Uno dei nodi più complessi nell'applicazione pratica della disciplina sull'intelligenza artificiale riguarda l'individuazione del soggetto responsabile quando un sistema produce una decisione errata o dannosa per una persona fisica.
L'AI Act distingue tra il fornitore del sistema, che lo progetta e lo immette sul mercato, e il deployer, ovvero l'organizzazione che lo utilizza concretamente nella propria attività: entrambi hanno obblighi specifici, ma di natura diversa, e la responsabilità per un danno concreto va valutata caso per caso in base a chi ha effettivamente causato l'errore.
Se il danno deriva da un difetto intrinseco del sistema — un bias nei dati di addestramento, un errore nell'algoritmo — la responsabilità tende a ricadere principalmente sul fornitore, secondo logiche non dissimili da quelle della responsabilità da prodotto difettoso applicata ad altri beni tecnologici.
Se invece il danno deriva da un utilizzo scorretto o non conforme alle istruzioni del sistema da parte dell'organizzazione che lo impiega — ad esempio utilizzandolo per un contesto diverso da quello per cui è stato progettato e certificato — la responsabilità si sposta prevalentemente sul deployer, che aveva l'onere di verificare l'adeguatezza del sistema al proprio caso d'uso specifico prima di adottarlo.