Linee Guida GPAI e AI Act: tutto ciò che un’azienda deve sapere da agosto 2025

La Commissione Europea ha reso pubbliche le Linee Guida sui modelli di intelligenza artificiale per finalità generali (General Purpose AI – GPAI), fornendo finalmente un quadro chiaro su come queste tecnologie dovranno essere sviluppate, distribuite e gestite nel rispetto dell’AI Act. A partire dal 2 agosto 2025, le imprese che operano nel mercato europeo e che producono, modificano o integrano modelli di intelligenza artificiale dovranno conformarsi a regole precise e vincolanti.

Si tratta di un passaggio normativo di enorme portata: i GPAI comprendono sia i modelli linguistici di grandi dimensioni (LLM) sia i sistemi generativi capaci di produrre testi, immagini, audio o video a partire da input testuali. Non è più una questione che riguarda soltanto i grandi player tecnologici: anche aziende di medie e piccole dimensioni che usano o distribuiscono queste soluzioni dovranno verificare se rientrano nelle definizioni e negli obblighi previsti.

Leggi la guida introduttiva per le imprese al Regolamento sull'Intelligenza Artificiale. 

Perché le nuove Linee Guida sono decisive

Le Linee Guida rappresentano un punto di svolta regolatorio. Per la prima volta, l’UE definisce con criteri concreti cosa si intende per GPAI e come applicare l’AI Act a questa categoria di modelli. Questo significa che non ci si potrà più limitare a interpretazioni generiche o attendere orientamenti futuri: le regole sono operative e descrivono in dettaglio cosa un fornitore di GPAI deve fare per essere conforme.

Rientrano nel campo di applicazione non solo gli sviluppatori che creano un modello ex novo, ma anche chi lo personalizza, lo distribuisce o lo integra in un prodotto o servizio. Per esempio: un’azienda che sviluppa un assistente virtuale basato su un LLM open source, lo adatta alle proprie esigenze e lo offre a clienti europei, diventa a tutti gli effetti un fornitore GPAI e dovrà rispettare gli obblighi previsti.

Scopri il nostro servizio di consulenza legale in tema di AI.

La definizione tecnica di GPAI

L’AI Act definisce il GPAI come un modello capace di svolgere un’ampia gamma di compiti distinti in maniera competente. Questa descrizione, se presa da sola, potrebbe apparire vaga. Per questo le Linee Guida introducono una soglia tecnica precisa: un modello è presunto GPAI se è stato addestrato utilizzando più di 10²³ FLOPs (operazioni in virgola mobile) e se è in grado di generare contenuti – che siano testo, audio, immagini o video – a partire da un prompt testuale.

La soglia è stata alzata rispetto alla proposta iniziale di 10²² FLOPs per riflettere l’attuale potenza computazionale necessaria ad addestrare modelli con almeno un miliardo di parametri. È importante sottolineare che la capacità di calcolo non è l’unico fattore: un modello specializzato in un singolo compito (ad esempio, il riconoscimento vocale) non viene classificato come GPAI, anche se ha richiesto una potenza di calcolo superiore.

Chi è considerato “fornitore di GPAI”

Se sviluppi un modello GPAI, lo fai sviluppare da terzi o lo distribuisci nell’UE a tuo nome, sei un fornitore ai sensi dell’AI Act. Questa definizione è volutamente ampia e non si limita al luogo di sede legale: anche un’azienda con base fuori dall’Unione diventa soggetta alle regole se il modello è immesso sul mercato europeo. In questo caso, dovrai nominare un rappresentante nell’UE, con responsabilità di interfaccia verso le autorità competenti.

Non ha importanza come il modello venga reso disponibile: tramite API, librerie software, repository pubblici, piattaforme cloud, applicazioni mobili o web, la responsabilità ricade comunque su chi lo immette sul mercato. È quindi fondamentale analizzare la propria catena di fornitura e capire se la distribuzione diretta o indiretta in Europa può far scattare obblighi regolatori.

Gli obblighi in vigore dal 2 agosto 2025

A partire da questa data, i fornitori di GPAI dovranno rispettare un insieme di requisiti precisi:

1. Documentazione tecnica – Va mantenuta aggiornata e deve descrivere l’architettura del modello, le fasi di addestramento, i metodi di test e validazione, come previsto dall’art. 53(1)(a) AI Act.
2. Informazioni agli integratori downstream – Devi fornire a chi utilizza il tuo modello le istruzioni e i dati necessari per integrarlo in sicurezza nei propri sistemi, come indicato all’art. 53(1)(b).
3. Policy sul copyright – Devi assicurare che l’uso dei dati di addestramento sia conforme alla normativa UE sul diritto d’autore, inclusa la gestione dell’opt-out previsto dalla Direttiva 2019/790 (art. 53(1)(c)).
4. Riepilogo pubblico dei dati di addestramento – Va pubblicato un documento che illustri il tipo di contenuti utilizzati per addestrare il modello, in modo trasparente e accessibile (art. 53(1)(d)).

Questi obblighi richiedono un approccio proattivo: le aziende dovranno mappare processi, dati e infrastrutture per garantire la conformità già dal primo giorno di applicazione.

I modelli con “rischio sistemico”

Alcuni GPAI saranno soggetti a requisiti aggiuntivi perché ritenuti potenzialmente pericolosi per la sicurezza pubblica, i diritti fondamentali o la concorrenza. La presunzione di rischio sistemico scatta se il modello è stato addestrato con più di 10²⁵ FLOPs o se presenta prestazioni comparabili ai modelli più avanzati disponibili sul mercato.

In questi casi, il fornitore dovrà:

• condurre test avversariali e valutazioni approfondite delle vulnerabilità;
• monitorare costantemente e segnalare incidenti significativi;
• implementare misure robuste di cybersecurity;
• notificare all’Ufficio per l’AI sia prima dell’addestramento sia durante il processo.

Fine-tuning e modifiche rilevanti

Un aspetto importante riguarda chi modifica modelli esistenti. Se la personalizzazione o il fine-tuning comportano l’utilizzo di oltre un terzo della potenza di calcolo originaria, il soggetto che effettua la modifica diventa a tutti gli effetti fornitore di un nuovo GPAI, con applicazione immediata di tutti gli obblighi previsti, senza beneficiare del periodo transitorio di due anni.

Questo punto impone attenzione a chi opera nel campo dell’adattamento di modelli: anche interventi tecnici che sembrano “minori” possono far scattare nuove responsabilità legali.

Eccezioni per l’open source

I modelli open source possono beneficiare di un’esenzione parziale, ma solo se rispettano condizioni stringenti: la licenza deve essere gratuita, consentire uso e modifica senza restrizioni e rendere pubblici pesi, architettura e informazioni operative. Non è ammessa alcuna forma di monetizzazione, né diretta (paywall) né indiretta (pubblicità, commissioni d’uso).

Tuttavia, anche in caso di esenzione restano obbligatori il rispetto delle norme sul copyright e la pubblicazione del riepilogo dei dati di addestramento.

Periodo transitorio per i modelli già sul mercato

Per i modelli GPAI già disponibili nell’UE prima del 2 agosto 2025, l’adeguamento dovrà avvenire entro il 2 agosto 2027. L’unica deroga è prevista quando il riaddestramento comporti un onere sproporzionato o quando i dati originali non siano più recuperabili, circostanza che deve essere dichiarata e giustificata nella documentazione.

Il codice di Condotta GPAI

Dal 10 luglio 2025 è in vigore un Codice di condotta volontario, che consente ai fornitori di dimostrare in anticipo la conformità agli obblighi degli artt. 53 e 55 AI Act. L’adesione può migliorare la reputazione aziendale, ridurre il rischio di sanzioni e rafforzare la fiducia degli stakeholder. Tuttavia, non basta firmare: è necessario attuare concretamente le misure previste, poiché una mancata conformità dopo la sottoscrizione potrebbe avere effetti negativi anche in termini reputazionali.

• 2 agosto 2025 → entrata in vigore degli obblighi per i fornitori GPAI;
• 2 agosto 2026 → avvio dell’enforcement e applicazione delle sanzioni;
• 2 agosto 2027 → scadenza del periodo transitorio per i modelli legacy.

Le sanzioni massime sono significative: fino a 15 milioni di euro o al 3% del fatturato globale annuo, a seconda di quale sia maggiore.