Chi adopera modelli di intelligenza artificiale di uso generale, come Chat‑GPT o sistemi analoghi, entra in una nuova fase normativa. Dal 2 agosto 2025 chi usa questi strumenti assume una serie di obblighi operativi:
- Informare in modo trasparente l’utente che sta interagendo con un sistema di IA, non con una persona.
- Se il modello viene personalizzato o adattato (per esempio tramite fine tuning), valutare con attenzione se questo comporti l’attribuzione del ruolo di “fornitore”, con tutti gli obblighi ad esso associati (documentazione tecnica, valutazione dei rischi ecc.).
- Consegnare un contributo operativo alla compliance lungo la catena di fornitura dell’IA, cooperando con i provider affinché trasmettano informazioni chiare sulle capacità e sui limiti del modello.
- Garantire formazione specifica (AI literacy) al personale tecnico e legale coinvolto, ben oltre una mera introduzione generale alla tecnologia.
Disposizioni generali secondo il Regolamento
Le fonti normative e interpretative evidenziano altri obblighi significativi per i deployer:
- Effettuare un’analisi dei rischi e una valutazione di impatto prima di utilizzare il sistema, anche se sviluppato da terzi.
- Applicare le istruzioni d’uso fornite dal fornitore e gestire l’uso corretto del sistema con misure tecniche e organizzative adeguate.
- Monitorare il funzionamento continuo del sistema, intervenendo prontamente in caso di anomalie o rischi improvvisi.
- Se rilevanti, conservare i log per almeno sei mesi e segnalare prontamente incidenti gravi alle autorità competenti e al fornitore o distributore.
- Informare i lavoratori (e i loro rappresentanti) quando vengono utilizzati sistemi ad alto rischio sul luogo di lavoro e coinvolgerli secondo le previsioni contrattuali o regolatorie necessarie.
Quando il deployer può essere considerato anche fornitore?
In alcuni casi, il semplice utilizzatore può assumere compiti tipici del fornitore:
- Se apporta modifiche significative al modello (ad esempio modifica oltre un terzo del calcolo di training originale), può essere qualificato come fornitore e assumere gli obblighi full compliance (documentazione, valutazione dei rischi, registrazione ecc.).
- Se utilizza uno specifico brand o marchio su sistemi ad alto rischio, anche in caso di implementazione preesistente, viene considerato fornitore su quel sistema, a meno che non vi siano accordi contrattuali che diversificano ruoli e responsabilità
