L’entrata in vigore del Digital Omnibus AI (Reg. UE 2026/1744) ha portato significative modifiche all’AI Act con particolare attenzione agli obblighi di trasparenza e alla responsabilità civile degli attori coinvolti nella catena di utilizzo dei sistemi di intelligenza artificiale. Tra questi, il deployer ovvero l’utilizzatore professionale, assume un ruolo cruciale.
Molti ritengono che il rispetto degli obblighi previsti dall’AI Act sia sufficiente per evitare responsabilità civili, ma la realtà è più complessa. Il deployer, pur non essendo il creatore della tecnologia, è spesso il primo punto di contatto con il cliente o il destinatario del servizio, e deve quindi gestire con attenzione la propria compliance e le eventuali responsabilità contrattuali.
Obblighi e responsabilità del deployer nell’AI Act
Gli obblighi derivanti dall’AI Act variano in base al ruolo (fornitore, deployer, importatore, ecc.) e al tipo di sistema o modello AI (vietato, ad alto rischio, soggetto a obblighi di trasparenza, a finalità generali). Tuttavia, il legislatore spesso fatica a stare al passo con l’evoluzione tecnologica, come dimostra il caso degli AI Agent che attualmente non trovano una precisa collocazione nelle fonti considerate.
Il deployer deve quindi definire con chiarezza i propri obblighi di compliance, distinguendo tra quelli inderogabili e quelli che possono essere gestiti pattiziamente con le controparti. La questione non si limita a stabilire chi ha sviluppato il modello o il sistema AI, ma riguarda anche quale obbligazione sia stata dedotta in contratto dal deployer e chi controlli in concreto il fattore che ha generato l’errore.
Obblighi inderogabili per i sistemi ad alto rischio
Per i sistemi ad alto rischio, l’AI Act impone obblighi chiari e specifici. Il deployer deve adottare misure tecniche e organizzative idonee a garantire l’uso conforme alle istruzioni, affidare la sorveglianza umana a persone competenti e formate, e assicurare che i dati di input siano pertinenti e sufficientemente rappresentativi. Questi obblighi sono essenziali perché i rischi dell’AI non derivano solo dalla progettazione, ma anche dal modo in cui il sistema è utilizzato nel contesto reale.
Accanto a questi obblighi, per i sistemi ad alto rischio opera un autonomo dovere di trasparenza “tecnica” verso il deployer. L’AI Act richiede che tali sistemi siano progettati e sviluppati in modo da rendere il loro funzionamento sufficientemente trasparente da consentire al deployer di interpretarne l’output e usarlo adeguatamente, e che siano accompagnati da istruzioni per l’uso concise, complete, corrette, accessibili e comprensibili.
Le tre aree della responsabilità del deployer
Oltre ai sistemi ad alto rischio, l’AI Act impone obblighi specifici di trasparenza per altre due aree. La prima riguarda i sistemi AI che generano o manipolano un testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico. La seconda riguarda i contenuti generati o manipolati in forma di deep fake.
Per entrambe queste aree, il contratto non può spostare sul provider gli obblighi che l’AI Act pone direttamente sul deployer, ma può rendere tali obblighi, e più in generale le condotte dovute, attuabili, verificabili e difendibili. Il problema più delicato si colloca nella terza area, quella dei sistemi che non sono ad alto rischio e che neppure rientrano nei casi coperti dagli specifici obblighi di trasparenza dell’AI Act, oppure dei sistemi che, pur rientrando nelle prime due aree, estendono la loro applicabilità ad aspetti non disciplinati dall’AI Act.
In questi casi, la responsabilità non scompare ma si sposta principalmente sul contratto e sul diritto civile comune. Il contratto del deployer deve quindi svolgere tre operazioni fondamentali: concretizzare gli obblighi nell’uso dell’AI, allocare le sfere di controllo nella filiera e predisporre le prove per un’eventuale difesa.
Concretizzare l’obbligo significa definire finalità prevista, limiti d’uso, qualità minima degli input, soglie prestazionali, tempi di reazione alle anomalie, procedure di escalation, condizioni di sospensione del sistema e regole di riesame umano. Allocare le sfere di controllo implica distinguere ciò che dipende dalla progettazione del sistema, dalle istruzioni del fornitore, dalla configurazione del deployer, dagli input caricati, dalla verifica umana effettuata od omessa, e dalla condotta del cliente.
Questa mappa è essenziale sia per prevenire il danno sia per attribuirne correttamente la causa. In mancanza, il deployer rischia di rispondere verso il cliente come unico debitore della prestazione, senza poter poi ricostruire con precisione la responsabilità interna nella filiera.
