GPAI e Modelli Fondazionali — Obblighi EU AI Act per Sviluppatori e PMI

Hai rilasciato un modello di AI generativa o stai pensando di farlo. Magari un chatbot interno, un generatore di immagini, un sistema di classificazione. Poi scopri che l'EU AI Act ha una categoria intera dedicata ai modelli "General Purpose" — GPAI — e ti chiedi: riguarda anche me? La risposta breve è: dipende. Ma la risposta utile è: se non lo sai, sei già in ritardo.

Noi, di Meteora Web, lavoriamo ogni giorno con strumenti che integrano modelli di AI — dai plugin WordPress ai sistemi proprietari in Laravel. E quando il cliente chiede "possiamo usare GPT-4 per il supporto?", la prima cosa che valutiamo non è la qualità della risposta: è la conformità. Perché un modello che risponde bene ma viola gli obblighi GPAI è un costo, non un vantaggio.

Che cosa definisce un GPAI secondo l'EU AI Act?

Un modello GPAI (General Purpose AI) è un modello di AI addestrato su grandi quantità di dati, progettato per eseguire compiti generali — non uno specifico. Pensalo come un coltello svizzero: può tagliare, aprire bottiglie, avvitare. Un modello specializzato è un bisturi: fa una cosa sola, ma la fa benissimo.

L'EU AI Act, nel Regolamento (UE) 2024/1689, definisce i GPAI all'articolo 3, punto 63: modelli addestrati con una grande quantità di dati, con generalità di output, adattabili a un'ampia gamma di compiti distinti. Esempi concreti: GPT-4, Claude, Llama, Stable Diffusion. Ma attenzione: anche un modello più piccolo, se addestrato su dati vasti e usato per compiti generali, può rientrare nella definizione.

La soglia pratica? Il Regolamento distingue tra GPAI "normali" e GPAI "a rischio sistemico". Il rischio sistemico scatta quando il modello ha capacità elevate — misurate in FLOPs di addestramento (più di 10^25) o designate dalla Commissione. Per la maggior parte delle PMI, si parla di GPAI normali. Ma gli obblighi non sono banali nemmeno per quelli.

Come capire se il tuo modello è GPAI

Fatti tre domande:

1. Il modello è stato addestrato su dati massivi e generali (non solo su un dominio ristretto)?
2. Può svolgere compiti diversi senza essere riaddestrato (es. scrivere, tradurre, riassumere, classificare)?
3. Viene distribuito come servizio o come componente riutilizzabile?

Se rispondi "sì" a tutte e tre, sei dentro. Anche se il tuo modello è open source. La licenza non ti salva: gli obblighi GPAI si applicano a chi sviluppa il modello, non a chi lo distribuisce.

Checklist operativa:

• Documenta la quantità di dati di addestramento (in token o GB).
• Identifica i compiti generali che il modello può svolgere.
• Verifica se superi la soglia di 10^25 FLOPs (per il rischio sistemico).
• Se usi un modello di terze parti (es. API di OpenAI), controlla se il fornitore è già conforme — ma non delegare del tutto: anche l'integratore ha obblighi.

Quali obblighi hai come sviluppatore di un GPAI?

L'EU AI Act impone obblighi chiari per i fornitori di GPAI. Non sono opzionali. Ecco i principali, spiegati senza burocratese:

Documentazione tecnica dettagliata

Devi produrre un documento tecnico che descriva: architettura del modello, dati di addestramento, processi di validazione, metriche di performance, limitazioni note. Non serve pubblicarlo, ma devi averlo pronto per le autorità.

Esempio pratico: se hai addestrato un modello su testi legali italiani, devi documentare quanti documenti hai usato, come li hai puliti, quali bias hai rilevato e come li hai mitigati. Noi lo facciamo per i nostri clienti: non è un'opzione, è un requisito.

Informazioni per i downstream provider

Chi integra il tuo modello (es. un'azienda che ci costruisce un chatbot) deve ricevere informazioni sufficienti per capire capacità e limiti. Questo include: istruzioni per l'uso, comportamenti attesi, rischi residui.

In pratica: se vendi un modello di generazione di immagini, devi specificare che non deve essere usato per creare deepfake di persone reali senza consenso. Sembra ovvio, ma senza documentazione sei tu il responsabile.

Politica sul copyright

Questa è la parte che molti ignorano. Devi avere una policy che rispetti la Direttiva 2019/790 (Copyright nel Mercato Unico Digitale). In pratica: devi dimostrare che hai rispettato il diritto d'autore sui dati di addestramento, incluso il diritto di opt-out dei titolari.

Noi, di Meteora Web, abbiamo visto progetti fermarsi perché il cliente aveva usato dataset scaricati da repository pubblici senza verificare le licenze. Il GDPR non è l'unico rischio: il copyright è una bomba a orologeria.

Dati di addestramento e trasparenza

Devi pubblicare un riassunto sufficientemente dettagliato dei dati usati per l'addestramento. Non serve elencare ogni singolo file, ma devi indicare: tipologie di dati, fonti, lingue, eventuali dati personali inclusi.

Attenzione: se hai usato dati personali, devi rispettare il GDPR. Questo significa base giuridica, valutazione d'impatto, e possibilità per gli interessati di opporsi. Non è un dettaglio: è un obbligo parallelo.

Come gestire il rischio sistemico se il tuo modello è grande

Se il tuo modello supera la soglia di 10^25 FLOPs (o è designato dalla Commissione), scattano obblighi aggiuntivi: valutazioni standardizzate, test avversari, segnalazione di incidenti gravi, misure di cybersecurity. Per la maggior parte delle PMI, questo è irrilevante — ma se usi un modello open source di grandi dimensioni (es. Llama 3 405B), devi verificare se il fornitore ha già adempiuto.

La regola pratica: non addestrare modelli giganti senza un team legale dedicato. Se lo fai, prepara un budget per la conformità che sia almeno il 20% del costo di addestramento.

Esempio di codice per la documentazione automatica

Puoi automatizzare parte della documentazione con uno script. Ecco un esempio in Python per estrarre metriche di base dal tuo modello:

import torch
from transformers import AutoModelForCausalLM, AutoTokenizer

def model_metrics(model_name):
    tokenizer = AutoTokenizer.from_pretrained(model_name)
    model = AutoModelForCausalLM.from_pretrained(model_name)
    
    # Stima parametri
    params = sum(p.numel() for p in model.parameters())
    
    # Stima FLOPs per forward pass (approssimazione)
    vocab_size = len(tokenizer)
    seq_len = 2048
    flops = 6 * params * seq_len  # formula approssimata
    
    return {
        "model_name": model_name,
        "parameters": params,
        "flops_per_forward": flops,
        "vocab_size": vocab_size
    }

print(model_metrics("meta-llama/Llama-3.2-1B"))

Questo script ti dà una base per la documentazione. Non è sufficiente per la conformità completa, ma è un punto di partenza.

Quali sono le sanzioni per chi non rispetta gli obblighi GPAI?

Le sanzioni per violazioni degli obblighi GPAI arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo — se sei un'impresa. Per le PMI, la cifra può essere ridotta, ma non è uno sconto: è una multa che può chiudere un'attività.

Inoltre, c'è il danno reputazionale. Se un cliente scopre che il tuo modello non è conforme, perdi fiducia. E nel mondo digitale, la fiducia è il tuo asset principale.

Noi lo diciamo sempre: la conformità non è un costo, è un investimento. Un modello conforme è più facile da vendere, più facile da assicurare, più facile da internazionalizzare.

Come applicare questi obblighi nella tua azienda

Non serve un team legale di 50 persone. Serve un processo. Ecco come lo facciamo noi:

1. Inventario dei modelli: elenca tutti i modelli GPAI che usi o sviluppi, anche quelli embedded in prodotti più grandi.
2. Valutazione del rischio: per ogni modello, determina se è a rischio sistemico o normale.
3. Documentazione: crea un template di documentazione tecnica e compilalo per ogni modello.
4. Policy copyright: verifica le licenze dei dataset e implementa un processo per gestire le richieste di opt-out.
5. Monitoraggio continuo: la conformità non è un evento una tantum. Aggiorna la documentazione a ogni release.

Per la parte di copyright, ti consigliamo di usare strumenti come Copyright.eu per verificare le licenze dei dataset. Per la documentazione tecnica, il sito ufficiale dell'EU AI Act offre risorse utili.

Cosa fare adesso

Non aspettare che l'autorità ti contatti. Agisci ora:

1. Identifica i tuoi GPAI: fai un audit dei modelli che usi o sviluppi. Se non sai quali sono, parti da lì.
2. Crea un modello di documentazione: usa il codice sopra come base e adattalo alle tue esigenze.
3. Verifica le licenze dei dati: controlla ogni dataset di addestramento. Se non hai la licenza, non usarlo.
4. Consulenza legale: se il tuo modello è grande o usi dati sensibili, investi in una consulenza specializzata. Costa meno di una sanzione.
5. Integra la conformità nel tuo workflow: non trattarla come un extra. Ogni nuova release deve includere l'aggiornamento della documentazione.

Noi, di Meteora Web, abbiamo visto aziende trasformare la conformità in un vantaggio competitivo: clienti che scelgono fornitori "certificati" piuttosto che rischiosi. Se vuoi capire come applicare tutto questo al tuo progetto, parti dalla nostra guida pillar sull'EU AI Act e poi torna qui per i dettagli GPAI.

E se hai bisogno di una mano con l'implementazione, contattaci. Lavoriamo con PMI e sviluppatori in tutta Italia, e sappiamo come rendere la conformità un processo gestibile.