Il fornitore dice che il suo software rispetta l'AI Act: sono a posto anch'io?
No. No. Ciò che dichiara il fornitore riguarda gli obblighi del fornitore; quelli di chi usa lo strumento restano tuoi, dall'articolo 4 dell'AI Act (Regolamento UE 2024/1689) alle regole sull'uso. E valutazione della conformità, dichiarazione UE e marcatura CE sono previste per i sistemi ad alto rischio: se lo strumento non lo è, non c'è nulla di tutto questo da esibire.
Pubblicata il
No. Ciò che dichiara il fornitore riguarda gli obblighi del fornitore; quelli di chi usa lo strumento restano tuoi. E valutazione della conformità, dichiarazione UE e marcatura CE sono previste per i sistemi ad alto rischio: se lo strumento non lo è, non c’è nulla di tutto questo da esibire, e la frase del venditore va tradotta in un obbligo preciso.
«Il nostro software rispetta l’AI Act» è una frase da brochure. Non è falsa per forza: è generica. Questa pagina serve a capire cosa può significare, e cosa non significa per te.
Cosa può dichiarare un fornitore quando dice che il suo software rispetta l’AI Act?
Il regolamento distingue fornitore e deployer. Fornitore è chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio; deployer è chi lo utilizza sotto la propria autorità, quindi verosimilmente tu in quanto libero professionista oppure titolare di un'azienda ti ritrovi nella condizione di deployer di intelligenza artificiale (articolo 3, punti 3 e 4, dell’AI Act). Ciò che il fornitore dichiara è una promessa sui propri obblighi. Quali, dipende dal tipo di sistema.
Sistema ad alto rischio. Un sistema di AI è ad alto rischio in due casi (articolo 6 dell’AI Act).
Il primo: è un prodotto, o il componente di sicurezza di un prodotto, coperto dalle norme europee elencate nell’Allegato I, come giocattoli, ascensori o dispositivi medici, e quel prodotto deve passare una valutazione della conformità fatta da terzi (paragrafo 1).
Il secondo: è usato in uno degli ambiti dell’Allegato III, per esempio la selezione del personale, l’accesso al credito, l’istruzione o i servizi pubblici essenziali (paragrafo 2).
Un sistema dell’Allegato III non è ad alto rischio se non presenta un rischio significativo per la salute, la sicurezza o i diritti fondamentali, per esempio perché svolge solo un compito procedurale limitato o prepara un lavoro che poi valuta una persona; lo resta sempre se fa profilazione di persone fisiche (paragrafo 3). Come capire se è il tuo caso lo spieghiamo nella pagina sull’articolo 6 dell’AI Act. Il fornitore fa la valutazione della conformità: per i sistemi dell’Allegato III, punti da 2 a 8, con il controllo interno, senza organismo notificato (articolo 43, paragrafo 2, dell’AI Act; vedi la pagina sull’articolo 43 dell’AI Act). Compila una dichiarazione di conformità UE per ciascun sistema e la tiene a disposizione delle autorità per dieci anni (articolo 47, paragrafo 1, dell’AI Act). Appone la marcatura CE (articolo 48 dell’AI Act). Gli obblighi del fornitore sono nell’articolo 16 dell’AI Act. Le voci di glossario su valutazione di conformità e marcatura CE spiegano cosa sono.
Modello di AI per finalità generali. Il fornitore del modello deve, per esempio, redigere la documentazione tecnica, mettere informazioni a disposizione di chi lo integra nei propri sistemi, adottare una politica sul diritto d’autore e pubblicare una sintesi dei contenuti usati per l’addestramento (articolo 53, paragrafo 1, dell’AI Act). Sono obblighi di chi produce il modello.
Un sistema che non è ad alto rischio. Le procedure di valutazione, la dichiarazione UE e la marcatura CE sono previste per i sistemi ad alto rischio. Se il tuo strumento non lo è, la frase «rispetta l’AI Act» non rinvia a una valutazione che si possa consegnare. Va chiesto a quale obbligo si riferisce: per esempio, il fornitore deve progettare i sistemi che interagiscono con le persone in modo che sappiano di parlare con un’AI (articolo 50, paragrafo 1, dell’AI Act).
Se il tuo software con AI sia o no ad alto rischio non lo affermiamo qui: lo dichiara il fornitore, e va chiesto per iscritto.
Cosa resta a me anche se il fornitore dichiara di rispettare l’AI Act?
Restano a te, anche con la dichiarazione del fornitore: l’alfabetizzazione, la trasparenza di chi usa, l’uso secondo la finalità prevista, gli obblighi del deployer e il rischio di diventare fornitore.
L’alfabetizzazione. Misure per sostenere l’alfabetizzazione di chi usa lo strumento per tuo conto (articolo 4 dell’AI Act). Nessuna dichiarazione del fornitore la sostituisce; secondo le Q&A della Commissione europea sull’alfabetizzazione in materia di AI, aggiornate al 27 luglio 2026, affidarsi alle sole istruzioni per l’uso, o chiedere al personale di leggerle, in molti casi può essere inefficace (domanda 10, nella numerazione di quel documento). Il quadro completo è in Alfabetizzazione AI: cosa chiede davvero l’articolo 4 dell’AI Act.
La trasparenza di chi usa. Anche i deployer hanno obblighi: informare chi è esposto a un sistema di riconoscimento delle emozioni o di categorizzazione biometrica (paragrafo 3), rendere noto che un deep fake è stato generato o manipolato artificialmente e, per certi testi, che sono stati generati dall’AI (paragrafo 4). Li prevede l’articolo 50 dell’AI Act. L’uso lo fai tu; il fornitore non può dichiararlo al posto tuo.
L’uso secondo la finalità prevista. La finalità prevista è l’uso che il fornitore prevede, con il contesto e le condizioni d’uso indicati nelle sue istruzioni per l’uso (articolo 3, punto 12, dell’AI Act). Una dichiarazione del fornitore vale per quello scopo. Se usi lo strumento per altro, sei fuori da ciò che ha dichiarato.
Se il sistema è ad alto rischio, gli obblighi del deployer. I deployer adottano misure per usare il sistema secondo le istruzioni (paragrafo 1), affidano la sorveglianza umana a persone con competenza, formazione e autorità necessarie (paragrafo 2) e monitorano il funzionamento informando il fornitore (paragrafo 5): sono previsti dall’articolo 26 dell’AI Act. Quell’articolo rientra tra le disposizioni che l’articolo 99, paragrafo 4, dell’AI Act elenca per le sanzioni fino a 15 milioni di euro o al 3% del fatturato. Per i sistemi dell’Allegato III si applica dal 2 dicembre 2027.
Il rischio di diventare fornitore. Il deployer che appone il proprio nome o marchio su un sistema ad alto rischio, lo modifica in modo sostanziale o ne cambia la finalità prevista in modo che diventi ad alto rischio è considerato fornitore (articolo 25, paragrafo 1, dell’AI Act). Con gli obblighi che ne seguono.
Cosa succede se un dipendente usa lo strumento per uno scopo non previsto dal fornitore?
Un’azienda ha nel contratto con il fornitore una clausola in cui questi dichiara di rispettare l’AI Act. Un dipendente usa lo strumento per una cosa che non rientrava nella finalità prevista indicata dal fornitore, e non esiste alcuna istruzione scritta su come usarlo. Un cliente a quel punto chiede all’azienda quali istruzioni avesse dato e a chi.
In questo caso per l'azienda in questione la clausola che ha con il fornitore non risponde. Perchè questa clausola descrive il prodotto e gli obblighi del fornitore, non ciò che l’azienda ha fatto con il prodotto. La domanda si sposta su cosa l’azienda sapeva dello strumento, cosa aveva chiesto al fornitore e come aveva istruito chi lo usa.
Quali sono le tre misure minime di fronte alla dichiarazione del fornitore di intelligenza artificiale, in ordine di importanza?
Chiedi per iscritto al fornitore di AI, confronta finalità prevista e uso reale e fai le tue misure come se il fornitore non avesse detto nulla.
Chiedi per iscritto. Quali obblighi dell’AI Act il fornitore dichiara di rispettare, per quale finalità prevista, se il sistema è ad alto rischio e con quale procedura è stato valutato. Il modello di richiesta al fornitore contiene le domande di base. Conserva la risposta con la data.
Confronta finalità prevista e uso reale. Leggi le istruzioni per l’uso, poi guarda cosa si fa davvero. Se lo strumento viene usato per altro, scrivi cosa non si fa e chiedi al fornitore.
Fai le tue misure come se il fornitore non avesse detto nulla. Inventario, istruzioni scritte, formazione proporzionata, con una traccia: sono quelle dell’articolo 4 dell’AI Act e non dipendono da chi ha fatto lo strumento.
Cosa mettere nel fascicolo di alfaetizzazione AI per dimostrare ciò che hai fatto?
La risposta del fornitore con la data, il contratto con la clausola su ruoli e responsabilità, le istruzioni per l’uso, l’inventario con accanto per ogni strumento il ruolo che hai, le istruzioni interne e la traccia della formazione. Il fascicolo di alfabetizzazione è ciò che risponde alla domanda «cosa avevi fatto tu?», che nessuna dichiarazione del fornitore può soddisfare.
In sintesi: la dichiarazione del fornitore mi basta?
Ciò che il fornitore dichiara riguarda i suoi obblighi; quelli di chi usa lo strumento restano, dall’articolo 4 dell’AI Act alla trasparenza dell’articolo 50 dell’AI Act, fino all’articolo 26 dell’AI Act se il sistema è ad alto rischio. Le procedure di valutazione, la dichiarazione UE e la marcatura CE non sono uno standard generale ma un meccanismo dei sistemi ad alto rischio. La strada: chiedere per iscritto, confrontare finalità prevista e uso, fare le proprie misure. Vuoi capire da dove partire? Fai il test per capire se sei coinvolto. Se ti chiedi se sei deployer senza saperlo, parti da Sono un deployer senza saperlo?. Per una piccola impresa la pagina di riferimento è PMI e società di servizi.
Ultimo aggiornamento: 19 settembre 2026. Contenuto aggiornato al Regolamento (UE) 2026/1744. Oltre al regolamento europeo, l’Italia sta completando le sue regole sull’AI. Le autorità sono già designate dall’articolo 20 della legge 23 settembre 2025, n. 132: l’ACN vigila sul mercato (per gli istituti finanziari, Banca d’Italia, CONSOB e IVASS) e l’AgID cura la notifica degli organismi. I decreti legislativi completano il quadro. Il primo, il decreto legislativo 9 settembre 2026, n. 160, sull’uso dell’AI da parte della polizia e sulle responsabilità penali e civili, è in vigore dal 30 settembre 2026. Il secondo è il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre 2026. È quello che conta di più per studi e imprese, perché dice con quali sanzioni si applicano le regole e come va fatta la formazione.
Domande frequenti
La dichiarazione di conformità UE del fornitore di AI mi solleva dagli obblighi?
No. La dichiarazione la compila il fornitore per ciascun sistema di AI ad alto rischio e la tiene a disposizione delle autorità nazionali per dieci anni (articolo 47, paragrafo 1, dell’AI Act). Non è un atto del deployer e non sostituisce le sue misure.
Ogni software con AI ha la marcatura CE?
La marcatura CE riguarda i sistemi di AI ad alto rischio (articolo 48 dell’AI Act). Se un tuo software lo sia lo dichiara il fornitore, e la classificazione va chiesta per iscritto: non la affermiamo noi per un prodotto specifico.
Il contratto con il fornitore di AI può mettere tutti gli obblighi a carico del fornitore?
Può ripartire i compiti fra voi due, ma non toglie a chi usa lo strumento gli obblighi che il regolamento pone a lui, come l’articolo 4 dell’AI Act. Il regolamento prevede espressamente un caso diverso: quando il deployer appone il proprio nome o marchio su un sistema ad alto rischio restano fatti salvi gli accordi contrattuali su una diversa ripartizione degli obblighi (articolo 25, paragrafo 1, lettera a, dell’AI Act).
Cosa devo chiedere al fornitore di intelligenza artificiale?
Quali obblighi dell’AI Act dichiara di rispettare e per quale finalità prevista; se il sistema è ad alto rischio e con quale procedura è stato valutato; quali istruzioni per l’uso accompagnano lo strumento. Chiedilo per iscritto e conserva la risposta.