AI Act per il deployer che cosa tocca a chi usa l'AI

Chi è deployer per l'AI Act?

Chi usa un sistema di AI sotto la propria autorità, per lavoro: è la definizione dell'articolo 3, punto 4. Un'azienda che dà ChatGPT agli impiegati, mette un chatbot sul sito o compra un programma che legge i CV è un deployer, anche se non ha scritto una riga di codice. Resta fuori solo chi usa l'AI per sé, fuori dal lavoro.

Il fornitore è un'altra figura. È chi sviluppa un sistema di AI, o lo fa sviluppare, e lo mette sul mercato o in servizio con il proprio nome o marchio, a pagamento o gratis (articolo 3, punto 3). La differenza conta perché gli obblighi pesanti, la documentazione tecnica, la valutazione della conformità, la marcatura CE, sono del fornitore. Lo stesso sistema, però, può cambiare ruolo a chi lo usa.

L'ultima riga è quella che sorprende. Un assistente generico usato per mettere in fila i CV fa una cosa che il suo fornitore non prevede, e che per l'AI Act è ad alto rischio. La lettura prudente dell'articolo 25 è che chi lo usa così diventa fornitore, con i suoi obblighi. Il fornitore di partenza, in quel caso, smette di esserlo per quel sistema, ma deve collaborare.

Quando costruiamo per te un sistema su misura, con il tuo nome, il fornitore per l'AI Act sei tu: per questo la conformità la mettiamo nell'architettura, non in un documento a parte.

Da quando valgono gli obblighi?

Formazione e pratiche vietate valgono già dal 2 febbraio 2025, la trasparenza dal 2 agosto 2026, l'alto rischio dal 2 dicembre 2027 per l'allegato III e dal 2 agosto 2028 per l'allegato I. Le date sono quelle dell'articolo 113 nel testo modificato dal Regolamento (UE) 2026/1744, che ha spostato l'alto rischio.

Il 24 ottobre 2026 abbiamo fatto la stessa domanda a Google, ChatGPT e Perplexity. Sulle tesi le risposte sono d'accordo, sulle date no: la modalità AI di Google, in una risposta, metteva l'alto rischio al 2 agosto 2027, e la panoramica AI diceva la formazione obbligatoria dal 2 agosto 2026. Sono date sbagliate. Altre risposte non danno nessuna data per l'alto rischio.

Il 2 dicembre 2027 non è una data da cui partire: un sistema che seleziona o valuta persone si sceglie, si contratta e si mette in servizio mesi prima. È allora che si decide se avrà i log, la sorveglianza umana e le istruzioni che l'articolo 26 chiede.

Che cosa devi fare, caso per caso?

Con un assistente come ChatGPT servono formazione e una regola sui dati. Se l'AI seleziona o valuta persone, in Italia la decisione finale spetta già oggi a una persona, e dal 2 dicembre 2027 si aggiungono gli obblighi dell'alto rischio. Spunta le voci che ti descrivono: sotto compaiono gli obblighi che ne vengono, ciascuno con l'articolo da cui viene. Compaiono una volta sola anche se tornano in più voci, prima quelli già in vigore e poi per data.

In tre delle risposte che abbiamo letto l'avviso del chatbot tocca all'azienda che lo usa. L'articolo 50 lo mette sul fornitore, che deve progettare il sistema così; a chi lo usa resta il compito di verificarlo e di scriverlo nel contratto.

Un sistema che sta nell'allegato III, in qualche caso, non è ad alto rischio. L'articolo 6, paragrafo 3, lo esclude quando il sistema svolge un compito procedurale limitato, migliora il risultato di un lavoro umano già finito, rileva schemi senza sostituire la valutazione di una persona, o svolge un compito preparatorio a una valutazione. Non vale mai se il sistema fa profilazione delle persone, e la valutazione la deve fare e documentare il fornitore. Se un fornitore ti dice che il suo programma per il personale non è ad alto rischio, chiedigli quella valutazione per iscritto, prima di firmare.

C'è poi un diritto che riguarda chi subisce la decisione. Chi è toccato da una decisione presa con un sistema ad alto rischio dell'allegato III può chiederti spiegazioni chiare sul ruolo che ha avuto l'AI e sugli elementi principali della decisione: è l'articolo 86. Vale se la decisione ha effetti giuridici o simili e la persona ritiene che danneggi la sua salute, la sua sicurezza o i suoi diritti; le infrastrutture critiche sono escluse. Un sistema che non sa dire perché ha proposto quello che ha proposto ti lascia senza risposta.

Che cosa aggiunge la legge italiana per chi usa l'AI con i dipendenti?

Tre cose, e valgono già oggi: le decisioni sul rapporto di lavoro le prende una persona, il lavoratore va informato prima, e i rischi dell'AI entrano nella valutazione dei rischi. Le regole vengono dal decreto legislativo 179 del 2026, che adegua la legge italiana all'AI Act, e da due norme che c'erano già. Il decreto è stato pubblicato in Gazzetta Ufficiale l'8 ottobre 2026 ed è in vigore dal 23 ottobre.

L'articolo 41 del decreto riguarda ogni datore di lavoro che usa sistemi di AI nelle decisioni sul rapporto di lavoro, non solo quelli ad alto rischio. Le decisioni finali su assunzione, modifica e fine del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non possono basarsi solo su un trattamento automatizzato. La decisione definitiva spetta a una persona che eserciti un potere effettivo e autonomo, e il consenso del lavoratore non fa eccezione. La ricerca e la selezione delle candidature non contano come decisione finale, anche quando escludono qualcuno dalle fasi successive. Il lavoratore ha diritto a una motivazione comprensibile, data da una persona, con il peso che ha avuto l'AI e i parametri principali. Un licenziamento deciso in violazione è nullo, e lo sono le altre decisioni.

Prima di usare il sistema, lo stesso articolo rimanda agli obblighi d'informazione dell'articolo 1-bis del decreto legislativo 152 del 1997. Ogni lavoratore va informato per iscritto di che cosa decide o controlla il sistema, per quali scopi, con quale logica, quali dati e parametri usa, con quali controlli e con quale precisione. Le stesse informazioni vanno alle rappresentanze sindacali, e le modifiche che cambiano le condizioni di lavoro vanno comunicate almeno 24 ore prima. Se il sistema permette anche di controllare a distanza l'attività dei lavoratori, vale l'articolo 4 dello Statuto dei lavoratori: serve un accordo con le rappresentanze sindacali o, se manca, l'autorizzazione dell'Ispettorato nazionale del lavoro. Restano fuori gli strumenti che il lavoratore usa per lavorare e quelli che registrano le presenze.

L'articolo 42 porta l'AI nella sicurezza sul lavoro. Un sistema che incide sull'organizzazione del lavoro, sui ritmi, sul modo di lavorare o su decisioni che contano per la sicurezza si valuta nel documento di valutazione dei rischi. I lavoratori vanno informati e formati sui rischi specifici dell'AI che usano.

Una firma in fondo a una classifica fatta dall'AI non è una decisione presa da una persona: chi decide deve poter cambiare l'esito, e sapere perché il sistema ha proposto quello che ha proposto. Per questo, nei sistemi che costruiamo, la persona che approva vede le ragioni della proposta, e ogni scelta resta in un registro di quello che l'AI ha fatto.

Che cosa rischi se non lo fai?

Per gli obblighi del deployer fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, ma per una PMI il tetto è la più bassa delle due cifre. Le soglie sono quelle dell'articolo 99 dell'AI Act, che in Italia l'articolo 23 del decreto legislativo 179 del 2026 riprende e completa.

Per le PMI, start-up comprese, vale la più bassa fra la cifra e la percentuale. Un esempio con numeri tondi: un'azienda che fattura 10 milioni di euro e non rispetta un obbligo dell'articolo 26 rischia fino al 3%, cioè 300.000 €, non 15 milioni. Le piccole imprese a media capitalizzazione hanno la stessa regola per le fasce del 3% e dell'1%. Per le violazioni poco gravi, l'articolo 22 del decreto permette all'autorità di ordinare di rimediare entro un termine, invece della multa; chi non lo fa paga fino a un terzo in più.

L'obbligo di formazione dell'articolo 4 non compare in nessuno dei due elenchi di sanzioni: resta un obbligo, ma non ha una multa sua. E per un'azienda che usa l'AI con i dipendenti il rischio più concreto non è la multa: è un licenziamento nullo, o una valutazione delle prestazioni che non regge davanti a un giudice.

Un esempio: un'azienda metalmeccanica di 60 persone

Un'azienda metalmeccanica di 60 dipendenti usa Copilot per email e documenti, una telecamera con AI che scarta i pezzi difettosi in linea, e vuole comprare un software che valuta le prestazioni dei dipendenti. Il 24 ottobre 2026 abbiamo chiesto a Google, ChatGPT e Perplexity che cosa deve fare per l'AI Act, e quali dei tre sistemi sono ad alto rischio.

Le risposte sono d'accordo: ad alto rischio è il software di valutazione, che sta nell'allegato III, punto 4. La telecamera non lo è, finché scarta pezzi e non è un componente di sicurezza di una macchina; Copilot nemmeno. L'articolo 4 dello Statuto dei lavoratori e l'informazione ai sindacati compaiono nella modalità AI di Google, nella panoramica AI e in ChatGPT. Nessuna risposta cita il decreto legislativo 179 del 2026, in vigore dal giorno prima.

Manca proprio quello. Ecco i tre sistemi con le regole di oggi.

Per Copilot l'informazione sui rischi la chiede l'articolo 42 del decreto 179. Per la telecamera l'accordo sindacale serve se inquadra le persone, e senza accordo serve l'autorizzazione dell'Ispettorato; la valutazione dei rischi si aggiorna se cambiano i ritmi di lavoro. Per il software di valutazione l'informativa scritta va a lavoratori e sindacati prima dell'uso, l'articolo 4 dello Statuto vale se il programma controlla l'attività, e dal 2 dicembre 2027 l'articolo 26 chiede di informare anche le rappresentanze.

Il software di valutazione è da decidere per primo, non per ultimo: è l'unico dei tre ad alto rischio, e in Italia le sue valutazioni sono già oggi decisioni da far prendere a una persona. Prima di comprarlo, chiedi al fornitore le istruzioni per l'uso dell'articolo 13 e come il programma permette a chi valuta di vedere e cambiare la proposta. Chiedi anche dove restano i log e per quanto, e su quali dati si basa la valutazione. Se non sa rispondere, hai già la tua risposta.

Da lì la strada che conviene è questa:

1. un elenco dei sistemi di AI usati in azienda, con chi li usa e per che cosa, compresi quelli che i dipendenti usano per conto loro;
2. una formazione breve per chi usa Copilot e una regola scritta sui dati che non si incollano;
3. per la telecamera, una verifica di che cosa inquadra e dei suoi effetti sui ritmi, da portare nel documento di valutazione dei rischi;
4. per il software di valutazione, l'informativa e il confronto con le rappresentanze prima dell'acquisto, poi un periodo in cui le valutazioni le fa una persona e il sistema propone soltanto.

Quando non devi fare niente di più?

Quando usi l'AI per scrivere, riassumere e cercare, e nessun sistema decide, o aiuta a decidere, sulle persone. Allora bastano la formazione dell'articolo 4, una regola chiara sui dati che si possono dare agli strumenti e quello che chiede già il GDPR. Gli obblighi pesanti cominciano quando l'AI tocca le persone: chi assumi, come le valuti, che cosa pubblichi su di loro.

Lavoriamo accanto ai consulenti legali, non al loro posto: loro interpretano gli obblighi, noi li mettiamo a terra. Le altre domande sull'AI Act sono nella pagina sull'AI Act. Da dove partire con l'AI, prima ancora delle regole, lo dice la guida AI in azienda.

Fonti e approfondimenti

• AI Act, articolo 3, «Definizioni»ai-act-service-desk.ec.europa.eu, consultato il 24 ottobre 2026
• AI Act, articolo 4, «Alfabetizzazione in materia di IA»ai-act-service-desk.ec.europa.eu, consultato il 24 ottobre 2026
• AI Act, articolo 5, «Pratiche di IA vietate»ai-act-service-desk.ec.europa.eu, consultato il 24 ottobre 2026
• AI Act, articolo 26, «Obblighi dei deployer dei sistemi di IA ad alto rischio»ai-act-service-desk.ec.europa.eu, consultato il 24 ottobre 2026
• AI Act, articolo 27, valutazione d'impatto sui diritti fondamentaliai-act-service-desk.ec.europa.eu, consultato il 24 ottobre 2026
• AI Act, articolo 50, obblighi di trasparenza per i fornitori e i deployerai-act-service-desk.ec.europa.eu, consultato il 24 ottobre 2026
• AI Act, articolo 99, «Sanzioni»ai-act-service-desk.ec.europa.eu, consultato il 24 ottobre 2026
• AI Act, articolo 113, «Entrata in vigore e applicazione»ai-act-service-desk.ec.europa.eu, consultato il 24 ottobre 2026
• AI Act, allegato III, sistemi di IA ad alto rischioai-act-service-desk.ec.europa.eu, consultato il 24 ottobre 2026
• Decreto legislativo 7 ottobre 2026, n. 179, adeguamento della normativa nazionale al regolamento (UE) 2024/1689normattiva.it, consultato il 24 ottobre 2026
• Decreto legislativo 26 maggio 1997, n. 152, articolo 1-bis, informazioni sui sistemi decisionali o di monitoraggio automatizzatinormattiva.it, consultato il 24 ottobre 2026
• Legge 20 maggio 1970, n. 300, articolo 4, «Impianti audiovisivi e altri strumenti di controllo»normattiva.it, consultato il 24 ottobre 2026