Sono un deployer senza saperlo? Come capire se l'AI Act ti riguarda

Sì. Se al lavoro usi anche un solo strumento con dentro l'AI, anche uno che non hai scelto tu, quasi sempre il deployer sei tu. Bastano tre domande per toglierti ogni dubbio.

Pubblicata il 24 ottobre 2026

Molto probabilmente sì. Se nella tua attività usi anche un solo sistema di intelligenza artificiale, sei deployer, che tu lo abbia scelto, installato o solo trovato lì.

Il problema non è capire cosa vuol dire la parola. È accorgersi di esserla: si può non sentirsi un «deployer», perché l’AI che si usa non è mai stata comprata come tale. Ce l’ha nell’assistente che riassume le mail, nella trascrizione delle telefonate, nel modulo di prenotazione del sito, nella funzione nuova comparsa con l’ultimo aggiornamento del gestionale. Bastano tre domande, in ordine.

Prima domanda: quello che uso è un sistema di AI?

Quello che conta è la funzione, non il nome sul listino: un risultato che non deriva da regole scritte da una persona ma è ricavato dal sistema a partire dai dati che riceve. È il sistema di AI: un sistema automatizzato progettato per funzionare con livelli di autonomia variabili che, per obiettivi espliciti o impliciti, deduce dall’input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali (punto 1 dell’articolo 3 del Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act), l’articolo che raccoglie le definizioni usate in tutto il testo).

Un assistente conversazionale, un trascrittore automatico, un generatore di immagini o testi, un sistema che suggerisce o classifica, tutti questi sono esempi che non richiedono molta fantasia. Il caso difficile è lo strumento in uso da anni che ha ricevuto una funzione nuova. Lì non si indovina: si chiede al fornitore per iscritto, e per questo esiste un modello di richiesta.

Seconda domanda: il sistema di AI lo uso sotto la mia autorità, in un’attività professionale?

È deployer chi utilizza un sistema di AI sotto la propria autorità, tranne nel caso in cui l’uso avvenga nel corso di un’attività personale non professionale: lo definisce l’articolo 3, punto 4, dell’AI Act. Due cose contano.

Professionale. Se lo strumento serve al tuo lavoro, l’esclusione non c’è, anche se lo usi da solo, anche se è gratuito, anche se l’account è personale: l’articolo 2, paragrafo 10, dell’AI Act esclude gli obblighi delle persone fisiche che usano sistemi di AI in un’attività non professionale puramente personale.

Sotto la tua autorità. Decidi tu se si usa, per cosa, con quali dati. Vale per il tuo personale, e vale per chi lavora per te: un collaboratore che usa il suo assistente sui dati della tua attività, una segreteria affidata a un servizio esterno. L’articolo 4 dell’AI Act, quello sull’alfabetizzazione in materia di AI, parla espressamente di «qualsiasi altra persona» che si occupa dei sistemi per tuo conto. È il motivo per cui il ruolo può essere tuo anche senza che tu abbia mai aperto lo strumento.

Terza domanda: sono anche fornitore di intelligenza artificiale?

Di norma no, e non lo diventi perché usi bene o male uno strumento. Il fornitore è chi sviluppa il sistema, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (articolo 3, punto 3, dell’AI Act). Se compri un prodotto e lo usi, il fornitore è chi te lo ha dato.

C’è un’eccezione che riguarda solo i sistemi ad alto rischio. L’articolo 25, paragrafo 1, dell’AI Act considera fornitore anche un deployer che appone il proprio nome o marchio su un sistema ad alto rischio già sul mercato, che vi apporta una modifica sostanziale in modo che resti ad alto rischio, o che ne modifica la finalità prevista in modo che diventi ad alto rischio. Chi ricade in una di queste tre situazioni porta gli obblighi che l’articolo 16 dell’AI Act pone ai fornitori di sistemi ad alto rischio, compresa la valutazione della conformità prevista dall’articolo 43 dell’AI Act. Se vendi sotto il tuo marchio uno strumento comprato da altri, la domanda va fatta prima. Il dettaglio è nella pagina sull’articolo 25 dell’AI Act.

Cosa cambia se sono deployer di AI?

Meno di quanto si teme, più di quanto si ignora.

• Per tutti i deployer, l’articolo 4 dell’AI Act. Misure volte a sostenere l’alfabetizzazione in materia di AI di chi usa i sistemi per tuo conto, senza un livello specifico da garantire. Vale dal 2 febbraio 2025. La formulazione di oggi viene dal Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, in vigore dal 27 luglio 2026, che ha modificato l’AI Act e riscritto l’articolo 4 dell’AI Act: cosa è cambiato è in Alfabetizzazione AI: cosa chiede davvero l’articolo 4 dell’AI Act.

• Per tutti, i divieti dell’articolo 5 dell’AI Act. Non dipendono dal ruolo: vietano certe pratiche a chiunque le eserciti.

• Per alcuni usi, le regole di trasparenza dell’articolo 50 dell’AI Act. I deployer devono informare le persone esposte a un sistema di riconoscimento delle emozioni o di categorizzazione biometrica, e rendere noto che un deep fake è stato generato o manipolato artificialmente (paragrafi 3 e 4). Per chi interagisce direttamente con le persone, invece, l’obbligo di progettare il sistema in modo che le informi è del fornitore.

• Solo per i sistemi ad alto rischio, l’articolo 26 dell’AI Act. È l’articolo che elenca gli obblighi dei deployer di questi sistemi. Quando un sistema è ad alto rischio lo stabilisce l’articolo 6 dell’AI Act, e tra questi sistemi ci sono quelli dell’Allegato III, l’elenco dei sistemi di AI ad alto rischio per ambito di impiego. Per quelli dell’Allegato III gli obblighi si applicano dal 2 dicembre 2027, secondo l’articolo 113, lettera c, punto i, dell’AI Act, che fissa le date di applicazione del regolamento. Se prendi una decisione su una persona basandoti sul risultato di un sistema dell’Allegato III, e quella decisione ha effetti giuridici o la riguarda in modo altrettanto serio, la persona può chiederti una spiegazione chiara del ruolo che ha avuto il sistema e dei punti principali della decisione: è il diritto alla spiegazione dell’articolo 86 dell’AI Act. Fanno eccezione i sistemi del punto 2 dell’Allegato III.

Non affermiamo qui se un certo software sia o no ad alto rischio: lo dice il fornitore, e va chiesto per iscritto.

Cosa succede se un cliente chiede se uso l’AI sui suoi dati e nessuno lo sa?

Un’attività che si è sempre detta «senza AI» riceve una richiesta di un cliente: usate l’intelligenza artificiale sui miei dati? Nessuno lo sa. Dentro il gestionale, con l’ultimo aggiornamento, è comparsa una funzione che riassume le pratiche; una collaboratrice la usa da mesi. Non c’è un inventario, non c’è una risposta del fornitore, non c’è un’istruzione scritta. La domanda successiva, di un’autorità o di un cliente arrabbiato, è sempre la stessa: da quando lo sapevate e cosa avevate fatto? Non aver saputo di essere deployer non è una difesa: è la descrizione del problema.

Quali sono le tre misure minime se scopro di essere deployer, in ordine di importanza?

In ordine di importanza: fai l’elenco di ciò che si usa davvero, chiedi per iscritto ai fornitori, adotta le misure dell’articolo 4 dell’AI Act.

1. Fai l’elenco di ciò che si usa davvero. Non quello che è nel contratto: quello che è in uso, da chi, per cosa, con quali dati. Il modello di inventario parte da lì.

2. Chiedi per iscritto ai fornitori. Per ogni strumento dubbio: c’è una funzione di AI? Quale finalità prevista? Come è classificato? Conserva la richiesta e la risposta.

3. Adotta le misure dell’articolo 4 dell’AI Act. Istruzioni scritte, formazione proporzionata, una traccia con la data.

Cosa mettere nel fascicolo per dimostrare ciò che hai fatto?

La risposta alla domanda «sono deployer?» va scritta e datata, altrimenti tra sei mesi è una convinzione e non un fatto. Nel fascicolo va l’inventario, con accanto per ogni strumento il ruolo che hai (deployer, in qualche caso anche fornitore), le richieste ai fornitori e le risposte, le istruzioni interne, la traccia della formazione e la data di revisione.

In sintesi: come capisco se sono deployer?

Sei deployer se usi un sistema di AI sotto la tua autorità in un’attività professionale, anche se lo strumento è uno solo e non l’hai scelto tu. Il ruolo non è un marchio di rischio: per le attività che non usano sistemi ad alto rischio significa l’articolo 4 dell’AI Act, i divieti, la trasparenza dove si applica, e nulla di più. Il primo passo è sapere cosa si usa. Vuoi sapere se e quanto ti riguarda? Fai il test per capire se sei coinvolto. Se la tua è una piccola impresa senza un reparto dedicato, la pagina per il tuo mestiere è PMI e società di servizi.

Ultimo aggiornamento: 19 settembre 2026. Contenuto aggiornato al Regolamento (UE) 2026/1744. Oltre al regolamento europeo, l’Italia sta completando le sue regole sull’AI. Le autorità sono già designate dall’articolo 20 della legge 23 settembre 2025, n. 132: l’ACN vigila sul mercato (per gli istituti finanziari, Banca d’Italia, CONSOB e IVASS) e l’AgID cura la notifica degli organismi. I decreti legislativi completano il quadro. Il primo, il decreto legislativo 9 settembre 2026, n. 160, sull’uso dell’AI da parte della polizia e sulle responsabilità penali e civili, è in vigore dal 30 settembre 2026. Il secondo è il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre 2026. È quello che conta di più per studi e imprese, perché dice con quali sanzioni si applicano le regole e come va fatta la formazione.

Domande frequenti

Sono deployer anche se lo strumento lo ha scelto e installato il mio fornitore?

Sì. La definizione guarda a chi utilizza il sistema sotto la propria autorità, non a chi lo ha comprato o installato. Se il servizio lavora per te e usa l’AI, il ruolo è tuo.

Usare ChatGPT per conto mio, a casa, mi rende deployer?

No, se l’uso è personale e non professionale (lo esclude l’articolo 2, paragrafo 10, dell’AI Act). Se lo usi per il lavoro, invece, sì.

Il deployer ha gli stessi obblighi del fornitore?

No. Gli obblighi del fornitore, come quelli dell’articolo 16 dell’AI Act sui sistemi ad alto rischio, non sono del deployer. Un deployer può però diventare fornitore in tre situazioni previste dall’articolo 25 dell’AI Act, che riguardano i sistemi ad alto rischio.

Essere deployer significa avere obblighi pesanti?

Non necessariamente. Per tutti i deployer valgono le misure per sostenere l’alfabetizzazione (articolo 4 dell’AI Act) e restano i divieti (articolo 5 dell’AI Act). Solo i sistemi ad alto rischio comportano gli obblighi dell’articolo 26 dell’AI Act, e per quelli dell’Allegato III si applicano dal 2 dicembre 2027.

Se in azienda usiamo solo ChatGPT o Copilot, l’AI Act ci riguarda?

Sì, se li usate nella vostra attività: è deployer chi utilizza un sistema di AI sotto la propria autorità, fuori da un’attività personale non professionale (articolo 3, punto 4, dell’AI Act), e conta l’uso, non quanti strumenti sono. Nelle Q&A «AI Literacy — Questions & Answers», con cui la Commissione europea risponde alle domande sull’articolo 4 dell’AI Act e che ha aggiornato il 27 luglio 2026, c’è proprio l’esempio di un’azienda i cui dipendenti usano ChatGPT per scrivere testi pubblicitari o tradurre: le persone devono essere informate dei rischi specifici, per esempio l’allucinazione. Se Copilot è una funzione già inclusa in un pacchetto che paghi per altro il ruolo non cambia: si guarda a chi lo usa sotto la tua autorità, non a chi l’ha scelto.