“Non abbiamo sviluppato noi l’algoritmo, l’abbiamo solo comprato.” È la frase che, in una riunione di Consiglio, precede i guai. Perché nel Regolamento UE 2024/1689 (AI Act) gli obblighi non seguono chi ha scritto il codice, ma il ruolo che ogni organizzazione riveste rispetto al sistema di intelligenza artificiale. E la maggior parte delle imprese e delle cooperative italiane riveste un ruolo ben preciso — quello di deployer — con doveri propri, troppo spesso ignorati.
Le figure dell’AI Act: non esiste solo chi “fa” l’AI
L’art. 3 distingue più operatori (fornitore, deployer, importatore, distributore). Due contano per quasi tutte le organizzazioni:
- Provider / Fornitore: chi sviluppa un sistema di AI e lo immette sul mercato sotto il proprio nome o marchio. Su di lui il nucleo più pesante degli obblighi: valutazione di conformità, documentazione tecnica, gestione del rischio, marcatura, sorveglianza post-commercializzazione.
- Deployer / Utilizzatore: chi utilizza un sistema di AI sotto la propria autorità in ambito professionale. Non l’ha costruito: lo adotta. Ma ha obblighi autonomi, stringenti quando il sistema è ad alto rischio (Allegato III: selezione del personale, scoring del credito, accesso a servizi essenziali…).
Acquistare un gestionale HR, una piattaforma di scoring o un sistema di monitoraggio non ti mette al riparo: ti rende deployer. E il deployer ha le sue responsabilità.
Sei un deployer: ecco i TUOI obblighi (art. 26)
Per i sistemi ad alto rischio, l’art. 26 impone presìdi concreti:
- Uso conforme alle istruzioni del fornitore.
- Sorveglianza umana effettiva, affidata a persone competenti con l’autorità per comprendere, contestare e annullare l’output (human-in-the-loop).
- Monitoraggio del funzionamento e segnalazione di malfunzionamenti o rischi.
- Conservazione dei log generati dal sistema.
- Informazione preventiva a lavoratori e rappresentanti prima della messa in servizio (art. 26 §7), che in Italia si salda con l’art. 1-bis del D.Lgs. 152/1997.
- In determinati casi, valutazione d’impatto sui diritti fondamentali (FRIA, art. 27).
Principio cardine: “ha deciso il sistema” non è una linea di difesa. Chi utilizza l’algoritmo deve poter dimostrare di averlo vigilato.
La trappola: quando il deployer diventa provider (art. 25)
L’art. 25 riqualifica l’utilizzatore come fornitore — con obblighi ben più pesanti — in tre situazioni:
- apponi il tuo nome o marchio su un sistema ad alto rischio;
- apporti una modifica sostanziale al sistema;
- modifichi la finalità di un sistema non ad alto rischio rendendolo tale.
Personalizzare a fondo un software di selezione, rietichettarlo come “il nostro strumento” o integrarvi moduli propri sono gesti quotidiani che possono spostare il baricentro della responsabilità sulla tua organizzazione.
È una questione di governance, non solo di IT (art. 2086 c.c.)
Determinare il proprio ruolo per ciascun sistema di AI rientra negli adeguati assetti organizzativi imposti dall’art. 2086 del Codice Civile. Un Consiglio di Amministrazione che non sa se l’ente sia provider o deployer non può mappare gli obblighi né dimostrare la diligenza richiesta: l’incertezza sul ruolo è, di per sé, una carenza dell’assetto e un’esposizione per gli amministratori.
“Ma non è tutto rinviato al 2027?”
Gli obblighi sui sistemi ad alto rischio dell’Allegato III sono destinati a slittare al 2 dicembre 2027 (pacchetto Digital Omnibus). Ma il rinvio sposta una scadenza, non la domanda di fondo: di chi sono gli obblighi? Censire oggi i sistemi e il proprio ruolo è il presupposto di qualsiasi adeguamento — e trasparenza, informazione ai lavoratori e alfabetizzazione del personale (art. 4) non slittano affatto.
Cosa fare adesso
- Mappa ogni sistema di AI in uso e, per ciascuno, il tuo ruolo (provider / deployer / entrambi).
- Verifica se una personalizzazione o un rebranding ti abbiano già reso provider ex art. 25.
- Formalizza la sorveglianza umana e l’informazione ai lavoratori.
- Raccogli tutto in un registro dei sistemi algoritmici, all’interno del framework DAAF.
Conoscere il proprio ruolo è il primo atto di governo dell’AI. Tutto il resto — conformità, prova, tutela del Consiglio — discende da lì.
Sai qual è il ruolo della tua organizzazione — e i suoi obblighi?
Il check DAAF mappa i sistemi di AI che utilizzi, individua il tuo ruolo (provider / deployer) e gli obblighi conseguenti, e ti consegna un report di conformità AI Act pronto per il Consiglio di Amministrazione.
👉 Fai il check su CheckAIAct