Questa pagina è per chi sviluppa. Se hai preso un modello via API, ci hai costruito sopra un prodotto, gli hai dato un nome e lo vendi ai clienti, c'è una cosa che devi sapere: secondo l'AI Act, il fornitore sei tu. Non OpenAI, non Google, non Anthropic. Tu.
È il passaggio che nel 2024 e nel 2025 è sfuggito a mezzo mercato italiano, e che adesso comincia a presentare il conto.
Quando si diventa fornitore
Il regolamento definisce fornitore chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.
E prevede espressamente che un deployer o un altro soggetto diventi fornitore quando: appone il proprio nome o marchio su un sistema già sul mercato; apporta una modifica sostanziale a un sistema; oppure ne modifica la finalità prevista portandolo in un ambito ad alto rischio.
Il classico caso italiano: prendi un modello linguistico, aggiungi il tuo prompt di sistema, ci colleghi la base documentale del cliente, chiami tutto "Assistente [NomeAzienda]" e lo vendi in abbonamento. Sei fornitore.
Cosa cambia, in concreto
Se il tuo prodotto non ricade nell'alto rischio — ed è il caso più comune — gli obblighi restano gestibili. Il principale, dal 2 agosto 2026, è la trasparenza dell'articolo 50: se il sistema interagisce con le persone deve dichiararsi, e se genera contenuti sintetici devono essere marcati in formato leggibile da macchina.
Quella marcatura è responsabilità tua in quanto fornitore. Se il tuo prodotto genera testi, immagini o audio e li restituisce senza alcun segnale tecnico, hai un lavoro da fare, e la scadenza per i sistemi immessi prima del 2 agosto 2026 è il 2 dicembre 2026.
Se invece il tuo prodotto finisce nell'Allegato III — screening dei CV, scoring creditizio, valutazione di studenti, accesso a servizi essenziali — il pacchetto è completo: gestione dei rischi, governance dei dati, documentazione tecnica, log, accuratezza, robustezza, cibersicurezza, sorveglianza umana progettata, istruzioni per l'uso, valutazione di conformità, registrazione. Applicabile dal 2 dicembre 2027.
La registrazione anche se pensi di essere fuori
Dettaglio introdotto dal Digital Omnibus e spesso ignorato: è stata ripristinata la registrazione nella banca dati UE anche per i fornitori che ritengono che il proprio sistema non sia ad alto rischio.
Tradotto: l'autoclassificazione fuori dall'Allegato III non è più una decisione da tenere nel cassetto. Va motivata e dichiarata. Se stai per convincerti che il tuo prodotto di people analytics non valuta le persone, scrivi il perché — perché qualcuno un giorno lo leggerà.
Il rapporto a monte: cosa puoi pretendere
Sei fornitore a valle rispetto a chi ti dà il modello. E chi fornisce un GPAI ha, dal 2 agosto 2025, l'obbligo di mettere a disposizione dei fornitori a valle le informazioni necessarie per comprendere capacità e limiti del modello e per adempiere ai propri obblighi.
Usalo. Chiedi documentazione tecnica, limiti dichiarati, politica sul copyright e sui dati di addestramento. Ti serve per costruire le tue istruzioni per l'uso, che sono l'atto con cui trasferisci al cliente le condizioni corrette di impiego.
Il rapporto a valle: le istruzioni per l'uso
È il documento più sottovalutato dell'intera catena. Le istruzioni per l'uso definiscono la finalità prevista del sistema, i limiti, le condizioni d'impiego, cosa deve fare l'operatore umano.
Servono a due cose: rendere conforme il tuo cliente e delimitare la tua responsabilità. Se il cliente usa il sistema fuori dalla finalità prevista, la posizione giuridica cambia — e se ne modifica in modo sostanziale il funzionamento, diventa lui il fornitore.
Scrivile bene. Sono l'unico documento che, in un contenzioso, spiega dove finisce il tuo prodotto e dove comincia l'uso che ne è stato fatto.
E il codice penale
Con i decreti attuativi approvati il 4 agosto 2026 è entrato l'articolo 437-bis del codice penale: omessa adozione di misure di sicurezza relative ai sistemi di IA ad alto rischio e loro alterazione illecita. Per chi sviluppa sistemi destinati a quegli ambiti, la sicurezza smette di essere una voce di backlog.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Se ci metti il tuo marchio sopra, ci metti anche il tuo nome sotto. È tutto qui il salto da utilizzatore a fornitore.
Domande frequenti
Usare un'API mi rende fornitore?
Usarla internamente no. Costruirci sopra un sistema che immetti sul mercato o metti in servizio con il tuo nome o marchio, sì.
Cosa conta come modifica sostanziale?
Un intervento che cambia in modo significativo il funzionamento o la conformità del sistema rispetto a quanto previsto dal fornitore originario, o che ne sposta la finalità verso un ambito ad alto rischio.
Devo registrarmi nella banca dati UE?
Per i sistemi ad alto rischio la registrazione è prevista, e il Digital Omnibus l'ha ripristinata anche per i fornitori che ritengono che il proprio sistema non sia ad alto rischio, con motivazione della valutazione.