Fornitori AI e supply chain: come gestire il rischio secondo l’AI Act

Risposta rapida

La gestione dei fornitori AI è uno dei punti più importanti dell’AI Act per le aziende che acquistano soluzioni SaaS, API, modelli o componenti intelligenti. Il deployer non può limitarsi alla brochure commerciale: deve capire ruolo del fornitore, istruzioni d’uso, limiti del sistema, dati trattati, misure di sicurezza, documentazione disponibile, eventuale classificazione ad alto rischio, obblighi di trasparenza e condizioni di modifica o integrazione. Il Vendor Risk diventa quindi parte della governance AI.

Perché questo tema è importante

La maggior parte delle imprese non svilupperà modelli AI da zero: li comprerà. Questo non elimina responsabilità; le sposta sulla capacità di scegliere, usare e controllare i fornitori. Un vendor che offre un tool AI per HR, videosorveglianza, credito, customer profiling o supporto decisionale può cambiare drasticamente il profilo di rischio dell’azienda cliente. Per questo il procurement AI non può essere gestito come un normale acquisto software.

Per GAPOFF il punto editoriale è sempre lo stesso: normativa → problema aziendale → rischio concreto → azione operativa → evidenza richiesta → modulo utile → CTA. L’AI Act non deve essere presentato come una raccolta astratta di articoli, ma come un sistema di controlli che l’organizzazione può applicare, dimostrare e aggiornare.

Quadro normativo e fonti ufficiali

Il riferimento principale è il Regolamento (UE) 2024/1689, cioè l’AI Act. Le fonti istituzionali da monitorare sono la pagina della Commissione Europea sull’AI Act, l’AI Act Service Desk, le pagine dedicate all’AI literacy, all’Articolo 6 sui sistemi ad alto rischio, all’Annex III, agli obblighi di provider, deployer, trasparenza e sanzioni.

Alla data di revisione di questo articolo va considerato anche l’accordo provvisorio del 7 maggio 2026 tra Consiglio e Parlamento sul pacchetto di semplificazione AI. Prima della pubblicazione definitiva, il coding agent o il revisore editoriale dovrà verificare lo stato dell’adozione formale e aggiornare date e note di manutenzione se necessario.

Cosa significa per l’azienda

Per un’organizzazione l’AI Act significa passare da uso spontaneo dell’intelligenza artificiale a governance documentata. Questo richiede almeno quattro livelli di controllo: inventario dei sistemi, classificazione del rischio, definizione dei ruoli e raccolta delle evidenze. Nei casi più delicati entrano in gioco valutazioni su dati personali, contratti con fornitori, human oversight, log, incidenti, formazione e reporting verso direzione o clienti.

La valutazione dipende dal caso concreto e deve essere verificata con professionisti qualificati e fonti ufficiali aggiornate. In particolare, non basta sapere che uno strumento “usa AI”: bisogna descrivere come viene usato, chi subisce gli effetti, se l’output influenza decisioni e se il sistema rientra in un’area sensibile.

Questionario minimo per fornitori AI

1. Identificare se il fornitore è provider di sistema AI, provider di modello GPAI, integratore o semplice rivenditore.
2. Richiedere descrizione dello scopo previsto e degli usi esclusi.
3. Richiedere istruzioni d’uso, limiti, requisiti di controllo umano e monitoraggio.
4. Verificare trattamento dati personali, localizzazione dati, subfornitori, retention e sicurezza.
5. Chiedere classificazione rischio proposta dal fornitore e razionale documentato.
6. Verificare obblighi di trasparenza verso utenti o soggetti interessati.
7. Prevedere clausole su modifiche, incidenti, audit, notifiche, supporto documentale e cessazione.

Queste attività dovrebbero essere assegnate a owner interni, con data, stato, evidenza collegata e riesame periodico. La logica corretta non è completare un documento una tantum, ma mantenere un sistema aggiornato quando cambia il fornitore, il modello, il contesto d’uso o il processo aziendale.

Esempio pratico

Un’azienda acquista un sistema AI per prioritizzare ticket di assistenza. Se il sistema classifica solo urgenze tecniche, il rischio può essere moderato. Se però usa sentiment, dati personali o profili cliente per decidere tempi di risposta, discriminazioni o esclusioni, il contesto cambia. Il vendor deve fornire istruzioni e limiti; il deployer deve documentare come usa il sistema e quali controlli applica.

Errori comuni da evitare

• Accettare “AI compliant” come dichiarazione sufficiente.
• Non distinguere provider del modello e provider del sistema applicativo.
• Non aggiornare l’assessment dopo release importanti.
• Non inserire obblighi di supporto documentale nel contratto.
• Non collegare Vendor Risk e DPIA GDPR.

Come GAPOFF aiuta

GAPOFF collega Vendor Risk e AI Act: il fornitore viene valutato con questionari, score, contratti ed evidenze; il sistema AI collegato viene classificato nel registro AI; eventuali dati personali rimandano al modulo GDPR. Questo evita che la valutazione del fornitore resti separata dalla valutazione del sistema usato nei processi aziendali.

Checklist operativa

• Elenco fornitori AI creato.
• Ruolo del fornitore verificato.
• Istruzioni d’uso raccolte.
• Classificazione rischio richiesta.
• Clausole AI inserite o riesaminate.
• DPIA collegata se necessario.
• Riesame vendor programmato.

FAQ

Serve valutare anche fornitori molto noti?

Sì. La notorietà non sostituisce la valutazione del caso d’uso, dei dati trattati e delle istruzioni applicabili.

Il fornitore deve dare tutta la documentazione tecnica?

Dipende da ruolo e rischio, ma il cliente deve ottenere informazioni sufficienti per usare il sistema correttamente e dimostrare controllo.

Quando collegare Vendor Risk e GDPR?

Ogni volta che il sistema AI tratta dati personali o il fornitore opera come responsabile/subresponsabile del trattamento.

Come gestire aggiornamenti del modello?

Con clausole di notifica, change log, riesame del rischio e approvazione interna per modifiche rilevanti.

Fonti ufficiali e riferimenti

• EUR-Lex - Regulation (EU) 2024/1689 Artificial Intelligence Act
• European Commission - AI Act overview
• AI Act Service Desk - Implementation timeline
• European Commission - AI Literacy Q&A
• AI Act Service Desk - Article 4 AI literacy
• AI Act Service Desk - Article 6 high-risk classification
• AI Act Service Desk - Annex III high-risk areas
• AI Act Service Desk - Article 16 provider obligations
• AI Act Service Desk - Article 26 deployer obligations
• AI Act Service Desk - Article 50 transparency obligations
• AI Act Service Desk - Article 99 penalties
• European Commission - General-Purpose AI Code of Practice
• Council of the EU - Provisional agreement on AI simplification, 7 May 2026

Disclaimer legale

Questo contenuto ha finalità informative e di orientamento generale. Non costituisce consulenza legale, tecnica, fiscale o organizzativa personalizzata. Per determinare obblighi, responsabilità e misure applicabili al caso concreto, è necessario svolgere una valutazione specifica con professionisti qualificati e fonti ufficiali aggiornate.

FAQ

Serve valutare anche fornitori molto noti?

Sì. La notorietà non sostituisce la valutazione del caso d’uso, dei dati trattati e delle istruzioni applicabili.

Il fornitore deve dare tutta la documentazione tecnica?

Dipende da ruolo e rischio, ma il cliente deve ottenere informazioni sufficienti per usare il sistema correttamente e dimostrare controllo.

Quando collegare Vendor Risk e GDPR?

Ogni volta che il sistema AI tratta dati personali o il fornitore opera come responsabile/subresponsabile del trattamento.

Come gestire aggiornamenti del modello?

Con clausole di notifica, change log, riesame del rischio e approvazione interna per modifiche rilevanti.