Glossario

Fornitore (provider)

Il fornitore è la persona fisica o giuridica, l'autorità pubblica, l'agenzia o altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali, oppure lo fa sviluppare da altri, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio, a titolo gratuito o a pagamento, secondo l'articolo 3, punto 3, del Regolamento UE 2024/1689. A differenza del deployer, che è chi usa il sistema già pronto sotto la propria autorità, il fornitore è chi quel sistema lo costruisce o lo fa costruire e lo mette sul mercato a proprio nome, e proprio per questo si carica della maggior parte degli obblighi previsti dalla legge.

Capire se un'azienda è un fornitore o "solo" un utilizzatore è la prima domanda da farsi, perché cambia tutto il peso degli obblighi. Il fornitore, secondo l'articolo 3, punto 3, è chi mette sul mercato un sistema di IA a proprio nome o marchio. Non conta se lo ha sviluppato internamente con il proprio team o se ha pagato qualcuno per costruirlo, né conta se lo vende o lo regala. Se ci mette sopra il proprio nome e lo rende disponibile ad altri, agli occhi della legge è il fornitore.

Questo vale per tutti, dall'impresa individuale che lancia un piccolo software con una funzione di IA fino alla multinazionale che addestra modelli enormi. L'etichetta non dipende dalla dimensione, dipende da cosa si fa con il sistema.

C'è un punto che sorprende molte aziende e che merita attenzione. Un'azienda potrebbe partire come semplice utilizzatore di uno strumento di IA comprato da terzi, e diventare fornitore senza accorgersene. L'articolo 25 stabilisce che se modifica in modo sostanziale un sistema ad alto rischio, oppure lo immette sul mercato con il proprio marchio, oppure ne cambia la finalità d'uso in modo che diventi ad alto rischio, allora si assume gli obblighi del fornitore. In pratica, mettere il proprio logo o ritoccare in profondità uno strumento altrui può spostarla dalla parte di chi ha più responsabilità.

Gli obblighi del fornitore sono i più impegnativi del Regolamento e si concentrano sui sistemi ad alto rischio, elencati nell'articolo 16. Si parla di cose come il sistema di gestione della qualità, la documentazione tecnica, la valutazione di conformità, la marcatura CE, la conservazione dei log e la trasparenza verso chi userà il sistema. Per i modelli di IA per finalità generali ci sono obblighi specifici dedicati.

Detto questo, niente panico. La gran parte delle aziende italiane usa l'IA, non la produce, quindi spesso non è fornitore. Quando avstudio forma un'azienda, il primo lavoro è proprio questo, capire dove si colloca nella catena. Una volta chiarito il ruolo, gli obblighi diventano una lista gestibile, non un muro.

Torna all'hub AI Act

Questo contenuto ha finalità informative e divulgative e riflette il quadro normativo alla data di ultima revisione indicata. Non costituisce parere o consulenza legale sul caso specifico. Per l'inquadramento giuridico formale avstudio lavora con professionisti abilitati.