Definizioni di Fornitore, Fabbricante, Deployer, Importatore e Distributore
Determinare il livello di rischio di un sistema di intelligenza artificiale (IA) è il secondo passo per la conformità all’AI Act. Infatti, il Regolamento prevede diversi obblighi in funzione del ruolo, distinguendo principalmente tra Fornitore (1), Fabbricante (2), Deployer (3) e Importatore/Distributore (4).
1. Fornitore (Provider)
L’articolo 3 del Regolamento definisce il Fornitore (Provider) come “una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuito.”
Inoltre, ai sensi dell’articolo 25(1) dell’AI Act, sono considerati “Fornitori” di sistemi di IA ad alto rischio anche i Distributori, Deployer, Fabbricanti di prodotti o qualsiasi altra persona che:
- Appongono il proprio nome o marchio su un sistema di IA ad alto rischio già immesso sul mercato, fatti salvi accordi contrattuali che prevedano una diversa ripartizione degli obblighi al riguardo;
- Apportano una modifica sostanziale a un sistema di IA ad alto rischio già immesso sul mercato facendolo rimanere un sistema di IA ad alto rischio;
- Modificano la finalità prevista di un sistema di IA, anche un sistema per finalità generali, che non è stato classificato come ad alto rischio e che è già stato immesso sul mercato facendolo diventare un sistema di IA ad alto rischio.
Ne consegue che, il fatto di far sviluppare un sistema di IA da un fornitore esterno non permette a colui che successivamente lo immette sul mercato, o addirittura semplicemente lo contraddistingue con il proprio marchio – salvo diversi accordi contrattuali – di sottrarsi agli obblighi stringenti previsti dall’AI Act per i Fornitori (Provider).
Inoltre, chiunque modifichi un sistema di IA ad alto rischio o utilizzi un qualsiasi sistema di IA per una finalità non prevista facendolo diventare un sistema ad alto rischio sarà considerato un Fornitore (Provider).
Saranno invece esonerati dagli obblighi previsto per i Fornitori (Provider) coloro che sviluppino per sé o per altri un sistema di IA non destinato ad essere commercializzato o messo in servizio. Resta però da capire cosa il Regolamento intenda per “messo in servizio” e se tale termine includa anche l’uso interno del sistema di IA o meno.
2. Fabbricante
I Fabbricanti – ovvero coloro che producono o fanno produrre un prodotto – sono destinatari dell’AI Act in quanto vengono considerati Fornitori (Provider) di sistemi di IA nella misura in cui integrano tali sistemi come componenti di sicurezza dei loro prodotti se disciplinati dalla normativa UE contenuta nell’allegato I del Regolamento (ascensori, attrezzature di sicurezza, veicoli, componenti essenziali di infrastrutture critiche, giocattoli, ecc.) o se immettono sul mercato o mettono in servizio sistemi di IA in quanto prodotto con il loro nome o marchio.
Ancora una volta, sarà sufficiente contraddistinguere un sistema di IA con il proprio marchio o integrare un sistema di IA in un prodotto a marchio proprio per essere considerato un Fornitore (Provider).
Inoltre, a prescindere dalla presenza del marchio o del nome del Fabbricante sul prodotto, quest’ultimo sarà considerato un Fornitore (Provider) se il prodotto rientra tra i prodotti disciplinati dalla normativa UE contenuta nell’allegato I del Regolamento e il sistema di IA funge da componente di sicurezza del prodotto.
3. Deployer
L’articolo 3 del Regolamento definisce il Deployer come “una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un’attività personale non professionale.”
Ne consegue che, salvo il caso di attività non professionale, sono sottomessi agli obblighi previsti dall’AI Act per i Deployer tutti coloro che utilizzano sistemi di IA per le loro attività come, ad esempio, consentire ai propri dipendenti l’utilizzo di sistemi di IA o l’implementazione di sistemi di IA nei propri processi aziendali.
4. Importatore e Distributore
Importatori e Distributori sono soggetti a specifici obblighi definiti agli articoli 23 (relativo agli Importatori) e 24 (relativo ai Distributori) dell’AI Act, oltre naturalmente al caso in cui ricadano nella definizione di “Provider” ai sensi dell’articolo 25 (1).
A norma dell’articolo 3 dell’AI Act, l’Importatore è “una persona fisica o giuridica ubicata o stabilita nell’Unione che immette sul mercato un sistema di IA recante il nome o il marchio di una persona fisica o giuridica stabilita in un paese terzo;” mentre un Distributore è “una persona fisica o giuridica nella catena di approvvigionamento, diversa dal fornitore o dall’importatore, che mette a disposizione un sistema di IA sul mercato dell’Unione;”
Sostanzialmente, in queste ultime due categorie ricadono tutti coloro che prendano parte alla catena del valore di un sistema di AI che rientra nell’ambito di applicazione dell’AI Act.
Conclusione
Una volta stabilito che il sistema di AI rientra nell’ambito di applicazione dell’AI Act, nella definizione di sistema di AI e definito il suo livello di rischio sarà necessario individuare il proprio ruolo all’interno della catena di valore al fine di determinare gli obblighi specifici ai quali si sarà soggetti.
