Un Passo Avanti verso la Regolamentazione dell’IA: Il Codice di Pratica per l’IA Generale

Un altro traguardo per l’AI Act dell’UE – Pubblicata la versione quasi finale del Codice di Pratica per l’IA di Uso Generale

Il 10 luglio 2025, la Commissione Europea ha rilasciato una versione quasi finale del Codice di Pratica per l’IA di Uso Generale (GPAI) ai sensi del Regolamento (UE) 2024/1689 (AI Act).

Questo documento delinea lo scopo, l’applicabilità e il contenuto del Codice. Progettato come un meccanismo di conformità volontaria, il Codice svolge un ruolo cruciale nel panorama normativo interinale in attesa dell’applicazione degli obblighi per i fornitori di GPAI che entreranno in vigore ad agosto 2025. Il Codice offre linee guida pratiche per i fornitori di IA nel soddisfare specifici obblighi previsti dall’AI Act ed è particolarmente rilevante per dimostrare una adesione anticipata agli articoli 53 e 55, che stabiliscono requisiti per la trasparenza, la conformità al copyright e la mitigazione dei rischi sistemici nello sviluppo e nell’implementazione dei modelli GPAI.

Contesto

Obblighi per i Fornitori di GPAI. Come spiegato in precedenti articoli, l’AI Act introduce obblighi specifici per i modelli GPAI, in grado di svolgere una vasta gamma di compiti e integrarsi in vari sistemi. I fornitori di modelli GPAI devono mantenere una documentazione tecnica dettagliata, pubblicare sommari dei dati di addestramento, rispettare la legislazione sul copyright dell’UE e condividere informazioni con i regolatori e gli utenti a valle. La non conformità può comportare multe fino a 15 milioni di euro o il 3% del fatturato globale, a seconda di quale sia maggiore.

Modelli con Rischio Sistemico. I fornitori che offrono modelli GPAI con rischio sistemico devono affrontare requisiti ancora più severi, tra cui valutazioni dei modelli, mitigazione dei rischi, segnalazione degli incidenti e misure di sicurezza informatica. Già un numero significativo di fornitori a livello globale ha sviluppato modelli che superano la soglia di calcolo oltre la quale un modello GPAI è presunto avere capacità ad alto impatto e quindi presenta un rischio sistemico. La Commissione Europea può anche considerare se un modello GPAI ha capacità ad alto impatto, tenendo conto di vari criteri tecnici che potrebbe modificare.

Obiettivi e Funzione Legale

Scopo. Il Codice di Pratica serve come strumento di conformità transitorio. È menzionato nell’Articolo 56 dell’AI Act e ha l’intenzione di:

• Aiutare i fornitori di modelli GPAI a soddisfare gli obblighi di trasparenza, copyright e sicurezza previsti dall’AI Act;
• Offrire un modo strutturato per presentare e mantenere la documentazione, le politiche e le misure tecniche;
• Consentire alle autorità competenti, inclusa l’Ufficio IA, di valutare se i fornitori stanno rispettando i loro doveri legali ai sensi dell’AI Act.

Applicabilità. Il Codice è strutturato attorno a due livelli di applicabilità.

• Tutti i fornitori di modelli GPAI sono tenuti a conformarsi ai capitoli sulla Trasparenza e sul Copyright del Codice.
• Solo i fornitori di modelli GPAI con rischio sistemico sono soggetti al capitolo sulla Sicurezza e Sicurezza del Codice.

Capitolo 1 del Codice: Trasparenza

L’AI Act richiede ai fornitori di GPAI di mantenere una documentazione solida e di condividere informazioni sia con i regolatori che con gli utenti a valle (Articoli 53(1)(a) e (b)). Il capitolo sulla Trasparenza del Codice affronta questi doveri attraverso tre misure principali.

• Requisiti di Documentazione. I fornitori possono creare e aggiornare la loro documentazione del modello utilizzando il Modulo di Documentazione Standardizzato del Codice, catturando dettagli come architettura del modello, metodi di addestramento, canali di distribuzione e capacità.
• Condivisione delle Informazioni. I fornitori possono rendere la documentazione pertinente accessibile agli utenti a valle e fornire ulteriori informazioni su richiesta dell’Ufficio IA o delle autorità nazionali competenti.
• Controlli di Integrità. I fornitori sono tenuti ad implementare controlli di qualità e sicurezza per preservare l’accuratezza e l’integrità della documentazione nel tempo.

Capitolo 2 del Codice: Copyright

L’AI Act richiede ai fornitori di GPAI di stabilire politiche che assicurino la conformità alla legislazione dell’UE in materia di copyright e diritti connessi (Articolo 53(1)(c)). Il capitolo sul Copyright fornisce indicazioni concrete per aiutare i fornitori a sviluppare e implementare politiche che governano l’uso lecito dei dati di addestramento, identificare e rispettare le riserve di diritti quando si naviga nel web, e mitigare il rischio di contenuti infrangenti.

• Adesione alle Politiche. I fornitori dovrebbero implementare una politica sul copyright che includa responsabilità interne e salvaguardie procedurali.
• Uso Lece dei Dati. Quando raccolgono dati di addestramento attraverso la navigazione del web, i fornitori dovrebbero assicurarsi di non eludere le restrizioni di accesso tecnologico e dovrebbero evitare siti noti per violazioni persistenti del copyright.
• Riconoscimento delle Riserve di Diritti. I fornitori dovrebbero onorare le riserve di diritti leggibili da macchina espresse dai titolari di diritti e supportare gli standard industriali in evoluzione per segnalare tali riserve.
• Mitigazione dei Contenuti Infrangenti. I fornitori sono tenuti a implementare salvaguardie tecniche e restrizioni politiche per ridurre la probabilità che i loro modelli generino contenuti infrangenti.
• Meccanismi di Reclamo. Un punto di contatto e un processo dovrebbero essere in atto per ricevere e rispondere alle preoccupazioni dei titolari di diritti.

Capitolo 3 del Codice: Sicurezza e Sicurezza

Per i modelli GPAI che soddisfano la soglia per il rischio sistemico, il capitolo sulla Sicurezza e Sicurezza fornisce un quadro completo allineato con l’Articolo 55 dell’AI Act.

• Sviluppo del Quadro. I fornitori dovrebbero stabilire, implementare e aggiornare un quadro di sicurezza e sicurezza dettagliando come valutano e mitigano i rischi sistemici durante il ciclo di vita del modello.
• Valutazione e Mitigazione dei Rischi. I fornitori dovrebbero condurre valutazioni strutturate, definire criteri di accettazione dei rischi e implementare misure tecniche e organizzative per gestire i rischi. Ciò include sia il monitoraggio pre-rilascio che post-mercato.
• Segnalazione degli Incidenti e Supervisione Esterna. I fornitori sono tenuti a documentare incidenti gravi e interagire con valutatori indipendenti. I rapporti dovrebbero essere inviati all’Ufficio IA.
• Salvaguardie di Sicurezza Informatica. Devono essere in atto protezioni tecniche appropriate per prevenire accessi non autorizzati, esfiltrazione di modelli o manomissioni, comprese le minacce interne.

Prossimi Passi

Basta così? Nelle prossime settimane, gli Stati membri e la Commissione Europea esamineranno se il Codice è sufficiente per supportare la conformità agli obblighi legati al GPAI previsti dall’AI Act.

Firmatari Preliminari. Una grande azienda statunitense e una grande azienda dell’UE che stanno costruendo modelli GPAI popolari hanno già accettato di firmare il Codice.

Domande Rimaste. Materiali supplementari come linee guida che chiariscono termini e concetti chiave del GPAI e il modello di divulgazione dei dati di addestramento sono ancora in attesa, creando incertezze sulle aspettative di conformità complete. La Commissione Europea sta considerando un periodo di grazia per i firmatari del Codice, ma la sua durata e portata non sono chiare. È anche indeciso se i fornitori possano impegnarsi selettivamente in parti del Codice. Come vengono affrontate queste lacune sarà fondamentale per l’adozione dell’industria e la conformità ai sensi dell’AI Act.