Skip to main content

Articolo 53: obblighi dei fornitori di GPAI

Articolo 53 del regolamento sull'IA: i quattro obblighi dei fornitori di modelli di IA per finalità generali, documentazione degli allegati XI e XII, esenzione open source, date e sanzioni.

I fornitori di modelli di IA per finalità generali (GPAI) hanno quattro obblighi (articolo 53). Devono documentare il modello, informare i fornitori a valle, pubblicare una sintesi dei dati di addestramento e adottare una politica sul diritto d'autore.

Gli obblighi si applicano dal 2 agosto 2025 ai modelli immessi sul mercato dell'UE a partire da tale data. I modelli immessi in precedenza hanno tempo fino al 2 agosto 2027 (articolo 111, paragrafo 3). Dal 2 agosto 2026 la Commissione può infliggere sanzioni ai fornitori. Possono arrivare al 3 % del fatturato mondiale o a 15 milioni di EUR, se superiore (articolo 101). Prossimo passo: confrontate la vostra documentazione con gli elenchi degli allegati XI e XII.

L'articolo 53 impone quattro obblighi ai fornitori di GPAI

Documentare il modello

Redigere e mantenere aggiornata la documentazione tecnica del modello, compresi i risultati di addestramento, prove e valutazione. Metterla a disposizione dell'Ufficio per l'IA (la funzione della Commissione che vigila sui modelli GPAI) e delle autorità nazionali su richiesta (articolo 53, paragrafo 1, lettera a)).

Informare i fornitori a valle

Redigere e mettere a disposizione informazioni sulle capacità e sui limiti del modello, affinché i fornitori che sviluppano sistemi di IA su di esso possano rispettare i propri obblighi. Ciò non toglie la necessità di rispettare e proteggere i diritti di proprietà intellettuale e le informazioni commerciali riservate o i segreti commerciali, conformemente al diritto dell'Unione e nazionale (articolo 53, paragrafo 1, lettera b)).

Adottare una politica sul diritto d'autore

Mettere in atto una politica per rispettare il diritto d'autore dell'Unione. Deve individuare e rispettare le riserve di diritti dei titolari rispetto all'estrazione di testo e dati (analisi automatizzata di contenuti per trovare schemi) (articolo 53, paragrafo 1, lettera c); direttiva (UE) 2019/790, articolo 4, paragrafo 3).

Pubblicare una sintesi dei dati di addestramento

Pubblicare una sintesi sufficientemente dettagliata dei contenuti utilizzati per addestrare il modello, secondo il modello fornito dall'Ufficio per l'IA (articolo 53, paragrafo 1, lettera d)).

I fornitori di modelli con licenza libera e open source sono esentati dai primi due obblighi, documentazione e informazione, se parametri, architettura e informazioni sull'uso sono pubblici. La politica sul diritto d'autore e la sintesi restano obbligatorie. L'esenzione non vale per i modelli con rischio sistemico (articolo 53, paragrafo 2).

Gli allegati XI e XII fissano il contenuto minimo della documentazione

La documentazione tecnica destinata all'Ufficio per l'IA e alle autorità nazionali deve contenere almeno le informazioni dell'allegato XI. Il livello di dettaglio dipende dalle dimensioni e dal profilo di rischio del modello. La sezione 1 comprende una descrizione generale del modello, il suo processo di sviluppo e i dati usati per addestramento, prove e convalida. Comprende anche le risorse di calcolo usate per l'addestramento e il consumo energetico noto o stimato (allegato XI, sezione 1).

Le informazioni per i fornitori a valle devono contenere almeno gli elementi dell'allegato XII. Devono consentire loro di comprendere bene le capacità e i limiti del modello e di rispettare i propri obblighi (articolo 53, paragrafo 1, lettera b), allegato XII).

I fornitori di modelli con rischio sistemico devono inoltre descrivere le strategie di valutazione e i risultati. Se del caso, aggiungono le misure per i test avversariali e l'architettura del sistema (allegato XI, sezione 2).

I fornitori fuori dall'UE hanno bisogno di un rappresentante e ogni fornitore deve collaborare

Prima di immettere un modello sul mercato dell'Unione, i fornitori stabiliti in paesi terzi devono designare, con mandato scritto, un rappresentante autorizzato stabilito nell'Unione. Ciò non vale per i modelli liberi e open source senza rischio sistemico (articolo 54).

Tutti i fornitori di GPAI devono inoltre collaborare, se necessario, con la Commissione e le autorità nazionali competenti (articolo 53, paragrafo 3). Le informazioni ottenute in applicazione dell'articolo 53, compresi i segreti commerciali, sono trattate conformemente agli obblighi di riservatezza dell'articolo 78 (articolo 53, paragrafo 7).

Alcuni usi sono fuori dal regolamento

Il regolamento non si applica ai sistemi di IA quando e nella misura in cui sono usati esclusivamente per finalità militari, di difesa o di sicurezza nazionale. Vale anche per la loro immissione sul mercato e messa in servizio a tali fini (articolo 2, paragrafo 3). Non si applica ai sistemi o modelli di IA sviluppati e messi in servizio specificamente al solo scopo di ricerca e sviluppo scientifici (articolo 2, paragrafo 6). Non si applica alla ricerca, alle prove e allo sviluppo di sistemi o modelli di IA prima della loro immissione sul mercato o messa in servizio (articolo 2, paragrafo 8). Le prove in condizioni reali non rientrano in questa esclusione.

I codici di buone pratiche possono dimostrare la conformità finché non esiste una norma armonizzata

I fornitori possono basarsi su codici di buone pratiche (articolo 56) per dimostrare di rispettare questi obblighi, finché non è pubblicata una norma armonizzata. La conformità alle norme armonizzate europee garantisce la presunzione di conformità, nella misura in cui tali norme contemplano questi obblighi. I fornitori che non aderiscono a un codice di buone pratiche approvato o non rispettano una norma armonizzata europea devono dimostrare mezzi alternativi adeguati di conformità, ai fini della valutazione da parte della Commissione (articolo 53, paragrafo 4). Prossimo passo: leggete il codice di buone pratiche dell'IA per finalità generali della Commissione e i suoi orientamenti per i fornitori di modelli di IA per finalità generali.

Gli obblighi si applicano dal 2 agosto 2025; sanzioni al più presto dal 2 agosto 2026

L'articolo 113 applica il capo V (articoli da 51 a 56) dal 2 agosto 2025. Il capo XII sulle sanzioni si applica dalla stessa data, con un'eccezione: l'articolo 101, sulle sanzioni ai fornitori di modelli GPAI, si applica dal 2 agosto 2026 (articolo 113).

I fornitori di modelli immessi sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027 per adeguarsi (articolo 111, paragrafo 3). La Commissione non può sanzionare una violazione degli obblighi da parte di questi modelli prima del 2 agosto 2027 (articolo 101, paragrafo 1, lettera a)). Le sanzioni dell'articolo 101, paragrafo 1, lettere da b) a d), per mancata risposta a una richiesta di informazioni, mancato rispetto di una misura richiesta o mancato accesso per una valutazione, si applicano dal 2 agosto 2026.

La Commissione può infliggere a un fornitore una sanzione fino al 3 % del suo fatturato mondiale annuo o a 15 milioni di EUR, se superiore. Base giuridica: articolo 101, paragrafo 1. Le sanzioni riguardano condotte intenzionali o per negligenza. Rientrano la violazione delle disposizioni pertinenti, il mancato rispetto di una misura richiesta e il rifiuto di concedere l'accesso al modello per una valutazione. Rientrano anche la mancata risposta a una richiesta di documenti o informazioni e la fornitura di informazioni inesatte, incomplete o fuorvianti. Per un modello immesso sul mercato prima del 2 agosto 2025, gli obblighi devono essere rispettati entro il 2 agosto 2027 (articolo 111, paragrafo 3). La violazione degli obblighi dell'articolo 53 da parte di un modello simile non può quindi essere sanzionata prima di tale data. Le condotte di cui all'articolo 101, paragrafo 1, lettere da b) a d), possono essere sanzionate dal 2 agosto 2026. La Commissione deve prima sentire il fornitore (articolo 101, paragrafo 2). La Corte di giustizia dell'Unione europea può annullare, ridurre o aumentare la sanzione (articolo 101, paragrafo 5).

Cosa fa Scanara per i fornitori di GPAI

Una valutazione guidata per i fornitori di GPAI

Scanara vi guida attraverso gli obblighi degli articoli da 53 a 55 per il vostro modello e registra le vostre risposte. Siete voi a decidere quali obblighi si applicano, con un consulente legale quando la posta in gioco lo richiede.

Documenti degli allegati XI e XII

Scanara genera la documentazione degli allegati XI e XII da modelli, in parte precompilata con le vostre risposte. Il contenuto specifico del modello lo scrivete voi.

Controlli basati su regole, senza test del modello

Scanara controlla codice e documenti con regole ricavate dagli articoli da 51 a 55. Non testa né valuta il vostro modello; i test dell'articolo 55 restano un vostro compito.

Domande frequenti: open source, articolo 55 e date di inizio

I modelli GPAI open source hanno obblighi ridotti?

In parte. I modelli con licenza libera e open source sono esentati da due obblighi: documentazione e informazione ai fornitori a valle (articolo 53, paragrafo 1, lettere a) e b)). L'esenzione richiede parametri, architettura e informazioni sull'uso pubblici. Restano necessari la politica sul diritto d'autore e la sintesi dei dati di addestramento. L'esenzione non vale per i modelli con rischio sistemico (articolo 53, paragrafo 2).

Che cosa fa scattare gli obblighi aggiuntivi dell'articolo 55?

Un rischio sistemico. Il regolamento presume capacità di impatto elevato quando la quantità cumulativa di calcolo usata per l'addestramento supera la soglia dell'articolo 51, paragrafo 2. La Commissione può anche designare un modello (articolo 51, paragrafo 1). Il fornitore deve notificarlo alla Commissione senza ritardo e in ogni caso entro due settimane (articolo 52, paragrafo 1). La pagina sull'articolo 55 indica la soglia e i quattro obblighi aggiuntivi.

Da quando si applicano questi obblighi?

Dal 2 agosto 2025 per i modelli immessi sul mercato dell'UE a partire da tale data. I modelli immessi sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027 (articolo 111, paragrafo 3). La Commissione può infliggere sanzioni dal 2 agosto 2026 (articolo 101).

Il dettaglio degli obblighi collegati

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.