Deployer o fornitore AI Act: che ruolo ha la tua azienda?

Chi è il «Deployer» e chi è il «Fornitore»

Uno dei primi interrogativi che qualsiasi titolare d'azienda o consulente legale si trova ad affrontare con l'entrata in vigore del Regolamento (UE) 2024/1689 (AI Act) riguarda la precisa qualifica soggettiva dell'organizzazione.

L'articolo 3 del Regolamento definisce chiaramente le figure:

• Fornitore (Provider - Art. 3, punto 3): la persona fisica o giuridica, l'autorità pubblica o l'organismo che sviluppa un sistema di IA o un modello di IA per finalità generali, oppure che fa sviluppare tale sistema e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio commerciale.
• Deployer (Utilizzatore professionale - Art. 3, punto 4): la persona fisica o giuridica, l'autorità pubblica o l'ente che utilizza un sistema di IA sotto la propria autorità nell'ambito di un'attività professionale. È esclusa soltanto la persona fisica che ne fa un uso puramente personale e non professionale.

La quasi totalità delle PMI italiane appartiene alla categoria dei deployer: utilizzano applicativi SaaS, assistenti di scrittura, software di traduzione, sistemi contabili o gestionali che integrano moduli di intelligenza artificiale forniti da terzi (Microsoft, OpenAI, Google, software house verticali).

Il pericolo nascosto: la riqualificazione automatica (Art. 25 AI Act)

L'articolo 25 dell'AI Act introduce un meccanismo di fondamentale importanza che le imprese devono conoscere per evitare gravissime sanzioni e adempimenti sproporzionati: la riqualificazione del deployer in fornitore.

Un'azienda che utilizza un sistema di terzi viene considerata a tutti gli effetti fornitore (subendone tutti gli oneri tecnici e certificativi) se:

1. Appone il proprio nome o marchio commerciale a un sistema di IA ad alto rischio già immesso sul mercato;
2. Apporta una modifica sostanziale a un sistema di IA ad alto rischio esistente, tale per cui esso rimanga ad alto rischio;
3. Modifica la destinazione d'uso di un sistema di IA (anche non ad alto rischio) in modo tale che il sistema risultante rientri nell'ambito dell'alto rischio (ad esempio adattando un chatbot generico per effettuare lo screening di candidati all'assunzione).

Quali sono gli obblighi effettivi per un Deployer?

Essere deployer non significa essere privi di obblighi, ma gli adempimenti sono differenziati e calibrati sul rischio:

• Alfabetizzazione in materia di IA (Art. 4): formare il personale e chi opera per proprio conto sui principi, i limiti e i rischi degli strumenti adottati.
• Trasparenza (Art. 50): informare tempestivamente le persone fisiche quando interagiscono con un sistema di intelligenza artificiale (ad esempio un assistente virtuale o chatbot sul sito aziendale).
• Valutazione dei rischi e sicurezza (Art. 42 D.Lgs. 179/2026): aggiornare il Documento di Valutazione dei Rischi (DVR) in relazione all'ergonomia cognitiva e allo stress correlato all'uso di strumenti automatizzati.
• Tutela dei dati e segreti: garantire che i dipendenti non inseriscano dati personali o segreti industriali nei prompt di sistemi cloud aperti.

Conclusioni e raccomandazioni pratiche

Se la tua azienda non commercializza software di intelligenza artificiale con il proprio brand, operi come deployer. Per metterti immediatamente in regola:

1. Istituisci un registro interno degli strumenti AI;
2. Approva un regolamento interno che vieti il caricamento di dati riservati;
3. Avvia il percorso di formazione obbligatoria per il personale ai sensi dell'Art. 4.