C'è una domanda che viene prima di tutte le altre, e quasi nessuno se la fa. Non è "il mio sistema è ad alto rischio?". È: io, in questa storia, chi sono?
Perché l'AI Act non mette gli obblighi sul sistema. Li mette sulle persone — giuridiche — che stanno attorno al sistema. E se sbagli a identificarti, stai leggendo gli articoli sbagliati e ti stai preparando alla conformità di qualcun altro.
I ruoli che contano davvero
Il fornitore è chi sviluppa un sistema di IA, o se lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. È il ruolo pesante: documentazione tecnica, valutazione di conformità, marcatura CE quando serve, gestione degli incidenti.
Il deployer — lo trovi tradotto anche "utilizzatore" o "utente professionale" — è chi usa un sistema di IA sotto la propria autorità nell'ambito di un'attività professionale. Sei tu che compri il gestionale, attivi il chatbot, dai l'account aziendale ai dipendenti. Obblighi più leggeri ma non zero: uso conforme alle istruzioni, sorveglianza umana, informazione delle persone coinvolte, trasparenza verso il pubblico.
Poi ci sono importatore e distributore, che contano se porti in Europa o rivendi sistemi altrui. E c'è il fornitore a valle, che è dove le cose si fanno interessanti.
Come si diventa fornitori senza volerlo
Questa è la parte che fa male, e la ripeto piano perché la vedo fraintendere sempre.
Un deployer diventa fornitore in tre casi. Primo: se mette il proprio nome o marchio su un sistema di IA già immesso sul mercato. Secondo: se ne fa una modifica sostanziale. Terzo: se ne cambia la finalità prevista, portandolo in un ambito ad alto rischio a cui non era destinato.
Traduzione pratica. Prendi un modello linguistico via API, ci costruisci sopra un assistente, lo chiami "AssistenteSmart by AziendaTua" e lo vendi ai tuoi clienti. Sei fornitore. Non sei più quello che "usa un tool americano": sei quello che risponde davanti all'autorità del sistema che ha immesso sul mercato. E se quell'assistente domani finisce in un impiego dell'Allegato III, ti trovi addosso obblighi che non avevi previsto.
Non è teoria. È il modello di business di metà delle software house italiane che nel 2024 e nel 2025 hanno costruito qualcosa attorno a un'API.
Il caso normale: sei un deployer e basta
Rilassati, perché nella stragrande maggioranza dei casi il ruolo è questo. Studio professionale che usa ChatGPT o Copilot, azienda che ha attivato l'IA dentro il gestionale, agenzia che genera immagini per i clienti: deployer.
Cosa ti tocca, allora? L'alfabetizzazione IA dell'articolo 4, riscritto dal Digital Omnibus e applicabile nella nuova versione dal 27 luglio 2026: misure effettive e proporzionate, calibrate su chi fa cosa. Non un corso uguale per tutti: chi usa l'IA per scrivere email e chi la usa per valutare fornitori non hanno bisogno della stessa formazione.
Poi la trasparenza dell'articolo 50, applicabile dal 2 agosto 2026: se il sistema parla con le persone deve dichiararsi, se produce contenuti sintetici destinati al pubblico vanno resi riconoscibili. E quando arriverà l'alto rischio, a dicembre 2027, ti toccheranno sorveglianza umana e informazione dei lavoratori coinvolti.
Il test in quattro domande
Ci metti dieci minuti. Uno: il sistema esce da casa tua con il tuo nome sopra? Se sì, fornitore. Due: l'hai modificato in modo sostanziale o gli hai cambiato destinazione d'uso? Se sì, fornitore. Tre: lo usi soltanto, con le impostazioni previste da chi te l'ha venduto? Deployer. Quattro: lo rivendi così com'è, comprato fuori dall'Unione? Importatore o distributore.
Segna la risposta su un foglio con la data. Quando ACN farà una domanda, il foglio con la data vale più di mezz'ora di spiegazioni a braccio.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Prima di chiederti se sei conforme, chiediti chi sei. In quest'ordine.
Domande frequenti
Se personalizzo un modello con i miei dati divento fornitore?
Dipende dall'entità dell'intervento. Un fine-tuning che cambia in modo sostanziale il comportamento del sistema, o che ne sposta la finalità verso un uso ad alto rischio, ti porta nel ruolo di fornitore. Configurare prompt e impostazioni previste dal produttore, no.
Un professionista singolo può essere deployer?
Sì. Il ruolo riguarda chi usa l'IA nell'ambito di un'attività professionale, a prescindere dalla dimensione. Un avvocato con partita IVA è deployer esattamente come una multinazionale.
Chi risponde se il sistema causa un danno?
Dipende da dove nasce il problema: difetto del sistema o uso difforme dalle istruzioni. Il fornitore risponde della conformità del prodotto, il deployer dell'uso concreto e della sorveglianza umana. Nella pratica si finisce quasi sempre a discutere di contratto e di prova.