Fornitore o utilizzatore: quando usare un sistema fa cambiare ruolo

Il regolamento non tratta allo stesso modo chi costruisce un sistema di intelligenza artificiale e chi lo usa. Sono due ruoli distinti — fornitore e utilizzatore — con obblighi diversi, e la differenza non è nominale: gli obblighi più pesanti stanno dal lato del fornitore.

La domanda che conta, per un'impresa, non è quale ruolo le piacerebbe avere. È se qualcosa che fa la sposti dall'uno all'altro senza che se ne accorga.

Le tre circostanze dell'articolo 25

L'articolo 25 si intitola «Responsabilità lungo la catena del valore dell'AI». Stabilisce che un distributore, un importatore, un utilizzatore o un altro terzo è considerato fornitore di un sistema ad alto rischio, con gli obblighi che ne derivano, in tre casi:

1. quando appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato o messo in servizio; 2. quando apporta una modifica sostanziale a un sistema ad alto rischio già sul mercato, in modo che resti ad alto rischio; 3. quando modifica la finalità prevista di un sistema che non era classificato ad alto rischio, in modo tale che lo diventi.

Nel primo caso la disposizione fa salvi gli accordi contrattuali che ripartiscano diversamente gli obblighi. Quando una di queste circostanze si verifica, il fornitore iniziale non è più considerato tale per quel sistema, e deve cooperare con il nuovo fornitore mettendogli a disposizione le informazioni e l'accesso tecnico necessari.

Perché riguarda anche chi non sviluppa niente

Il primo caso è quello che sorprende di più. Mettere il proprio marchio su uno strumento costruito da altri è una scelta commerciale ordinaria: un assistente sul sito che si presenta con il nome dell'azienda, uno strumento rivenduto ai propri clienti sotto la propria insegna.

Il regolamento la tratta come un fatto giuridico: chi lo fa, per quel sistema, risponde come fornitore. È il punto in cui gli obblighi di trasparenza cambiano indirizzo, e lo si vede in Trasparenza: quali obblighi ricadono su chi usa un sistema.

Che cosa non basta, invece

Non è il numero di dipendenti a stabilire il ruolo, né il fatto di aver scritto o no una riga di codice. E non basta usare uno strumento di terzi — anche se lo si usa intensamente, anche se lo si configura — per diventarne fornitori: le circostanze dell'articolo 25 sono tre e sono elencate.

Un avviso che conviene leggere

La pagina della Commissione che ospita l'articolo 25 riporta un avviso: la disposizione è stata modificata dall'AI Omnibus e il testo mostrato non è ancora aggiornato a quelle modifiche.

Per questo qui trovate la sostanza delle tre circostanze e non una citazione testuale: per il testo vigente il rimando è al consolidato su EUR-Lex, che è la fonte che fa fede.