Il fornitore, o provider, sviluppa un sistema di AI, o ne commissiona lo sviluppo, e lo immette sul mercato con il proprio nome. Il deployer è chi lo usa nella propria attività professionale senza averlo sviluppato. Il primo risponde di cosa il sistema è, il secondo di come viene usato. Gli obblighi del fornitore sono molto più pesanti, e un deployer può diventarlo senza accorgersene.
La quasi totalità delle imprese italiane è deployer. Vale però la pena capire dove passa il confine, perché attraversarlo cambia radicalmente la posizione. Se il regolamento vi è ancora poco familiare, cominciate dalla guida all'AI Act per le PMI.
Le due definizioni
L'articolo 3 del regolamento definisce fornitore una persona fisica o giuridica, un'autorità pubblica o qualsiasi altro organismo che sviluppa un sistema di AI o un modello per finalità generali, oppure ne commissiona lo sviluppo, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. A titolo oneroso o gratuito: la gratuità non esenta.
Definisce deployer chi utilizza un sistema di AI sotto la propria autorità nell'ambito di un'attività professionale. In italiano il regolamento usa «utilizzatore», ma nella pratica prevale il termine inglese.
La linea di separazione si riassume così: il fornitore risponde di cosa il sistema è, il deployer di come viene usato. Progettazione, capacità e limiti da una parte; contesto operativo, supervisione e monitoraggio dall'altra.
Cosa deve fare un fornitore
Gli obblighi sono strutturali e, per i sistemi ad alto rischio, impegnativi:
- redigere e conservare la documentazione tecnica
- istituire un sistema di gestione della qualità
- condurre la valutazione di conformità prima dell'immissione sul mercato
- registrare il sistema nella banca dati europea
- apporre la marcatura CE
- istituire un sistema di monitoraggio successivo alla commercializzazione
- conservare i registri generati automaticamente
Sono adempimenti che richiedono mesi e competenze dedicate. È la ragione per cui il passaggio di ruolo non è un dettaglio formale.
Cosa deve fare un deployer
Molto meno, e in gran parte sono buone pratiche che un'azienda seria adotta comunque:
- usare il sistema secondo le istruzioni del fornitore
- garantire la sorveglianza umana, affidata a persone con competenza adeguata
- assicurarsi che i dati in ingresso siano pertinenti allo scopo
- conservare i registri automatici per il periodo previsto
- informare i lavoratori quando un sistema ad alto rischio li riguarda
- sospendere l'uso e avvisare il fornitore se emerge un rischio
Per i sistemi che non sono ad alto rischio, resta l'obbligo di trasparenza dell'articolo 50 e quello di alfabetizzazione dell'articolo 4. Tradotti in passaggi operativi, li trovate nella checklist di conformità.
I tre casi in cui un deployer diventa fornitore
È il punto che espone di più software house, agenzie e integratori. L'articolo 25 stabilisce che un distributore, un importatore, un deployer o un terzo assumono gli obblighi del fornitore in tre situazioni.
Apponete il vostro marchio
Se rivendete un sistema ad alto rischio con il vostro nome o marchio, siete fornitori di quel sistema. Non conta che il codice sia di altri: conta il nome sulla scatola.
Modificate sostanzialmente il sistema
Una modifica sostanziale di un sistema ad alto rischio già immesso sul mercato vi rende fornitori. Il confine fra personalizzazione e modifica sostanziale non è sempre netto: cambiare i parametri di configurazione previsti dal fornitore no, riaddestrare il modello su dati vostri quasi certamente sì.
Cambiate la finalità
Se usate un sistema per uno scopo diverso da quello dichiarato dal fornitore, e questo lo porta nella categoria ad alto rischio, diventate fornitori. È il caso di chi adotta uno strumento generico di analisi testi e lo mette a valutare candidature.
L'albero decisionale
Quattro domande in sequenza.
Avete sviluppato il sistema, o ne avete commissionato lo sviluppo? Se sì, e lo immettete sul mercato, siete fornitori. Fine.
Lo rivendete o lo distribuite con il vostro marchio? Se sì, siete fornitori.
Lo avete modificato in modo sostanziale, o ne avete cambiato la finalità dichiarata? Se sì, siete fornitori per quel sistema.
Nessuna delle precedenti? Siete deployer, con gli obblighi ridotti dell'elenco sopra.
Perché conviene chiarirlo per iscritto
Nei contratti con i fornitori di software conviene mettere nero su bianco chi è chi. Due ragioni pratiche.
La prima è che in caso di controllo l'autorità chiede a chi risponde di cosa, e un contratto che lo dichiara accorcia la discussione.
La seconda è che il fornitore ha obblighi verso di voi: deve consegnare istruzioni d'uso adeguate, informazioni sulle prestazioni e sui limiti, indicazioni sulla sorveglianza umana necessaria. Se non le avete ricevute, non potete adempiere ai vostri obblighi, e questo va documentato.
Da tenere presente anche l'esposizione economica, perché cambia con il ruolo: gli importi e i tre livelli sono in pratiche vietate e sanzioni.
Una nota sui modelli per finalità generali
Chi fornisce modelli come GPT, Claude o Gemini ha un regime a sé, disciplinato dal capo V e applicabile dal 2 agosto 2025. Riguarda loro, non voi.
Se però costruite un prodotto sopra uno di questi modelli e lo immettete sul mercato con il vostro nome, il fornitore di quel prodotto siete voi. Il modello sottostante resta responsabilità di chi lo ha addestrato; il sistema che ci avete costruito intorno è vostro.
Fonti
- Regolamento (UE) 2024/1689, articoli 3, 4, 16, 25, 26, 50 e capo V
- Ufficio Brevetti, differenza fra fornitore e deployer
- Agenda Digitale, AI Act e responsabilità per provider e deployer
- EUR-Lex, testo integrale del regolamento
Ultimo aggiornamento: 25 agosto 2026.