Chi sei rispetto all'AI Act: provider, deployer, importer, distributor

Gli obblighi dell'AI Act non sono uguali per tutti: dipendono dal ruolo che la tua azienda svolge nella catena del valore. Capire qual è il tuo ruolo è il primo passo.

Quattro ruoli, quattro pacchetti di obblighi

Una delle scelte più importanti dell'AI Act è quella di articolare gli obblighi a seconda del ruolo che ogni soggetto ricopre nella vita di un sistema di intelligenza artificiale. L'articolo 3 del Regolamento (UE) 2024/1689 definisce quattro figure principali: il fornitore (provider), l'utilizzatore professionale (deployer, talvolta tradotto in italiano come utente o operatore), l'importatore (importer) e il distributore (distributor). A queste si aggiungono figure minori come il rappresentante autorizzato e il fabbricante di prodotti.

La differenza tra questi ruoli non è formale: comporta pacchetti di obblighi profondamente diversi. Un fornitore di un sistema ad alto rischio deve costruire la documentazione tecnica, certificare la conformità, garantire la sorveglianza post-immissione sul mercato. Un utilizzatore dello stesso sistema deve invece informare i lavoratori, usarlo secondo le istruzioni del fornitore, garantire la supervisione umana, segnalare gli incidenti. Sono mondi diversi, anche se talvolta sono entrambi presenti nella stessa azienda.

Il fornitore (provider)

Il fornitore è chi sviluppa un sistema di IA, oppure chi lo fa sviluppare per immetterlo sul mercato o metterlo in servizio sotto il proprio nome o marchio. La definizione è ampia: include sia chi scrive personalmente il codice, sia chi affida lo sviluppo a un'altra azienda ma poi vende o usa il sistema con il proprio nome. Anche un'azienda che acquista un sistema da terzi, lo modifica in modo sostanziale e lo rimette sul mercato, può essere considerata un nuovo fornitore. Lo stesso vale per chi prende un modello GPAI di terzi e ci costruisce sopra un sistema di IA, lo etichetta col proprio brand e lo offre ai clienti.

Gli obblighi del fornitore sono i più pesanti, soprattutto per i sistemi ad alto rischio. Comprendono la progettazione secondo il principio della conformity by design, la costruzione di un sistema di gestione del rischio (art. 9), la governance dei dati di addestramento (art. 10), la documentazione tecnica (art. 11), la registrazione automatica degli eventi (art. 12), la trasparenza verso gli utilizzatori (art. 13), la supervisione umana (art. 14), l'accuratezza e cybersicurezza (art. 15), il sistema di gestione qualità (art. 17), la conservazione della documentazione, la marcatura CE, la dichiarazione di conformità, la registrazione del sistema nella banca dati europea, la sorveglianza post-immissione.

L'utilizzatore (deployer)

Il deployer è chi utilizza un sistema di IA sotto la propria autorità, nel contesto di un'attività professionale. Non è il consumatore finale (l'utilizzo personale è escluso): è l'azienda, l'ente pubblico, il professionista che integra il sistema nei propri processi. Per la maggior parte delle imprese italiane il ruolo più comune è proprio quello di deployer: chi compra un software di selezione del personale è deployer di quel sistema, anche se non l'ha sviluppato; chi installa un chatbot sul proprio sito è deployer del chatbot.

Gli obblighi del deployer sono meno pesanti di quelli del fornitore, ma comunque significativi. L'articolo 26 dell'AI Act, in particolare, impone al deployer di un sistema ad alto rischio di: usare il sistema secondo le istruzioni del fornitore, garantire un livello adeguato di alfabetizzazione del personale che lo utilizza, assicurare la supervisione umana effettiva, monitorare il funzionamento, conservare i log per almeno sei mesi, informare i lavoratori e i loro rappresentanti prima della messa in uso, condurre — nei casi previsti — la Valutazione d'Impatto sui Diritti Fondamentali (FRIA, art. 27), cooperare con le autorità di vigilanza, segnalare gli incidenti gravi.

Da segnalare in modo particolare l'obbligo di informazione ai lavoratori, che si combina con il Decreto Trasparenza italiano (D.Lgs. 152/1997, modificato dal D.Lgs. 104/2022 e dall'art. 26 del D.L. 48/2023 conv. L. 85/2023) e con lo Statuto dei Lavoratori (L. 300/1970). L'art. 1-bis del D.Lgs. 152/1997, come novellato, impone al datore di lavoro di informare il lavoratore dell'utilizzo di sistemi decisionali o di monitoraggio integralmente automatizzati deputati a fornire indicazioni rilevanti per la gestione del rapporto di lavoro. Quando un sistema di IA è usato per gestire il personale, gli obblighi informativi sono particolarmente articolati e devono essere coordinati con la disciplina del lavoro.

L'importatore (importer)

L'importatore è la persona fisica o giuridica stabilita nell'Unione Europea che immette sul mercato dell'Unione un sistema di IA recante il nome o il marchio di una persona stabilita in un Paese terzo. È, sostanzialmente, chi importa nell'UE sistemi sviluppati altrove. Gli obblighi dell'importatore sono di verifica: deve assicurarsi che il fornitore extra-UE abbia effettuato la valutazione di conformità, abbia redatto la documentazione tecnica, abbia apposto la marcatura CE quando richiesta, abbia nominato un rappresentante autorizzato nell'UE. L'importatore deve poi conservare la documentazione e collaborare con le autorità di vigilanza.

Il distributore (distributor)

Il distributore è chi, lungo la catena di fornitura, mette a disposizione sul mercato un sistema di IA senza esserne fornitore o importatore. È il rivenditore, il system integrator che rivende soluzioni di terzi, il VAR (Value Added Reseller). Gli obblighi del distributore sono i più leggeri tra le quattro figure: deve verificare che il sistema abbia la marcatura CE, sia accompagnato dalla documentazione richiesta, sia stato sottoposto alle procedure di conformità. Se il distributore modifica sostanzialmente il sistema o lo immette sul mercato con il proprio nome, però, diventa fornitore a tutti gli effetti.

Un caso frequente: deployer che diventa provider

Una delle confusioni più frequenti riguarda le aziende che, partendo dall'uso di un sistema di IA acquistato, lo personalizzano in modo significativo. Se la personalizzazione è limitata (impostazione di parametri, configurazione iniziale), l'azienda resta deployer. Se invece la personalizzazione comporta un addestramento sostanziale, una modifica delle finalità d'uso del sistema, oppure una commercializzazione con il proprio marchio, l'azienda può trasformarsi in fornitore — con tutti gli obblighi del caso. Questa transizione è spesso inconsapevole, ed è una delle aree dove l'errore di qualificazione è più frequente.

Come iusprivacy ti aiuta a capire il tuo ruolo

Identificare correttamente il ruolo che la tua azienda svolge — e, soprattutto, i ruoli che la tua azienda svolge rispetto a sistemi diversi — è il presupposto di ogni piano di compliance. Iusprivacy.eu effettua questa analisi attraverso un assessment strutturato: per ciascun sistema di IA presente in azienda viene determinato chi sia il fornitore, chi sia l'utilizzatore, se ci siano modifiche sostanziali, se ci siano rivendite. Da qui discende la mappa degli obblighi e il piano di adeguamento mirato.

Lo staff combina competenze giuridiche e tecniche per garantire che la qualificazione non sia formale ma sostanziale: spesso, infatti, la verità contrattuale e la verità tecnica divergono, e occorre un'analisi attenta per non commettere errori.