Guida12 min di letturaPubblicato il 3 nov 2026

Checklist per i deployer di IA ad alto rischio: i tuoi obblighi secondo l'articolo 26 dell'AI Act

Che cosa deve fare un deployer di un sistema di IA ad alto rischio? L'articolo 26 dell'AI Act elenca gli obblighi in dodici paragrafi. In sintesi: usi il sistema secondo le istruzioni per l'uso del fornitore. Affidi la sorveglianza umana a persone idonee. Monitori il funzionamento, conservi i log per almeno sei mesi e informi i lavoratori e le persone interessate. Se hai motivo di ritenere che il sistema presenti un rischio, informi senza indebito ritardo e sospendi l'uso. Se individui un incidente grave, informi in primo luogo il fornitore.

Per i sistemi di IA ad alto rischio dell'Allegato III, l'articolo 26 si applica dal 2 dicembre 2027. Per i sistemi dell'Allegato I si applica dal 2 agosto 2028 (articolo 113, lettera c), come modificato dal regolamento (UE) 2026/1744).

Di seguito: tutti i dodici paragrafi come checklist, i segnali d'allarme che ti obbligano ad agire, le scadenze di segnalazione e cosa fa il fornitore rispetto al deployer.

Le citazioni sono tratte dal regolamento (UE) 2024/1689 nella versione consolidata del 27 luglio 2026 (CELEX 02024R1689-20260727).

Chi è il deployer?

L'articolo 3, punto 4, definisce il deployer come «una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un'attività personale non professionale».

Un esempio: un'azienda acquista un software che preseleziona le candidature di lavoro e lo usa nel suo ufficio risorse umane. L'azienda è il deployer. Il produttore del software è il fornitore. Questi sistemi sono elencati nell'Allegato III, punto 4, lettera a).

Secondo l'articolo 3, punto 3, il fornitore è chi sviluppa un sistema di IA, o lo fa sviluppare, «e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio». Un'azienda che sviluppa un sistema e lo usa direttamente è, per quel sistema, fornitore e deployer allo stesso tempo (articolo 3, punti 3 e 11).

Da quando si applica l'articolo 26?

L'articolo 26 si trova nel capo III, sezione 3. Secondo l'articolo 113, lettera c), questa sezione si applica dal 2 dicembre 2027 ai sistemi di IA «classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 2, e dell'allegato III». Si applica dal 2 agosto 2028 ai sistemi classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 1, e dell'Allegato I. Per i sistemi immessi sul mercato o messi in servizio prima di queste date vale l'articolo 111, paragrafo 2: il regolamento si applica a loro solo dopo una modifica significativa della progettazione. I sistemi destinati a essere usati da autorità pubbliche devono conformarsi entro il 2 agosto 2030.

Molte pagine indicano ancora il 2 agosto 2026. Era la data per i sistemi dell'Allegato III nel testo originale del 2024. Il regolamento (UE) 2026/1744 l'ha spostata. Ora l'articolo 113 indica date fisse. Non dipendono dalla disponibilità delle norme armonizzate.

Alcuni obblighi si applicano già oggi. Dal 2 febbraio 2025: l'alfabetizzazione in materia di IA (articolo 4) e la maggior parte delle pratiche vietate (articolo 5). Dal 2 agosto 2026: gli obblighi di trasparenza dei deployer dell'articolo 50, paragrafi 3 e 4. Gli articoli 72 e 73 si trovano nel capo IX, non nel capo III. L'articolo 113 non prevede eccezioni per il capo IX, quindi lì vale la data generale: il 2 agosto 2026. In pratica si applicano a un sistema solo quando è ad alto rischio ai sensi dell'articolo 6, quindi dalle date indicate sopra.

La checklist: tutti i dodici paragrafi dell'articolo 26

Ogni riga indica un paragrafo, l'obbligo e una prova che puoi mostrare durante un controllo. La colonna delle prove contiene i nostri suggerimenti, non requisiti del regolamento.

Paragrafo	Obbligo	Prove possibili
Par. 1	Adottare idonee misure tecniche e organizzative per usare il sistema «conformemente alle istruzioni per l'uso che accompagnano i sistemi».	Le istruzioni per l'uso del fornitore per ogni sistema; una regola interna di utilizzo che vi fa riferimento.
Par. 2	Affidare la sorveglianza umana a persone fisiche «che dispongono della competenza, della formazione e dell'autorità necessarie», e garantire loro il sostegno necessario.	Per ogni sistema, i nomi delle persone addette alla sorveglianza; le registrazioni della formazione; un incarico scritto che consente loro di intervenire.
Par. 3	Non è un obbligo a sé. Il paragrafo 3 dice che restano gli altri obblighi dei deployer previsti dal diritto dell'Unione o nazionale. Dice anche che sei libero di organizzare le tue risorse per attuare le misure di sorveglianza.	Un elenco delle altre norme che si applicano al sistema (per esempio il GDPR o il diritto del lavoro).
Par. 4	Nella misura in cui eserciti il controllo sui dati di input: garantire che siano «pertinenti e sufficientemente rappresentativi alla luce della finalità prevista del sistema di IA ad alto rischio».	Una descrizione dei dati di input e della loro fonte; la data e l'esito della tua verifica.
Par. 5	Monitorare il funzionamento sulla base delle istruzioni per l'uso. Informare in caso di rischio o di incidente grave (vedi le red flag più avanti). Per alcuni istituti finanziari, l'obbligo di monitoraggio si considera soddisfatto se rispettano le regole di governance interna del diritto dell'Unione in materia di servizi finanziari.	Un piano di monitoraggio per ogni sistema; un registro di ciò che hai comunicato al fornitore e all'autorità.
Par. 6	Conservare i log generati automaticamente, nella misura in cui sono sotto il tuo controllo, per un periodo adeguato alla finalità prevista, «di almeno sei mesi», salvo diversa disposizione del diritto dell'Unione o nazionale.	Una regola di conservazione con il periodo; il luogo in cui sono conservati i log; una regola di cancellazione conforme al GDPR.
Par. 7	Come datore di lavoro, prima di mettere in servizio o usare il sistema sul luogo di lavoro: informare i rappresentanti dei lavoratori e i lavoratori interessati.	Una lettera informativa con data; una registrazione dell'informazione data ai rappresentanti dei lavoratori.
Par. 8	Per le autorità pubbliche e le istituzioni, gli organi e gli organismi dell'Unione: rispettare gli obblighi di registrazione dell'articolo 49. Non usare un sistema che non è registrato nella banca dati dell'UE, e informarne il fornitore o il distributore.	La registrazione nella banca dati dell'UE di cui all'articolo 71.
Par. 9	Se del caso, usare le informazioni del fornitore previste dall'articolo 13 per effettuare la valutazione d'impatto sulla protezione dei dati dell'articolo 35 del GDPR (o dell'articolo 27 della direttiva (UE) 2016/680).	Una valutazione d'impatto sulla protezione dei dati che fa riferimento alle istruzioni per l'uso.
Par. 10	Solo per l'identificazione biometrica remota a posteriori nella ricerca mirata di una persona sospettata o condannata: chiedere l'autorizzazione di un'autorità giudiziaria o di un'autorità amministrativa la cui decisione è vincolante, ex ante o senza indebito ritardo ed entro 48 ore; documentare ogni uso; presentare relazioni annuali.	L'autorizzazione; la registrazione nel fascicolo di polizia; la relazione annuale alle autorità di vigilanza del mercato e di protezione dei dati.
Par. 11	Per i sistemi dell'Allegato III che adottano decisioni, o assistono nell'adozione di decisioni, che riguardano persone fisiche: informare queste persone che sono soggette all'uso del sistema.	Un'informativa nel processo di candidatura, di richiesta o di gestione dei clienti.
Par. 12	Cooperare con le autorità competenti in qualsiasi azione che intraprendono in relazione al sistema.	Un referente per le richieste delle autorità; una procedura per rispondere.

Il paragrafo 3 non crea un obbligo in più e il paragrafo 10 riguarda solo l'identificazione biometrica remota a posteriori, soprattutto nelle indagini penali. Sono nell'elenco perché non manchi nessun paragrafo.

L'articolo 49, paragrafo 3, aggiunge i dettagli per il paragrafo 8. Riguarda i deployer che sono autorità pubbliche o istituzioni, organi e organismi dell'Unione, e le persone che agiscono per loro conto. Prima di mettere in servizio o usare un sistema elencato nell'Allegato III (tranne il punto 2), si registrano, selezionano il sistema e ne registrano l'uso nella banca dati dell'UE.

Red flag: quando devi sospendere l'uso o segnalare

La “red flag checklist” non è un termine del regolamento. Di solito indica un elenco di segnali d'allarme. L'articolo 26 indica cinque situazioni in cui devi agire subito:

Hai motivo di ritenere che l'uso del sistema secondo le istruzioni possa comportare un rischio ai sensi dell'articolo 79, paragrafo 1. Devi informare, «senza indebito ritardo, il fornitore o il distributore e la pertinente autorità di vigilanza del mercato», e sospendere l'uso del sistema (paragrafo 5).
Individui un incidente grave. Ne informi immediatamente «il fornitore, in primo luogo, e successivamente l'importatore o il distributore e le pertinenti autorità di vigilanza del mercato» (paragrafo 5).
Non riesci a raggiungere il fornitore. Allora si applica «mutatis mutandis» l'articolo 73 (paragrafo 5). È una nostra lettura: l'obbligo di segnalazione e le scadenze indicate più avanti ricadono su di te.
Sei un'autorità pubblica o un'istituzione, un organo o un organismo dell'Unione (paragrafo 8) e il sistema che intendi usare non è registrato nella banca dati dell'UE di cui all'articolo 71. Non lo usi e ne informi il fornitore o il distributore (paragrafo 8).
Per l'identificazione biometrica remota a posteriori, l'autorizzazione viene respinta. Interrompi l'uso con effetto immediato e cancelli i dati personali connessi (paragrafo 10).

Scrivi per ogni situazione chi decide, chi segnala e a chi. Quando succede, non c'è tempo per stabilirlo.

Che cos'è un incidente grave e quali scadenze si applicano?

L'articolo 3, punto 49, indica quattro casi. Un incidente grave è un incidente o malfunzionamento di un sistema di IA che, «direttamente o indirettamente», causa una delle conseguenze seguenti:

«il decesso di una persona o gravi danni alla salute di una persona»;
«una perturbazione grave e irreversibile della gestione o del funzionamento delle infrastrutture critiche»;
«la violazione degli obblighi a norma del diritto dell'Unione intesi a proteggere i diritti fondamentali»;
«gravi danni alle cose o all'ambiente».

La segnalazione dell'articolo 73 spetta al fornitore (paragrafo 1). Il deployer, secondo l'articolo 26, paragrafo 5, informa in primo luogo il fornitore e poi l'importatore o il distributore e le autorità di vigilanza del mercato. Le scadenze decorrono da quando il fornitore «o, se del caso, il deployer» viene a conoscenza dell'incidente.

Caso	Non oltre	Articolo
Incidente grave, regola generale	15 giorni dalla conoscenza dell'incidente	Art. 73, par. 2
Infrazione diffusa, o perturbazione grave e irreversibile delle infrastrutture critiche (articolo 3, punto 49, lettera b))	2 giorni dalla conoscenza dell'incidente	Art. 73, par. 3
Decesso di una persona	10 giorni dalla conoscenza dell'incidente	Art. 73, par. 4
Se necessario per segnalare in tempo	Una relazione iniziale incompleta, poi una relazione completa	Art. 73, par. 5

Il termine «non oltre» non significa che puoi aspettare fino a quella data. La segnalazione va fatta immediatamente, appena è stabilito il nesso causale o la sua ragionevole probabilità. In caso di decesso, va fatta appena si sospetta il nesso.

Monitoraggio: l'articolo 26, paragrafo 5, non è l'articolo 72

Il deployer monitora il funzionamento del proprio sistema «sulla base delle istruzioni per l'uso» e, se del caso, informa il fornitore (articolo 26, paragrafo 5).

Il fornitore istituisce e documenta un sistema di monitoraggio successivo all'immissione sul mercato (articolo 72, paragrafo 1). Il sistema raccoglie e analizza i dati sulle prestazioni per tutto il ciclo di vita, compresi i dati forniti dai deployer (paragrafo 2). Il relativo piano fa parte della documentazione tecnica dell'Allegato IV (paragrafo 3).

In sintesi: il deployer controlla il proprio uso e segnala. Il fornitore controlla il prodotto presso tutti i suoi clienti e analizza. Quello che segnali come deployer fa parte dei dati che il fornitore analizza secondo l'articolo 72.

Approfondisci nel nostro articolo sul monitoraggio continuo dei sistemi di IA.

Fornitore o deployer: quali compiti deve svolgere il fornitore di IA?

Gli obblighi del fornitore sono nell'articolo 16, lettere da a) a l). Gli obblighi del deployer sono nell'articolo 26. La tabella li mette a confronto. Il monitoraggio e la segnalazione degli incidenti sono negli articoli 72 e 73; il sistema di gestione della qualità dell'articolo 17 li comprende.

Compito	Fornitore (articolo 16)	Deployer (articolo 26)
Rispettare i requisiti del sistema (gestione dei rischi, dati, accuratezza e gli altri)	Sì: garantire che il sistema sia conforme ai requisiti della sezione 2 (lettera a))	No. Usa il sistema secondo le istruzioni per l'uso (paragrafo 1)
Indicare nome e indirizzo di contatto	Sì (lettera b))	No
Sistema di gestione della qualità	Sì, secondo l'articolo 17 (lettera c))	No
Conservare la documentazione dell'articolo 18	Sì (lettera d))	No
Conservare i log generati automaticamente	Sì, quando sono sotto il suo controllo (lettera e), articolo 19)	Sì, nella misura in cui sono sotto il suo controllo, per almeno sei mesi (paragrafo 6)
Valutazione della conformità, dichiarazione di conformità UE, marcatura CE	Sì (lettere f), g) e h))	No
Registrazione nella banca dati dell'UE	Sì, secondo l'articolo 49, paragrafo 1 (lettera i))	Solo autorità pubbliche, istituzioni, organi e organismi dell'Unione o persone che agiscono per loro conto (paragrafo 8; articolo 49, paragrafo 3)
Misure correttive e informazioni dell'articolo 20	Sì (lettera j))	No. Informa e sospende l'uso in caso di rischio (paragrafo 5)
Rispondere alle autorità	Dimostrare la conformità su richiesta motivata (lettera k))	Cooperare con le autorità competenti (paragrafo 12)
Accessibilità	Sì, secondo le direttive (UE) 2016/2102 e (UE) 2019/882 (lettera l))	No
Sorveglianza umana	Progettare il sistema in modo che le persone possano sorvegliarlo (articolo 14, tramite la lettera a))	Affidare la sorveglianza a persone idonee (paragrafo 2)
Monitorare il sistema	Monitoraggio successivo all'immissione sul mercato (articolo 72)	Monitorare il funzionamento secondo le istruzioni per l'uso (paragrafo 5)
Segnalare gli incidenti gravi	Sì, all'autorità di vigilanza del mercato (articolo 73)	Informare in primo luogo il fornitore; l'articolo 73 si applica mutatis mutandis se il fornitore non è raggiungibile (paragrafo 5)
Informare i lavoratori e le persone interessate	No	Sì, come datore di lavoro (paragrafo 7) e per i sistemi dell'Allegato III che decidono sulle persone (paragrafo 11)

Una domanda frequente nei quiz chiede quali compiti deve svolgere il fornitore di IA. La risposta è nell'articolo 16: il rispetto dei requisiti, il sistema di gestione della qualità, la valutazione della conformità, la dichiarazione di conformità UE, la marcatura CE, la registrazione e le misure correttive. L'uso del sistema secondo le istruzioni, la sorveglianza umana nell'uso quotidiano, il monitoraggio del funzionamento e l'informazione dei lavoratori sono compiti del deployer.

Quando diventi tu il fornitore?

Secondo l'articolo 25, paragrafo 1, sei considerato fornitore e sei soggetto agli obblighi dell'articolo 16 se:

apponi il tuo nome o marchio su un sistema di IA ad alto rischio già immesso sul mercato o messo in servizio (lettera a); restano possibili accordi contrattuali che prevedono una diversa ripartizione degli obblighi);
apporti una modifica sostanziale a un sistema di questo tipo e il sistema resta ad alto rischio (lettera b));
modifichi la finalità prevista di un sistema non classificato come ad alto rischio, anche un sistema di IA per finalità generali, in modo che diventi ad alto rischio (lettera c)).

Un esempio per la lettera c): usi un assistente conversazionale per finalità generali per valutare le candidature di lavoro. Il sistema può allora rientrare nell'Allegato III, punto 4, lettera a), e per quell'uso puoi diventare il fornitore.

Cosa significa per la documentazione tecnica: modello dell'Allegato IV e articolo 11.

Obblighi accanto all'articolo 26

Alfabetizzazione in materia di IA (articolo 4). I fornitori e i deployer «adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell'utilizzo dei sistemi di IA per loro conto». Un obbligo di alfabetizzazione si applica dal 2 febbraio 2025 a tutti i sistemi di IA; questa formulazione viene dal regolamento (UE) 2026/1744. Non fissa un livello: il regolamento non impone ai deployer «di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona».

Per registrare le misure puoi usare il nostro registro gratuito dell'alfabetizzazione in materia di IA.

Valutazione d'impatto sui diritti fondamentali (articolo 27). È obbligatoria prima di usare un sistema di IA ad alto rischio ai sensi dell'articolo 6, paragrafo 2 (Allegato III), per gli organismi di diritto pubblico, per gli enti privati che forniscono servizi pubblici e per i deployer dei sistemi dell'Allegato III, punto 5, lettere b) e c) (affidabilità creditizia e merito di credito; valutazione dei rischi e determinazione dei prezzi per le assicurazioni sulla vita e sanitarie). Sono esclusi i sistemi dell'Allegato III, punto 2.

Chi vigila in Germania?

La legge tedesca sulla vigilanza del mercato e sull'innovazione in materia di IA (KI-MIG) è entrata in vigore il 29 luglio 2026. Designa la Bundesnetzagentur come autorità di vigilanza del mercato, punto di contatto e ufficio reclami per l'AI Act.

Il KI-Service Desk della Bundesnetzagentur offre orientamenti e uno strumento online per una prima verifica della classe di rischio. Secondo l'articolo 74, paragrafi 3, 6 e 8, per alcuni sistemi sono competenti altre autorità, per esempio l'autorità di vigilanza finanziaria per i sistemi usati dagli istituti finanziari.

Come iniziare

Elenca i tuoi sistemi di IA e verifica per ciascuno se rientra nell'Allegato III. La nostra autovalutazione gratuita è un primo passo.
Per ogni sistema ad alto rischio, chiedi al fornitore le istruzioni per l'uso. Senza di esse non puoi rispettare i paragrafi 1, 5 e 9.
Nomina le persone addette alla sorveglianza e registra la loro formazione.
Stabilisci il percorso di segnalazione: chi informa chi in caso di rischio o di incidente, con i contatti del fornitore, del distributore e dell'autorità.
Stabilisci il periodo di conservazione dei log: almeno sei mesi, salvo diversa disposizione del diritto dell'Unione o nazionale. Allinealo alle tue regole di cancellazione.

Cosa offre LandingRed

In LandingRed, la pagina «Obblighi del deployer» mostra, per ogni sistema di IA che usi come deployer, otto dei dodici paragrafi dell'articolo 26 e la valutazione d'impatto sui diritti fondamentali dell'articolo 27. Per ogni obbligo vedi se la prova è presente, parziale o mancante. Gli obblighi del fornitore dell'articolo 16 hanno una pagina a parte.

Approfondisci l'AI Act in LandingRed, oppure parti dall'autovalutazione gratuita.

Domande frequenti

Che cos'è una red flag checklist per l'IA?

Il termine non è nell'AI Act. Di solito indica un elenco di segnali d'allarme. Per i deployer di IA ad alto rischio, i segnali principali vengono dall'articolo 26, paragrafo 5: un rischio ai sensi dell'articolo 79, paragrafo 1 (informare e sospendere l'uso) e un incidente grave (informare in primo luogo il fornitore).

Da quando si applicano gli obblighi del deployer dell'articolo 26?

Per i sistemi di IA ad alto rischio dell'Allegato III dal 2 dicembre 2027, per i sistemi dell'Allegato I dal 2 agosto 2028 (articolo 113, lettera c), come modificato dal regolamento (UE) 2026/1744). L'obbligo di alfabetizzazione in materia di IA dell'articolo 4 si applica dal 2 febbraio 2025. Per i sistemi immessi sul mercato prima vale l'articolo 111, paragrafo 2.

Il deployer deve segnalare da solo gli incidenti gravi all'autorità?

Il deployer informa l'autorità, ma la segnalazione formale dell'articolo 73 spetta al fornitore. Secondo l'articolo 26, paragrafo 5, il deployer informa immediatamente in primo luogo il fornitore, e poi l'importatore o il distributore e le autorità di vigilanza del mercato. Se il deployer non riesce a raggiungere il fornitore, l'articolo 73 si applica a lui mutatis mutandis.

Quali compiti deve svolgere il fornitore di IA, e non il deployer?

I compiti dell'articolo 16: rispettare i requisiti del sistema, il sistema di gestione della qualità, la valutazione della conformità, la dichiarazione di conformità UE, la marcatura CE, la registrazione secondo l'articolo 49, paragrafo 1, le misure correttive e l'accessibilità. Il deployer usa il sistema secondo le istruzioni, lo sorveglia, ne monitora il funzionamento e conserva i log.

Per quanto tempo il deployer deve conservare i log?

Per almeno sei mesi, nella misura in cui i log sono sotto il suo controllo e il diritto dell'Unione o nazionale non dispone diversamente (articolo 26, paragrafo 6). Il periodo deve essere adeguato alla finalità prevista del sistema. Gli istituti finanziari soggetti a requisiti di governance interna ai sensi del diritto dell'Unione in materia di servizi finanziari li conservano come parte della documentazione prevista da quel diritto.

Risorse correlate

Questa pagina offre informazioni, non consulenza legale. Il testo citato è il regolamento (UE) 2024/1689 nella versione consolidata del 27 luglio 2026 (CELEX 02024R1689-20260727). Le informazioni sulla Germania sono aggiornate al 2 novembre 2026. Fanno fede solo i testi pubblicati nella Gazzetta ufficiale dell'Unione europea.

Non sai se il tuo sistema è ad alto rischio? Fai l'autovalutazione gratuita sull'AI Act. Richiede cinque minuti e stima la tua esposizione e i tuoi obblighi. Inizia l'autovalutazione.

Rivisto e pubblicato sotto la responsabilità editoriale di AB Corporate Advisory S.R.L.

Fonti di questa pagina

1.Regolamento (UE) 2024/1689 (AI Act), testo consolidato del 27 luglio 2026 · EUR-Lex, Ufficio delle pubblicazioni dell'Unione europea
2.Regolamento (UE) 2026/1744 (Digital Omnibus sull'IA), Gazzetta ufficiale dell'UE del 24 luglio 2026 · EUR-Lex, Ufficio delle pubblicazioni dell'Unione europea
3.Bundesnetzagentur übernimmt zentrale Rolle bei der Umsetzung der KI-Verordnung · Bundesnetzagentur (Pressemitteilung), 29 luglio 2026
4.Artikel 26: Pflichten der Betreiber von Hochrisiko-KI-Systemen · AI Act Service Desk (Europäische Kommission), 27 luglio 2026
5.KI-Aufsicht: Das Gesetz hinter dem AI-Act tritt in Kraft · Legal Tribune Online, Prof. Dr. Karsten Löw, 21 luglio 2026

Ogni link è stato aperto e la sua data letta il 2 novembre 2026. Le leggi sono citate nel testo ufficiale.

LandingRed automatizza tutto questo

Smetti di gestire la conformità in fogli di calcolo. Classifica, documenta, valuta e monitora i tuoi sistemi di IA da un'unica piattaforma.