Sfoglia altri articoli simili con le etichette:
L’AI Office della Commissione europea ha pubblicato a fine febbraio 2026 le linee guida operative sull’applicazione delle norme dell’AI Act ai General Purpose AI Models, i modelli di base che entreranno nella piena disciplina ad agosto 2026. Il documento, oltre 80 pagine, definisce gli obblighi di trasparenza, le procedure di valutazione del rischio sistemico, e le tempistiche di adeguamento per i fornitori. Per la prima volta da quando il regolamento è stato approvato, le aziende italiane che usano questi modelli (e i loro consulenti) hanno un quadro operativo abbastanza chiaro da costruire piani di compliance.
La scadenza di agosto 2026 non è negoziabile. Manca poco.
Cosa cambia per i fornitori GPAI
I modelli classificati come GPAI sono i grandi modelli di base, quelli che alimentano una varietà di applicazioni a valle. ChatGPT con i modelli OpenAI, Claude di Anthropic, Gemini di Google, Mistral Large, e altri. Le linee guida AI Office distinguono tra GPAI “standard” e GPAI con “rischio sistemico”. I secondi sono i modelli più potenti, identificati sulla base di soglie tecniche (capacità di calcolo usate per il training, dimensione, capacità misurate su benchmark standardizzati).
Gli obblighi per i fornitori standard includono documentazione tecnica disponibile alle autorità, informazioni sulle modalità di training, sui dataset usati, sui meccanismi di valutazione interna. Gli obblighi per i fornitori con rischio sistemico aggiungono valutazione e mitigazione del rischio, monitoraggio degli incidenti, segnalazione agli enti competenti, misure di cybersecurity più stringenti.
Lo Stanford AI Index 2026, pubblicato a gennaio, ha dedicato un capitolo intero all’analisi della preparazione dei fornitori alle norme europee. La conclusione, prudente ma chiara, è che i grandi fornitori americani hanno costruito team di compliance europea consistenti negli ultimi 12 mesi, ma la qualità della documentazione effettivamente disponibile varia in modo rilevante.
Le mosse dei tre grandi
OpenAI ha pubblicato a febbraio 2026 una documentazione tecnica aggiornata su GPT-5 e GPT-5 mini, includendo capability cards strutturate secondo il template suggerito dalle linee guida AI Office. È un passo, ma alcune sezioni (in particolare sui dataset di training) restano molto generiche. La motivazione dichiarata è la protezione di proprietà intellettuale e di accordi di licenza con i fornitori di dati.
Anthropic, che già nel 2024-2025 aveva una postura più trasparente sui propri modelli, ha pubblicato a febbraio 2026 una versione aggiornata della system card di Claude 4.7, con sezioni esplicite sui processi di safety testing e sulle red team interne. Resta comunque la difficoltà di documentare in modo verificabile dataset di centinaia di terabyte raccolti da fonti diversificate.
Google ha pubblicato una documentazione su Gemini 3 a metà febbraio, focalizzata principalmente sugli aspetti di privacy e sulla compatibilità con il GDPR. La copertura degli obblighi specifici dell’AI Act è ancora incompleta. L’azienda ha dichiarato di completare la documentazione entro maggio 2026, in tempo per la scadenza di agosto.
Cosa devono fare le aziende italiane che usano questi modelli
Qui c’è un punto che molte aziende italiane stanno sottovalutando. L’AI Act non impone obblighi solo ai fornitori dei modelli, ma anche agli utilizzatori in alcune circostanze. In particolare, le aziende che integrano un GPAI in un sistema AI ad alto rischio (settore sanitario, scoring di credito, gestione di personale, sistemi educativi automatizzati) diventano “deployer” ai sensi del regolamento, con obblighi specifici di valutazione e di trasparenza.
Lavoro con clienti enterprise che stanno scoprendo solo adesso, a marzo 2026, di essere classificati come deployer di sistemi ad alto rischio. La preparazione di una valutazione di conformità richiede mesi di lavoro, coinvolge legale, DPO, IT, business owner. Aspettare luglio 2026 per iniziare significa arrivare in ritardo.
Per le aziende che usano AI generativa per use case standard (marketing, customer service generale, supporto interno alla produttività) gli obblighi sono molto più contenuti. Restano comunque gli obblighi generali di trasparenza verso utenti finali quando interagiscono con un sistema AI, e gli obblighi di etichettatura dei contenuti generati o significativamente alterati da AI.
I codici di condotta come scorciatoia
L’AI Office sta lavorando con l’industria a un codice di condotta volontario per i GPAI, che dovrebbe formalizzarsi tra aprile e maggio 2026. Aderire al codice consente ai fornitori di presumere la conformità su alcuni aspetti, riducendo l’esposizione regolatoria. È uno strumento pensato per accelerare l’adozione del regolamento senza paralizzare il mercato.
I principali fornitori americani hanno segnalato intenzione di aderire. Mistral, francese, ha aderito tra i primi. Le aziende italiane che usano questi modelli dovrebbero verificare la posizione del proprio fornitore principale rispetto al codice di condotta, perché questo influenza il quadro di responsabilità a valle.
Il ruolo dei professionisti AI
La complessità della compliance AI Act sta creando una domanda specifica di figure professionali che combinano competenze legali, tecniche, e di processo. Non sono avvocati puri, non sono ingegneri puri, sono consulenti AI con preparazione interdisciplinare.
L’AIPIA, associazione italiana professionisti intelligenza artificiale, ha strutturato dal 2025 percorsi formativi specifici su AI compliance, in collaborazione con docenti universitari e con il proprio Legal Advisor AI Ethics. La credenziale europea per professionisti AI rilasciata da AIPIA, prima ente italiano autorizzato UE sull’EDC, include moduli specifici sull’AI Act che diventano rilevanti proprio in questa fase di transizione operativa.
Le aziende che cercano consulenti AI per la compliance dovrebbero verificare la preparazione specifica sui temi normativi, non limitarsi a competenze tecniche generiche. Un buon consulente AI nel 2026 deve saper leggere un articolo dell’AI Act tanto quanto un prompt complesso.
Cosa aspettarsi nei prossimi cinque mesi
Da marzo ad agosto 2026 ci saranno tre fasi visibili. Da marzo a maggio, finalizzazione dei codici di condotta e adesioni dei fornitori. Da maggio a luglio, pubblicazione delle ultime linee guida tecniche e prime ispezioni pilota da parte delle autorità nazionali designate. Da luglio in poi, entrata in vigore degli obblighi e attivazione dei meccanismi sanzionatori.
Le sanzioni previste dall’AI Act sono rilevanti. Fino al 7% del fatturato globale annuo per le violazioni più gravi. Per un’azienda italiana di medie dimensioni che integra AI generativa in modo strutturale, anche una sanzione di entità minore può rappresentare un danno reputazionale e finanziario rilevante.
La fase delle sperimentazioni libere si sta chiudendo. La fase delle implementazioni regolamentate sta cominciando. Per le aziende italiane che hanno preso sul serio l’AI negli ultimi 18 mesi, l’estate 2026 sarà il primo banco di prova reale. Per chi non si è preparato, sarà un problema da gestire in fretta, con costi superiori a quelli di una pianificazione tempestiva.
