanziale: «Le autorità nazionali competenti adottano misure adeguate per garantire un livello adeguato di cibersicurezza». È un obbligo autonomo rivolto alle stesse autorità di vigilanza: non basta vigilare sui sistemi altrui, occorre difendere sé stessi.
Il paragrafo 6 impone agli Stati membri di riferire alla Commissione entro il 2 agosto 2025 — e poi ogni due anni — sullo stato delle risorse finanziarie e umane delle autorità nazionali, con una valutazione della loro adeguatezza. La Commissione trasmette le informazioni al Consiglio per l’IA «affinché le discuta e formuli eventuali raccomandazioni». Il reporting biennale è il meccanismo che evita che le autorità nazionali restino disegnate sulla carta senza risorse adeguate.
Il paragrafo 8 riconosce alle autorità nazionali la possibilità di fornire orientamenti e consulenza sull’attuazione del Regolamento «in particolare alle PMI, comprese le start-up». È un ruolo di facilitazione pensato per evitare che le piccole imprese si trovino di fronte a un impianto normativo complesso senza strumenti interpretativi.
Il paragrafo 9, infine, ribadisce che «Qualora le istituzioni, gli organi e gli organismi dell’Unione rientrino nell’ambito di applicazione del presente regolamento, il Garante europeo della protezione dei dati agisce in qualità di autorità competente per la loro vigilanza». È lo stesso meccanismo che collega l’EDPS al regime sanzionatorio speciale dell’articolo 100.
Il punto di contatto unico italiano
Sulla designazione nazionale italiana l’articolo 70 impone una scadenza — 2 agosto 2025 — già trascorsa. La concreta individuazione del soggetto o dei soggetti competenti a fungere da autorità di notifica, da autorità di vigilanza del mercato e da punto di contatto unico è rimessa al diritto nazionale italiano, attraverso la legge di attuazione o un decreto ad hoc. Una volta formalizzata, la designazione figurerà nell’elenco pubblico tenuto dalla Commissione ai sensi del paragrafo 2 dell’articolo 70.
Per le organizzazioni che dovranno confrontarsi con l’AI Act a partire dal 2 agosto 2026 è importante sapere che la catena di responsabilità non si ferma all’Europa: il soggetto con cui un fornitore o un deployer dialoga quotidianamente sarà l’autorità nazionale designata, e sarà quella a irrogare le sanzioni dell’articolo 99, a ricevere le notifiche di incidente grave dell’articolo 26 paragrafo 5 e dell’articolo 73, a istruire i procedimenti di vigilanza. L’ufficio per l’IA di Bruxelles interviene direttamente solo in alcuni ambiti — in particolare sui modelli GPAI — mentre la maggior parte degli adempimenti operativi passa dalle autorità nazionali.
Fonte
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale, pubblicato nella Gazzetta Ufficiale dell’Unione Europea, Serie L, del 12 luglio 2024. Articoli 64, 65, 66, 67, 68, 69 e 70 (Capo VII). Testo ufficiale disponibile su EUR-Lex: eur-lex.europa.eu/eli/reg/2024/1689/oj.