Fornitore o deployer: come capire quale sei

Prima di chiederti che cosa devi rispettare, devi sapere che cosa sei. Il regolamento europeo sull'IA distribuisce obblighi molto diversi a seconda del ruolo, e quasi tutti assumono senza verificare quello che sembra più comodo. È l'errore più costoso, perché una classificazione sbagliata si trascina dietro ogni decisione successiva.

Le due figure che ti riguardano

L'articolo 3 definisce diversi ruoli. In pratica, per un'azienda che non produce tecnologia ne contano due:

• Fornitore: sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. A titolo oneroso o gratuito, è indifferente.
• Deployer: utilizza un sistema di IA sotto la propria autorità nell'ambito di un'attività professionale. È il ruolo della stragrande maggioranza delle aziende.

L'articolo 4, sull'alfabetizzazione, obbliga entrambi allo stesso modo. Gli altri obblighi — valutazione di conformità, documentazione tecnica, marcatura CE, registrazione — ricadono soprattutto sul fornitore.

Quattro situazioni reali

1. Usi ChatGPT, Copilot o Gemini nel lavoro quotidiano

Sei deployer. Non hai sviluppato nulla né distribuisci nulla col tuo marchio: usi lo strumento di un terzo. Ti si applica l'articolo 4 e, se l'uso rientra in una funzione dell'allegato III, anche gli obblighi del deployer per i sistemi ad alto rischio.

2. Hai integrato l'API di un modello nel tuo prodotto e lo vendi

Qui sei fornitore, anche se non hai addestrato il modello. Ciò che conta non è chi ha costruito la tecnologia, ma sotto quale nome arriva sul mercato. Se il tuo cliente acquista il tuo prodotto, rispondi come fornitore di quel sistema.

3. Hai adattato uno strumento di terzi e lo offri internamente ad altre società del gruppo

Dipende dall'entità della modifica. L'articolo 25 stabilisce che chi apporta una modifica sostanziale a un sistema ad alto rischio, o ne cambia la finalità prevista, è da quel momento considerato fornitore di quel sistema. Regolare un'istruzione di sistema non equivale a riorientare lo strumento verso un uso per cui non era stato concepito.

4. Usi uno strumento di terzi per filtrare curriculum

Resti deployer, ma di un sistema ad alto rischio: la selezione del personale è espressamente nell'allegato III. Questo aggiunge obblighi precisi dell'articolo 26, tra cui la sorveglianza umana da parte di persone con la competenza e l'autorità necessarie, e l'informazione dei lavoratori interessati prima della messa in servizio.

Il caso che quasi nessuno vede arrivare

Essere entrambe le cose insieme. Una società di consulenza che usa l'IA internamente — deployer — e in più vende ai clienti un assistente costruito su un modello di terzi — fornitore — accumula entrambi gli insiemi di obblighi. Non si sceglie: si sommano. È la posizione più frequente tra le società di servizi che hanno iniziato a trasformare in prodotto il proprio know-how, e anche quella che meno spesso viene individuata in tempo.

Domande frequenti

Come toglierti il dubbio

La via rapida è rispondere per iscritto a tre domande: immetto sul mercato un sistema di IA col mio nome? Ho modificato sostanzialmente uno di quelli che uso? Uno dei miei usi compare nell'allegato III? Tre no significano che sei deployer e che l'articolo 4 è la tua priorità. La nostra valutazione gratuita percorre questa strada in sei domande e restituisce il ruolo attribuito con gli articoli applicabili.