Dopo il 2 febbraio 2025, in cui sono diventate applicabili alcune disposizioni dell’AI Act (tra cui, ad esempio, quelle sulle pratiche vietate), il 2 agosto 2025 segna il secondo momento in cui diventeranno applicabili delle disposizioni del regolamento.
AI Act, la tagliola del 2 agosto: ecco che devono fare le imprese ora
Indice degli argomenti
La super scadenza AI Act del 2 agosto, i tre documenti utili per rispettare gli obblighi
In particolare, si fa riferimento alle disposizioni relative: alle autorità di notifica e agli organismi notificati (capo III, sezione 4), alla governance istituzionale dell’IA a livello europeo e nazionale (capo VII), alla riservatezza dei dati trattati dai soggetti che partecipano all’applicazione dell’AI Act (art. 78), alle sanzioni (capo XII, ad eccezione di quelle per i fornitori di modelli di IA per finalità generali) e ai modelli di IA per finalità generali (capo V).
Nel prosieguo ci soffermeremo, in particolare, sugli obblighi previsti per i fornitori di modelli di IA per finalità generali in ragione del fatto che negli ultimi mesi vi è stata la pubblicazione di una serie di documenti volti a guidare e supportare i fornitori di modelli di IA per finalità generali nel rispetto degli obblighi imposti dal regolamento.
Più nello specifico, si fa riferimento alle linee guida della Commissione europea sull’ambito di applicazione degli obblighi dei modelli di IA per finalità generali[1], al template messo a disposizione dalla Commissione per consentire ai fornitori di assolvere all’obbligo di fornire una sintesi dei dati di addestramento dei modelli[2] e, infine, al codice di buone pratiche per i fornitori di modelli di IA per finalità generali[3].
Il quadro normativo di riferimento
Prima di analizzare il contenuto dei singoli documenti sopra citati, occorre premettere che l’architettura normativa dell’AI Act delinea un sistema di responsabilità differenziate per i fornitori di modelli che poggia sulla differenza tra la presenza o meno di un rischio sistemico.
Infatti, da un lato, tutti i fornitori di modelli di IA per finalità generali devono rispettare obblighi di trasparenza e documentazione; dall’altro, i fornitori di modelli di IA per finalità generali con rischio sistemico sono soggetti ad obblighi aggiuntivi tra cui, ad esempio, l’obbligo di informare la Commissione della possibilità di un impatto elevato da parte del modello[4].
In questo contesto è altresì necessario precisare che, mentre gli obblighi diventano applicabili dal 2 agosto 2025, la supervisione e l’applicazione delle regole da parte della Commissione inizieranno a partire dal 2 agosto 2026. Per i modelli già sul mercato prima del 2 agosto 2025, il termine per il rispetto degli obblighi è esteso al 2 agosto 2027.
Le linee guida della Commissione
Le linee guida della Commissione europea sull’ambito di applicazione degli obblighi per i fornitori di modelli di IA per finalità generali forniscono chiarimenti operativi che vanno oltre la mera interpretazione letterale del regolamento. Infatti, l’approccio adottato privilegia criteri quantitativi verificabili; ad esempio, la Commissione afferma che un modello può essere considerato “per finalità generali” se addestrato con oltre 10^23 FLOP e capace di generare linguaggio, immagini da testo o video da testo. In ogni caso, la Commissione specifica che la valutazione deve essere svolta caso per caso in ragione anche delle specifiche del modello e fornisce una serie di esempi pratici.
Pertanto, quello che sembra emergere dalla lettura del documento è la volontà della Commissione di fornire un ancoraggio concreto per valutazioni che altrimenti rimarrebbero soggettive; infatti, la Commissione ha scelto metriche tecniche oggettive per minimizzare l’incertezza interpretativa e ha fornito negli allegati alle linee guida degli strumenti per valutare se il modello rientra nelle soglie individuate per i modelli per finalità generali con o senza rischio sistemico.
Il secondo punto affrontato dalle linee guida riguarda gli elementi utili a comprendere se un soggetto può essere considerato un fornitore di un modello di IA per finalità generali e fornisce degli esempi pratici sui casi in cui si può ritenere che un modello sia stato “immesso sul mercato” (ad esempio, un modello di intelligenza artificiale di uso generale è reso disponibile per la prima volta sul mercato dell’Unione tramite un’interfaccia di programmazione di applicazioni (API)).
Le linee guida affrontano poi la questione dei fornitori a valle di modelli di IA per finalità generali. Infatti, la Commissione specifica che non sia necessario che ogni modifica di un modello porti a considerare il modificatore a valle come fornitore del modello stesso e individua, anche in questa circostanza, degli elementi operativi e delle soglie per poter considerare se la modifica apportata dal soggetto è tale da far considerare quest’ultimo un fornitore. Questa situazione si verifica, ad esempio quando la modifica porta ad un cambiamento significativo nelle capacità del modello o fa si che il modello diventi a rischio sistemico.
Infine, la Commissione espone le condizioni che devono essere rispettate affinché un modello open source possa rientrare tra le esclusioni previste dall’AI Act.
Il template per la sintesi dei dati di addestramento
Oltre alle linee guida sopra citate, la Commissione ha pubblicato una nota esplicativa che contiene il template che supporta i fornitori di modelli di IA per finalità generali a rispettare l’obbligo di cui all’art. 53, paragrafo1, lett. d), che stabilisce che questi ultimi “redigono e mettono a disposizione del pubblico una sintesi sufficientemente dettagliata dei contenuti utilizzati per l’addestramento del modello di IA per finalità generali, secondo un modello fornito dall’ufficio per l’IA”.
Secondo quanto richiamato dalla Commissione, la sintesi dei dati di training ha una funzione di trasparenza utile, tra l’altro: ad aiutare i titolari dei diritti di proprietà intellettuale ad ottenere informazioni pertinenti sui contenuti utilizzati nell’addestramento dei modelli di IA per finalità generali; a facilitare l’esercizio dei diritti degli interessati rispetto ai propri dati personali e ad aiutare i fornitori che integrano i modelli in applicazioni a valle a valutare la diversità dei dati e attuare, se del caso, misure di mitigazione.
Le informazioni sul modello di IA per finalità generali fornite nella sintesi dovrebbero coprire i dati utilizzati in tutte le fasi della formazione del modello dal pre-training al post-training, compresi l’allineamento e il fine-tuning del modello. Non devono essere inclusi i dati di input inseriti durante il funzionamento del modello.
La Commissione specifica che la sintesi deve essere resa pubblica al più tardi quando il modello è immesso sul mercato dell’Unione. Deve essere pubblicata sul sito web ufficiale del fornitore in modo chiaramente visibile e accessibile, indicando chiaramente quali modelli (ed eventualmente versioni di modelli) sono coperti dalla sintesi.
Infine, la sintesi deve contenere le seguenti categorie di informazioni: a) informazioni generali; b) elenco delle fonti dei dati; c) aspetti rilevanti dell’estrazione dei dati.
Il Codice di buone pratiche per i modelli di IA per finalità generali
L’ultimo documento da tenere in considerazione (che è ad adesione volontaria) è il Codice di buone pratiche per i modelli di IA per finalità generali.
Il Codice è suddiviso in tre capitoli: Trasparenza, dedicato a tutti i fornitori di modelli di IA per finalità generali, al fine di facilitare la conformità agli obblighi di trasparenza; Diritto d’autore, che si rivolge anch’esso a tutti i fornitori di modelli di IA per finalità generali; Sicurezza e Protezione (“Safety and Security”), rilevante solo per i fornitori di modelli di IA per finalità generali con rischio sistemico.
La Commissione sul proprio sito[5] evidenzia gli obiettivi del codice, ossia: servire come documento guida per dimostrare la conformità agli obblighi previsti dagli articoli 53 e 55 dell’AI Act (in ogni caso, la Commissione ribadisce che l’aderenza al codice non costituisce la prova conclusiva di conformità agli obblighi dell’AI Act); garantire che i fornitori di modelli di IA per finalità generali rispettino le disposizioni dell’AI Act e facilitare l’AI Office nella valutazione di conformità.
Inoltre, al fine di facilitare la conformità e l’adempimento degli obblighi sulla trasparenza, nel capitolo del codice relativo a quest’ultima, è stato inserito un modulo che contiene la mappatura della documentazione del modello che permette ai firmatari del codice di tenere traccia della documentazione richiesta dalla normativa. Infine, il modulo sulla documentazione indica per ciascun elemento il destinatario dell’informazione (ad esempio, fornitori a valle, AI Office, autorità nazionali competenti).
Cosa deve fare chi acquista dei modelli di IA? Obblighi e cautele
Analizzati gli obblighi che saranno in capo ai fornitori dei modelli di IA per finalità generali, bene anche considerare quei soggetti che a vario titolo “acquistano” i modelli e che non ricoprono il ruolo di fornitori del modello.
Questi attori, seppur non debbano rispettare direttamente gli obblighi previsti dall’AI Act per i fornitori, devono comunque tenere in considerazione alcuni elementi.
Analisi dei contratti del fornitore
In primo luogo, è opportuno che si assicurino, anche a livello contrattuale, che il fornitore che mette a disposizione il modello rispetti gli obblighi dell’AI Act.
Attenti all’uso ad alto rischio
Inoltre, è opportuno che gli acquirenti valutino con attenzione anche l’uso che intendono fare del modello, in quanto un impiego in un sistema ad alto rischio potrebbe comportare ulteriori obblighi a loro carico in relazione al sistema di IA.
Attenti alla privacy
Un altro punto importante da tenere in considerazione riguarda la protezione dei dati personali. In particolare, nel caso in cui il modello di IA per finalità generali che si intende acquistare sia stato addestrato con dati personali, è opportuno assicurarsi che il fornitore abbia sviluppato e addestrato il modello nel rispetto della normativa sulla protezione dei dati personali.
A titolo esemplificativo e non esaustivo, sarebbe utile[1]: assicurarsi che il fornitore avesse un’idonea condizione di liceità per l’addestramento dei modelli; se sono stati utilizzati dati acquisiti da terzi, verificare che il fornitore non abbia utilizzato una banca dati costituita illecitamente; se necessario, verificare che il fornitore abbia svolto una valutazione d’impatto (DPIA), ex art 35 del GDPR.
Questi sono alcuni degli elementi da tenere in considerazione per assicurarsi di rispettare la normativa.
[1] Cfr anche CNIL https://www.cnil.fr/en/ai-cnil-finalises-its-recommendations-development-artificial-intelligence-systems.
Per completare l’iter, il codice dovrà essere approvato in via definitiva.
AI Act: che devono fare i fornitori di modelli GPAI in sintesi
L’entrata in vigore degli obblighi per i fornitori di modelli di IA per finalità generali dal 2 agosto 2025 richiede un’azione tempestiva e strutturata da parte dei fornitori di modelli. Infatti, questi devono prepararsi a rispettare gli obblighi di trasparenza e documentazione, utilizzando le linee guida della Commissione e il template per la sintesi dei dati di addestramento, mentre quelli con rischio sistemico dovranno adempiere a requisiti aggiuntivi di documentazione e sicurezza.
Infine, in questo contesto si consideri anche che l’adesione volontaria al Codice di buone pratiche rappresenta uno strumento utile a dimostrare la conformità normativa e in ogni caso può essere preso a modello come best practice.
Note
[1] Commissione europea, Approval of the content of the draft Communication from the Commission – Guidelines on the scope of the obligations for general-purpose AI models established by Regulation (EU) 2024/1689 (AI Act), 18.7.2025
[2] Commissione europea, Approval of the content of the draft Communication from the Commission – Explanatory Notice and Template for the Public Summary of Training Content for general-purpose AI models required by Article 53 (1)(d) of Regulation (EU) 2024/1689 (AI Act), 24.7.2025
[3] https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai
[4] Cfr. art. 52, paragrafo 1, AI Act
[5] https://ec.europa.eu/commission/presscorner/detail/en/ip_25_1787
