Deployer nell'AI Act: i doveri dell'articolo 26

Quando compri un software, viene naturale pensare che la conformità sia un problema di chi l'ha costruito. Per i sistemi di AI ad alto rischio l'AI Act divide il lavoro: il fornitore risponde di come il sistema è progettato, chi lo usa risponde di come lo usa.

In una PMI il caso tipico è il gestionale del personale con una funzione che ordina i candidati o propone valutazioni. Il fornitore deve averlo reso conforme; tu devi usarlo nel modo giusto, con le persone giuste a controllarlo. Non è una consulenza legale, ma una mappa per organizzarti.

Cosa dice la norma

L'AI Act chiama deployer chi usa un sistema di AI sotto la propria autorità nell'ambito di un'attività professionale ¹. Gli obblighi principali per chi usa sistemi ad alto rischio stanno nell'articolo 26 del regolamento ¹.

L'utilizzatore deve adottare misure tecniche e organizzative per usare il sistema secondo le istruzioni del fornitore. Deve affidare la sorveglianza umana a persone con competenza, formazione e autorità adeguate. Se controlla i dati di ingresso, deve fare in modo che siano pertinenti e abbastanza rappresentativi per lo scopo. Deve monitorare il funzionamento e, se nota un rischio o un incidente grave, avvisare il fornitore e sospendere l'uso quando serve. Deve conservare i registri generati in automatico, per la parte sotto il suo controllo, per il periodo minimo indicato dal regolamento. Prima di usare un sistema ad alto rischio sul posto di lavoro deve informare i rappresentanti dei lavoratori e i lavoratori interessati, e chi subisce decisioni prese o aiutate dal sistema va informato del suo uso.

In Italia la legge 132/2025 aggiunge un dovere generale del datore di lavoro di informare il lavoratore dell'uso dell'AI, nei casi e con le modalità della normativa sull'informativa al lavoratore ³.

A chi si applica

• Imprese e professionisti che usano un sistema di AI ad alto rischio comprato o in abbonamento.
• Datori di lavoro che usano l'AI per selezione, turni, valutazioni o controllo delle prestazioni.
• Non riguarda chi usa l'AI per scopi personali, fuori da un'attività professionale.
• Attenzione: chi modifica in modo sostanziale un sistema o lo rivende col proprio nome può diventare fornitore, con obblighi molto più pesanti.

Da quando

Gli obblighi dell'articolo 26 seguono il calendario dei sistemi ad alto rischio, e per gli usi dell'Allegato III partono dal 2 dicembre 2027 ². La formazione del personale, invece, vale già per tutti gli utilizzatori dal 2 febbraio 2025 ². E il dovere di informare i lavoratori previsto dalla legge italiana è in vigore con la legge stessa, dal 10 ottobre 2025 ³.

Cosa fare in pratica

1. Conserva le istruzioni d'uso del fornitore e verifica che chi usa il sistema le conosca.
2. Nomina per iscritto chi sorveglia il sistema e dagli il potere di fermarlo o correggerlo.
3. Controlla i dati che inserisci tu: completi, aggiornati, pertinenti allo scopo.
4. Attiva i log del sistema e verifica nel contratto chi li conserva e per quanto tempo.
5. Prepara l'informativa per lavoratori e rappresentanze prima di accendere il sistema.
6. Fissa un canale con il fornitore per segnalare errori e incidenti.

Gli errori da evitare

• Credere che, avendo comprato il software, tutti gli obblighi siano del fornitore.
• Nominare un supervisore che non ha tempo, competenze o autorità per intervenire.
• Usare il sistema per uno scopo diverso da quello previsto nelle istruzioni.
• Accendere un sistema che riguarda il personale senza aver informato i lavoratori.

Le altre norme spiegate senza burocratese sono in Regole.