Articolo 55: obblighi con rischio sistemico
Articolo 55 del regolamento sull'IA: quando un modello di IA per finalità generali presenta un rischio sistemico, la notifica entro due settimane, i quattro obblighi aggiuntivi, date e sanzioni.
I fornitori di modelli di IA per finalità generali (GPAI) con rischio sistemico hanno quattro obblighi aggiuntivi (articolo 55, paragrafo 1). Riguardano valutazione e test, mitigazione dei rischi, segnalazione degli incidenti e cibersicurezza.
Un modello presenta un rischio sistemico se ha capacità di impatto elevato (articolo 51). Il regolamento lo presume oltre 1025 operazioni in virgola mobile (FLOP) di addestramento. I fornitori devono notificarlo alla Commissione entro due settimane (articolo 52, paragrafo 1). Gli obblighi si applicano dal 2 agosto 2025. Dal 2 agosto 2026 la Commissione può infliggere sanzioni ai fornitori. Possono arrivare al 3 % del fatturato mondiale o a 15 milioni di EUR, se superiore (articolo 101). Prossimo passo: confrontate la potenza di calcolo di addestramento del vostro modello con la soglia.
Un modello presenta un rischio sistemico se ha capacità di impatto elevato o se la Commissione lo designa
Soglia di calcolo
Le capacità di impatto elevato sono capacità pari o superiori a quelle dei modelli GPAI più avanzati (articolo 3, punto 64). Il regolamento le presume quando la quantità cumulativa di calcolo usata per l'addestramento supera 1025 operazioni in virgola mobile (FLOP). La Commissione può modificare la soglia con un atto delegato in base all'evoluzione tecnologica (articolo 51, paragrafi 2 e 3).
Designazione da parte della Commissione
La Commissione può anche designare un modello con capacità o un impatto equivalenti alle capacità di impatto elevato, d'ufficio o dopo un'allerta qualificata del gruppo di esperti scientifici. Applica i criteri dell'allegato XIII, come parametri, dati di addestramento, calcolo, modalità, parametri di riferimento e portata (articolo 51, paragrafo 1, lettera b)). Si presume che un modello messo a disposizione di almeno 10 000 utenti commerciali registrati stabiliti nell'Unione abbia un impatto elevato sul mercato interno (allegato XIII).
Notificare la Commissione entro due settimane
Il fornitore deve notificare alla Commissione, senza ritardo e comunque entro due settimane, che il suo modello soddisfa la condizione dell'articolo 51, paragrafo 1, lettera a). Il termine decorre anche da quando si sa che il modello la soddisferà. La notifica deve includere le informazioni che dimostrano che la condizione è soddisfatta (articolo 52, paragrafo 1).
Con la notifica, il fornitore può presentare argomentazioni sufficientemente motivate per dimostrare che, in via eccezionale, il modello non presenta un rischio sistemico a causa delle sue caratteristiche specifiche. La Commissione decide; se respinge le argomentazioni, il modello è considerato un modello con rischio sistemico (articolo 52, paragrafi 2 e 3). I fornitori di modelli designati possono presentare una richiesta motivata di rivalutazione, con ragioni oggettive, dettagliate e nuove, al più presto sei mesi dopo la designazione. La Commissione pubblica e aggiorna un elenco dei modelli GPAI con rischio sistemico (articolo 52, paragrafi 5 e 6).
I modelli con rischio sistemico hanno altri quattro obblighi
Questi obblighi si aggiungono a quelli degli articoli 53 e 54 (articolo 55, paragrafo 1). La documentazione tecnica di questi modelli deve inoltre descrivere le strategie di valutazione e i risultati. Se del caso, aggiunge le misure per i test avversariali e l'architettura del sistema (allegato XI, sezione 2).
Valutare e testare il modello
Valutare il modello con protocolli e strumenti standardizzati che riflettono lo stato dell'arte. Ciò include i test avversariali (attaccare di proposito il modello per trovarne i punti deboli) (articolo 55, paragrafo 1, lettera a)).
Valutare e mitigare i rischi sistemici
Valutare e mitigare i possibili rischi sistemici a livello di Unione, comprese le loro fonti (articolo 55, paragrafo 1, lettera b)).
Segnalare gli incidenti gravi
Tenere traccia degli incidenti gravi, documentarli con le possibili misure correttive e segnalarli senza indebito ritardo all'Ufficio per l'IA e, se del caso, alle autorità nazionali competenti (articolo 55, paragrafo 1, lettera c)).
Proteggere dagli attacchi informatici
Garantire un livello adeguato di protezione della cibersicurezza per il modello e per la sua infrastruttura fisica (articolo 55, paragrafo 1, lettera d)).
I codici di buone pratiche possono dimostrare la conformità finché non esiste una norma armonizzata
I fornitori possono basarsi su codici di buone pratiche (articolo 56) per dimostrare di rispettare l'articolo 55, finché non è pubblicata una norma armonizzata. La conformità alle norme armonizzate europee garantisce la presunzione di conformità, nella misura in cui tali norme contemplano questi obblighi. I fornitori che non aderiscono a un codice di buone pratiche approvato né rispettano una norma armonizzata europea devono dimostrare mezzi alternativi adeguati di conformità. La Commissione li valuta (articolo 55, paragrafo 2). Le informazioni ottenute, compresi i segreti commerciali, sono trattate in modo riservato (articolo 55, paragrafo 3). Prossimo passo: leggete il codice di buone pratiche dell'IA per finalità generali della Commissione.
I modelli open source non sfuggono all'articolo 55
L'esenzione open source dell'articolo 53, paragrafo 2, non vale per i modelli con rischio sistemico (articolo 53, paragrafo 2). Anche i fornitori di tali modelli stabiliti fuori dall'Unione devono designare un rappresentante autorizzato (articolo 54, paragrafo 6).
Alcuni usi sono fuori dal regolamento
Il regolamento non si applica ai sistemi di IA quando e nella misura in cui sono usati esclusivamente per finalità militari, di difesa o di sicurezza nazionale. Vale anche per la loro immissione sul mercato e messa in servizio a tali fini (articolo 2, paragrafo 3). Non si applica ai sistemi o modelli di IA sviluppati e messi in servizio specificamente al solo scopo di ricerca e sviluppo scientifici (articolo 2, paragrafo 6). Non si applica alla ricerca, alle prove e allo sviluppo di sistemi o modelli di IA prima della loro immissione sul mercato o messa in servizio (articolo 2, paragrafo 8). Le prove in condizioni reali non rientrano in questa esclusione.
Gli obblighi si applicano dal 2 agosto 2025; sanzioni al più presto dal 2 agosto 2026
L'articolo 113 applica il capo V (articoli da 51 a 56) dal 2 agosto 2025. Il capo XII sulle sanzioni si applica dalla stessa data, con un'eccezione: l'articolo 101, sulle sanzioni ai fornitori di modelli GPAI, si applica dal 2 agosto 2026 (articolo 113).
I fornitori di modelli immessi sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027 per adeguarsi (articolo 111, paragrafo 3). La Commissione non può sanzionare una violazione degli obblighi da parte di questi modelli prima del 2 agosto 2027 (articolo 101, paragrafo 1, lettera a)). Le sanzioni dell'articolo 101, paragrafo 1, lettere da b) a d), per mancata risposta a una richiesta di informazioni, mancato rispetto di una misura richiesta o mancato accesso per una valutazione, si applicano dal 2 agosto 2026.
La Commissione può infliggere a un fornitore una sanzione fino al 3 % del suo fatturato mondiale annuo o a 15 milioni di EUR, se superiore. Base giuridica: articolo 101, paragrafo 1. Le sanzioni riguardano condotte intenzionali o per negligenza. Rientrano la violazione delle disposizioni pertinenti, il mancato rispetto di una misura richiesta e il rifiuto di concedere l'accesso al modello per una valutazione. Rientrano anche la mancata risposta a una richiesta di documenti o informazioni e la fornitura di informazioni inesatte, incomplete o fuorvianti. Per un modello immesso sul mercato prima del 2 agosto 2025, gli obblighi devono essere rispettati entro il 2 agosto 2027 (articolo 111, paragrafo 3). La violazione degli obblighi dell'articolo 53 da parte di un modello simile non può quindi essere sanzionata prima di tale data. Le condotte di cui all'articolo 101, paragrafo 1, lettere da b) a d), possono essere sanzionate dal 2 agosto 2026. La Commissione deve prima sentire il fornitore (articolo 101, paragrafo 2). La Corte di giustizia dell'Unione europea può annullare, ridurre o aumentare la sanzione (articolo 101, paragrafo 5).
Cosa fa Scanara per i fornitori con rischio sistemico
Una valutazione guidata per i fornitori di GPAI
Scanara vi guida attraverso gli obblighi degli articoli da 53 a 55 per il vostro modello e registra le vostre risposte. Siete voi a decidere quali obblighi si applicano, con un consulente legale quando la posta in gioco lo richiede.
Documenti dell'allegato XI, compresa la sezione sul rischio sistemico
Scanara genera la documentazione dell'allegato XI da modelli, in parte precompilata con le vostre risposte. I risultati della valutazione e il contenuto specifico del modello li fornite voi.
Documenta i vostri test, ma non li esegue
Scanara vi aiuta a documentare la valutazione del modello e i test avversariali. Non li esegue e non decide se il vostro modello presenta un rischio sistemico.
Domande frequenti: soglia, sanzioni, date di inizio e open source
Il mio modello GPAI rientra nell'articolo 55?
Sì, se presenta un rischio sistemico. Prima via: la quantità cumulativa di calcolo usata per l'addestramento supera la soglia dell'articolo 51, paragrafo 2, che il regolamento tratta come presunzione di capacità di impatto elevato. Seconda via: la Commissione ha designato il modello (articolo 51, paragrafo 1). Con la notifica potete sostenere che il modello, in via eccezionale, non presenta un rischio sistemico (articolo 52, paragrafo 2). La Commissione decide (articolo 52, paragrafo 3).
Che cosa succede se non rispettiamo gli obblighi?
Dal 2 agosto 2026 la Commissione può infliggere sanzioni ai fornitori. Possono arrivare al 3 % del fatturato mondiale o a 15 milioni di EUR, se superiore (articolo 101, paragrafo 1). Le sanzioni riguardano violazioni intenzionali o per negligenza. La Corte di giustizia dell'Unione europea può annullare, ridurre o aumentare la sanzione (articolo 101, paragrafo 5).
Da quando si applicano questi obblighi?
Dal 2 agosto 2025 per i modelli immessi sul mercato dell'UE a partire da tale data. I modelli immessi sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027 (articolo 111, paragrafo 3). L'articolo 55 si applica insieme all'articolo 53, che ha le stesse date.
Un modello con licenza open source è esentato?
No, non in caso di rischio sistemico. L'esenzione open source non vale per i modelli con rischio sistemico (articolo 53, paragrafo 2), e i fornitori stabiliti fuori dall'Unione devono designare un rappresentante autorizzato (articolo 54, paragrafo 6).
Il dettaglio degli obblighi collegati
Articolo 53: obblighi dei fornitori di GPAI
Tratta dei quattro obblighi di ogni fornitore di GPAI, su cui si basa l'articolo 55.
Obblighi GPAI: cosa devono fare fornitori e sviluppatori
Offre il quadro generale per i fornitori e per gli sviluppatori che usano un modello GPAI tramite API.
Scadenze del regolamento sull'IA: calendario completo
Mostra tutte le date di applicazione del regolamento, comprese quelle GPAI.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.