GPAI (general-purpose AI) indica nell'AI Act i «modelli di IA per finalità generali», come i grandi modelli linguistici. Dal 2 agosto 2025 i loro fornitori devono tenere documentazione tecnica, informare chi li integra, adottare una policy sul diritto d'autore e pubblicare una sintesi dei dati di addestramento. Chi li usa tramite API è di solito deployer, non fornitore GPAI.
In sintesi
- Il regolamento distingue il modello (il «motore», per esempio un modello linguistico) dal sistema costruito sopra (per esempio un'app di chat).
- Tutti i fornitori di modelli GPAI hanno quattro obblighi dell'articolo 53; quelli con rischio sistemico anche gli obblighi dell'articolo 55.
- Si presume il rischio sistemico sopra 10^25 operazioni in virgola mobile di calcolo per l'addestramento.
- Il codice di buone pratiche GPAI è stato pubblicato il 10 luglio 2025 ed è volontario.
- Vigila l'ufficio per l'IA della Commissione, che dal 2 agosto 2026 può infliggere sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale.
Modello GPAI o sistema GPAI: la distinzione che conta
Il testo italiano dell'AI Act definisce il modello di IA per finalità generali (articolo 3, punto 63) come un modello addestrato con grandi quantità di dati, spesso con autosupervisione su larga scala, che mostra una generalità significativa, svolge con competenza un'ampia gamma di compiti distinti e può essere integrato in molti sistemi a valle. Il sistema di IA per finalità generali (punto 66) è invece un sistema basato su un modello di questo tipo, che può servire scopi diversi, da solo o integrato in altri sistemi.
Detto in modo semplice: il modello dietro un assistente di chat è il modello GPAI; l'app con interfaccia, filtri e integrazioni è un sistema. Il capo V del regolamento (articoli 51–56) disciplina i modelli. I sistemi seguono le regole generali: classe di rischio e, se dialogano con le persone o generano contenuti, gli obblighi di trasparenza spiegati nella pagina sull'articolo 50. Per l'impianto complessivo, partite dalla guida all'AI Act.
Le linee guida della Commissione per i fornitori GPAI propongono un indicatore pratico: un modello addestrato con più di 10^23 FLOP in grado di generare linguaggio (testo o audio), immagini da testo o video da testo è probabilmente un modello GPAI. È un filtro iniziale, non una soglia rigida: decide la generalità effettiva.
Se la vostra azienda costruisce su questi modelli invece di addestrarli, gli obblighi arrivano dal caso d'uso, non dal capo V. L'assessment gratuito di Opsio sull'AI Act vi aiuta a capire quale ruolo avete per ogni uso dell'IA e cosa ne deriva.
Hai bisogno di aiuto con cloud?
Prenota un incontro gratuito di 30 minuti con uno dei nostri specialisti in cloud. Analizziamo le tue esigenze e forniamo raccomandazioni concrete — nessun obbligo.
Articolo 53: gli obblighi di ogni fornitore di modelli GPAI
| Obbligo | In pratica | Esenzione open source? |
|---|---|---|
| Documentazione tecnica (art. 53, par. 1, lett. a; allegato XI) | Processo di addestramento e test, risultati delle valutazioni, architettura, potenza di calcolo, consumo energetico; da tenere aggiornata e fornire all'ufficio per l'IA su richiesta | Sì, salvo rischio sistemico |
| Informazioni per i fornitori a valle (lett. b; allegato XII) | Capacità e limiti del modello, quanto basta a chi lo integra per rispettare i propri obblighi | Sì, salvo rischio sistemico |
| Policy sul diritto d'autore (lett. c) | Rispetto del diritto d'autore UE, incluse le riserve sull'estrazione di testo e dati (art. 4, par. 3, direttiva (UE) 2019/790) | No |
| Sintesi pubblica dei contenuti di addestramento (lett. d) | Sintesi sufficientemente dettagliata secondo il modello pubblicato dalla Commissione il 24 luglio 2025 | No |
L'esenzione open source riguarda i modelli rilasciati con licenza libera e aperta, con pesi, architettura e informazioni d'uso pubblici. I fornitori stabiliti fuori dall'UE devono nominare un rappresentante autorizzato nell'Unione prima di immettere un modello sul mercato (articolo 54). Il testo è leggibile nella versione italiana dell'articolo 53.
Sul diritto d'autore l'Italia ha aggiunto un tassello nazionale: la legge 132/2025 ha introdotto nella legge sul diritto d'autore l'articolo 70-septies, che consente l'estrazione di testo e dati con modelli e sistemi di IA nei limiti degli articoli 70-ter e 70-quater, e un reato per l'estrazione in violazione di quelle regole.
Rischio sistemico: la soglia di 10^25 FLOP e l'articolo 55
Un modello GPAI presenta rischio sistemico se ha capacità di impatto elevato. Secondo l'articolo 51 si presume quando il calcolo cumulativo usato per l'addestramento supera 10^25 operazioni in virgola mobile. La Commissione può anche designare un modello in base ad altri criteri dell'allegato XIII, come numero di utenti o diffusione. Il fornitore che supera la soglia deve notificarlo alla Commissione entro due settimane (articolo 52) e può sostenere che, nonostante il calcolo, il modello non presenta rischio sistemico.
Oltre all'articolo 53, l'articolo 55 chiede ai fornitori di questi modelli di:
- valutare il modello con protocolli standardizzati e strumenti allo stato dell'arte, compresi test contraddittori (adversarial testing);
- valutare e attenuare i possibili rischi sistemici a livello dell'Unione;
- tracciare, documentare e comunicare senza ritardo gli incidenti gravi all'ufficio per l'IA e, se del caso, alle autorità nazionali;
- garantire un livello adeguato di cybersicurezza del modello e della sua infrastruttura fisica.
Il codice di buone pratiche GPAI
L'articolo 56 prevede codici di buone pratiche che i fornitori possono usare per dimostrare la conformità finché non esistono norme armonizzate. Il codice di buone pratiche per l'IA per finalità generali è stato pubblicato il 10 luglio 2025 e ha tre capitoli: trasparenza (con un modulo di documentazione del modello), diritto d'autore, sicurezza e protezione (quest'ultimo solo per i modelli con rischio sistemico).
A ottobre 2026 l'elenco dei firmatari della Commissione comprende, tra gli altri, Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI, OpenAI, Aleph Alpha e Cohere. xAI ha firmato solo il capitolo su sicurezza e protezione; Meta ha dichiarato a luglio 2025 di non firmare. L'elenco si aggiorna nel tempo: controllate la pagina della Commissione prima di farvi affidamento. Firmare è volontario; chi non firma deve dimostrare la conformità in altri modi e può aspettarsi più richieste di informazioni.
Le date dei modelli GPAI
| Data | Tappa |
|---|---|
| 10 luglio 2025 | Pubblicazione del codice di buone pratiche GPAI |
| 18 luglio 2025 | Linee guida della Commissione sull'ambito degli obblighi GPAI |
| 24 luglio 2025 | Modello per la sintesi pubblica dei dati di addestramento |
| 2 agosto 2025 | Gli articoli 53–55 si applicano ai modelli immessi sul mercato da questa data |
| 2 agosto 2026 | La Commissione può esercitare i poteri sanzionatori |
| 2 agosto 2027 | Termine per i modelli immessi sul mercato prima del 2 agosto 2025 |
Come queste date si combinano con l'alto rischio e la trasparenza dopo l'Omnibus lo trovate nella pagina sulle scadenze dell'AI Act.
Chi vigila: ufficio per l'IA, non ACN
I fornitori di modelli GPAI sono vigilati a livello centrale dalla Commissione tramite l'ufficio per l'IA, non dalle autorità nazionali come l'ACN. Gli articoli 91–94 consentono alla Commissione di chiedere documentazione e informazioni, valutare un modello anche con esperti indipendenti e richiedere misure come attenuazioni, restrizioni o ritiro. Un gruppo di esperti scientifici indipendenti può segnalare rischi sistemici. L'articolo 101 consente sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore, applicabili dal 2 agosto 2026.
L'Omnibus digitale ha esteso il ruolo dell'ufficio per l'IA: vigila in via esclusiva sui sistemi costruiti su un modello GPAI dallo stesso fornitore o gruppo e sull'IA integrata nelle grandissime piattaforme online e nei motori di ricerca. Un prodotto di chat e il modello che lo alimenta, se vengono dalla stessa azienda, rispondono a un unico supervisore.
Se usate ChatGPT, Claude o Gemini via API
La maggior parte delle aziende italiane non addestra modelli di base. Se richiamate un modello tramite API o usate l'assistente di un fornitore, gli obblighi del capo V restano al fornitore del modello. La vostra posizione di solito è una di queste:
- Deployer di un sistema di IA. Avete gli obblighi legati al caso d'uso: alfabetizzazione del personale e, se l'uso è ad alto rischio (per esempio lo screening dei CV), gli obblighi dell'articolo 26. Vedete deployer e fornitore nell'AI Act.
- Fornitore di un vostro sistema. Se costruite su un modello GPAI un chatbot per i clienti e lo offrite con il vostro marchio, siete fornitori di quel sistema e l'articolo 50 vi chiede di dichiarare che è un'IA.
- Raramente, fornitori di un modello modificato. Se modificate un modello in modo sostanziale potreste diventarne fornitori. Secondo le linee guida della Commissione lo si presume solo quando la modifica usa più di un terzo del calcolo di addestramento originale, soglia che il normale fine-tuning non avvicina.
Cosa fare: chiedete al fornitore le informazioni dell'allegato XII e lo stato di adesione al codice; registrate ogni uso nell'inventario; stabilite quali dati il personale può inviare al modello; verificate le implicazioni GDPR dei prompt con dati personali. Per la parte contrattuale e di sicurezza può servire la nostra pagina su sicurezza e compliance dell'IA.
Domande frequenti
Cosa significa GPAI?
GPAI è l'acronimo inglese di general-purpose AI. Nel testo italiano dell'AI Act si parla di «modello di IA per finalità generali»: un modello che svolge con competenza molti compiti diversi e può essere integrato in numerosi sistemi, come i grandi modelli linguistici. Il sistema costruito sopra, per esempio un'app di chat, è un «sistema di IA per finalità generali».
Quali obblighi hanno i fornitori di modelli GPAI?
Quattro, dall'articolo 53: documentazione tecnica, informazioni per chi integra il modello, una policy di rispetto del diritto d'autore e una sintesi pubblica dei dati di addestramento. Se il modello presenta rischio sistemico si aggiungono valutazioni e test contraddittori, attenuazione dei rischi, segnalazione degli incidenti gravi e cybersicurezza. Si applicano dal 2 agosto 2025.
Se usiamo un modello linguistico via API siamo fornitori GPAI?
Quasi mai. Usare un modello tramite API o con un normale fine-tuning non vi rende fornitori del modello. Siete deployer del sistema che usate o fornitori del sistema che costruite e offrite con il vostro nome, con gli obblighi che ne derivano, come la trasparenza dell'articolo 50 o, per usi ad alto rischio, l'articolo 26.
Il codice di buone pratiche GPAI è obbligatorio?
No, è volontario. Chi lo firma può usarlo per dimostrare la conformità e la Commissione concentra la vigilanza sul rispetto del codice. Chi non lo firma deve comunque rispettare gli articoli 53 e 55 e dimostrarlo con altri mezzi. Per chi acquista, sapere se il proprio fornitore ha firmato è un'informazione utile nella due diligence.
Chi sanziona i fornitori di modelli GPAI?
La Commissione europea, tramite l'ufficio per l'IA, e non le autorità nazionali. Dal 2 agosto 2026 può infliggere sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore, per esempio se un fornitore non fornisce la documentazione o ignora una richiesta di misure.
Mettete in regola l'uso dei modelli GPAI in azienda
Per chi usa i modelli, la governance conta più del capo V: quali strumenti sono approvati, quali dati non vanno inviati, come si controllano i fornitori. L'assessment gratuito di Opsio per AI policy e governance AI pone esattamente queste domande, in italiano e in circa 40 minuti, e trasforma le risposte in quattro documenti: framework di governance AI, AI policy sull'uso accettabile, checklist per la due diligence dei fornitori AI e modello di valutazione dei rischi. I documenti sono consegnati in inglese come file Word modificabili, con un quadro di maturità su dieci ambiti.
Questo articolo è un'informazione generale e non costituisce consulenza legale. Verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744. Situazione aggiornata a ottobre 2026.
Scritto da
Country Manager, India
Praveena guida le operazioni di Opsio in India, portando oltre 17 anni di esperienza trasversale in IA, manifattura, DevOps e managed services.
Standard editoriali: Questo articolo è stato scritto da professionisti cloud e revisionato dal nostro team di ingegneria. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date in questa pagina indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente.