Nell’ambito dell’AI Act, il deployer (spesso reso in italiano con utilizzatore) è chi utilizza un sistema di IA sotto la propria autorità, come stabilisce l’articolo 3 del Regolamento (UE) 2024/1689. Sono esclusi gli usi nell’ambito di attività personali non professionali.
Il deployer può essere una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo.
L’AI Act distingue la figura del deployer da quella del fornitore in base al rapporto con il sistema: il primo lo utilizza sotto la propria autorità nell’ambito di un’attività professionale, il secondo lo sviluppa e lo immette sul mercato.
Gli obblighi del deployer
Il deployer deve adottare misure per sostenere l’alfabetizzazione in materia di IA del proprio personale e di chi utilizza i sistemi per suo conto, come previsto dall’articolo 4 dell’AI Act. Dopo le modifiche del Digital Omnibus non è richiesto un livello specifico di competenza.
In Italia, il D.Lgs. 7 ottobre 2026, n. 179, in vigore dal 23 ottobre 2026, richiede inoltre al datore di lavoro di assicurare ai lavoratori informazione e formazione adeguate sui rischi specifici legati all’uso dei sistemi di IA, nell’ambito della tutela della salute e sicurezza.
Oltre all’alfabetizzazione, i principali obblighi riguardano:
- Trasparenza (art. 50): dichiarare la natura artificiale dei deepfake e dei testi generati o manipolati con l’IA pubblicati per informare su questioni di interesse pubblico. Per questi testi, l’obbligo non si applica se vi sono revisione umana o controllo editoriale e un responsabile della pubblicazione. Occorre anche informare chi è esposto a sistemi di riconoscimento delle emozioni o categorizzazione biometrica.
- Sistemi ad alto rischio (art. 26): seguire le istruzioni, affidare la sorveglianza a persone competenti, monitorare il funzionamento e conservare i log sotto il proprio controllo per almeno sei mesi, salvo diverse disposizioni. Sono previsti anche obblighi informativi verso lavoratori, loro rappresentanti e persone interessate.
- Valutazione d’impatto sui diritti fondamentali (art. 27): prima di utilizzare un sistema ad alto rischio, gli enti di diritto pubblico, i soggetti privati che forniscono servizi pubblici e chi impiega sistemi per valutare l’affidabilità creditizia o per stimare rischi e prezzi delle assicurazioni sulla vita e sanitarie devono valutarne l’impatto sui diritti delle persone coinvolte e comunicarne i risultati all’autorità di vigilanza del mercato. La valutazione può basarsi su quella d’impatto sulla protezione dei dati prevista dal GDPR, se già effettuata.
Quando un’azienda che usa un sistema di IA ne diventa fornitore?
Secondo l’articolo 25, un deployer è considerato fornitore di un sistema ad alto rischio, e ne assume tutti gli obblighi, quando si verifica almeno una di queste situazioni:
- appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, salvo accordi contrattuali che ripartiscano diversamente gli obblighi;
- vi apporta una modifica sostanziale e il sistema resta ad alto rischio;
- ne cambia la finalità prevista, facendo diventare ad alto rischio un sistema che non lo era.
La regola vale anche per importatori, distributori e altri terzi. Il fornitore iniziale deve collaborare al passaggio, mettendo a disposizione informazioni e documentazione, salvo che abbia escluso chiaramente la trasformazione del sistema in uno ad alto rischio. A quel punto il deployer diventa a tutti gli effetti fornitore e deve rispettarne gli obblighi.
Le scadenze dell’AI Act per il deployer
L’applicazione degli obblighi varia per ambito:
- Alfabetizzazione: dal 2 febbraio 2025.
- Trasparenza: dal 2 agosto 2026.
- Sistemi ad alto rischio: dal 2 dicembre 2027 per quelli dell’allegato III e dal 2 agosto 2028 per quelli integrati nei prodotti regolamentati dell’allegato I.
Le date tengono conto delle modifiche introdotte dal Digital Omnibus sull’IA e sono riportate nel calendario aggiornato della Commissione europea.
Altre risorse per approfondire
- Articolo 25: Responsabilità lungo la catena del valore dell’IA (Commissione europea – AI Act Service Desk)
- Articolo 26: Obblighi dei deployer dei sistemi di IA ad alto rischio (Commissione europea – AI Act Service Desk)
- Decalogo dell’intelligenza artificiale in azienda: 10 regole per un uso responsabile dell’AI (Blog Axura)
- Legge 23 settembre 2025, n. 132 (Normattiva)
- Subject Roles in the EU AI Act: Mapping and Regulatory Implications (arXiv – N. Fabiano)