Obblighi GPAI: cosa devono fare fornitori e sviluppatori
Quattro obblighi per i fornitori di modelli GPAI, altri quattro con rischio sistemico e cosa devono fare gli sviluppatori che li usano.
I fornitori di modelli di IA per finalità generali (GPAI) hanno quattro obblighi (articolo 53). Devono documentare il modello, informare i fornitori a valle, pubblicare una sintesi dei dati di addestramento e adottare una politica sul diritto d'autore.
Gli obblighi si applicano ai modelli immessi sul mercato dell'UE dal 2 agosto 2025. La Commissione può sanzionare le violazioni dal 2 agosto 2026. Le sanzioni possono arrivare al 3 % del fatturato mondiale o a 15 milioni di EUR, se superiore (articolo 101). Per i modelli precedenti, le violazioni non possono sorgere prima del 2 agosto 2027 (articolo 111, paragrafo 3). I fornitori stabiliti fuori dall'UE hanno bisogno di un rappresentante autorizzato nell'UE, con un'eccezione per l'open source (articolo 54). Prossimo passo: i fornitori redigono la documentazione; i fornitori a valle (sviluppatori di sistemi) richiedono le informazioni sul modello.
Un modello GPAI è un modello di IA che svolge molti compiti diversi
Un modello di IA per finalità generali presenta una generalità significativa, svolge con competenza un'ampia gamma di compiti distinti e può essere integrato in molti sistemi e applicazioni a valle (articolo 3, punto 63). La ricerca, le prove e lo sviluppo di un modello prima della sua immissione sul mercato o messa in servizio sono fuori dall'ambito del regolamento, ma non le prove in condizioni reali (articolo 2, paragrafo 8). Sono esclusi anche i modelli sviluppati e messi in servizio al solo scopo della ricerca e dello sviluppo scientifici (articolo 2, paragrafo 6).
Tutti i modelli GPAI
I fornitori di modelli GPAI devono rispettare i quattro obblighi dell'articolo 53, paragrafo 1, con un'eccezione per i modelli open source (articolo 53, paragrafo 2).
Modelli GPAI con rischio sistemico
Un modello presenta un rischio sistemico se ha capacità di impatto elevato (articolo 51, paragrafo 1, lettera a)). Sono capacità pari o superiori a quelle dei modelli GPAI più avanzati (articolo 3, punto 64). Il regolamento lo presume quando l'addestramento ha richiesto più di 1025 operazioni in virgola mobile (FLOP) (articolo 51, paragrafo 2). La Commissione può anche designare un modello. Questi fornitori devono rispettare inoltre gli obblighi dell'articolo 55.
L'articolo 53 impone quattro obblighi ai fornitori di GPAI
Documentare il modello
Redigere e mantenere aggiornata la documentazione tecnica del modello, compresi i risultati di addestramento, prove e valutazione. Metterla a disposizione dell'Ufficio per l'IA (la funzione della Commissione che vigila sui modelli GPAI) e delle autorità nazionali su richiesta (articolo 53, paragrafo 1, lettera a)).
Informare i fornitori a valle
Redigere e mettere a disposizione informazioni sulle capacità e sui limiti del modello, affinché i fornitori che sviluppano sistemi di IA su di esso possano rispettare i propri obblighi. Ciò non toglie la necessità di rispettare e proteggere i diritti di proprietà intellettuale e le informazioni commerciali riservate o i segreti commerciali, conformemente al diritto dell'Unione e nazionale (articolo 53, paragrafo 1, lettera b)).
Adottare una politica sul diritto d'autore
Mettere in atto una politica per rispettare il diritto d'autore dell'Unione. Deve individuare e rispettare le riserve di diritti dei titolari rispetto all'estrazione di testo e dati (analisi automatizzata di contenuti per trovare schemi) (articolo 53, paragrafo 1, lettera c); direttiva (UE) 2019/790, articolo 4, paragrafo 3).
Pubblicare una sintesi dei dati di addestramento
Pubblicare una sintesi sufficientemente dettagliata dei contenuti utilizzati per addestrare il modello, secondo il modello fornito dall'Ufficio per l'IA (articolo 53, paragrafo 1, lettera d)).
I fornitori di modelli con licenza libera e open source sono esentati dai primi due obblighi, documentazione e informazione, se parametri, architettura e informazioni sull'uso sono pubblici. La politica sul diritto d'autore e la sintesi restano obbligatorie. L'esenzione non vale per i modelli con rischio sistemico (articolo 53, paragrafo 2).
I fornitori di modelli immessi sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027 per adeguarsi (articolo 111, paragrafo 3). La Commissione non può sanzionare una violazione degli obblighi da parte di questi modelli prima del 2 agosto 2027 (articolo 101, paragrafo 1, lettera a)). Le sanzioni dell'articolo 101, paragrafo 1, lettere da b) a d), per mancata risposta a una richiesta di informazioni, mancato rispetto di una misura richiesta o mancato accesso per una valutazione, si applicano dal 2 agosto 2026.
I fornitori possono basarsi su codici di buone pratiche (articolo 56) per dimostrare di rispettare questi obblighi, finché non è pubblicata una norma armonizzata. La conformità alle norme armonizzate europee garantisce la presunzione di conformità, nella misura in cui tali norme contemplano questi obblighi. I fornitori che non aderiscono a un codice di buone pratiche approvato o non rispettano una norma armonizzata europea devono dimostrare mezzi alternativi adeguati di conformità, ai fini della valutazione da parte della Commissione (articolo 53, paragrafo 4). Prossimo passo: leggete il codice di buone pratiche dell'IA per finalità generali della Commissione e i suoi orientamenti per i fornitori di modelli di IA per finalità generali.
I modelli con rischio sistemico hanno altri quattro obblighi
I fornitori di modelli GPAI con rischio sistemico devono rispettare questi obblighi in aggiunta a quelli degli articoli 53 e 54 (articolo 55, paragrafo 1). Devono inoltre notificarlo alla Commissione entro due settimane da quando il modello soddisfa la condizione delle capacità di impatto elevato o da quando si sa che la soddisferà (articolo 52, paragrafo 1).
Valutare e testare il modello
Valutare il modello con protocolli e strumenti standardizzati che riflettono lo stato dell'arte. Ciò include i test avversariali (attaccare di proposito il modello per trovarne i punti deboli) (articolo 55, paragrafo 1, lettera a)).
Valutare e mitigare i rischi sistemici
Valutare e mitigare i possibili rischi sistemici a livello di Unione, comprese le loro fonti (articolo 55, paragrafo 1, lettera b)).
Segnalare gli incidenti gravi
Tenere traccia degli incidenti gravi, documentarli con le possibili misure correttive e segnalarli senza indebito ritardo all'Ufficio per l'IA e, se del caso, alle autorità nazionali competenti (articolo 55, paragrafo 1, lettera c)).
Proteggere dagli attacchi informatici
Garantire un livello adeguato di protezione della cibersicurezza per il modello e per la sua infrastruttura fisica (articolo 55, paragrafo 1, lettera d)).
Se fornite un sistema di IA costruito su un modello GPAI, siete fornitori a valle
Un fornitore a valle è il fornitore di un sistema di IA che integra un modello di IA, sia che lo abbia creato lui stesso sia che lo ottenga da un'altra entità (articolo 3, punto 68). Gli obblighi dell'articolo 53 restano in capo al fornitore del modello.
Chiedete le informazioni al fornitore del modello
Il fornitore del modello deve mettere a vostra disposizione informazioni sulle capacità e sui limiti del modello (articolo 53, paragrafo 1, lettera b)). Usatele per la vostra valutazione dei rischi. I diritti di proprietà intellettuale e i segreti commerciali del fornitore restano protetti. I fornitori di modelli liberi e open source senza rischio sistemico sono esentati.
Il vostro sistema è classificato separatamente
Se il vostro sistema di IA è ad alto rischio ai sensi dell'allegato III (l'elenco degli usi ad alto rischio del regolamento, come l'assunzione o la valutazione del credito), dovete rispettare i requisiti per i sistemi ad alto rischio come suoi fornitori dal 2 dicembre 2027 (articolo 113). I sistemi immessi sul mercato o messi in servizio prima di tale data sono coperti solo dopo modifiche significative della progettazione; in ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2). Gli obblighi del fornitore del modello ai sensi dell'articolo 53 riguardano il modello, non il vostro sistema.
Domande frequenti: uso di un'API e fornitori fuori dall'UE
Usare un'API mi rende un fornitore di GPAI?
No. Sviluppare un sistema di IA su un modello GPAI tramite un'API vi rende fornitori a valle. Gli obblighi dell'articolo 53 restano in capo al fornitore del modello. Se modificate o perfezionate un modello, la risposta può cambiare: il considerando 109 indica che gli obblighi del fornitore dovrebbero essere limitati a tale modifica, e gli orientamenti della Commissione indicano da quando una modifica è abbastanza importante da rendervi fornitori. Gli orientamenti non sono giuridicamente vincolanti e l'interpretazione della Commissione può cambiare. Se il vostro sistema è ad alto rischio, rispettate i requisiti per i sistemi ad alto rischio come suoi fornitori.
Cosa succede se il mio fornitore di GPAI è fuori dall'UE?
Gli obblighi si applicano comunque se il modello è immesso sul mercato dell'UE (articolo 2, paragrafo 1, lettera a)). Il fornitore deve prima nominare un rappresentante autorizzato nell'UE, a meno che il modello sia libero e open source e non presenti rischio sistemico (articolo 54).
Il dettaglio di ogni obbligo
Cronologia delle scadenze del regolamento sull'IA
Mostra tutte le date di applicazione del regolamento, comprese quelle per i GPAI.
Articolo 53: obblighi dei fornitori di GPAI
Tratta i quattro obblighi di ogni fornitore di GPAI.
Articolo 55: obblighi con rischio sistemico
Tratta gli obblighi aggiuntivi dei fornitori di modelli con rischio sistemico.
Scanara prepara evidenze dai vostri repository
Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.