Deployer AI Act: gli obblighi delle aziende che usano l'intelligenza artificiale

Deployer AI Act: chi è e perché riguarda quasi ogni azienda

Il deployer è la persona fisica o giuridica che utilizza un sistema di IA sotto la propria autorità, salvo l'uso personale non professionale (art. 3 del Regolamento (UE) 2024/1689). Un'azienda che usa un assistente AI per scrivere, uno strumento di selezione del personale o un chatbot per i clienti è quindi un deployer.

Quando il deployer AI Act diventa fornitore

Il ruolo può cambiare. Se l'azienda sviluppa un sistema o lo immette sul mercato con il proprio nome diventa fornitore, con obblighi molto più pesanti. Per questo il primo compito dell'ufficio legale è un inventario: quali sistemi si usano, chi li fornisce, per quale finalità, su quali dati e su quali persone.

Il calendario dell'AI Act per le aziende dopo l'Omnibus digitale

Il Regolamento (UE) 2026/1744 dell'8 luglio 2026, pubblicato in Gazzetta ufficiale dell'Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026, ha rinviato gli obblighi per i sistemi ad alto rischio e riscritto l'art. 4.

Per l'AI Act il 2 agosto 2026 resta la data di applicazione generale; il rinvio riguarda l'alto rischio e non cancella gli obblighi: sposta il termine. Le aziende che stanno introducendo sistemi per la selezione del personale o per la valutazione dei dipendenti devono progettarli già oggi in vista del 2027.

Deployer AI Act: gli obblighi che valgono per ogni azienda

Alcune regole riguardano qualunque deployer, a prescindere dal livello di rischio del sistema usato.

Pratiche vietate (art. 5)

Dal 2 febbraio 2025 alcune pratiche sono vietate. Per un'azienda il caso più vicino è il riconoscimento delle emozioni sul luogo di lavoro, ammesso solo per motivi medici o di sicurezza. Le violazioni dell'art. 5 sono punite con le sanzioni AI Act più alte: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo (art. 99).

AI Act e formazione obbligatoria: l'alfabetizzazione

Nel testo dell'art. 4 modificato dal Regolamento (UE) 2026/1744 fornitori e deployer adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione del personale e di chi usa i sistemi per loro conto, tenendo conto di competenze, contesto d'uso e persone interessate. Il regolamento precisa che l'obbligo non impone di assicurare un livello specifico di alfabetizzazione. Commissione e Stati membri devono sostenere le imprese, in particolare le PMI, anche con esempi pratici.

In pratica: un piano di formazione proporzionato e documentato resta la scelta più prudente, anche se non è più richiesto un risultato.

Art. 50 AI Act: la trasparenza

Dal 2 agosto 2026 il deployer che usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone esposte; chi pubblica deepfake deve dichiarare che il contenuto è generato o manipolato; chi pubblica testi generati con IA per informare il pubblico su questioni di interesse pubblico deve dichiararlo, salvo revisione umana e responsabilità editoriale.

Sistemi ad alto rischio: gli obblighi del deployer dal 2027

Tra i sistemi ad alto rischio dell'Allegato III ci sono quelli usati per selezionare candidati, decidere promozioni o cessazioni, assegnare compiti e monitorare le prestazioni dei lavoratori. Quando si applicano, l'art. 26 chiede al deployer di:

1. usare il sistema secondo le istruzioni del fornitore, con misure tecniche e organizzative adeguate;
2. affidare la sorveglianza umana a persone con competenza, formazione e autorità;
3. assicurare che i dati di input che controlla siano pertinenti e sufficientemente rappresentativi;
4. monitorare il funzionamento, informare il fornitore e sospendere l'uso in caso di rischio;
5. conservare i log generati automaticamente per almeno sei mesi, salvo diversa disposizione;
6. informare i rappresentanti dei lavoratori e i lavoratori interessati prima di mettere in uso il sistema sul luogo di lavoro;
7. informare le persone soggette a decisioni prese o assistite dal sistema.

Le informazioni del fornitore servono anche per la valutazione d'impatto sulla protezione dei dati dell'art. 35 GDPR, quando richiesta.

Legge 132/2025: gli obblighi in più per le aziende italiane

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, aggiunge alcune regole nazionali che toccano l'impresa.

• Lavoro (art. 11). L'uso dell'intelligenza artificiale nel rapporto di lavoro deve essere sicuro, affidabile e trasparente; il datore di lavoro o il committente informa il lavoratore nei casi e con le modalità dell'art. 1-bis del D.Lgs. 26 maggio 1997, n. 152.
• Professionisti (art. 13). I professionisti a cui l'azienda affida incarichi devono informarla, con linguaggio chiaro, sui sistemi di IA che usano. Per l'ufficio legale è un punto da inserire nelle lettere di incarico agli studi esterni.
• Reati (art. 26). Sono state introdotte un'aggravante comune per i reati commessi mediante IA, il nuovo reato di illecita diffusione di contenuti generati o alterati con IA (art. 612-quater c.p.) e pene più alte per aggiotaggio e manipolazione del mercato commessi con IA, rilevanti anche per il modello 231.
• Deleghe (art. 24). Il Governo è delegato ad adeguare la normativa nazionale all'AI Act: verifica lo stato dei decreti attuativi prima di chiudere la tua policy.

Il ruolo dell'ufficio legale: una policy AI aziendale in cinque passi

Gli obblighi dell'AI Act per le aziende si traducono in poche scelte documentate, raccolte in una policy sull'intelligenza artificiale, che di solito spettano al legale interno insieme a IT, HR e DPO.

1. Inventario. Elenca i sistemi in uso, il fornitore, la finalità, i dati trattati e le persone interessate.
2. Classificazione. Per ciascun sistema verifica se rientra nelle pratiche vietate, nell'alto rischio o negli obblighi di trasparenza.
3. Regole d'uso. Definisci quali dati si possono inserire, quali verifiche sono obbligatorie prima di usare un output, chi approva i nuovi strumenti.
4. Formazione. Prevedi misure di alfabetizzazione proporzionate ai ruoli e conservane traccia.
5. Contratti con i fornitori. Chiedi istruzioni per l'uso, classificazione dichiarata, luogo di conservazione dei dati, assenza di addestramento sui tuoi dati, diritti di audit.

Come può aiutarti Next-OS

Next-OS ti aiuta a leggere il testo vigente dell'AI Act e delle norme italiane, a confrontare le versioni prima e dopo l'Omnibus e a scrivere la bozza della policy partendo dai tuoi documenti. Per tenere il passo con decreti attuativi e linee guida usa il monitoraggio normativo aziendale; per i casi d'uso quotidiani torna alla pagina sull'AI per l'ufficio legale.

Secondo la classificazione dichiarata da Aptus.AI, Next-OS non è un sistema di IA per finalità generali e non rientra tra i sistemi ad alto rischio del Regolamento (UE) 2024/1689.