Dal 2 agosto 2025 è operativo l’AI Act, la legge sull’intelligenza artificiale nell’Unione europea, con l’entrata in vigore dei primi obblighi pratici per i fornitori di modelli di GpAI (General-Purpose AI), ossia l’intelligenza artificiale generativa. Il regolamento, approvato nel marzo scorso e il primo al mondo del suo genere, prevede una distinzione fra famiglie di modelli e pone particolare attenzione a quelli per finalità generali, i più diffusi sul mercato e addestrati con grandi quantità di dati.
La Commissione europea ha già adottato un documento su pratiche e sistemi di AI proibiti per rischi inaccettabili (sorveglianza con identificazione biometrica in tempo reale e da remoto, polizia predittiva, social scoring, chatbot subliminali, riconoscimento delle emozioni, scraping di immagini) e sulla formazione obbligatoria per il personale di aziende ed enti pubblici. Ora arrivano importanti linee guida e un codice di comportamento per le società di GpAI, destinate a far discutere perché introducono regole sempre più stringenti.
In questo articolo:
- AI Act, gli obblighi in vigore per i fornitori di GpAI
- Le eccezioni per non adempiere agli obblighi e le sanzioni
AI Act, gli obblighi in vigore per i fornitori di GpAI
Le disposizioni in vigore dal 2 agosto riguardano chi sviluppa e fornisce sul mercato i cosiddetti GpAI, ovvero i modelli di intelligenza artificiale generativa a uso generale. Per fare qualche esempio, l’AI Act considera GpAI i vari ChatGPT di Open AI, Gemini di Google, Claude di Anthropic, Copilot di Microsoft, Llama 3 di Meta e così via: famiglie di modelli che non sono state progettate per un compito specifico, ma che sono in grado di svolgere un’ampia gamma di lavori.
I fornitori sono le aziende (anche con sede fuori dai confini dell’Unione europea) che sviluppano o fanno sviluppare un modello e lo immettono sul mercato con il proprio nome o marchio. Il regolamento divide questi fornitori di modelli di GpAI in base al livello di rischio posto dai sistemi progettati. Di base, tutte le società di GpAI devono rispettare quattro requisiti fondamentali di “trasparenza, sicurezza e responsabilità”:
- redigere una documentazione tecnica accurata su come è stato progettato, addestrato e testato il modello;
- pubblicare un report dei dati usati per il training;
- dimostrare che i dati usati rispettano le leggi sul diritto d’autore;
- adottare misure di sicurezza per evitare usi illeciti o dannosi del modello.
Il regolamento tiene sotto stretta osservazione i fornitori di modelli GpAI che hanno realizzato Llm con rischio sistemico, cioè un rischio per la sicurezza, per i diritti fondamentali di cittadine e cittadini, per la perdita di controllo sul modello stesso. In questi casi, in particolare per applicazioni avanzate o di grande impatto che hanno usato una quantità di risorse computazionali superiore a 10^23 Flop, le aziende devono notificare alla Commissione europea l’esistenza di un modello con rischio sistemico e rispettare tre ulteriori requisiti:
- fare una valutazione aggiuntiva del modello;
- mitigare i livelli di rischio e segnalare eventuali incidenti;
- predisporre la cybersecurity.
Le eccezioni per non adempiere agli obblighi e le sanzioni
Le linee guida della Commissione precisano che i fornitori di GpAI possono avvalersi della facoltà di non adempiere ad alcuni degli obblighi previsti dal regolamento se i loro modelli vengono rilasciati con licenze free e open source. Per le aziende che hanno immesso modelli sul mercato prima del 2 agosto, è obbligatorio garantire la conformità entro il 2 agosto 2027. La maggior parte delle altre norme, invece, entrerà in vigore il 2 agosto 2026.
Chi non rispetta gli obblighi dell’AI Act incappa in sanzioni fino a 35 milioni di euro o al 7% del fatturato annuo. I controlli sono affidati alle singole autorità nazionali, che nel caso dell’Italia sono l’Acn, l’Agenzia per la cybersicurezza nazionale, e l’Agid, l’Agenzia per l’Italia digitale. Ai due enti si affiancano altre autorità come la Consob e il Garante per la protezione dei dati personali.
Il rischio, secondo numerose realtà europee dell’intelligenza artificiale, è che l’iper-regolamentazione richiederà forti vincoli e costi elevati per fornire la documentazione richiesta. Non solo: tra le imprese dominano il timore che l’Unione europea perda terreno nella corsa globale all’adozione dell’AI per questo quadro normativo così complesso e frammentato e la preoccupazione per la governance dei dati, specie per startup e Pmi innovative che contano su segreti industriali e tecnologie senza controllo per avviare i propri progetti. Senza considerare il pericolo che arriva da fuori Ue: i provider che operano nell’Unione sono principalmente degli Stati Uniti, dove le regole europee non si applicano. Con queste premesse, c’è chi chiede a gran voce il rinvio di due anni per l’entrata in vigore dell’AI Act.
