Molte piccole e medie imprese si preoccupano dell'impatto dell'AI Act pensando di dover affrontare gli stessi oneri di compliance previsti per i grandi sviluppatori di sistemi di intelligenza artificiale, ma la disciplina prevede una distinzione fondamentale tra fornitore e deployer che cambia significativamente il quadro applicabile.
Una PMI che si limita ad utilizzare uno strumento di intelligenza artificiale già sviluppato e commercializzato da un fornitore terzo — un software gestionale con funzioni predittive integrate, uno strumento di marketing automatizzato — assume tipicamente il ruolo di deployer, con obblighi generalmente più limitati rispetto a chi ha progettato e immesso sul mercato il sistema.
Gli obblighi principali del deployer riguardano l'utilizzo conforme del sistema secondo le istruzioni fornite dal produttore, la supervisione umana appropriata quando richiesta, e in caso di sistemi ad alto rischio, la verifica preliminare che il fornitore abbia effettivamente completato la procedura di valutazione di conformità prevista dalla legge.
Il consiglio pratico per una PMI che valuta l'adozione di strumenti con componenti di intelligenza artificiale è verificare fin dalla fase di acquisto la documentazione di conformità fornita dal produttore, richiedendo esplicitamente una dichiarazione sulla classificazione di rischio del sistema secondo l'AI Act: un fornitore trasparente e già conforme riduce in modo significativo l'onere di verifica successiva a carico dell'impresa che adotta lo strumento.