Deployer nell’AI Act: gli obblighi di chi usa l’AI in azienda

A cura di Solucom · 29 Ottobre 2026

Nell’AI Act il deployer è chi usa un sistema di intelligenza artificiale sotto la propria autorità, per un’attività professionale. Un’azienda che usa ChatGPT o Copilot per scrivere, un chatbot sul sito, un CRM con funzioni di AI o un software che preseleziona i curriculum è deployer di ciascuno di quei sistemi.

Quasi tutte le aziende, quindi, lo sono già. La buona notizia è che per la maggior parte degli usi gli obblighi sono pochi e concreti. Quelli pesanti scattano solo con i sistemi ad alto rischio, e il Digital Omnibus approvato nel 2026 ne ha spostato le date.

Qui spieghiamo chi è deployer, cosa deve fare già oggi e cosa cambia per l’alto rischio. Ci occupiamo della parte tecnica e operativa: per l’inquadramento giuridico serve un legale.

Deployer o fornitore?

L’AI Act distingue due ruoli principali:

Il fornitore sviluppa un sistema di AI, o lo fa sviluppare, e lo mette sul mercato o in servizio con il proprio nome;
Il deployer lo usa sotto la propria autorità. Resta fuori solo l’uso personale, non professionale.

La stessa azienda può avere entrambi i ruoli. Se costruite uno strumento interno che usa un modello di AI, per esempio un’app che legge i documenti dei clienti e ne estrae i dati, ne siete fornitori anche se lo usate solo voi, e insieme deployer.

Si diventa fornitori anche senza volerlo, con un sistema ad alto rischio, in tre casi: se ci mettete sopra il vostro nome o marchio, se lo modificate in modo sostanziale, o se cambiate la finalità d’uso di un sistema in modo che diventi ad alto rischio. Usare un assistente generico per valutare i candidati, per esempio, cambia la sua finalità.

Cosa deve fare ogni deployer, già oggi

1. Alfabetizzazione sull’AI

Dal 2 febbraio 2025 chi usa sistemi di AI deve occuparsi della preparazione del personale che li usa. Il Digital Omnibus (regolamento UE 2026/1744, in vigore dal 27 luglio 2026) ha riscritto l’obbligo in forma più leggera. Fornitori e deployer adottano misure per sostenere l’alfabetizzazione del personale, tenendo conto delle competenze e del contesto d’uso. L’obbligo non impone di garantire un livello specifico.

In pratica significa una regola interna chiara su cosa si può fare con l’AI e cosa no, più una formazione breve per chi la usa davvero. Va tarata sul ruolo, e conviene tenerne traccia.

2. Non usare l’AI per pratiche vietate

Dalla stessa data sono vietati alcuni usi, chiunque sia il fornitore. Per un’azienda il caso più concreto è il riconoscimento delle emozioni sul luogo di lavoro, ammesso solo per motivi medici o di sicurezza. Gli altri divieti riguardano, tra l’altro, la manipolazione, il punteggio sociale e certe forme di identificazione biometrica.

3. Trasparenza verso le persone

Dal 2 agosto 2026 il deployer ha alcuni obblighi di trasparenza (articolo 50):

se pubblica deepfake, cioè immagini, audio o video generati o manipolati che sembrano autentici, deve dichiararlo;
se pubblica testi generati dall’AI per informare il pubblico su questioni di interesse pubblico, deve dichiararlo, a meno che il testo sia stato rivisto da una persona che se ne assume la responsabilità editoriale;
se usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, deve informare le persone esposte.

L’obbligo di avvisare le persone che stanno parlando con un chatbot ricade invece sul fornitore del chatbot. Se il chatbot l’avete costruito voi, il fornitore siete voi.

Se il sistema è ad alto rischio

Sono ad alto rischio, tra gli altri, i sistemi usati per selezionare e valutare il personale, valutare il merito creditizio, decidere l’accesso a istruzione e servizi essenziali, e quelli che fanno da componente di sicurezza di prodotti regolati. L’elenco completo è negli allegati I e III del regolamento. Nell’articolo sui quattro livelli di rischio li spieghiamo con esempi.

Per questi sistemi il deployer ha obblighi in più (articolo 26):

usarli secondo le istruzioni del fornitore;
affidare la sorveglianza umana a persone con competenza, formazione e autorità sufficienti;
controllare che i dati di input che fornisce siano pertinenti e rappresentativi;
monitorarne il funzionamento, segnalare rischi e incidenti al fornitore e alle autorità, e sospenderne l’uso se serve;
conservare i log generati dal sistema per almeno sei mesi, se sono sotto il suo controllo;
informare i lavoratori e i loro rappresentanti prima di usarli sul luogo di lavoro;
informare le persone su cui il sistema prende decisioni, o aiuta a prenderle.

Gli enti pubblici, chi fornisce servizi pubblici e chi usa l’AI per il merito creditizio o per le assicurazioni vita e salute devono fare anche una valutazione d’impatto sui diritti fondamentali. Dopo l’Omnibus può richiamare le parti già coperte dalla valutazione d’impatto privacy (DPIA).

Le date sono cambiate. Il Digital Omnibus ha spostato l’applicazione di questi obblighi al 2 dicembre 2027 per i sistemi dell’allegato III e al 2 agosto 2028 per quelli dell’allegato I. Prima la data era il 2 agosto 2026. Il calendario completo è nell’articolo sulle date che contano.

Cosa fare in pratica

Fate l’inventario degli strumenti di AI che usate davvero, compresi quelli dentro software che avete già (CRM, gestionali, piattaforme di selezione). Spesso sono più di quanti si pensi. Ne parliamo in cosa deve contenere un registro dei sistemi AI.
Classificate ogni uso. La maggior parte è a rischio minimo o limitato. Isolate i casi che toccano persone: personale, credito, accesso a servizi.
Scrivete una regola interna di una pagina: quali strumenti sono ammessi, quali dati non vanno inseriti, chi risponde di cosa. Poi fate una formazione breve e tenetene traccia.
Etichettate i contenuti generati che pubblicate quando l’articolo 50 lo richiede: deepfake e testi di interesse pubblico non rivisti.
Controllate i ruoli negli strumenti fatti in casa o personalizzati: se li avete costruiti o modificati voi, potreste esserne i fornitori.
Per l’alto rischio, chiedete al fornitore istruzioni per l’uso, accesso ai log e indicazioni sulla sorveglianza umana. Avete tempo fino a dicembre 2027, ma i contratti si firmano adesso.

Domande frequenti

Chi è il deployer nell’AI Act?

È la persona fisica o giuridica, compresi enti e autorità pubbliche, che usa un sistema di AI sotto la propria autorità, tranne che per un’attività personale non professionale. Un’azienda che usa strumenti di AI nel proprio lavoro è deployer di quegli strumenti.

Se uso ChatGPT in azienda sono deployer?

Sì. Per un uso generico, come scrivere, riassumere o tradurre, gli obblighi principali sono l’alfabetizzazione del personale e, se pubblicate contenuti generati, la trasparenza dell’articolo 50. Gli obblighi dell’alto rischio scattano solo se lo usate per finalità ad alto rischio, per esempio per valutare candidati.

Quando si applicano gli obblighi dei deployer di sistemi ad alto rischio?

Dopo il Digital Omnibus, dal 2 dicembre 2027 per i sistemi dell’allegato III (per esempio personale, credito, istruzione) e dal 2 agosto 2028 per quelli dell’allegato I, cioè i componenti di sicurezza di prodotti regolati.

Che differenza c’è tra fornitore e deployer?

Il fornitore sviluppa il sistema e lo mette sul mercato o in servizio con il proprio nome. Il deployer lo usa. Un’azienda che costruisce uno strumento di AI per uso interno è entrambe le cose.

Il deployer deve registrarsi da qualche parte?

In generale no. La registrazione nella banca dati europea dei sistemi ad alto rischio riguarda i fornitori e, tra i deployer, le autorità pubbliche e gli organismi dell’Unione.

Fonti: Regolamento (UE) 2024/1689 (AI Act), articoli 3, 4, 5, 25, 26, 27 e 50; Regolamento (UE) 2026/1744 (Digital Omnibus sull’AI); AI Act Service Desk della Commissione europea. Verifica al 9 ottobre 2026.

Volete sapere quali strumenti di AI usate davvero, e con quali obblighi? Partiamo da un audit di ciò che c’è in azienda, compresa l’AI dentro i software che avete già. Approfondite nella pagina AI Act.