Che cosa conta come sistema di IA
L’articolo 3, punto 1, definisce il sistema di IA come un sistema automatizzato, con un certo grado di autonomia, che deduce dagli input ricevuti come generare output —previsioni, contenuti, raccomandazioni o decisioni— in grado di influenzare ambienti fisici o virtuali.
La chiave è l’inferenza. Un foglio di calcolo con formule fisse o una regola di business programmata non deducono nulla; un classificatore addestrato sui dati, un modello linguistico o un motore di raccomandazione sì. Nei casi di confine conviene documentare perché si è deciso che uno strumento rientra o meno.
Fornitore, deployer e gli altri operatori
Il fornitore è chi sviluppa un sistema o un modello di IA per finalità generali, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio, a titolo oneroso o gratuito (art. 3, punto 3). Il deployer è chi utilizza un sistema di IA sotto la propria autorità, salvo che nel corso di un’attività personale non professionale (art. 3, punto 4).
Completano la catena l’importatore, il distributore e il rappresentante autorizzato; tutti insieme sono «operatori» (art. 3, punto 8). La maggior parte delle aziende che acquistano uno strumento con IA è deployer, non fornitore, e i suoi obblighi sono molto più circoscritti.
A chi si applica
Secondo l’articolo 2, paragrafo 1, il Regolamento riguarda i fornitori che immettono sul mercato nell’Unione, ovunque si trovino; i deployer stabiliti nell’Unione, e fornitori e deployer di paesi terzi quando l’output del sistema è utilizzato nell’Unione.
Restano esclusi, tra gli altri, i sistemi sviluppati al solo scopo di ricerca scientifica (art. 2, par. 6), l’uso puramente personale (art. 2, par. 10) e la sicurezza nazionale (art. 2, par. 3).
Quando il deployer diventa fornitore
L’articolo 25, paragrafo 1, rende fornitore di un sistema ad alto rischio chi vi appone il proprio nome o marchio, lo modifica in modo sostanziale o ne cambia la finalità così che diventi ad alto rischio. È il caso tipico dell’azienda che adatta uno strumento generico per filtrare i candidati.
Dopo l’Omnibus, il fornitore iniziale cessa di esserlo per quel sistema specifico, ma deve cooperare con il nuovo: documentazione tecnica sufficiente, limiti e modalità di guasto noti e accesso tecnico per le prove, salvo che abbia chiaramente indicato che il suo sistema non doveva essere trasformato in uno ad alto rischio (art. 25, par. 2).
Cosa chiede di solito l’auditor
- Inventario degli strumenti che usano IA, con fornitore e finalità
- Ruolo dell’azienda individuato per ciascuno: fornitore o deployer
- Casi di confine documentati con il motivo della decisione
- Cambi di finalità o di marchio esaminati prima di attuarli
Come affrontarlo in pratica
- 1Elenchi le applicazioni dell’azienda e segnali quelle che generano previsioni, contenuti, raccomandazioni o decisioni a partire dai dati.
- 2Annoti per ciascuna chi è il fornitore, a che cosa serve e quali persone sono interessate dai suoi output.
- 3Prima di adattare uno strumento o di usarlo per un’altra finalità, verifichi se ciò la rende fornitore ai sensi dell’articolo 25.
L’inventario dei sistemi è la base di tutto il resto: senza di esso non si può sapere quali capitoli del Regolamento si applicano.
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- Regolamento (UE) 2024/1689 sull’intelligenza artificiale EUR-Lex · GU L 2024/1689 · 12 luglio 2024
- Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA), che modifica il Regolamento (UE) 2024/1689 EUR-Lex · GU L 2026/1744 · 24 luglio 2026
- Regolamento (UE) 2024/1689, testo consolidato EUR-Lex · CELEX 02024R1689-20260727 · Versione del 27 luglio 2026