Articolo 16 AI Act: gli obblighi dei fornitori di sistemi ad alto rischio

Pubblicata il 16 ottobre 2026

Copertina: articolo 16 dell'AI Act — Immagine generata con AI

Dodici lettere dicono che cosa deve fare il fornitore di un sistema di AI ad alto rischio. Uno studio che usa lo strumento com'è non è fornitore e non ha questi obblighi: li assume se diventa fornitore ai sensi dell'articolo 25 dell'AI Act, e le stesse lettere sono l'elenco di ciò che si può chiedere a chi gli fornisce lo strumento. Le elenca l'articolo 16 dell'AI Act (Regolamento UE 2024/1689). Un'unica unità, perché l'articolo non ha paragrafi: il commento è qui, il dettaglio lettera per lettera nel corpo.

Il fornitore di un sistema di AI ad alto rischio è un soggetto che ha dodici obblighi, uno per lettera. Sono gli obblighi che l’articolo 25 dell’AI Act richiama quando qualcuno diventa fornitore: chi ci finisce li assume tutti e dodici.

Perché l’articolo 16 dell’AI Act conta per uno studio o un'azienda?

Per la generalità degli studi e delle aziende il ruolo è quello di deployer di AI: usano uno strumento costruito da altri, e gli obblighi sono quelli dell’articolo 26 dell’AI Act. Essere un deployer di AI presenta questi obblighi:

il primo obbligo è il rischio di passaggio a fornitore: mettere il proprio nome o marchio su uno strumento altrui, modificarlo in modo sostanziale o usarlo per una finalità diversa da quella prevista può far scattare l’articolo 25 dell’AI Act e, con esso, questi obblighi.
Il secondo è di natura pratica: le lettere sono un elenco di domande da fare al fornitore prima di scegliere uno strumento ad alto rischio, dalla marcatura CE alla registrazione.

Le conseguenze di un obbligo non rispettato sono pesanti: la non conformità agli obblighi dei fornitori dell’articolo 16 dell’AI Act è soggetta a sanzioni amministrative pecuniarie fino a 15 milioni di euro o, per le imprese, fino al 3% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4, lettera a), dell’AI Act).

Quali sono le dodici lettere dell’articolo 16 dell’AI Act, in breve?

Le lettere da f a l sono quelle che uno studio può vedere o chiedere, e le commentiamo per esteso.

a) I sistemi rispettano i requisiti che il capo III, sezione 2, fissa per i sistemi ad alto rischio (non commentati qui).
b) Il fornitore indica sul sistema, o sull’imballaggio o nei documenti di accompagnamento se non è possibile, il suo nome, la denominazione commerciale registrata o il marchio registrato e l’indirizzo al quale può essere contattato.
c) Dispone di un sistema di gestione della qualità (articolo 17 dell’AI Act).
d) Conserva la documentazione (articolo 18 dell’AI Act), per dieci anni dopo l’immissione sul mercato o la messa in servizio.
e) Conserva i log generati automaticamente dai suoi sistemi, quando sono sotto il suo controllo (articolo 19 dell’AI Act).
f) Fa eseguire la procedura di valutazione della conformità dell’articolo 43 dell’AI Act prima di immettere il sistema sul mercato o di metterlo in servizio: è la lettera che dice quando. Vedi l’articolo 43 dell’AI Act e la voce valutazione di conformità.
g) Elabora la dichiarazione UE di conformità (articolo 47 dell’AI Act): scritta, per ciascun sistema, tenuta a disposizione delle autorità nazionali competenti per dieci anni dall’immissione sul mercato o dalla messa in servizio.
h) Appone la marcatura CE sul sistema o, se non è possibile, sull’imballaggio o sui documenti di accompagnamento (articolo 48 dell’AI Act). Vedi la voce marcatura CE.
i) Rispetta gli obblighi di registrazione dell’articolo 49, paragrafo 1, dell’AI Act: per i sistemi dell’Allegato III, esclusi quelli del punto 2, registra sé stesso e il sistema nella banca dati dell’UE (articolo 71 dell’AI Act) prima di immetterlo sul mercato o metterlo in servizio.
j) Adotta le misure correttive necessarie e fornisce le informazioni richieste dall’articolo 20 dell’AI Act: se ritiene o ha motivo di ritenere che un sistema già sul mercato non rispetti il regolamento, adotta subito le misure per riportarlo a rispettarlo, ritirarlo, disabilitarlo o richiamarlo, e informa i distributori e, ove applicabile, i deployer.
k) Su richiesta motivata di un’autorità nazionale competente, dimostra che il sistema rispetta i requisiti della sezione 2.
l) Garantisce che il sistema rispetti i requisiti di accessibilità delle direttive (UE) 2016/2102 e (UE) 2019/882.

Da quando si applica l’articolo 16 dell’AI Act?

Gli obblighi dell’articolo 16 dell’AI Act non valgono ancora. Si applicano dal 2 dicembre 2027 per i sistemi ad alto rischio dell’Allegato III (articolo 6, paragrafo 2, dell’AI Act), come quelli usati per selezionare il personale o valutare il merito di credito, e dal 2 agosto 2028 per quelli legati ai prodotti dell’Allegato I (articolo 6, paragrafo 1, dell’AI Act), come giocattoli o dispositivi medici (articolo 113 dell’AI Act). Se sei un fornitore, hai tempo fino ad allora per prepararti. Se usi uno di questi sistemi, è il momento di chiedere al fornitore come si sta organizzando.

Cosa cambia nell’articolo 16 dell’AI Act con l’Omnibus?

Nel testo, niente. L’Omnibus digitale (Regolamento (UE) 2026/1744), che ha modificato l’AI Act a luglio 2026, non ha toccato l’articolo 16 dell’AI Act. Le novità per i fornitori stanno in altri articoli, come l’articolo 25 dell’AI Act.

Cosa chiedere al fornitore prima di scegliere uno strumento ad alto rischio dell’Allegato III?

La situazione tipo: uno studio sceglie uno strumento di AI che rientra in una delle categorie dell’Allegato III, per esempio per selezionare candidature, e vuole sapere che cosa aspettarsi dal fornitore. Le domande concrete sono:

Il fornitore indica sul sistema o nei documenti il proprio nome e un indirizzo di contatto?
Ha una dichiarazione UE per quel sistema?
C’è la marcatura CE?
Il sistema è registrato nella banca dati dell’UE, se è tra quelli dell’Allegato III diversi dal punto 2?
Che procedura di valutazione della conformità ha seguito?

Se manca qualcosa, la domanda va al fornitore prima dell’uso.

A chi non si applica l’articolo 16 dell’AI Act?

Non riguarda chi usa il sistema com’è, per lo scopo dichiarato: quello resta deployer, con gli obblighi dell’articolo 26 dell’AI Act. Non riguarda i sistemi che non sono ad alto rischio. Non è la procedura di valutazione della conformità, che è l’articolo 43 dell’AI Act. E non è ancora applicabile ai sistemi ad alto rischio: le date sono quelle del paragrafo «Da quando si applica l’articolo 16 dell’AI Act?».

I casi che partono da qui: Uso un software che fa una prima scrematura dei curriculum. Sono ad alto rischio? e Sono un deployer senza saperlo? Come capire se l’AI Act ti riguarda.

I fornitori dei sistemi di IA ad alto rischio: a) garantiscono che i loro sistemi di IA ad alto rischio siano conformi ai requisiti di cui alla sezione 2; b) indicano sul sistema di IA ad alto rischio oppure, ove ciò non sia possibile, sul suo imballaggio o sui documenti di accompagnamento, a seconda dei casi, il loro nome, la loro denominazione commerciale registrata o il loro marchio registrato e l'indirizzo al quale possono essere contattati; c) dispongono di un sistema di gestione della qualità conforme all'articolo 17; d) conservano la documentazione di cui all'articolo 18; e) quando sono sotto il loro controllo, conservano i log generati automaticamente dai loro sistemi di IA ad alto rischio di cui all'articolo 19; f) garantiscono che il sistema di IA ad alto rischio sia sottoposto alla pertinente procedura di valutazione della conformità di cui all'articolo 43 prima che sia immesso sul mercato o messo in servizio; g) elaborano una dichiarazione di conformità UE a norma dell'articolo 47; h) appongono la marcatura CE sul sistema di IA ad alto rischio oppure, ove ciò non sia possibile, sul suo imballaggio o sui documenti di accompagnamento per indicare la conformità al presente regolamento a norma dell'articolo 48; i) rispettano gli obblighi di registrazione di cui all'articolo 49, paragrafo 1; j) adottano le necessarie misure correttive e forniscono le informazioni necessarie in conformità dell'articolo 20; k) su richiesta motivata di un'autorità nazionale competente, dimostrano la conformità del sistema di IA ad alto rischio ai requisiti di cui alla sezione 2; l) garantiscono che il sistema di IA ad alto rischio sia conforme ai requisiti di accessibilità in conformità delle direttive (UE) 2016/2102 e (UE) 2019/882.

In pratica

Il fornitore ha dodici obblighi, uno per lettera, e per uno studio contano in due casi. Contano quando diventa fornitore ai sensi dell'articolo 25 dell'AI Act, perché li assume tutti, e come elenco di ciò che si può chiedere a chi fornisce lo strumento. I sei che si vedono da fuori sono la procedura di valutazione della conformità prima dell'immissione sul mercato o della messa in servizio (lettera f), la dichiarazione UE (g), la marcatura CE (h), la registrazione nella banca dati dell'UE per i sistemi dell'Allegato III (i), le misure correttive con l'informazione a distributori e deployer (j) e la dimostrazione dei requisiti all'autorità nazionale che la chiede con richiesta motivata (k). Le lettere da a a e sono il lavoro interno del fornitore: requisiti, indicazioni sul sistema, gestione della qualità, documentazione e log. La lettera l aggiunge i requisiti di accessibilità. Il dettaglio, lettera per lettera, è nel corpo della pagina.

Testo verificato su EUR-Lex il 19 settembre 2026. Articolo invariato dal Digital Omnibus: confrontato parola per parola con il testo originale del 2024, l'unica differenza è l'intestazione «Articolo N …», presente nel testo originale e assente nel testo in vigore. L'articolo non ha paragrafi numerati, né nel testo in vigore né nel testo originale: è un'unica unità con dodici lettere (a-l)..