Il regolamento sull'IA per i prodotti SaaS

Quasi tutti i team SaaS hanno aggiunto funzionalità di IA negli ultimi tre anni: un copilota, un riassuntore, un bot di assistenza, un modello di scoring. Per il SaaS la domanda sul regolamento sull'IA raramente è «si applica» - se i tuoi utenti sono nell'UE, quasi certamente sì, ovunque tu sia costituito. Le domande vere sono quali funzionalità portano doveri, di chi sono quei doveri e quali sono sanzionabili adesso.

Per funzionalità, non per azienda

Il regolamento disciplina i sistemi di IA, non le aziende. Un prodotto SaaS tipico è più sistemi con livelli di rischio diversi:

Prima l'inventario: elenca le tue funzionalità di IA, chi tocca ciascuna e se l'oggetto di una qualsiasi valutazione è una persona fisica. Quasi tutti i prodotti SaaS finiscono a rischio limitato o minimo su tutta la linea - una posizione scritta difendibile che si produce in un giorno, e che prima o poi l'ufficio acquisti di un cliente enterprise chiederà.

«Noi chiamiamo solo OpenAI o Anthropic» - che cosa significa davvero

Chiamare un modello tramite un'API lascia l'articolo 53 (i doveri GPAI) al fornitore del modello, non a te - compresi la sintesi dei dati di addestramento e la politica sul copyright di cui tutti si preoccupano. Anche un fine-tuning leggero nello stesso dominio di norma ti tiene a valle. Quello che l'uso dell'API non fa è togliere i doveri a livello del tuo sistema: il tuo chatbot deve comunque dichiararsi (art. 50(1)), il tuo prodotto viene comunque classificato in base a quello che fa lui ai suoi utenti, e un riaddestramento sostanziale o un nuovo dominio di compiti può renderti fornitore GPAI dopotutto. La soglia, nel dettaglio.

Quanto al ruolo, spedire funzionalità di IA con il tuo marchio ti rende fornitore di quelle funzionalità anche se il modello sottostante è di qualcun altro. I tuoi clienti sono tipicamente deployer - il che significa che la tua documentazione è il loro materiale di conformità, e «posizione sull'AI Act disponibile su richiesta» sta diventando in sordina un filtro negli acquisti. Fornitore o deployer.

In vigore adesso rispetto a dicembre 2027

Dal 2 agosto 2026: articolo 50 (il tuo bot rivolto agli utenti dice di essere un bot, al primo contatto, non nell'informativa privacy), articolo 4 (una sessione di alfabetizzazione in materia di IA verbalizzata per il personale che tocca i sistemi), articolo 5 (niente inferenza delle emozioni su dipendenti o utenti nei contesti vietati). Rinviato al 2 dicembre 2027: l'insieme pesante del capo III, e solo se qualcosa che spedisci è davvero ad alto rischio - e controlla l'esenzione dell'articolo 6(3) prima di dare per scontato che lo sia.

SaaS statunitensi e britannici che vendono nell'UE: l'articolo 2 raggiunge i fornitori ovunque stabiliti, quando l'output è usato nell'UE. Il Delaware non aiuta. Quello che il regolamento chiede a un SaaS B2B tipico è meno di quanto si tema - ma «abbiamo guardato, questa è la nostra posizione, con la data» è il risultato da consegnare, e la sua assenza è quello che impantana le trattative enterprise.

La versione da 90 minuti

• Fai l'inventario delle tue funzionalità di IA e di chi tocca ciascuna
• Fai la verifica gratuita per ogni funzionalità che tocca delle persone - due minuti l'una
• Aggiungi la riga di dichiarazione dell'IA al messaggio di benvenuto del tuo bot (questa settimana - è diritto in vigore)
• Tieni e verbalizza una sessione di alfabetizzazione in materia di IA
• Scrivi la posizione da una pagina, mettici la data e consegnala al prossimo questionario di acquisto che te la chiede

Quando l'ufficio legale di un potenziale cliente vuole più di una pagina, il report completo delle lacune (in English) (in inglese) è la versione difendibile: ruolo, livello di rischio, obblighi, scadenze e una lista di interventi, riferiti al tuo prodotto reale - 59 €, una volta.

Domande frequenti

Il regolamento sull'IA si applica al mio prodotto SaaS?

Se i tuoi utenti sono nell'UE quasi certamente sì, ovunque tu sia costituito. L'articolo 2 raggiunge i fornitori ovunque stabiliti quando l'output è usato nell'UE. Le domande vere sono quali funzionalità portano doveri, di chi sono quei doveri e quali sono sanzionabili adesso.

Il mio prodotto SaaS viene classificato tutto insieme?

No. Il regolamento disciplina i sistemi di IA, non le aziende, quindi la classificazione è per funzionalità. Un prodotto SaaS tipico è più sistemi a livelli diversi: un chatbot di assistenza a rischio limitato, i copiloti interni a rischio minimo e qualsiasi cosa che assegni un punteggio all'accesso di singole persone al lavoro, al credito o ai servizi essenziali ad alto rischio.

Chiamare l'API di OpenAI o di Anthropic mi toglie gli obblighi?

Lascia i doveri GPAI dell'articolo 53 al fornitore del modello, compresi la sintesi dei dati di addestramento e la politica sul copyright, e anche un fine-tuning leggero nello stesso dominio di norma ti tiene a valle. Non toglie i doveri a livello del tuo sistema: il tuo chatbot deve comunque dichiararsi ai sensi dell'articolo 50, e il tuo prodotto viene comunque classificato in base a quello che fa ai suoi utenti.

Sono fornitore se il modello è di qualcun altro?

Sì, per le tue funzionalità. Spedire funzionalità di IA con il tuo marchio ti rende fornitore di quelle funzionalità anche se il modello sottostante appartiene a qualcun altro. I tuoi clienti sono tipicamente deployer, il che rende la tua documentazione il loro materiale di conformità.

Il regolamento sull'IA si applica alle aziende fuori dall'UE?

Spesso sì. L'articolo 2 raggiunge i fornitori a prescindere da dove sono stabiliti, e raggiunge fornitori e deployer in paesi terzi quando l'output prodotto dal sistema di IA è usato nell'Unione. Una società statunitense o britannica con utenti nell'UE di norma rientra - anche se rientrare non è la stessa cosa che essere ad alto rischio.