Modelli di AI per uso generale (GPAI): cosa chiedere ai fornitori

I modelli di AI per uso generale (in inglese general-purpose AI, GPAI) sono i grandi modelli su cui si basano chatbot, assistenti di scrittura e agenti vocali. Dal 2 agosto 2025 l’AI Act impone obblighi a chi li sviluppa, non alle aziende che li usano. Proprio per questo una PMI che lavora con strumenti basati su questi modelli deve sapere che cosa chiedere a chi glieli fornisce.

In breve

• Gli obblighi per i fornitori di modelli GPAI si applicano dal 2 agosto 2025. La Commissione può farli rispettare con i suoi poteri dal 2 agosto 2026; i modelli già sul mercato prima del 2 agosto 2025 devono essere in regola entro il 2 agosto 2027.
• Il Codice di buone pratiche GPAI è stato pubblicato il 10 luglio 2025 ed è stato giudicato adeguato da Commissione e Consiglio per l’IA.
• Il fornitore del modello deve dare a chi lo integra le informazioni dell’allegato XII: compiti previsti, politiche di uso accettabile, licenza, limiti.
• All’azienda che usa uno strumento basato su questi modelli restano gli obblighi da deployer, come l’alfabetizzazione AI e la trasparenza verso le persone.

Che cos’è un modello di AI per uso generale

L’AI Act lo definisce come un modello che mostra una generalità significativa, sa svolgere un’ampia gamma di compiti distinti e può essere integrato in molti sistemi diversi. Sono esclusi i modelli usati solo per ricerca, sviluppo o prototipazione prima di essere immessi sul mercato. Nelle linee guida del 18 luglio 2025 la Commissione indica un criterio orientativo: un modello addestrato con una potenza di calcolo superiore a 10²³ operazioni in virgola mobile e capace di generare linguaggio (testo o audio), immagini o video a partire da testo.

Conviene tenere distinti due concetti. Il modello è il motore. Il sistema è il prodotto che usi: un assistente sul sito, un agente vocale, uno strumento di scrittura. Un sistema basato su un modello GPAI e capace di servire molte finalità si chiama «sistema di IA per finalità generali». Per i modelli più avanzati, quelli con rischio sistemico, il regolamento prevede obblighi aggiuntivi di valutazione e riduzione dei rischi.

Fornitore, fornitore a valle e deployer: chi è chi

• Fornitore: chi sviluppa un sistema o un modello di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.
• Fornitore a valle: chi fornisce un sistema di AI che integra un modello, suo o di un’altra azienda con cui ha un contratto.
• Deployer: chi usa un sistema di AI sotto la propria autorità per un’attività professionale.

Un esempio ipotetico. Un e-commerce usa un assistente per rispondere ai clienti: l’e-commerce è deployer, l’azienda che ha costruito l’assistente e lo offre con il proprio nome è fornitore del sistema, chi ha sviluppato il modello alla base è fornitore GPAI. Se invece l’e-commerce costruisce da sé uno strumento collegando un modello tramite API e lo mette in servizio con il proprio nome, diventa a sua volta fornitore a valle, con gli obblighi che ne derivano.

Cosa devono fare i fornitori dei modelli

L’articolo 53 dell’AI Act chiede ai fornitori di modelli GPAI quattro cose:

1. redigere e aggiornare la documentazione tecnica del modello, da trasmettere su richiesta all’Ufficio per l’IA e alle autorità nazionali;
2. mettere a disposizione dei fornitori di sistemi che integrano il modello informazioni e documentazione che permettano di capirne capacità e limiti, con almeno gli elementi dell’allegato XII;
3. adottare una politica sul diritto d’autore, che rispetti anche le riserve con cui i titolari escludono le loro opere dall’estrazione di dati;
4. pubblicare una sintesi dei contenuti usati per l’addestramento, secondo il modello che la Commissione ha pubblicato il 24 luglio 2025.

L’allegato XII elenca, tra l’altro, i compiti che il modello è destinato a svolgere, le politiche di uso accettabile, la data di rilascio, la licenza, le modalità e il formato di input e output, compresa la lunghezza massima del contesto, e informazioni sui dati di addestramento. Per i modelli rilasciati con licenza libera e open source, con pesi e architettura pubblici, i primi due obblighi non si applicano, salvo che il modello presenti rischi sistemici.

Il Codice di buone pratiche GPAI e chi l’ha firmato

Il Codice è uno strumento volontario, preparato da 13 esperti indipendenti con il contributo di oltre 1.000 portatori di interesse. Ha tre capitoli: trasparenza, con un modulo per documentare il modello, e diritto d’autore, che valgono per tutti i fornitori; sicurezza e protezione, che riguarda solo i pochi fornitori dei modelli più avanzati con rischio sistemico. Chi lo firma può usarlo per dimostrare di rispettare gli obblighi, con meno oneri amministrativi e più certezza giuridica.

Tra i firmatari elencati dalla Commissione ci sono Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI e OpenAI. xAI ha firmato solo il capitolo su sicurezza e protezione e deve dimostrare con altri mezzi adeguati il rispetto degli obblighi su trasparenza e diritto d’autore. L’elenco viene aggiornato man mano che arrivano nuove firme.

Cosa cambia con il Digital Omnibus

Il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, affida all’Ufficio per l’IA la competenza esclusiva sul controllo dei sistemi di AI basati su modelli GPAI quando modello e sistema vengono dallo stesso fornitore o dalla stessa impresa, con alcune eccezioni, per esempio i sistemi forniti dalle autorità di contrasto o dagli istituti finanziari. In pratica, un chatbot offerto dalla stessa azienda che sviluppa il modello è di norma vigilato a livello europeo. Gli obblighi dei fornitori di modelli restano quelli in vigore dal 2025.

Cosa fare adesso: le domande da fare ai fornitori

1. Quale modello usa lo strumento e chi è il suo fornitore? Cosa succede se il modello o la versione cambiano?
2. Il fornitore del modello ha firmato il Codice di buone pratiche, in tutto o in parte?
3. Avete ricevuto le informazioni dell’allegato XII e come ne tenete conto per limiti e configurazione?
4. Il mio uso rientra nelle politiche di uso accettabile del modello?
5. Dove trovo la sintesi pubblica dei dati di addestramento?
6. I dati delle conversazioni vengono usati per addestrare il modello? Dove sono trattati? C’è un accordo sul trattamento dei dati conforme al GDPR?
7. Come rispetta lo strumento gli obblighi di trasparenza, per esempio dichiarare che è un’AI?

Altre domande utili, su dati e sicurezza, sono nella nostra guida su agenti AI e dati dei clienti. Se vuoi costruire uno strumento interno su un modello GPAI, con Ecosystem sviluppiamo software su misura.

Informazioni aggiornate a ottobre 2026. Questo articolo non è una consulenza legale.

Domande frequenti

Fonti

• Commissione europea, «Learn more about the guidelines for providers of general-purpose AI models», 18 luglio 2025
• Commissione europea, «General-Purpose AI Code of Practice now available», 10 luglio 2025
• Commissione europea, «The General-Purpose AI Code of Practice», consultata a ottobre 2026
• Commissione europea, «Explanatory Notice and Template for the Public Summary of Training Content for general-purpose AI models», 24 luglio 2025
• Commissione europea, AI Act Service Desk, «Articolo 53: Obblighi dei fornitori di modelli di IA per finalità generali», consultata a ottobre 2026
• Commissione europea, AI Act Service Desk, «Articolo 75: Vigilanza del mercato e controllo dei sistemi di IA e assistenza reciproca», consultata a ottobre 2026
• Commissione europea, AI Act Service Desk, «Allegato XII», consultata a ottobre 2026
• Commissione europea, AI Act Service Desk, «Articolo 3: Definizioni», consultata a ottobre 2026
• EUR-Lex, «Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA)», 8 luglio 2026