Articolo 26 del Regolamento (UE) 2024/1689 — Obblighi dei deployer di sistemi di IA ad alto rischio. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni di conformità.
Sintesi del Testo Ufficiale
L'Articolo 26 del Regolamento (UE) 2024/1689 stabilisce gli obblighi a carico dei deployer — coloro che mettono in uso i sistemi di IA ad alto rischio — e si colloca nel Titolo III, Capitolo 3 del Regolamento. L'articolo stabilisce che i deployer devono adottare misure tecniche e organizzative adeguate per garantire di utilizzare tali sistemi in conformità con le istruzioni per l'uso fornite dal fornitore (Articolo 26(1)). I deployer sono tenuti ad affidare il compito della supervisione umana a persone che possiedano le competenze, la formazione e l'autorità necessarie per svolgerla efficacemente (Articolo 26(2)).
Laddove i deployer determinino lo scopo dell'uso o esercitino un'influenza significativa sul funzionamento del sistema di IA, essi assumono responsabilità accresciute commisurate al ruolo di un fornitore. I deployer devono monitorare il funzionamento del sistema di IA ad alto rischio sulla base delle istruzioni per l'uso e, ove pertinente, informare il fornitore di eventuali rischi identificati (Articolo 26(5)). Non devono utilizzare il sistema in modi che contraddicano tali istruzioni o sottoporre il personale a pressioni tali da compromettere una corretta supervisione.
L'Articolo 26(7) richiede ai deployer di conservare i registri generati automaticamente dal sistema di IA ad alto rischio nella misura in cui tali registri siano sotto il loro controllo, conservandoli per un periodo adeguato allo scopo previsto e alle norme settoriali applicabili, e non inferiore a sei mesi. L'Articolo 26(9) impone un obbligo ai deployer che siano organismi pubblici e a determinati operatori privati di condurre e documentare una valutazione dell'impatto sui diritti fondamentali prima della distribuzione, e di registrarla nella banca dati UE istituita ai sensi dell'Articolo 71.
Cosa Significa in Pratica
L'Articolo 26 riguarda direttamente qualsiasi organizzazione che integra un sistema di IA ad alto rischio nelle proprie operazioni senza esserne lo sviluppatore o il fornitore originale. I deployer tipici includono ospedali che utilizzano strumenti diagnostici assistiti dall'IA, datori di lavoro che usano l'IA per la selezione del personale, banche che utilizzano motori di scoring creditizio basati sull'IA e autorità pubbliche che usano l'IA per le decisioni sull'idoneità ai benefici.
In termini concreti, un deployer deve iniziare leggendo e attuando attentamente le istruzioni per l'uso del fornitore — queste diventano la base di riferimento della conformità. Prima dell'avvio, il deployer deve identificare quale membro del personale o quale team è responsabile della supervisione e garantire che disponga della formazione e dell'autorità per intervenire, sospendere o ignorare le uscite del sistema. È esplicitamente vietato fare pressioni per ignorare o aggirare i meccanismi di supervisione.
Durante l'operatività, il deployer deve conservare i registri generati dal sistema. Per una banca che distribuisce un modello di rischio creditizio di terze parti, ciò significa conservare i registri delle decisioni automatizzate per almeno sei mesi e garantire che siano accessibili per audit o ispezioni regolamentari. Se il sistema inizia a produrre output imprevisti o è coinvolto in un incidente che causa o potrebbe causare danni, il deployer deve effettuare immediatamente un'escalation al fornitore e, se necessario, all'autorità di vigilanza nazionale.
I deployer del settore pubblico e le aziende private che forniscono servizi rivolti al pubblico affrontano un passaggio aggiuntivo: una valutazione formale dell'impatto sui diritti fondamentali deve essere completata e registrata nella banca dati UE prima dell'attivazione del sistema. Tale valutazione deve identificare gli impatti prevedibili su diritti quali la non discriminazione, la privacy e il giusto processo, e documentare le misure di attenuazione.
I deployer che vanno oltre le loro istruzioni — riutilizzando un sistema per un caso d'uso diverso o modificandone materialmente la configurazione — rischiano di essere riclassificati come fornitori ai sensi dell'Articolo 25, assumendo il peso completo degli obblighi del fornitore, inclusa la valutazione della conformità.
Obblighi Principali
- Seguire le istruzioni per l'uso: distribuire e operare il sistema di IA ad alto rischio rigorosamente in conformità con le istruzioni del fornitore; qualsiasi utilizzo al di fuori dello scopo previsto comporta la potenziale riclassificazione come fornitore.
- Garantire una supervisione umana competente: designare persone con le competenze, la formazione e l'autorità necessarie per svolgere una supervisione umana efficace; non istruire o incentivare il personale ad aggirare le funzioni di supervisione.
- Monitorare e segnalare rischi e incidenti: monitorare continuamente le prestazioni del sistema; notificare tempestivamente al fornitore e, ove applicabile, all'autorità di vigilanza del mercato competente qualsiasi rischio grave o incidente identificato durante l'uso.
- Conservare i registri generati automaticamente: preservare i registri prodotti dal sistema di IA per un minimo di sei mesi o per un periodo più lungo se richiesto dalla legge applicabile o dalle norme settoriali, nella misura in cui tali registri siano sotto il controllo del deployer.
- Condurre e registrare una valutazione dell'impatto sui diritti fondamentali: i deployer che sono organismi pubblici e gli operatori privati che forniscono servizi pubblici devono completare una valutazione documentata dell'impatto sui diritti fondamentali e registrarla nella banca dati UE prima della distribuzione.
- Informare e proteggere i lavoratori interessati: laddove il sistema venga utilizzato in contesti occupazionali, i deployer devono informare i rappresentanti dei lavoratori e le persone interessate in conformità con la legge dell'Unione e nazionale applicabile prima della distribuzione.
Rapporto con Altri Articoli
L'Articolo 26 deve essere letto insieme a diverse disposizioni interconnesse. L'Articolo 25 definisce quando un deployer viene riclassificato come fornitore — una soglia che i deployer devono monitorare attivamente ogni volta che modificano o riutilizzano un sistema. L'Articolo 13 (Trasparenza e fornitura di informazioni ai deployer) disciplina ciò che il fornitore deve comunicare attraverso le istruzioni per l'uso, definendo direttamente come appare la conformità all'Articolo 26(1). L'Articolo 14 (Supervisione umana) elabora i requisiti tecnici che i fornitori devono incorporare nei sistemi per consentire ai deployer di adempiere ai propri doveri di supervisione ai sensi dell'Articolo 26(2).
L'Articolo 71 (Banca dati UE) è alla base del requisito di registrazione imposto ai deployer pubblici dall'Articolo 26(9). L'Articolo 73 (Segnalazione di incidenti gravi) complementa l'Articolo 26(5) dettagliando il quadro procedurale per le notifiche di incidenti. In contesti occupazionali, l'Articolo 26(6) si interseca con la Direttiva 2002/14/CE sull'informazione e la consultazione dei lavoratori. Per i deployer in settori regolamentati — finanza, salute, trasporti — il diritto settoriale dell'Unione può imporre obblighi aggiuntivi o sovrapposti che interagiscono con il riferimento dell'Articolo 26.
Cronologia di Conformità
L'EU AI Act è entrato in vigore il 1° agosto 2024, con obblighi applicabili secondo un calendario graduale. Le disposizioni sulle pratiche di IA vietate sono diventate applicabili il 2 febbraio 2025. Gli obblighi relativi ai modelli di IA per uso generale sono diventati applicabili il 2 agosto 2025.
L'Articolo 26, in quanto obbligo applicabile ai sistemi di IA ad alto rischio elencati nell'Allegato III, diventa applicabile il 2 agosto 2026 per la maggior parte dei sistemi ad alto rischio, con un termine prorogato al 2 agosto 2027 per i sistemi di IA ad alto rischio nelle aree dell'occupazione, dell'istruzione e dell'accesso ai servizi essenziali in cui si applica la legislazione di armonizzazione dell'Unione esistente (quei sistemi elencati nell'Allegato I). I deployer dovrebbero quindi considerare il 2 agosto 2026 come la scadenza principale di conformità per la prontezza operativa, la designazione della supervisione umana, l'infrastruttura di conservazione dei registri e le procedure di valutazione dell'impatto sui diritti fondamentali, iniziando immediatamente i lavori preparatori per consentire un tempo sufficiente per la governance, la revisione degli appalti e la formazione del personale.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Un deployer è qualsiasi persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che utilizza un sistema di IA ad alto rischio sotto la propria responsabilità, tranne nei casi in cui il sistema viene utilizzato nel corso di un'attività personale puramente non professionale. Ciò include aziende, istituzioni pubbliche e operatori che integrano sistemi di IA ad alto rischio di terze parti nei propri flussi di lavoro.
I deployer devono attuare misure tecniche e organizzative adeguate per garantire di utilizzare i sistemi di IA ad alto rischio in conformità con le istruzioni per l'uso fornite dal fornitore. Devono inoltre affidare la supervisione umana a persone qualificate, monitorare le prestazioni e sospendere l'uso qualora identifichino rischi.
Sì. L'Articolo 26(9) richiede ai deployer che siano organismi disciplinati dal diritto pubblico, o operatori privati che forniscono servizi pubblici, di condurre una valutazione dell'impatto sui diritti fondamentali prima di mettere in uso determinati sistemi di IA ad alto rischio. Tale valutazione deve essere registrata nella banca dati UE prima della distribuzione.
Ai sensi dell'Articolo 26(5), i deployer devono informare immediatamente il fornitore e, ove applicabile, l'autorità di vigilanza del mercato competente. Se il deployer non riesce a contattare il fornitore, deve notificare direttamente l'autorità. L'obbligo si applica quando il deployer ha ragione di credere che il sistema presenti un rischio o abbia causato un incidente grave.
No. La valutazione della conformità è responsabilità del fornitore ai sensi dell'Articolo 43. I deployer sono responsabili dell'uso corretto secondo le istruzioni del fornitore, della supervisione umana adeguata, della governance dei dati per gli input che controllano e degli obblighi di segnalazione. Tuttavia, i deployer che modificano sostanzialmente un sistema possono acquisire obblighi da fornitore.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.