Il deployer secondo il regolamento sull’IA

Chi è considerato deployer secondo l’EU AI Act?

Deployer è qualsiasi persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema sia utilizzato nel corso di un’attività personale non professionale (art. 3, punto 4). Di regola è l’azienda, non la singola dipendente: chi lavora con un sistema di IA su istruzione del datore di lavoro non diventa per questo deployer. Esempi tipici:

• Uno studio fiscale fa redigere in bozza le lettere ai clienti da un assistente testuale basato sull’IA.
• Un team vendite utilizza le funzioni di IA del proprio CRM.
• Un ufficio del personale preseleziona le candidature con l’IA. Qui dal 2 dicembre 2027 si applicano in aggiunta gli obblighi per l’alto rischio a carico dei deployer (art. 26, allegato III).

Chi sviluppa da sé un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome è invece fornitore (art. 3, punto 3). Un’azienda può avere entrambi i ruoli contemporaneamente. I ruoli in sintesi sono illustrati nella pagina EU AI Act.

Chi deve essere formato?

L’art. 4 riguarda il personale e le altre persone che si occupano, per conto del deployer, del funzionamento e dell’utilizzo dei sistemi di IA (art. 4, paragrafo 1). La legge non prescrive una formazione, ma è la misura più semplice. Si intendono tutti coloro che utilizzano o seguono effettivamente i sistemi di IA:

• Dipendenti a tempo pieno e a tempo parziale, lavoratori occasionali, apprendisti e studenti lavoratori.
• Freelance e fornitori di servizi che lavorano con i vostri sistemi di IA per vostro conto. Come esempi di queste «altre persone» la Commissione cita appaltatori, fornitori di servizi e clienti (domande e risposte sull’alfabetizzazione IA).
• Lavoratori somministrati che lavorano presso di voi, secondo le vostre istruzioni, con i vostri sistemi di IA. Non è espressamente disciplinato; poiché conoscete i sistemi e il contesto d’uso, come utilizzatore dovreste farvi carico delle misure.
• Manager che decidono sull’uso dell’IA.

Per i dipendenti che non lavorano con sistemi di IA, l’art. 4 non richiede misure. Le misure dipendono da conoscenze, esperienza, istruzione e contesto d’uso delle persone; nessuno deve garantire un determinato livello di alfabetizzazione IA. Maggiori informazioni nella pagina Obbligo di alfabetizzazione IA ai sensi dell’art. 4.

Ogni quanto va aggiornata la formazione?

L’EU AI Act non indica alcun termine fisso. Un aggiornamento è opportuno quando cambia qualcosa di sostanziale:

• Viene introdotto un nuovo sistema di IA o una nuova funzione.
• Una persona passa a un ruolo con un uso diverso dell’IA.
• Cambia il quadro giuridico, come il 27 luglio 2026 con la nuova formulazione dell’art. 4 (Digital Omnibus).

Il certificato nominativo della formazione AI-Konform ha validità di 1 anno; la data di scadenza è indicata nel report di audit. Così vedete quando è in programma un aggiornamento.

Come dimostriamo le misure?

La legge non richiede un certificato. La Commissione chiarisce che basta una registrazione interna delle formazioni e delle altre misure. Annotate chi ha concluso quale misura, quando e per quale sistema di IA. Con AI-Konform questo avviene da solo: un certificato nominativo per ogni persona e un report di audit per l’azienda, in CSV o PDF. Maggiori informazioni nella pagina formazione EU AI Act.

Domande frequenti sui deployer

Sono fornitore se costruisco un mio chatbot?

Dipende dal caso. Chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome è fornitore (art. 3, punto 3), anche se lo usa solo all’interno della propria azienda. Chi utilizza un servizio già pronto limitandosi a impartire proprie istruzioni resta di regola deployer. Entrambi i ruoli sono possibili contemporaneamente.

L’obbligo vale anche per i lavoratori occasionali e i collaboratori saltuari?

Sì, se utilizzano sistemi di IA per vostro conto. L’art. 4 non distingue in base all’orario di lavoro o al tipo di contratto, ma in base a chi si occupa del funzionamento e dell’utilizzo dei sistemi di IA.

Cosa vale per l’uso privato dell’IA?

Chi usa l’IA esclusivamente a titolo personale e non professionale non è deployer ai sensi del regolamento, e gli obblighi dei deployer non si applicano (art. 3, punto 4, art. 2, paragrafo 10). Se i dipendenti usano account di IA privati per compiti professionali, non si tratta più di un uso puramente personale. Le regole in materia rientrano in una policy sull’IA.

Forma il tuo team Serve un responsabile IA?

Nota: questo articolo è a scopo informativo e non costituisce consulenza legale.