Sicurezza

Deployer vs provider nell’AI Act: checklist operativa per PMI

4 ago 20264 min di lettura

Nella maggior parte delle PMI italiane il ruolo AI Act rilevante è quello di deployer: usate sistemi AI sotto la vostra autorità, non li immettete sul mercato come prodotto proprio. Capire la differenza evita sia sottovalutazione sia over-compliance inutile.

Informazione generale, non consulenza legale.

Definizioni chiare (senza burocratese)

Secondo l’articolo 3 dell’AI Act:

Provider: persona fisica o giuridica che sviluppa un sistema AI (o un modello GPAI) oppure lo fa sviluppare e lo immette sul mercato o lo mette in servizio a proprio nome o marchio, a pagamento o gratuitamente.
Deployer: persona fisica o giuridica che usa un sistema AI sotto la propria autorità, salvo uso personale non professionale.

Esempi tipici:

| Scenario | Ruolo più frequente | |---|---| | Usate Microsoft Copilot / ChatGPT Enterprise in azienda | Deployer | | Avete un chatbot clienti basato su API di un modello terzi, brandizzato vostro e offerto come prodotto | Spesso provider (o comunque obblighi da valutare con attenzione) | | Un partner vi costruisce un assistente interno sul vostro corpus, usato solo da voi | Di solito voi siete deployer; il partner può essere provider | | Fine-tunate/rebrandizzate un sistema in modo sostanziale e lo rimettete sul mercato | Possibile passaggio verso obblighi da provider |

Il confine può spostarsi se modificate in modo sostanziale il sistema o lo mettete in servizio a vostro nome. In dubbio: inventario + parere professionale.

Checklist deployer PMI (8 punti)

Usatela come lista operativa, non come certificazione.

Inventario tool e casi d’uso
Nome strumento, processo, owner, dati toccati, utenti.
Uso professionale vs personale
Account aziendali, non login privati su dati di lavoro (pattern Shadow AI).
Trasparenza verso utenti esterni
Se un sistema dialoga con persone (chatbot), deve essere chiaro che interagiscono con AI. Dal 2 agosto 2026 questi obblighi di trasparenza sono al centro dell’enforcement europeo (comunicato Commissione).
AI literacy del personale
Misure proporzionate già dovute dall’art. 4 (dal 2 febbraio 2025).
Regole dati
Cosa non si carica; allineamento GDPR; retention.
Supervisione umana sui punti critici
Soprattutto se l’output influenza decisioni su persone, soldi o compliance.
Ownership e escalation
Chi è accountable se l’output sbaglia (post accountability).
Screening alto rischio
Verificate se qualche uso rientra in categorie sensibili (HR, credito, accesso a servizi essenziali, ecc.) descritte dalla Commissione. Gli obblighi pieni Allegato III hanno orizzonte successivo (dicembre 2027 dopo Omnibus), ma aspettare “al buio” non è una strategia.

Quando una PMI diventa (anche) provider

Diventate provider, o vi avvicinate a obblighi da provider, se ad esempio:

sviluppate un sistema AI e lo vendete o lo offrite a terzi con vostro marchio;
mettete in servizio un sistema a vostro nome sul mercato UE;
integrate un modello e lo trasformate in un prodotto AI proprio.

In quel caso cambiano documentazione, obblighi verso i deployer a valle e, per certi sistemi, percorsi di conformità più ampi. Non è lo scenario tipico di chi “usa Copilot in ufficio”, ma è lo scenario tipico di una software house o di un prodotto SaaS con AI.

Italia: il quadro nazionale non cancella i ruoli UE

La legge 132/2025 designa AgID e ACN come autorità nazionali e introduce specificità settoriali (lavoro, professioni, PA). Non riscrive però le definizioni europee di provider e deployer: restano quelle dell’AI Act.

FAQ

Siamo una PMI che usa solo ChatGPT: siamo deployer?
In ambito professionale, sì nella lettura tipica delle definizioni dell’art. 3. Restano literacy, regole dati e, se esponete AI a terzi, trasparenza.

Il fornitore del modello si occupa di tutto?
No. Il provider del modello/sistema ha i suoi obblighi; il deployer resta responsabile dell’uso sotto la propria autorità.

Serve una checklist legale da 40 pagine?
Per iniziare serve un inventario vero e 8-10 regole operative. La profondità legale sale con il rischio del caso d’uso.

Cosa fare questa settimana?
Elencare i tool, nominare un owner per ciascuno, chiudere gli usi su account personali con dati aziendali, verificare se i chatbot espongono correttamente di essere AI.

Fonti

Approfondisci nella serie

Se vuoi una sessione breve per classificare i vostri casi d’uso (deployer vs provider) e uscire con una checklist prioritizzata, organizziamola sul perimetro reale. Scrivici a info@zendata.it o visita zendata.it.

Pietro Ciattaglia, CEO di Zendata AI, Roma