Nell'AI Act il deployer è chi utilizza un sistema di IA sotto la propria autorità in un'attività professionale; il fornitore è chi lo sviluppa, o lo fa sviluppare, e lo immette sul mercato con il proprio nome o marchio. Il fornitore porta gli obblighi più pesanti; il deployer deve usare il sistema correttamente, sorvegliarlo e informare le persone coinvolte.
In sintesi
- «Deployer» è il termine usato anche nella versione italiana ufficiale del regolamento (UE) 2024/1689. Non è «utente», parola che compariva nella proposta del 2021.
- La stessa azienda può essere fornitore di un sistema e deployer di un altro, o di entrambi per lo stesso sistema.
- Gli obblighi del deployer per i sistemi ad alto rischio sono nell'articolo 26 e si applicano dal 2 dicembre 2027 (allegato III).
- Un deployer diventa fornitore se mette il proprio marchio su un sistema ad alto rischio, lo modifica in modo sostanziale o ne cambia la finalità prevista (articolo 25).
- In Italia contano anche l'informativa ai lavoratori e le regole sulle decisioni automatizzate del d.lgs. 179/2026.
Cosa significa «deployer» nell'AI Act
Il testo italiano dell'articolo 3, punto 4, definisce il deployer come «una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un'attività personale non professionale». Il legislatore italiano ha tenuto la parola inglese, ed è quella che trovate nelle norme e nei provvedimenti delle autorità. Molti però continuano a dire «utilizzatore» o «utente»: nel linguaggio comune va bene, ma negli atti interni conviene usare il termine ufficiale.
Il fornitore (punto 3) è chi sviluppa un sistema di IA o un modello per finalità generali, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio, a titolo oneroso o gratuito. Gli altri ruoli della catena sono importatore, distributore, fabbricante del prodotto e rappresentante autorizzato; insieme il regolamento li chiama «operatori». Le definizioni ufficiali sono nel testo italiano su EUR-Lex; per l'impianto generale, vedete la guida all'AI Act.
Hai bisogno di aiuto con cloud?
Prenota un incontro gratuito di 30 minuti con uno dei nostri specialisti in cloud. Analizziamo le tue esigenze e forniamo raccomandazioni concrete — nessun obbligo.
Fornitore o deployer? Come si capisce
Il criterio decisivo non è chi ha scritto il codice o addestrato il modello, ma con quale nome il sistema arriva sul mercato e chi lo usa sotto la propria autorità. Qualche esempio italiano:
| Situazione | Ruolo | Perché |
|---|---|---|
| Una software house di Bologna vende un gestionale con un modulo di IA per prevedere i ritardi di pagamento | Fornitore | Sviluppa il sistema e lo immette sul mercato con il proprio marchio |
| Un'agenzia per il lavoro usa un software di terzi per ordinare le candidature | Deployer | Usa il sistema sotto la propria autorità, senza cambiarne nome o finalità |
| Una banca costruisce su un modello linguistico un assistente clienti con il proprio marchio | Fornitore del chatbot, deployer nei confronti del modello | Mette in servizio un sistema proprio basato sul modello di un altro |
| Un Comune usa un sistema per assegnare priorità alle domande di contributi sociali | Deployer | Autorità pubblica che usa il sistema di un fornitore |
| Un'azienda distribuisce Microsoft 365 Copilot ai dipendenti | Deployer | Usa un sistema di terzi nella propria attività |
| Un rivenditore italiano importa e vende sotto il proprio nome un software di IA sviluppato fuori dall'UE | Fornitore | Il proprio marchio sul sistema lo rende fornitore, non solo importatore |
Se avete molti strumenti, ripetete l'esercizio per ciascuno: il ruolo si assegna sistema per sistema. È il primo passo anche dell'assessment gratuito di Opsio sulla governance AI, che vi chiede quali strumenti usate e come, e da lì ricava obblighi e documenti.
Gli obblighi del fornitore, in breve
Per i sistemi ad alto rischio l'articolo 16 elenca il grosso del lavoro, che resta in capo al fornitore: sistema di gestione dei rischi, governance dei dati, documentazione tecnica, registrazione automatica degli eventi, istruzioni per l'uso, progettazione della sorveglianza umana, accuratezza, robustezza e cybersicurezza, sistema di gestione della qualità, valutazione della conformità, dichiarazione UE di conformità e marcatura CE, registrazione nella banca dati UE, monitoraggio dopo l'immissione sul mercato e comunicazione degli incidenti gravi. Per chatbot e IA generativa, anche non ad alto rischio, il fornitore ha gli obblighi di trasparenza dei paragrafi 1 e 2 dell'articolo 50.
Gli obblighi del deployer: l'articolo 26
Ogni deployer, qualunque sia il sistema, deve adottare misure di alfabetizzazione (articolo 4) e rispettare i divieti dell'articolo 5. Chi usa un sistema ad alto rischio ha in più gli obblighi dell'articolo 26:
| Obbligo | Cosa significa in pratica |
|---|---|
| Uso conforme alle istruzioni | Misure tecniche e organizzative per usare il sistema come indicato dal fornitore |
| Sorveglianza umana | Affidarla a persone con competenza, formazione, autorità e supporto adeguati |
| Dati di input | Se li controllate voi, devono essere pertinenti e sufficientemente rappresentativi rispetto alla finalità |
| Monitoraggio | Sorvegliare il funzionamento, informare fornitore e autorità in caso di rischio o incidente grave, sospendere l'uso se necessario |
| Conservazione dei log | Conservare i log generati automaticamente, sotto il vostro controllo, per almeno sei mesi |
| Informazione ai lavoratori | Prima di usare un sistema ad alto rischio sul lavoro, informare i rappresentanti dei lavoratori e i lavoratori interessati |
| Informazione alle persone | Informare le persone soggette a decisioni prese o assistite da sistemi dell'allegato III |
| Cooperazione e registrazione | Collaborare con le autorità; le autorità pubbliche registrano l'uso nella banca dati UE |
Alcuni deployer devono anche svolgere la valutazione d'impatto sui diritti fondamentali (FRIA) dell'articolo 27: enti pubblici, privati che erogano servizi pubblici, e chi usa l'IA per il merito creditizio o per prezzare assicurazioni vita e malattia.
Cosa aggiunge l'Italia per i deployer
Tre regole nazionali si sommano all'articolo 26, soprattutto per chi usa l'IA nella gestione del personale:
- Informativa ai lavoratori. La legge 132/2025 (articolo 11) richiama l'articolo 1-bis del d.lgs. 152/1997: il datore di lavoro informa sull'uso di sistemi decisionali o di monitoraggio automatizzati, a prescindere dalla classe di rischio dell'AI Act.
- Decisioni finali a una persona. Il d.lgs. 179/2026 (articolo 41), in vigore dal 23 ottobre 2026, stabilisce che le decisioni finali su assunzione, modifica o cessazione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non siano prese unicamente in modo automatizzato. La ricerca e selezione delle candidature non rientra nelle «decisioni finali», ma un licenziamento deciso in violazione è nullo.
- Responsabilità e prova. Con il d.lgs. 160/2026, se un danno deriva dalla violazione di obblighi dell'AI Act il nesso causale si presume. E l'utilizzatore professionale di un sistema ad alto rischio che omette intenzionalmente la sorveglianza umana, creando pericolo per la vita o l'incolumità, rischia il nuovo reato dell'articolo 437-bis del codice penale.
La vigilanza sui deployer spetta all'ACN, salvo il settore finanziario, dove intervengono Banca d'Italia, CONSOB e IVASS. Il d.lgs. 179/2026 prevede per gli obblighi dell'articolo 26 sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, con l'importo più basso per le PMI.
Quando un deployer diventa fornitore
L'articolo 25 elenca tre casi in cui un distributore, un importatore, un deployer o un terzo è considerato fornitore di un sistema ad alto rischio, con tutti gli obblighi dell'articolo 16:
- Mette il proprio nome o marchio su un sistema ad alto rischio già sul mercato, salvo accordi contrattuali che ripartiscano diversamente gli obblighi.
- Apporta una modifica sostanziale a un sistema ad alto rischio che resta ad alto rischio.
- Cambia la finalità prevista di un sistema non ad alto rischio, compreso un sistema per finalità generali, in modo da renderlo ad alto rischio.
Il terzo caso è il più insidioso. Un'azienda che prende un assistente generico e lo configura per valutare le prestazioni dei dipendenti ha trasformato un uso generico in un uso dell'allegato III: diventa fornitore di un sistema ad alto rischio. Prima di riconfigurare uno strumento per scopi HR, creditizi o di accesso a servizi essenziali, fate una verifica formale. Il passaggio si vede bene in una valutazione dei rischi dell'IA fatta per caso d'uso.
Come dividere gli obblighi nei contratti
Il fornitore deve dare al deployer istruzioni per l'uso chiare, e il deployer ha bisogno di quelle informazioni per rispettare l'articolo 26. Nei contratti con i fornitori di IA conviene prevedere: consegna delle istruzioni per l'uso e della dichiarazione di conformità, accesso ai log, notifica di incidenti e modifiche sostanziali, supporto per FRIA e valutazione d'impatto privacy, impegni sulla marcatura dei contenuti generati, ripartizione delle responsabilità se il sistema viene personalizzato. Per la parte privacy, che corre in parallelo, vedete la nostra pagina sulla conformità GDPR.
Domande frequenti
Chi è il deployer nell'AI Act?
È la persona fisica o giuridica, l'autorità pubblica o l'organismo che utilizza un sistema di IA sotto la propria autorità, escluso l'uso personale non professionale. In pratica è l'azienda o l'ente che usa l'IA nella propria attività: chi adotta un software di selezione del personale, un chatbot di un fornitore o Copilot per i dipendenti.
Perché nella versione italiana si dice «deployer» e non «utente»?
Perché il testo ufficiale italiano del regolamento (UE) 2024/1689 usa proprio «deployer». La proposta della Commissione del 2021 parlava di «utente», ma nel testo finale il termine è cambiato, anche per distinguere chi usa il sistema sotto la propria autorità dalle persone che vi interagiscono o ne subiscono gli effetti. Negli atti interni conviene usare il termine ufficiale.
Un'azienda può essere fornitore e deployer allo stesso tempo?
Sì, ed è frequente. Un'azienda che sviluppa un chatbot per i propri clienti e lo usa nel servizio clienti ne è fornitore e deployer. Può anche essere deployer di un sistema e fornitore di un altro. Gli obblighi si sommano: quelli del fornitore per ciò che immette sul mercato, quelli del deployer per ciò che usa.
Quali obblighi ha un deployer che usa solo ChatGPT o Copilot?
Se l'uso non è ad alto rischio, gli obblighi sono pochi ma concreti: misure di alfabetizzazione per il personale, rispetto dei divieti e, se pubblicate deep fake o testi di interesse pubblico generati con l'IA, la trasparenza dell'articolo 50. Si aggiungono GDPR e, in Italia, l'informativa ai lavoratori se l'IA incide sulla gestione del rapporto di lavoro.
Da quando si applicano gli obblighi del deployer per l'alto rischio?
Dopo l'Omnibus digitale, dal 2 dicembre 2027 per i sistemi dell'allegato III, come selezione del personale, merito creditizio e istruzione, e dal 2 agosto 2028 per l'IA integrata nei prodotti dell'allegato I. Alfabetizzazione, divieti e trasparenza si applicano già. Le autorità pubbliche con sistemi già in uso hanno tempo fino al 2 agosto 2030.
Chiarite i ruoli prima degli obblighi
Ogni obbligo dell'AI Act parte dal ruolo. Con l'assessment gratuito di Opsio su AI policy e governance AI descrivete in circa 40 minuti, in 14 passi e in italiano, quali sistemi usate e come. All'invio ricevete quattro documenti scritti sulle vostre risposte (framework di governance AI, AI policy sull'uso accettabile, checklist per la due diligence dei fornitori AI, modello di valutazione dei rischi) e un quadro di maturità su dieci ambiti. I documenti sono in inglese, come file Word modificabili, e restano vostri.
Questo articolo è un'informazione generale e non costituisce consulenza legale. Verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744, e la normativa italiana vigente su Normattiva. Situazione aggiornata a ottobre 2026.
Scritto da
Country Manager, India
Praveena guida le operazioni di Opsio in India, portando oltre 17 anni di esperienza trasversale in IA, manifattura, DevOps e managed services.
Standard editoriali: Questo articolo è stato scritto da professionisti cloud e revisionato dal nostro team di ingegneria. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date in questa pagina indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente.