AI Act: a chi si applica e chi è il «deployer»

La domanda «riguarda anche la mia azienda?» ha una risposta più semplice di quanto sembri: l'AI Act guarda al ruolo che svolgete rispetto a un sistema di intelligenza artificiale. Chi lo sviluppa e lo mette a disposizione è fornitore; chi lo utilizza nell'esercizio di un'attività professionale è deployer, tradotto nella versione italiana come utilizzatore o soggetto che utilizza.

Per la grande maggioranza delle imprese italiane la posizione è la seconda. E per rientrarci basta usare lo strumento: svilupparlo è una condizione ulteriore, che resta quasi sempre altrove.

Che cosa significa per voi

• Avete un chatbot sul sito — siete deployer, con obblighi di trasparenza.
• Usate generatori di testi o immagini per il marketing — stessa posizione.
• Rivendete un sistema con il vostro marchio — qui la posizione cambia, e di molto.

I quattro ruoli

A questi si aggiunge il rappresentante autorizzato, che i fornitori extra-UE devono nominare nell'Unione per determinate categorie di sistemi.

La portata extraterritoriale

Il Regolamento si applica anche a fornitori e utilizzatori stabiliti fuori dall'Unione quando il sistema viene immesso sul mercato europeo oppure quando l'output prodotto dal sistema viene utilizzato nell'Unione.

Per un'impresa italiana la conseguenza pratica è lineare: con uno strumento di un fornitore statunitense gli obblighi legati all'uso restano vostri, mentre quelli sul sistema restano del fornitore.

Quando un utilizzatore diventa fornitore

È il passaggio che sorprende, e vale la pena conoscerlo prima di firmare un accordo di rivendita. Un deployer assume gli obblighi del fornitore in tre casi.

1. Appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato.
2. Modifica la destinazione di un sistema ad alto rischio, usandolo per uno scopo diverso da quello previsto.
3. Apporta una modifica sostanziale al sistema, tale da incidere sulla conformità.

Il caso più frequente nel nostro lavoro è il primo: un'azienda integra un assistente di terze parti e lo presenta ai clienti con il proprio marchio. La soluzione sta nel contratto con il fornitore e nella chiarezza su chi risponde di cosa.

Gli obblighi di un deployer comune

Per i sistemi ordinari — chatbot, generatori, raccomandazioni — gli adempimenti sono leggeri e soprattutto organizzativi.

• Uso secondo le istruzioni del fornitore, conservate insieme alla documentazione.
• Alfabetizzazione sull'AI per chi usa gli strumenti, proporzionata al ruolo: l'articolo 4 lo chiede dal 2 febbraio 2025.
• Trasparenza verso le persone: gli obblighi dell'articolo 50 si applicheranno dal 2 agosto 2026, con il dettaglio raccontato in art. 50: trasparenza per chatbot e contenuti generati.
• Registro interno degli strumenti in uso: elenco, finalità, fornitore, decisioni prese.

Per i sistemi ad alto rischio si aggiungono sorveglianza umana, conservazione dei registri generati automaticamente e informazione ai lavoratori interessati.

Aggiornamento di ottobre 2026. Il regolamento (UE) 2026/1744 ha rinviato l'applicazione delle regole sui sistemi ad alto rischio dell'Allegato III al 2 dicembre 2027, e al 2 agosto 2028 per quelli integrati in prodotti già regolati. Gli obblighi di trasparenza e il regime sanzionatorio restano in vigore da agosto 2026.

Il caso delle imprese piccole

Il perimetro dipende dall'uso, invece che dalla dimensione. Questa incide però su due aspetti concreti — le semplificazioni documentali previste per le piccole e medie imprese, e il calcolo delle sanzioni, che per le PMI applica l'importo inferiore fra la cifra fissa e la percentuale sul fatturato.

Una ditta individuale che pubblica immagini generate per le proprie campagne rientra quindi negli obblighi di trasparenza, con adempimenti che si risolvono in una dicitura.

Il quadro italiano

La Legge 132/2025, in vigore dal 10 ottobre 2025, affianca al Regolamento le regole nazionali: vigilanza di mercato all'Agenzia per la cybersicurezza nazionale, promozione dell'innovazione e notifica degli organismi ad AgID. La stessa legge chiede ai professionisti di dichiarare l'uso dell'AI nei servizi resi e ai datori di lavoro di informare chi lavora quando l'AI entra nella gestione del personale.

Come stabilire la propria posizione

1. Elencate gli strumenti di AI in uso, compresi quelli dentro software di terzi.
2. Per ciascuno indicate il ruolo: lo usate soltanto, oppure lo rivendete con il vostro nome?
3. Verificate la categoria di rischio del sistema, con la documentazione del fornitore.
4. Annotate le conclusioni in un registro breve, con data e responsabile.

Quattro passaggi che per una PMI si chiudono in mezza giornata, e che valgono come prova di diligenza. Le situazioni che restano fuori dal perimetro sono descritte in quali eccezioni prevede l'AI Act.

Quando conviene farsi aiutare

La parte delicata è il confine fra uso e fornitura, perché sposta gli obblighi in modo sostanziale. La nostra verifica preliminare è gratuita: guardiamo gli strumenti, il modo in cui li presentate ai clienti e i contratti con i fornitori, e rispondiamo per iscritto in tre giorni lavorativi. Il percorso sta nella pagina conformità AI Act.

Fonti

• Regolamento (UE) 2024/1689 (AI Act), artt. 2, 3, 4, 25, 26 e 50
• Regolamento (UE) 2026/1744, rinvio per i sistemi ad alto rischio
• Legge 23 settembre 2025, n. 132, disposizioni nazionali sull'intelligenza artificiale

Aggiornato il 21.10.2026.