Skip to main content

Valutazione dei fornitori di GPAI: articoli da 53 a 55

Fornitori di modelli di IA per finalità generali: gli obblighi degli articoli 53–55 e la valutazione guidata di Scanara.

I fornitori di modelli di IA per finalità generali (GPAI) hanno quattro obblighi (articolo 53). Devono documentare il modello, informare i fornitori a valle, pubblicare una sintesi dei dati di addestramento e adottare una politica sul diritto d'autore.

Gli obblighi si applicano ai modelli immessi sul mercato dell'UE dal 2 agosto 2025. La Commissione può sanzionare le violazioni dal 2 agosto 2026. Le sanzioni possono arrivare al 3 % del fatturato mondiale o a 15 milioni di EUR, se superiore (articolo 101). Per i modelli precedenti, le violazioni non possono sorgere prima del 2 agosto 2027 (articolo 111, paragrafo 3). I fornitori stabiliti fuori dall'UE hanno bisogno di un rappresentante autorizzato nell'UE, con un'eccezione per l'open source (articolo 54). Prossimo passo: i fornitori redigono la documentazione; i fornitori a valle (sviluppatori di sistemi) richiedono le informazioni sul modello.

L'articolo 53 impone quattro obblighi ai fornitori di GPAI

  • Documentare il modello

    Redigere e mantenere aggiornata la documentazione tecnica del modello, compresi i risultati di addestramento, prove e valutazione. Metterla a disposizione dell'Ufficio per l'IA (la funzione della Commissione che vigila sui modelli GPAI) e delle autorità nazionali su richiesta (articolo 53, paragrafo 1, lettera a)).

  • Informare i fornitori a valle

    Redigere e mettere a disposizione informazioni sulle capacità e sui limiti del modello, affinché i fornitori che sviluppano sistemi di IA su di esso possano rispettare i propri obblighi. Ciò non toglie la necessità di rispettare e proteggere i diritti di proprietà intellettuale e le informazioni commerciali riservate o i segreti commerciali, conformemente al diritto dell'Unione e nazionale (articolo 53, paragrafo 1, lettera b)).

  • Adottare una politica sul diritto d'autore

    Mettere in atto una politica per rispettare il diritto d'autore dell'Unione. Deve individuare e rispettare le riserve di diritti dei titolari rispetto all'estrazione di testo e dati (analisi automatizzata di contenuti per trovare schemi) (articolo 53, paragrafo 1, lettera c); direttiva (UE) 2019/790, articolo 4, paragrafo 3).

  • Pubblicare una sintesi dei dati di addestramento

    Pubblicare una sintesi sufficientemente dettagliata dei contenuti utilizzati per addestrare il modello, secondo il modello fornito dall'Ufficio per l'IA (articolo 53, paragrafo 1, lettera d)).

I fornitori di modelli con licenza libera e open source sono esentati dai primi due obblighi, documentazione e informazione, se parametri, architettura e informazioni sull'uso sono pubblici. La politica sul diritto d'autore e la sintesi restano obbligatorie. L'esenzione non vale per i modelli con rischio sistemico (articolo 53, paragrafo 2).

I modelli con rischio sistemico hanno altri quattro obblighi

Un modello presenta un rischio sistemico se ha capacità di impatto elevato (articolo 51, paragrafo 1, lettera a)). Sono capacità pari o superiori a quelle dei modelli GPAI più avanzati (articolo 3, punto 64). Il regolamento lo presume quando l'addestramento ha richiesto più di 1025 operazioni in virgola mobile (FLOP) (articolo 51, paragrafo 2). La Commissione può anche designare un modello. Questi fornitori devono rispettare inoltre gli obblighi dell'articolo 55.

  • Valutare e testare il modello

    Valutare il modello con protocolli e strumenti standardizzati che riflettono lo stato dell'arte. Ciò include i test avversariali (attaccare di proposito il modello per trovarne i punti deboli) (articolo 55, paragrafo 1, lettera a)).

  • Valutare e mitigare i rischi sistemici

    Valutare e mitigare i possibili rischi sistemici a livello di Unione, comprese le loro fonti (articolo 55, paragrafo 1, lettera b)).

  • Segnalare gli incidenti gravi

    Tenere traccia degli incidenti gravi, documentarli con le possibili misure correttive e segnalarli senza indebito ritardo all'Ufficio per l'IA e, se del caso, alle autorità nazionali competenti (articolo 55, paragrafo 1, lettera c)).

  • Proteggere dagli attacchi informatici

    Garantire un livello adeguato di protezione della cibersicurezza per il modello e per la sua infrastruttura fisica (articolo 55, paragrafo 1, lettera d)).

I fornitori di modelli GPAI con rischio sistemico devono rispettare questi obblighi in aggiunta a quelli degli articoli 53 e 54 (articolo 55, paragrafo 1). Devono inoltre notificarlo alla Commissione entro due settimane da quando il modello soddisfa la condizione delle capacità di impatto elevato o da quando si sa che la soddisferà (articolo 52, paragrafo 1).

Date: obblighi dal 2 agosto 2025, modelli precedenti fino al 2 agosto 2027

Secondo la nostra lettura, per i modelli immessi sul mercato prima del 2 agosto 2025 una violazione degli obblighi dell’articolo 53 non può sorgere prima del 2 agosto 2027, perché l’articolo 111(3) concede loro tempo fino ad allora. Le sanzioni dell’articolo 101(1), lettere da b) a d), per mancata risposta a una richiesta di informazioni, mancato rispetto di una misura richiesta o mancato accesso per una valutazione, si applicano dal 2 agosto 2026.

Cosa fa Scanara per i fornitori di GPAI

Scanara non decide quali obblighi si applicano al Suo modello. Lo decide Lei, con un consulente legale quando la posta in gioco lo richiede.

Una valutazione guidata per i fornitori di GPAI

Scanara vi guida attraverso gli obblighi degli articoli da 53 a 55 per il vostro modello e registra le vostre risposte. Siete voi a decidere quali obblighi si applicano, con un consulente legale quando la posta in gioco lo richiede.

Documenti degli allegati XI e XII

Scanara genera la documentazione degli allegati XI e XII da modelli, in parte precompilata con le vostre risposte. Il contenuto specifico del modello lo scrivete voi.

Controlli basati su regole, senza test del modello

Scanara controlla codice e documenti con regole ricavate dagli articoli da 51 a 55. Non testa né valuta il vostro modello; i test dell'articolo 55 restano un vostro compito.

Apra la demo di Scanara

Il dettaglio degli obblighi collegati

Domande frequenti sui fornitori di GPAI

Usare un'API mi rende un fornitore di GPAI?

No. Sviluppare un sistema di IA su un modello GPAI tramite un'API vi rende fornitori a valle. Gli obblighi dell'articolo 53 restano in capo al fornitore del modello. Se modificate o perfezionate un modello, la risposta può cambiare: il considerando 109 indica che gli obblighi del fornitore dovrebbero essere limitati a tale modifica, e gli orientamenti della Commissione indicano da quando una modifica è abbastanza importante da rendervi fornitori. Gli orientamenti non sono giuridicamente vincolanti e l'interpretazione della Commissione può cambiare. Se il vostro sistema è ad alto rischio, rispettate i requisiti per i sistemi ad alto rischio come suoi fornitori.

I modelli GPAI open source hanno obblighi ridotti?

In parte. I modelli con licenza libera e open source sono esentati da due obblighi: documentazione e informazione ai fornitori a valle (articolo 53, paragrafo 1, lettere a) e b)). L'esenzione richiede parametri, architettura e informazioni sull'uso pubblici. Restano necessari la politica sul diritto d'autore e la sintesi dei dati di addestramento. L'esenzione non vale per i modelli con rischio sistemico (articolo 53, paragrafo 2).

Da quando si applicano questi obblighi?

Dal 2 agosto 2025 per i modelli immessi sul mercato dell'UE a partire da tale data. I modelli immessi sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027 (articolo 111, paragrafo 3). La Commissione può infliggere sanzioni dal 2 agosto 2026 (articolo 101).

È richiesta una «model card»?

Il regolamento non usa il termine «model card». L’articolo 53(1), lettera b), richiede informazioni e documentazione per i fornitori che integrano il modello, con almeno gli elementi dell’allegato XII. Una model card è un formato comune per questo scopo.

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.