Obblighi del Deployer per Sistemi IA ad Alto Rischio — Articolo 26
Obblighi del deployer ai sensi dell'Articolo 26 del regolamento IA: checklist di conformità, requisito FRIA, e come Scanara struttura e documenta il lavoro di conformità.
Ai sensi dell'articolo 26 del Regolamento IA, gli operatori (deployer) di sistemi di IA ad alto rischio hanno obblighi di conformità distinti da quelli del fornitore del sistema di IA. Un deployer è qualsiasi organizzazione che utilizza un sistema di IA ad alto rischio in un contesto professionale sotto la propria autorità. Gli obblighi chiave includono seguire le istruzioni per l'uso, attuare la sorveglianza umana, conservare i log, condurre una FRIA (se organismo del settore pubblico) e monitorare le prestazioni del sistema in esercizio. L'applicazione inizia il 2 agosto 2026 con sanzioni fino a 15 milioni di EUR o il 3% del fatturato.
Deployer vs fornitore: chi siete?
Fornitore
Sviluppa il sistema di IA e lo immette sul mercato UE. Sostiene gli obblighi principali: articoli 9–15, 17, valutazione della conformità, marcatura CE, documentazione dell'allegato IV. Responsabilità tecnica e di governance.
Esempi: vendor di software IA, piattaforme IA SaaS, sviluppatori di modelli.
Deployer
Utilizza un sistema di IA ad alto rischio in un contesto professionale sotto la propria autorità. Sostiene gli obblighi operativi dell'articolo 26: sorveglianza, monitoraggio, rispetto delle istruzioni, formazione del personale e FRIA (se settore pubblico). Non deve modificare il sistema oltre le istruzioni del fornitore.
Esempi: ospedali che usano diagnostica IA, datori di lavoro che usano screening IA, autorità pubbliche che usano l'IA nelle decisioni sulle prestazioni.
Importante: Un'organizzazione può essere contemporaneamente fornitore e deployer — se sviluppate un sistema di IA ad alto rischio e lo impiegate anche nelle vostre attività. In tal caso si applicano sia gli obblighi dell'articolo 16 (fornitore) sia quelli dell'articolo 26 (deployer).
Checklist degli obblighi del deployer (articolo 26)
Seguire le istruzioni per l'uso del fornitore
Implementate e utilizzate il sistema di IA rigorosamente entro le condizioni specificate nelle istruzioni per l'uso del fornitore. Non usate il sistema per finalità che eccedono l'ambito previsto.
Assegnare una sorveglianza umana qualificata
Assicuratevi che le persone incaricate della sorveglianza umana abbiano la competenza, la formazione e l'autorità necessarie per monitorare gli output del sistema di IA e intervenire quando necessario.
Attuare le misure di sorveglianza umana
Attuate le misure di sorveglianza umana specificate nelle istruzioni del fornitore. Documentate le procedure di sorveglianza e assicuratevi che il personale possa applicarle efficacemente nella pratica.
Condurre la FRIA (deployer del settore pubblico)
Gli organismi di diritto pubblico e le entità private che forniscono servizi pubblici devono condurre una valutazione d'impatto sui diritti fondamentali prima di mettere in funzione il sistema.
Monitorare le prestazioni del sistema dopo l'implementazione
Monitorate il funzionamento del sistema di IA e segnalate al fornitore eventuali incidenti gravi o malfunzionamenti. Mantenete i dati di monitoraggio post-commercializzazione richiesti dal piano di monitoraggio del fornitore.
Informare e formare le persone interessate
Quando il sistema di IA interagisce con persone fisiche o prende decisioni che le riguardano, fornite adeguate informative di trasparenza. Assicuratevi che il personale che usa il sistema o ne è interessato ne comprenda capacità e limiti.
Conservare i log operativi
Conservate i log generati dal sistema di IA nella misura in cui sono sotto il vostro controllo, come richiesto dall'articolo 12. I log devono essere conservati per il periodo stabilito dalla legge applicabile o per un minimo di 6 mesi.
Registrarsi nella banca dati UE
Determinati deployer (negli ambiti di attività di contrasto, migrazione, giustizia e processi democratici) devono registrare il loro uso di sistemi di IA ad alto rischio nella banca dati UE del Regolamento IA ai sensi dell'articolo 49.
L'obbligo di FRIA per i deployer
L'articolo 27 impone ai deployer del settore pubblico di condurre una valutazione d'impatto sui diritti fondamentali prima di mettere in funzione qualsiasi sistema di IA ad alto rischio dell'allegato III. La FRIA deve essere registrata nella banca dati UE del Regolamento IA. Esamina come il sistema di IA possa incidere sui diritti fondamentali, tra cui non discriminazione, dignità umana, protezione dei dati e accesso alla giustizia.
Leggi la guida FRIA completa →Obblighi di monitoraggio continuativi
Monitoraggio delle prestazioni
Monitorate le prestazioni del sistema di IA rispetto alla finalità specificata. Tracciate l'accuratezza degli output, gli indicatori di bias e qualsiasi degrado rispetto ai benchmark di prestazione validati del fornitore.
Segnalazione degli incidenti gravi
L'articolo 73 impone ai deployer di segnalare incidenti gravi o malfunzionamenti al fornitore e, in alcuni casi, direttamente alle autorità di vigilanza del mercato. Tenete un registro degli incidenti con marche temporali e azioni correttive.
Conservazione dei log
Conservate i log generati dal sistema di IA per almeno 6 mesi o secondo quanto previsto dalla normativa settoriale (ad es. sanità, servizi finanziari). I log sono necessari per gli audit regolatori e le indagini sugli incidenti.
Come Scanara aiuta i deployer
Scanner degli obblighi del deployer
Il modulo deployer di Scanara analizza il vostro contesto operativo rispetto a tutti gli obblighi dell'articolo 26 — identificando meccanismi di sorveglianza mancanti, lacune nella conservazione dei log e assenza di informative di trasparenza.
Automazione della FRIA
Precompilate automaticamente la scheda FRIA dell'articolo 27 con il vostro contesto di implementazione. Scanara segnala quando è richiesta una FRIA e genera un modello prestrutturato che il vostro team legale completa.
Struttura per la segnalazione degli incidenti
Il dossier PMM di Scanara include una sezione incidenti gravi conforme all'articolo 73 con le scadenze di segnalazione previste dalla legge e una matrice di escalation, oltre a una dashboard di monitoraggio che traccia la cadenza delle revisioni e i dossier PMM in ritardo.
Domande frequenti
Come aiuta Scanara
Scanara automatizza la conformità al Regolamento sull'IA dal codice al dossier. Connetti i tuoi repo GitHub e ottieni report di conformità in pochi minuti.