Fornitore vs. deployer: chi è responsabile?

Cos’è Fornitore vs. deployer: chi è responsabile??

L’EU AI Act suddivide gli obblighi tra il fornitore che costruisce un sistema di intelligenza artificiale e l’operatore che lo mette in funzione, e l’acquisto di un prodotto conforme non trasferisce i doveri dell’utente al fornitore. Separerai i due ruoli, stabilirai quali sono i tuoi obblighi e valuterai la documentazione di conformità del fornitore durante l'approvvigionamento in modo che le lacune emergano prima della firma di un contratto anziché durante un audit.

Cosa imparerai in Fornitore vs. deployer: chi è responsabile?

• Distinguere tra i ruoli di fornitore e di operatore ai sensi della legge dell’UE sull’intelligenza artificiale
• Identificare gli obblighi specifici che appartengono a ciascun ruolo
• Comprendere perché la conformità del fornitore non soddisfa gli obblighi del deployer
• Riconoscere i prodotti IA erroneamente classificati durante la revisione degli appalti
• Applicare una valutazione del rischio indipendente come parte della due diligence sugli appalti

Fornitore vs. deployer: chi è responsabile? — Fasi della formazione

1. Fornitore vs. deployer

   L'EU AI Act assegna obblighi diversi a seconda del ruolo dell'utente nella catena del valore dell'IA: Fornitore - L'azienda che sviluppa un sistema di intelligenza artificiale, o ne fa sviluppare uno, e lo immette sul mercato o lo mette in servizio con il proprio nome. Responsabile della valutazione della conformità, della marcatura CE e della documentazione tecnica. Deployer - L'azienda che utilizza un sistema di intelligenza artificiale sotto la propria autorità. Responsabile della supervisione umana, del monitoraggio, della tenuta dei registri, dell'informazione delle persone interessate e della segnalazione degli incidenti. Anche gli enti pubblici, i fornitori di servizi pubblici e gli attuatori del punteggio creditizio o assicurativo devono eseguire una valutazione d'impatto sui diritti fondamentali (articolo 27). BrightPath Consulting è un implementatore. Quando l'azienda acquista lo strumento AI di un fornitore, la conformità del fornitore non esonera BrightPath dai propri obblighi legali ai sensi della legge.

2. E-mail dal direttore IT

   Arriva un'e-mail da Rachel Kim, direttore IT di BrightPath. Tre fornitori di intelligenza artificiale hanno presentato proposte e Alice deve valutare il loro livello di conformità prima di prendere decisioni sugli appalti.

3. Fornitore 1: TalentMatch AI

   Alice clicks the TalentMatch AI link in Rachel's email to open the vendor's compliance documentation. This vendor has done their provider obligations well: conformity assessment completed, CE marking obtained, technical documentation available, and intended purpose clearly stated. The system is classified as High Risk under Annex III area 4 (employment).

4. Obblighi del deployer per l'IA ad alto rischio

   Anche se TalentMatch AI è un fornitore conforme, BrightPath in qualità di deployer ha una propria serie di obblighi obbligatori ai sensi della legge sull'intelligenza artificiale dell'UE. Questi obblighi esistono indipendentemente dallo stato di conformità del fornitore. Alice apre l'elenco di controllo degli obblighi del deployer collegato nell'e-mail di Rachel.

5. Verifica delle conoscenze: responsabilità del deployer

6. Fornitore 2: Bot QuickReply

   The next vendor is QuickReply Bot, a customer service chatbot. Alice clicks the QuickReply Bot link in Rachel's email. This is a Limited Risk AI system. Its main duty is transparency: the provider must build the bot so customers know they are talking to AI, not a human, and it is built that way. BrightPath's part as deployer is simpler: keep that disclosure visible in its own chat widget.

7. Fornitore 3: InsightIQ

   Il fornitore finale è InsightIQ, una piattaforma di analisi delle prestazioni dei dipendenti basata sull'intelligenza artificiale. Alice fa clic sul collegamento InsightIQ nell'e-mail di Rachel per aprire la pagina del prodotto. Qualcosa nelle affermazioni di questo venditore dovrebbe far scattare una bandiera rossa.

8. Il problema della classificazione errata

   InsightIQ processes employee performance data to make promotion and team composition recommendations. This is employment-related AI decision-making, which is High Risk under Annex III of the EU AI Act. The vendor either deliberately misclassified the product to avoid compliance costs, or genuinely does not understand the regulation. Either way, BrightPath cannot rely on the vendor's self-classification. As a deployer, the company should verify the risk classification itself before deployment: it must use the system in line with the provider's instructions (Article 26(1)), and a deployer that puts its own name on a high-risk system or changes its purpose takes on the provider's obligations (Article 25).

9. Verifica della conoscenza: fornitore erroneamente classificato

10. Invia raccomandazioni sull'approvvigionamento

    Alice risponde a Rachel con una raccomandazione per ogni fornitore: quali strumenti BrightPath può distribuire, in quali condizioni di distribuzione e quale deve essere rifiutato completamente.