Il Regolamento (UE) 2024/1689 stabilisce un quadro giuridico uniforme basato su un approccio orientato al rischio. Al fine di strutturare la compliance e supportare la consulenza strategica, la portata applicativa della norma deve essere analizzata secondo tre direttrici fondamentali: i soggetti vincolati (criterio soggettivo), le aree geografiche coinvolte (criterio territoriale) e le precise esclusioni previste dal legislatore europeo.
La normativa non si rivolge unicamente a chi sviluppa i sistemi di IA, ma distribuisce gli obblighi lungo l'intera catena del valore. Il Regolamento si applica espressamente a:
Fornitori (Providers): Persone fisiche o giuridiche, autorità pubbliche, agenzie o altri organismi che sviluppano (o fanno sviluppare) un sistema di IA o un modello di IA per finalità generali (GPAI), immettendolo sul mercato o mettendolo in servizio con il proprio nome o marchio, sia a titolo oneroso che gratuito;
Deployer (Utilizzatori professionali): Persone fisiche o giuridiche, autorità pubbliche, agenzie o altri organismi che utilizzano un sistema di IA sotto la propria autorità. La definizione esclude i soggetti che utilizzano l'IA nel corso di un'attività personale non professionale;
Importatori e Distributori: Operatori della catena di approvvigionamento che, rispettivamente, immettono sul mercato dell'Unione un sistema di IA di un soggetto stabilito in un paese terzo o lo mettono a disposizione sul mercato UE;
Fabbricanti di Prodotti: Soggetti che immettono sul mercato o mettono in servizio un sistema di IA congiuntamente al proprio prodotto e sotto il proprio nome o marchio;
Rappresentanti Autorizzati: Persone fisiche o giuridiche stabilite nell'Unione che hanno ricevuto un mandato scritto da un fornitore di un paese terzo per adempiere agli obblighi del Regolamento;
Persone Interessate (Soggetti passivi): Persone fisiche che si trovano all'interno dell'Unione e che sono esposte o soggette all'output di un sistema di IA.
Nota di responsabilità: Qualsiasi distributore, importatore o deployer viene legalmente considerato un Fornitore qualora apponga il proprio marchio su un sistema già in commercio, apporti modifiche sostanziali al sistema o ne modifichi la finalità prevista originaria.
L'AI Act prevede specifici perimetri di esclusione volti a preservare la sicurezza nazionale, le attività militari e la ricerca scientifica pura, esentando altresì l'uso dei sistemi di intelligenza artificiale per finalità esclusivamente personali e non professionali.
Tuttavia, l'applicazione concreta di queste deroghe non è mai automatica: l'esatta linea di demarcazione tra ciò che è escluso (come lo sviluppo open source di base o le attività pre-commerciali) e ciò che rientra pienamente negli obblighi di compliance normativa presenta margini di ambiguità e deve essere rigorosamente accertata e verificata caso per caso, in relazione al contesto operativo e alle reali modalità di utilizzo del sistema all'interno dei processi aziendali.
L'AI Act configura una vera e propria rivoluzione regolatoria che impone una mappatura immediata e rigorosa di tutti i sistemi software in uso o in fase di sviluppo all'interno dell'organizzazione aziendale. La mancata identificazione del proprio ruolo nella catena di distribuzione dell'IA (Fornitore vs Deployer) o l'errata classificazione del livello di rischio del sistema espongono l'azienda e i suoi vertici amministrativi a severe responsabilità legali e a sanzioni pecuniarie di natura amministrativa proporzionali al fatturato globale. La conformità non è un mero adempimento tecnico, ma un pilastro centrale della governance e della gestione del rischio legale d'impresa.
Non lasciare la conformità della tua azienda al caso.
Contattaci per una consulenza strategica personalizzata e per pianificare un percorso sicuro verso la compliance AI Act.