Gli obblighi dell’EU AI Act dipendono da due fattori: il ruolo della tua azienda e il livello di rischio del sistema. Non esiste una risposta unica valida per tutti.
L’EU AI Act è il regolamento europeo che disciplina lo sviluppo, l’immissione sul mercato e l’uso dei sistemi di intelligenza artificiale nell’Unione Europea. Per sapere cosa devi fare, parti da una domanda concreta: che tipo di soggetto sei rispetto al sistema che usi o sviluppi?
Provider, deployer, importatore, distributore: ogni ruolo ha obblighi diversi. A questo si somma la classificazione di rischio del sistema. Un sistema high-risk impone adempimenti pesanti; un sistema a rischio minimo quasi nessuno. In questa pagina ti spiego come orientarti, seguendo la logica del questionario ufficiale del Future of Life Institute, aggiornato al 28 luglio 2025.
Cosa conta come “sistema di AI” secondo il regolamento
Il primo filtro è la definizione stessa. Un sistema di AI è un sistema automatizzato progettato per operare con livelli variabili di autonomia, che può mostrare adattività dopo l’installazione e che, da input ricevuti, deduce come generare output: previsioni, contenuti, raccomandazioni o decisioni capaci di influenzare ambienti fisici o virtuali.
Se il tuo software non rientra in questa definizione, sei fuori dal campo di applicazione. Vale la pena verificarlo subito. Molti gestionali tradizionali, basati su regole fisse senza alcuna capacità inferenziale, non sono sistemi di AI ai sensi dell’Articolo 3. Stabilire questo confine all’inizio ti evita analisi inutili.
Quale ruolo ha la tua azienda nella catena del valore?
La risposta determina l’intera lista di obblighi. Il regolamento distingue sei profili, e puoi rientrare in più di uno contemporaneamente (Considerando 83).
Con provider si intende chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato sotto il proprio nome o marchio. Con deployer si intende chi usa un sistema di AI sotto la propria autorità, in ambito professionale. Distributore e importatore agiscono sulla catena di fornitura: il primo mette a disposizione il sistema sul mercato UE, il secondo immette un sistema che porta il marchio di un soggetto extra-UE.
I sei profili previsti dall’EU AI Act
- Provider: sviluppa il sistema e lo immette sul mercato con proprio nome o marchio.
- Deployer: utilizza il sistema sotto la propria autorità in contesto professionale.
- Distributore: mette il sistema a disposizione sul mercato UE, senza esserne provider o importatore.
- Importatore: stabilito nell’UE, immette un sistema con marchio di un soggetto extra-UE.
- Fabbricante di prodotto: immette sul mercato un sistema di AI insieme al proprio prodotto, con proprio marchio.
- Rappresentante autorizzato: agisce nell’UE su mandato scritto di un provider, eseguendone gli obblighi.
Un punto operativo spesso trascurato: se modifichi un sistema esistente, cambi nome o marchio, alteri la finalità d’uso o introduci una modifica sostanziale (Articolo 25), diventi tu il provider. Il provider originario decade da quel ruolo per il sistema modificato e deve solo fornirti informazioni e accessi.
Il mio sistema è considerato “high-risk”?
Lo è se rientra in una delle categorie elencate negli Allegati I e III del regolamento. La classificazione high-risk identifica i sistemi che possono incidere su salute, sicurezza o diritti fondamentali, e che per questo ricevono gli obblighi più stringenti.
Due percorsi portano allo status high-risk. Il primo riguarda i prodotti già regolati da normative UE di settore: macchine, dispositivi medici, giocattoli, ascensori, equipaggiamenti radio e altri (Allegato I). Se il prodotto richiede una valutazione di conformità da parte di terzi e il sistema di AI ne è componente di sicurezza, scatta l’alto rischio.
Il secondo percorso passa dall’Allegato III, che elenca settori sensibili: biometria, infrastrutture critiche, istruzione, gestione dei lavoratori e accesso all’occupazione, servizi essenziali, law enforcement, migrazione e giustizia. In questi casi il sistema è high-risk salvo eccezioni precise dell’Articolo 6 punto 3, come l’esecuzione di un compito procedurale ristretto. Attenzione: se il sistema profila persone fisiche, è sempre high-risk, senza eccezioni.
Quali obblighi scattano in base al ruolo?
Ogni profilo ha un articolo di riferimento con adempimenti specifici. Vale la pena conoscerli prima di firmare contratti o avviare progetti.
Come provider di un sistema high-risk rispondi all’Articolo 16: sistema di gestione del rischio, documentazione tecnica, sorveglianza umana, conformità. Come deployer di un sistema high-risk rispondi all’Articolo 26, e se sei un ente pubblico o eroghi servizi pubblici devi condurre una valutazione d’impatto sui diritti fondamentali prima dell’uso (Articolo 27).
Esiste poi un livello trasversale che riguarda quasi tutti. Provider e deployer devono garantire un livello adeguato di alfabetizzazione AI del personale (Articolo 4). E gli obblighi di trasparenza dell’Articolo 50 colpiscono i sistemi che generano deepfake, contenuti sintetici, interazioni dirette con persone o riconoscimento delle emozioni: il pubblico deve sapere che sta interagendo con un’AI o con contenuti generati.
Le domande che mi arrivano più spesso sull’EU AI Act
La mia azienda usa solo strumenti di AI di terzi. Ho obblighi?
Sì, come deployer. Se usi un sistema di AI sotto la tua autorità in ambito professionale, rientri nel regolamento anche senza averlo sviluppato. Gli obblighi dipendono dal rischio del sistema: per i sistemi high-risk rispondi all’Articolo 26, e in ogni caso devi garantire l’alfabetizzazione AI del tuo personale ai sensi dell’Articolo 4. Verifica sempre che il fornitore ti dia la documentazione necessaria.
Se modifico un sistema acquistato da un fornitore, cosa cambia?
Cambia tutto. Se cambi nome o marchio, modifichi la finalità d’uso o introduci una modifica sostanziale (Articolo 25), diventi giuridicamente il provider di quel sistema. Erediti gli obblighi del provider, che sono i più gravosi del regolamento. Il fornitore originario esce dal suo ruolo per quel sistema specifico. È una conseguenza che molte aziende ignorano fino a quando non è troppo tardi.
Il software open source è escluso?
In parte. I sistemi di AI rilasciati con licenza libera e open source sono esclusi finché non vengono immessi sul mercato come parte di un sistema high-risk, proibito, di uso generale o soggetto a obblighi di trasparenza (Articolo 2 punto 12). L’esclusione, quindi, non è incondizionata: dipende dall’uso finale e dalla categoria di rischio in cui il sistema viene impiegato.
Cosa rischio se classifico male il mio sistema?
Se dichiari che il sistema non è high-risk e una autorità di sorveglianza del mercato accerta il contrario (Articolo 80), il sistema ricade negli obblighi high-risk e puoi essere soggetto a sanzioni ai sensi dell’Articolo 99. Per questo, se ti consideri esente, devi documentare la valutazione e registrare il sistema nel database UE prima di immetterlo sul mercato (Articolo 49).
Sono fuori dall’UE. Il regolamento mi riguarda comunque?
Può riguardarti. Il criterio decisivo non è dove sei stabilito, ma dove ha effetto il sistema. Se l’output del tuo sistema di AI viene usato nell’UE, rientri nel campo di applicazione come provider, deployer o distributore (Articolo 2). Lo stesso vale per i fabbricanti che immettono prodotti con AI sul mercato europeo. La portata extraterritoriale è una delle caratteristiche più rilevanti del regolamento.
Dove conviene partire per inquadrare la tua posizione
L’EU AI Act non si affronta a tentoni. Il primo passo è una mappatura precisa: quali sistemi di AI usi o sviluppi, in quale ruolo, in quale categoria di rischio. Senza questa base, ogni decisione successiva è esposta a errori costosi.
Lavoro con imprese e organizzazioni per inquadrare la posizione rispetto al regolamento e definire un percorso di adeguamento concreto, calibrato sul ruolo effettivo e sui sistemi realmente in uso. Un AI Assessment iniziale serve proprio a questo: capire dove ti trovi prima di muovere risorse.
Se vuoi verificare quali obblighi ricadono sui tuoi sistemi, scrivimi dalla pagina contatti e organizziamo un primo confronto.