Il regolamento IA non prevede soglie dimensionali. Si applica in base al ruolo e al territorio e, dal momento in cui le persone della sua azienda usano l’AI per lavorare, la sua organizzazione è un deployer con obblighi propri. Quali siano tali obblighi dipende da ciò che l’AI decide — non dalle dimensioni della sua organizzazione.
Nessuna delle due riguarda le sue dimensioni.
Le persone della sua organizzazione usano l’AI nello svolgimento del proprio lavoro?
Lei è un deployer.
È il caso di quasi tutte le aziende ed è la risposta che la maggior parte delle organizzazioni sbaglia. Non sviluppare AI significa che non è un fornitore. Non la colloca fuori dal regolamento.
Immette sul mercato un sistema di AI o lo mette in servizio a proprio nome?
Lei è un fornitore.
Obblighi sensibilmente più gravosi, e ci si può arrivare senza volerlo — si veda più avanti.
Importa, distribuisce o vende un prodotto con l’AI incorporata?
Rientra anche lei.
Importatori, distributori, fabbricanti di prodotti e rappresentanti autorizzati hanno ciascuno obblighi propri.
Per questo il regolamento raggiunge anche chi non ha mai avuto un’entità nell’UE, e per questo il suo auditor le chiederà dove viene eseguito un sistema.
Nulla nel regolamento funziona come le soglie di dipendenti o di fatturato presenti in altre norme dell’UE. Le piccole e medie imprese dispongono di modalità di adempimento più leggere — documentazione tecnica semplificata, spazi di sperimentazione normativa, sanzioni proporzionate alle loro dimensioni — non di un’esenzione dall’adempimento.
Due di queste date sono state spostate nel luglio 2026. Quella già applicabile, no.
Ogni fornitore e ogni deployer, a qualsiasi livello di rischio. Misure ragionevoli affinché chi usa l’AI capisca che cosa può e che cosa non può fare.
Tutti.
I fornitori di modelli e l’apparato di applicazione che sostiene tutto il resto.
Informare le persone quando hanno a che fare con l’AI. Marcare i contenuti sintetici. Già applicabile dalle autorità nazionali, con sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale.
Periodo di tolleranza per i sistemi generativi già sul mercato prima dell’agosto 2026.
Sorveglianza umana, monitoraggio, informazione dei lavoratori — e conservazione per almeno sei mesi dei log generati automaticamente dal sistema.
Macchine, dispositivi medici, veicoli e il resto del regime di sicurezza dei prodotti.
Le date di dicembre 2027 e agosto 2028 sono state spostate dal Digital Omnibus, il regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Gli obblighi di trasparenza non sono stati spostati — una distinzione che molte guide pubblicate continuano a sbagliare.
L’alto rischio è definito da ciò che il sistema decide sulle persone, non da quanto è avanzato. Questi sono gli ambiti dell’allegato III che un’impresa comune tocca davvero.
Selezione delle candidature, assegnazione dei compiti, monitoraggio delle prestazioni, decisioni su promozione o cessazione del rapporto.
Valutazione dell’affidabilità creditizia e determinazione dei prezzi in funzione del rischio nelle assicurazioni sulla vita e sanitarie.
Ammissione, valutazione dei risultati dell’apprendimento, sorveglianza degli esami.
Identificazione remota, categorizzazione biometrica, riconoscimento delle emozioni.
Un’azienda manifatturiera che lascia a uno strumento di AI la preselezione dei candidati è il deployer di un sistema ad alto rischio. Pochissime lo sanno.
La terza colonna è quella onesta. Nessuna piattaforma rende conforme un’organizzazione, e qualsiasi venditore la cui tabella abbia solo due colonne le sta vendendo qualcosa.
| L’obbligo | Che cosa Tandevia registra o applica | Che cosa resta a lei |
|---|---|---|
| Alfabetizzazione in materia di AIArticolo 4 | Un registro di chi usa quale modello, per che cosa e con quale frequenza — così la formazione può essere indirizzata alle persone e alle attività che ne hanno bisogno. | Decidere che cosa il suo personale deve capire e insegnarglielo davvero. |
| Sapere quale AI haIl presupposto di tutto | Ogni richiesta attribuita a una persona, un team, un’applicazione o un agente, su modelli commerciali, open-weight e self-hosted. | Classificare ogni utilizzo rispetto all’allegato III e stabilire il proprio livello di rischio. |
| Trasparenza verso le personeArticolo 50 | Quali modelli può raggiungere un’applicazione, così che un assistente rivolto ai clienti non possa essere spostato in silenzio su un modello non dichiarato. | Scrivere l’informativa nelle interfacce che i suoi clienti vedono davvero. È una proprietà del suo front end, non del livello sottostante. |
| Sorveglianza umanaArticolo 26, paragrafo 1 | Punti di approvazione in Workflow Studio, con l’approvatore, il momento e la decisione registrati per ogni esecuzione. | Scegliere quali passaggi richiedono una persona e dare a quella persona una reale facoltà di rifiutare. |
| Conservare i logArticolo 26, paragrafo 6 | Un registro consultabile di ogni richiesta, modello, decisione e costo, con conservazione configurabile — compreso ciò che è stato trattenuto prima di arrivare a un modello, esportabile come documento. | Impostare la conservazione ad almeno sei mesi e conciliarla con le sue regole di protezione dei dati. |
| Monitorare il funzionamentoArticolo 26, paragrafo 5 | Utilizzo, costi e decisioni di policy per team e applicazione, con avvisi prima che si raggiunga un tetto massimo. | Agire in base a ciò che il monitoraggio mostra e segnalare gli incidenti gravi. |
| Usarlo secondo le istruzioniArticolo 26, paragrafo 1 | Un catalogo di modelli approvati per ogni team. I modelli non approvati sono indisponibili, non semplicemente sconsigliati. | Leggere le istruzioni per l’uso del fornitore e configurare di conseguenza. |
| Governance dei dati di inputArticolo 26, paragrafo 4 | Ispezione dei contenuti prima che lascino la sua rete, e dei contenuti che arrivano da fonti esterne prima che un modello li legga — applicata in base alle policy. | Decidere che cosa possa essere inviato e a chi. |
Una cosa da verificare rispetto al suo piano: l’articolo 26, paragrafo 6, fissa una soglia minima di sei mesi per i log di un deployer ad alto rischio. Su Tandevia questo significa la conservazione dei piani Business o Enterprise — il piano Team conserva tre mesi, al di sotto di tale soglia.
Tre vie trasformano un deployer in un fornitore. Quando ne ricorre una qualsiasi, gli obblighi del fornitore previsti dall’articolo 16 diventano suoi e il fornitore originario cessa di essere il fornitore di quel sistema.
La terza è quella in cui incappano le aziende comuni. Costruire, a partire da un modello per finalità generali, un’automazione che filtra le candidature di lavoro è esattamente quel cambio di finalità — ed è una decisione presa di solito da un team che non ha mai letto il regolamento.
Questa è una mappa, non una consulenza legale. Nulla di quanto contenuto qui rende conforme un’organizzazione, e nessun prodotto può farlo — classificazione, formazione, informativa e responsabilità restano a lei. Verifichi la sua posizione con i suoi legali.
Riflette il quadro normativo al settembre 2026, incluso il regolamento (UE) 2026/1744. Il regolamento IA è ancora in movimento; per questo la pagina riporta una data.
Non si può classificare, documentare né formare su un uso dell’AI che non si vede — e questo vale quali che siano gli obblighi che finiranno per applicarsi a lei. È anche la parte che richiede più tempo, ed è per questo che il rinvio a dicembre 2027 è tempo da usare, non tempo da aspettare.