Nell'AI Act c'è un capitolo che non parla di te e che però ti conviene conoscere: quello sui modelli di IA per finalità generali, i GPAI. Sono i modelli che non nascono per un compito solo — GPT, Gemini, Claude, Llama, Mistral — e che quindi non si potevano incastrare nella piramide del rischio come gli altri.
Gli obblighi per i GPAI sono applicabili dal 2 agosto 2025. Non li devi rispettare tu. Ma sono la ragione per cui puoi pretendere certe cose da chi ti vende il servizio, ed è lì che diventano affari tuoi.
Cosa deve fare chi mette un modello sul mercato
Il fornitore di un GPAI deve tenere e aggiornare la documentazione tecnica del modello: architettura, capacità, limiti, procedure di test, consumo energetico. Deve mettere a disposizione dei fornitori a valle — cioè chi ci costruisce sopra qualcosa — le informazioni necessarie per capire capacità e limiti del modello e per rispettare a propria volta il regolamento.
Deve avere una policy sul rispetto del diritto d'autore dell'Unione, comprese le riserve espresse dai titolari dei diritti sul text and data mining. E deve pubblicare una sintesi sufficientemente dettagliata dei contenuti usati per l'addestramento, secondo il modello predisposto dall'Ufficio IA.
Quest'ultima è quella che ha fatto litigare tutti per due anni, perché costringe a dire qualcosa su dati che finora erano un segreto industriale.
I modelli con rischio sistemico
Sopra una certa soglia di capacità computazionale, un GPAI viene classificato come modello con rischio sistemico, e gli obblighi si moltiplicano: valutazione del modello con test avversariali, valutazione e mitigazione dei rischi sistemici, segnalazione degli incidenti gravi all'Ufficio IA e alle autorità nazionali, livello adeguato di cibersicurezza.
Qui si parla dei modelli di frontiera dei grandi laboratori. Nessuna azienda italiana che io conosca sta addestrando qualcosa che finisce in questa categoria — e se stai leggendo questa pagina, con ogni probabilità non è il tuo caso.
Chi vigila, e con quale bastone
Sui GPAI la competenza non è dell'autorità nazionale: è della Commissione europea, attraverso l'Ufficio IA. Dal 2 agosto 2026 quel potere di vigilanza è pienamente operativo, con capacità sanzionatoria propria. Il Digital Omnibus del luglio 2026 ha ulteriormente rafforzato i poteri dell'Ufficio IA.
Detto in modo diretto: se hai un problema con il comportamento di un modello di un grande fornitore, la controparte istituzionale non è ACN, è Bruxelles.
Perché tutto questo ti riguarda
Perché cambia il tuo potere contrattuale. Se compri o integri un modello, oggi hai il diritto di chiedere al fornitore la documentazione che l'AI Act gli impone di produrre. E se il fornitore ti risponde "sono informazioni riservate", è un problema suo, non tuo.
Nella pratica, prima di firmare un contratto su un servizio basato su IA, chiedi tre cose. Uno: la documentazione tecnica del modello sottostante e i suoi limiti dichiarati. Due: quale politica seguono su copyright e dati di addestramento. Tre: cosa succede ai tuoi dati — se vengono usati per addestrare, dove sono conservati, per quanto tempo.
Quest'ultima non è una domanda da AI Act, è una domanda da GDPR. Ma è quella che nella vita reale ti evita i guai, come dimostra la sanzione da 15 milioni di euro che il Garante italiano ha messo a OpenAI a dicembre 2024.
La differenza fra modello e sistema
Un dettaglio che genera confusione infinita. Il modello è il motore. Il sistema di IA è la macchina costruita attorno al motore per fare qualcosa di specifico. Gli obblighi GPAI riguardano il motore; la piramide del rischio riguarda la macchina.
Quindi quando qualcuno dice "ChatGPT è ad alto rischio", sta mescolando due piani. Il modello segue le regole GPAI. L'applicazione che ci costruisci sopra segue la piramide, in base a cosa fa. Se ci costruisci un assistente per la selezione del personale, quella è alto rischio dal dicembre 2027 — e il fornitore di quell'assistente sei tu.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Il capitolo GPAI non ti dà obblighi. Ti dà argomenti. Usali quando negozi il contratto.
Domande frequenti
Se uso un modello open source cambiano gli obblighi?
L'AI Act prevede esenzioni parziali per i modelli rilasciati con licenza libera e aperta, purché i parametri e le informazioni sull'architettura siano pubblicamente disponibili. Le esenzioni non valgono per i modelli con rischio sistemico né quando il modello viene integrato in un sistema ad alto rischio.
Posso chiedere al fornitore la sintesi dei dati di addestramento?
La sintesi dei contenuti usati per l'addestramento va resa pubblica dal fornitore del modello secondo il modello dell'Ufficio IA. Se non la trovi, è un elemento da valutare nella scelta del fornitore.
Chi sanziona i fornitori di modelli GPAI?
La Commissione europea tramite l'Ufficio IA, con poteri pienamente operativi dal 2 agosto 2026 e rafforzati dal Digital Omnibus. Le autorità nazionali restano competenti sui sistemi, non sui modelli.