Tracker norme JTC 21: deliverable CEN-CENELEC per l'AI Act

Che cos'è il CEN-CENELEC JTC 21¶

Il comitato tecnico congiunto 21 «Intelligenza artificiale» del CEN-CENELEC (CEN/CLC/JTC 21) è stato istituito il 1° giugno 2021 da CEN e CENELEC, sulla scorta della road map sull'IA del Focus Group CEN-CENELEC. La segreteria è affidata a DS (Danish Standards / Dansk Standard) e riunisce oltre 300 esperti provenienti da 20 Paesi europei. L'identità e la composizione del comitato sono documentate sul sito del JTC 21 e tramite CEN-CENELEC.

Il JTC 21 elabora le norme europee e armonizzate che stanno alla base del regime di conformità dell'AI Act dell'UE. Una volta che una norma è finalizzata e il suo riferimento è pubblicato nella Gazzetta ufficiale, la conformità ad essa comporta una presunzione legale di conformità ai corrispondenti requisiti dell'AI Act: è il meccanismo previsto dall'articolo 40.

Il comitato è organizzato in cinque gruppi di lavoro. L'elenco dei progetti segue la pagina dei gruppi di lavoro del JTC 21:

• WG1: Strategic Advisory Group (SAG): coordinamento del programma e indirizzo strategico
• WG2: Aspetti operativi: gestione dei rischi (prEN 18228), gestione della qualità (EN 18286) e valutazione della conformità (prEN 18285)
• WG3: Aspetti ingegneristici: gestione del bias (prEN 18283), qualità e governance dei set di dati (prEN 18284), oltre ad accuratezza della visione artificiale (prEN 18281), elaborazione del linguaggio naturale (prEN ISO/IEC 23282) e logging (prEN ISO/IEC 24970)
• WG4: Aspetti fondamentali e sociali: il quadro per l'affidabilità dell'IA in cinque parti: logging (prEN 18229-1), trasparenza (prEN 18229-2), sorveglianza umana (prEN 18229-3), accuratezza (prEN 18229-4) e robustezza (prEN 18229-5)
• WG5: Cibersicurezza per i sistemi di IA: specifiche di cibersicurezza per i sistemi di IA (prEN 18282)

La richiesta di normazione: M/593 e l'emendamento M/613¶

Il programma di lavoro dell'AI Act è definito da una formale richiesta di normazione della Commissione europea. La richiesta originaria è la M/593, adottata con la decisione di esecuzione della Commissione C(2023)3215 il 22 maggio 2023. La M/593 ha chiesto a CEN e CENELEC di elaborare le norme armonizzate a sostegno dell'AI Act, con un termine di consegna originario fissato al 30 aprile 2025. Il JTC 21 non ha rispettato tale termine.

La M/613 è l'emendamento 1 a tale richiesta, adottato con la decisione di esecuzione della Commissione C(2025)3871 il 23 giugno 2025. La C(2025)3871 ha abrogato e sostituito la C(2023)3215 originaria, mantenendo invariati ambito e deliverable entro un calendario prorogato; la richiesta così modificata scade il 28 febbraio 2027, con relazioni sullo stato di avanzamento da presentare ogni tre mesi. La scheda CEN-CENELEC della EN 18286:2026 indica la M/613 come mandato.

La pagina della Commissione sulla normazione per l'AI Act articola la richiesta intorno a dieci aree: gestione dei rischi, governance e qualità dei set di dati, conservazione delle registrazioni, trasparenza, sorveglianza umana, accuratezza, robustezza, cibersicurezza, gestione della qualità e valutazione della conformità. Ciascun deliverable del programma di lavoro corrisponde a una o più di queste aree.

Nell'ottobre 2025 CEN e CENELEC hanno adottato un pacchetto eccezionale di misure affinché i deliverable prioritari siano resi disponibili al più tardi entro il quarto trimestre del 2026. L'avviso di accelerazione del CEN-CENELEC individua due meccanismi. Dopo un esito positivo dell'inchiesta pubblica, un progetto può essere pubblicato senza un voto formale separato. Un piccolo gruppo di redazione composto da esperti già attivi è stato incaricato di finalizzare i progetti più in ritardo. Al 15 ottobre 2026 la EN 18286 è l'unico deliverable prioritario pubblicato. Un progetto che non supera l'inchiesta passa per la risoluzione dei commenti e poi per un voto formale: è il percorso su cui si trovano la prEN 18228, la prEN 18229-1 e la prEN 18282, con quattro mesi e mezzo rimasti prima della scadenza della richiesta.

Stato di ciascun deliverable al 15 ottobre 2026¶

Ogni riga indica la fase, la fonte di quella fase e la modifica rispetto al controllo del 29 giugno 2026. Il programma di lavoro CEN-CENELEC è la fonte primaria per le denominazioni delle fasi. Il CEN-CENELEC non pubblica i risultati dei voti di inchiesta sulle sue pagine pubbliche, quindi gli esiti delle inchieste estive provengono da AI Standardisation Watch, una newsletter che si basa sulle comunicazioni del JTC 21: considerate tali righe come notizie riportate finché il programma di lavoro non le recepisce.

Tappe di pubblicazione: europea, nazionale e Gazzetta ufficiale¶

Per ogni norma contano tre eventi distinti. La pubblicazione europea è la data in cui il CEN-CENELEC rende disponibile il testo definitivo (DAV). La pubblicazione nazionale è la data in cui un ente di normazione nazionale emette la propria versione, come la BS EN o la UNI EN. La citazione nella Gazzetta ufficiale è la decisione della Commissione che pubblica il riferimento, e solo questo passaggio fa scattare la presunzione dell'articolo 40. Avvengono in date diverse, per cui il tracker le tiene in colonne separate.

Come leggere una fase¶

I progetti CEN-CENELEC avanzano lungo una scala di fasi numerate. Più alta è la fase, più il testo è vicino alla pubblicazione. I comitati nazionali di riferimento (mirror committee) influenzano i progetti in ogni momento e il dibattito al loro interno può essere sostanziale, come mostra il dibattito francese sulla prEN 18286.

Mappa articolo-deliverable¶

Ricondurre i deliverable al regolamento mostra quale requisito dell'AI Act sostiene ciascuna norma. È il modo più rapido per trovare la norma collegata a un obbligo che già dovete rispettare.

Come il JTC 21 utilizza le norme ISO/IEC¶

La normazione europea si basa di preferenza sulle norme internazionali ISO/IEC esistenti, quando sono adatte all'obiettivo regolamentare. Il JTC 21 utilizza il lavoro fondamentale ISO/IEC come input per l'intera famiglia prEN. La Commissione spiega questa logica nelle sue FAQ sulla normazione.

Quando un quadro internazionale non è allineato a un requisito dell'AI Act, il JTC 21 redige una norma europea specifica. Il caso più evidente è la gestione della qualità. La Commissione ha rilevato che obiettivi e definizioni della ISO/IEC 42001:2023 non sono allineati al sistema di gestione della qualità richiesto dall'AI Act, per cui la EN 18286 è stata sviluppata come norma europea dedicata. Per un confronto più approfondito, si veda EN 18286 vs ISO 9001 e ISO 42001.

Un'adozione EN ISO/IEC conferisce oggi la presunzione dell'articolo 40?

Non ancora. Il JTC 21 può adottare alcune norme internazionali come testi EN ISO/IEC, e chi gestisce già un sistema di gestione ISO/IEC 42001 dispone di una struttura riutilizzabile. Al 15 ottobre 2026 l'unico riferimento citato ai sensi dell'AI Act è la EN 18286:2026. Uno strato di dichiarazione di applicabilità può essere costruito con lo strumento SoA ISO 42001.

Articolo 40: dal progetto alla presunzione di conformità¶

L'articolo 40 dell'AI Act dell'UE è il risultato giuridico del programma di normazione. Un sistema di IA ad alto rischio conforme a norme armonizzate i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell'Unione europea si presume conforme ai requisiti coperti da tali norme. L'articolo 40, paragrafo 1, indica i requisiti del capo III, sezione 2 (articoli da 8 a 15) e, per i modelli di IA per finalità generali, gli obblighi del capo V. La scheda dell'AI Act Service Desk sull'articolo 40 riporta il testo consolidato.

L'articolo 17 si trova nel capo III, sezione 3. Il regolamento (UE) 2026/1744 ha aggiunto all'articolo 40, paragrafo 2, un testo che richiama i requisiti delle sezioni 2 e 3, e il CEN-CENELEC descrive la citazione della EN 18286 come fonte di presunzione di conformità alle corrispondenti disposizioni dell'AI Act. Confermate con un consulente la portata esatta di tale presunzione per il vostro QMS. La mappatura dell'articolo 17 entra nel dettaglio.

Per tutte le altre righe della tabella di stato la posizione è invariata da giugno: un progetto (prEN o bozza di lavoro) non conferisce alcuna presunzione. Allinearsi a un progetto crea preparazione ed evidenze di audit.

Come usare oggi questo tracker¶

Il regolamento (UE) 2026/1744, il Digital Omnibus sull'IA, è stato pubblicato nella Gazzetta ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026. Ai sensi dell'articolo 113 modificato, il capo III si applica dal 2 dicembre 2027 ai sistemi ad alto rischio di cui all'articolo 6, paragrafo 2, e all'allegato III, e dal 2 agosto 2028 ai prodotti di cui all'articolo 6, paragrafo 1, e all'allegato I. Costruite i controlli previsti dalla legge su questa base e recepite le norme armonizzate man mano che vengono citate.

• Per l'articolo 17, lavorate ora sulla EN 18286:2026. È citata, e la versione nazionale è disponibile o lo sarà entro il 31 gennaio 2027.
• Mantenete una mappa delle differenze rispetto alle norme: confrontate ogni prEN con i vostri controlli esistenti per adottare rapidamente il testo armonizzato quando viene citato.
• Costruite i controlli per gli articoli da 9 a 15 sul testo di legge con evidenze verificabili, usando la guida ai requisiti dell'AI Act e la guida alla classificazione ad alto rischio per definire correttamente il perimetro.
• Seguite la prEN 18228 (gestione dei rischi) fino al voto formale dopo la risoluzione dei commenti di novembre, e l'esito dell'inchiesta sulla prEN 18229-3. Sono le prossime candidate alla citazione.
• Non aspettate la prEN 18229-1 per sistemare i campi dei vostri log. Le registrazioni sigillate oggi non possono acquisire un campo in seguito: quando a settembre 2026 abbiamo ripercorso il nostro percorso delle evidenze, alcune ricevute di decisione non riportavano l'identità dell'agente che aveva agito, e abbiamo modificato il percorso perché ogni ricevuta di policy gate la riporti.
• Trattate il vostro inventario delle norme come un artefatto controllato, con un titolare nominato e una cadenza di revisione, accanto alla vostra libreria di controlli sulla pagina delle norme.

Registro delle modifiche¶

Ogni controllo registra che cosa è cambiato, con le date riportate dalla fonte.

• 15 ottobre 2026. EN 18286:2026 pubblicata (DAV 22 luglio 2026) e citata nella Gazzetta ufficiale il 14 ottobre 2026 dalla decisione di esecuzione (UE) 2026/2274. prEN 18228 passata in approvazione dopo un'inchiesta riportata come negativa. prEN 18229-1 e prEN 18282 riportate come negative all'inchiesta. prEN 18229-3 aperta all'inchiesta, con chiusura il 22 ottobre 2026. prEN 18229-2, prEN 18283, prEN 18284 e prEN 18285 passate alla revisione della Commissione. Titoli delle parti della prEN 18229 corretti secondo la numerazione del JTC 21. Date dell'Omnibus aggiornate al regolamento (UE) 2026/1744 pubblicato.
• 29 giugno 2026. Prima fotografia. EN 18286 in approvazione (voto formale); prEN 18228, prEN 18229-1 e prEN 18282 in inchiesta; gli altri progetti in stesura; nessuna citazione nella Gazzetta ufficiale.