Una delle domande più comuni che riceviamo da aziende che iniziano a orientarsi sull'AI Act è: "siamo soggetti alla normativa?". La risposta corretta quasi sempre è "sì, ma dipende dal ruolo" — e il ruolo va valutato sistema per sistema, non a livello di intera azienda.
Provider: chi immette il sistema sul mercato
Sei provider se sviluppi (o fai sviluppare per tuo conto) un sistema di IA e lo immetti sul mercato UE o lo metti in servizio con il tuo nome o marchio, anche gratuitamente. Un'azienda software che integra un modulo di raccomandazione IA nel proprio prodotto e lo vende ai clienti è provider di quel sistema.
Deployer: chi lo utilizza sotto la propria autorità
Sei deployer se utilizzi un sistema di IA sviluppato da altri, nell'ambito della tua attività professionale. È la situazione più comune: un'azienda che usa un ATS (Applicant Tracking System) con funzioni di IA per lo screening dei CV è deployer di quel sistema, anche se non ha scritto una riga di codice.
La stessa azienda può essere entrambi
Un'azienda che sviluppa un proprio tool interno di scoring clienti (provider di quel sistema) e allo stesso tempo usa Microsoft Copilot per la produttività d'ufficio (deployer di quel sistema) ha, contemporaneamente, obblighi da provider su un sistema e obblighi da deployer su un altro. Non esiste una singola "etichetta" aziendale valida per tutto.
Perché conta per la formazione
L'Art. 4 impone l'obbligo di alfabetizzazione IA sia ai provider sia ai deployer, ma i contenuti rilevanti cambiano: chi sviluppa un sistema deve formare su design, test e gestione del rischio; chi lo utilizza deve formare soprattutto su uso corretto, limiti, sorveglianza umana e riconoscimento di un output anomalo. È uno dei motivi per cui un percorso formativo unico e generico rende poco: serve differenziare per ruolo aziendale e, quando rilevante, per ruolo AI Act.