Settore · Software house e sviluppo

AI Act per software house: quando diventi fornitore

Chi sviluppa software con funzioni di intelligenza artificiale e lo immette sul mercato con il proprio nome non è un utilizzatore dell'AI Act: è un fornitore, con il corredo di obblighi più esteso previsto dal Regolamento. È una qualificazione che incide sull'architettura del prodotto e va riconosciuta in fase di progettazione, non a rilascio avvenuto.

Richiedi un preventivo Cosa serve

Aggiornato al 19 agosto 2026

La domanda decisiva è una sola: chi immette il sistema sul mercato? Se sviluppi un sistema di IA e lo distribuisci con il tuo nome o marchio sei fornitore. Se ti limiti a usare sotto la tua autorità un sistema di altri sei utilizzatore. Diventi fornitore anche se rimarchi un sistema di terzi, se ne modifichi la finalità prevista o se lo modifichi in modo sostanziale. È una qualificazione sostanziale, non contrattuale: non si evita con una clausola.

Fornitore o utilizzatore: come si stabilisce

Il Regolamento (UE) 2024/1689 non assegna obblighi alle aziende in quanto tali, ma ai ruoli che ciascuna assume rispetto a un determinato sistema. La stessa software house può essere fornitore per il prodotto che vende e utilizzatore per l'assistente generativo con cui il team scrive documentazione interna.

Sei fornitore quando sviluppi un sistema di IA, o lo fai sviluppare, e lo immetti sul mercato o lo metti in servizio con il tuo nome o marchio. Ci sono poi tre situazioni in cui si diventa fornitore pur essendo partiti come distributori o utilizzatori:

Rimarchiatura: apponi il tuo nome o marchio su un sistema ad alto rischio già immesso sul mercato da altri.
Modifica della finalità prevista: prendi un sistema pensato per un uso e lo destini a un altro che lo rende ad alto rischio.
Modifica sostanziale: intervieni sul sistema in modo da alterarne la conformità o le prestazioni rispetto a quanto previsto dal fornitore originario.

Il punto che sfugge più spesso. Costruire un prodotto sopra un modello di terzi — via API o integrando un modello open — non ti esonera. Se il risultato viene immesso sul mercato con il tuo nome, sei tu il fornitore di quel sistema, e gli obblighi seguono te, non chi ha addestrato il modello sottostante.

Cosa comporta essere fornitore di un sistema ad alto rischio

Se il sistema rientra tra quelli ad alto rischio, gli obblighi sono strutturali e incidono sul modo in cui il prodotto è costruito e documentato:

Sistema di gestione del rischio lungo tutto il ciclo di vita, non una valutazione una tantum
Governance dei dati di addestramento, validazione e test: pertinenza, rappresentatività, esame dei possibili bias
Documentazione tecnica conforme all'Allegato IV, redatta prima dell'immissione sul mercato e mantenuta aggiornata
Registrazione automatica degli eventi per consentire la tracciabilità del funzionamento
Istruzioni per l'uso destinate agli utilizzatori, con informazioni su capacità, limiti e prestazioni attese
Sorveglianza umana progettata nel sistema, non lasciata all'organizzazione del cliente
Accuratezza, robustezza e cibersicurezza adeguate alla finalità
Sistema di gestione della qualità documentato
Valutazione di conformità, marcatura CE e registrazione nella banca dati UE

Un percorso completo richiede mediamente da otto a quattordici mesi. Gli obblighi per i sistemi dell'Allegato III sono applicabili dal 2 dicembre 2027, quelli per l'Allegato I dal 2 agosto 2028: il rinvio sposta la scadenza, non il momento in cui conviene iniziare.

Quando il software che sviluppi è ad alto rischio

Non tutti i prodotti con IA lo sono. La classificazione si fa sulla finalità d'uso, e l'Allegato III elenca i casi rilevanti per chi sviluppa software gestionale e verticale:

Selezione del personale, screening dei curriculum, valutazione delle prestazioni
Valutazione del merito creditizio e accesso a servizi essenziali
Istruzione: ammissione, valutazione degli apprendimenti, proctoring degli esami
Identificazione biometrica e categorizzazione
Gestione di infrastrutture critiche
Giustizia, contrasto, controllo delle frontiere

A questi si aggiunge l'Allegato I: l'IA integrata come componente di sicurezza in prodotti già regolati da normativa settoriale, dai dispositivi medici ai macchinari. Se il tuo software è anche dispositivo medico, i due percorsi di conformità vanno coordinati, non svolti in sequenza.

Se il tuo prodotto ha un chatbot o genera contenuti

Anche fuori dall'alto rischio ci sono obblighi già esigibili. L'art. 50 impone, dal 2 agosto 2026, che chi fornisce sistemi destinati a interagire con persone fisiche ne renda riconoscibile la natura artificiale, e che i contenuti sintetici siano marcati in formato leggibile meccanicamente. Dal 2 dicembre 2026 la marcatura tecnica diventa pienamente operativa.

Per una software house questo significa una cosa concreta: la funzione di marcatura va prevista nel prodotto, perché sono i tuoi clienti a doverla usare. Dettagli nella guida sull'articolo 50 e gli obblighi di trasparenza.

Le due normative si sovrappongono in tre punti che riguardano direttamente chi sviluppa:

Privacy by design (art. 25 GDPR): le misure di protezione vanno integrate nell'architettura, non aggiunte dopo. È lo stesso principio che l'AI Act applica alla sorveglianza umana.
Ruolo di responsabile del trattamento (art. 28 GDPR): se ospiti o elabori dati per conto dei clienti, servono contratti conformi e istruzioni documentate. Questo vale indipendentemente dall'AI Act.
Decisioni automatizzate (art. 22 GDPR): se il tuo sistema produce decisioni con effetti giuridici o significativi sulle persone, si applicano garanzie ulteriori rispetto a quelle dell'AI Act.

Un'ultima considerazione pratica: i tuoi clienti, a partire dal 2 agosto 2026, inizieranno a chiederti documentazione sulla conformità del prodotto. Averla pronta è un vantaggio commerciale prima che un adempimento.

Domande frequenti

Quando una software house diventa fornitore ai sensi dell'AI Act?

Quando sviluppa un sistema di IA e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Diventa fornitore anche chi rimarchia un sistema di terzi, chi ne modifica la finalità prevista o chi lo modifica in modo sostanziale. È una qualificazione sostanziale, non contrattuale: non si evita con una clausola.

Se costruisco il prodotto su un modello di terzi, gli obblighi sono del fornitore del modello?

No, non tutti. Il fornitore del modello per finalità generali ha obblighi propri, applicabili dal 2 agosto 2025. Ma se tu immetti sul mercato un sistema costruito su quel modello, con il tuo nome, sei fornitore di quel sistema e rispondi degli obblighi che lo riguardano.

Quale documentazione serve per un sistema ad alto rischio?

Sistema di gestione del rischio lungo il ciclo di vita, governance dei dati di addestramento e validazione, documentazione tecnica secondo l'Allegato IV, registrazione automatica degli eventi, istruzioni per l'uso, sorveglianza umana, requisiti di accuratezza e cibersicurezza, sistema di gestione della qualità, valutazione di conformità e registrazione nella banca dati UE.

Il nostro gestionale con qualche automazione è un sistema di IA?

Dipende dalla definizione dell'art. 3 del Regolamento, che è più ampia di quanto si pensi: contano l'inferenza e la capacità di generare output come previsioni, contenuti o decisioni a partire dagli input ricevuti. Molte funzioni descritte commercialmente come automazione rientrano, altre no. La valutazione va fatta funzione per funzione, non sul prodotto nel suo insieme.

Quanto tempo serve per mettersi in regola?

Per un sistema ad alto rischio, mediamente da otto a quattordici mesi, perché gli obblighi incidono sull'architettura e sulla documentazione del prodotto. Gli obblighi dell'Allegato III sono applicabili dal 2 dicembre 2027 e quelli dell'Allegato I dal 2 agosto 2028: chi inizia nel 2027 arriva in ritardo.

I nostri clienti ci chiederanno documentazione?

Sì, e sempre di più. Gli utilizzatori di sistemi di IA hanno obblighi propri e per adempiervi hanno bisogno delle istruzioni per l'uso e delle informazioni sul sistema che solo il fornitore può dare. Averle pronte diventa un elemento di competitività commerciale.

Approfondimenti: assessment e classificazione dei sistemi · i quattro livelli di rischio · policy e governance IA · quadro completo dell'AI Act.

A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting ricopre il ruolo di DPO esterno per aziende, studi professionali ed enti pubblici in tutta Italia. Chi sono.

Stai sviluppando un prodotto con funzioni di IA?

La prima call è gratuita: stabiliamo se il tuo ruolo è quello di fornitore e cosa comporta, prima che il prodotto arrivi sul mercato.

Prenota una call gratuita Servizio DPO esterno