Art. 88 Reg. (UE) 2024/1689 — Esecuzione degli obblighi dei fornitori di modelli di IA per finalità generali

Commento

Il capo V e i modelli GPAI: inquadramento

Il Regolamento (UE) 2024/1689 ha introdotto una disciplina specifica per i modelli di IA per finalità generali (GPAI — «General Purpose AI models»), contenuta nel capo V (artt. 51-63). Si tratta di una categoria normativa nuova, introdotta nel corso del negoziato legislativo per rispondere all'emergere di modelli fondazionali di grandissima scala — come i grandi modelli linguistici (LLM) e i modelli multimodali — che non rientrano facilmente nella logica «finalità specifica» su cui è costruita la disciplina dell'alto rischio del capo III. I modelli GPAI sono addestrati su quantità enormi di dati, possono essere utilizzati per un'ampia varietà di compiti diversi, e vengono spesso integrati in altri sistemi o prodotti da fornitori terzi (deployer o fornitori di sistemi derivati).

L'art. 51 definisce i modelli GPAI come modelli addestrati con grande quantità di dati e in grado di svolgere competenze generali in modo flessibile. Per i modelli che superano determinate soglie di capacità computazionale durante l'addestramento si parla di modelli GPAI a «rischio sistemico»: questi sono soggetti a obblighi aggiuntivi (artt. 55-56). Gli obblighi del capo V si applicano ai fornitori di modelli GPAI dall'2 agosto 2025.

La scelta della vigilanza centralizzata

L'art. 88 stabilisce che la Commissione ha competenze esclusive per la vigilanza e l'esecuzione degli obblighi del capo V. Questa scelta è una delle più significative dell'intero regolamento sul piano istituzionale, e si discosta dal modello generale del capo III (alto rischio), dove la vigilanza è affidata alle autorità di vigilanza del mercato degli Stati membri.

La ragione della centralizzazione è strutturale: i fornitori di modelli GPAI sono tipicamente grandi imprese multinazionali, spesso extraeuropee, che operano simultaneamente in tutti gli Stati membri attraverso API, piattaforme cloud e contratti di licenza. Una vigilanza frammentata — con ogni Stato membro competente per le imprese che operano nel proprio territorio — produrrebbe inevitabilmente incoerenze interpretative, forum shopping regolatorio (le imprese si stabiliscono nello Stato con le autorità più permissive) e inefficienza investigativa. La Commissione, come istituzione unica con competenza nell'intera UE, è meglio posizionata per esercitare una vigilanza efficace su soggetti transfrontalieri con impatto sistemico.

Il modello richiama, per analogia funzionale, quello previsto dal Regolamento (UE) 2022/2065 (Digital Services Act — DSA) per i «Very Large Online Platforms», dove la Commissione ha competenze di vigilanza diretta sulle piattaforme più grandi, affiancandosi alle autorità nazionali. Nel caso dell'AI Act, la vigilanza sui GPAI è centralizzata in modo ancora più netto: la Commissione ha competenza esclusiva, non parallela a quella degli Stati membri.

L'Ufficio per l'IA (AI Office)

La Commissione non esercita personalmente le funzioni di vigilanza, ma le affida all'Ufficio per l'IA («AI Office»), istituito nell'ambito della Commissione stessa con il compito operativo di monitorare, investigare e, ove necessario, sanzionare i fornitori di modelli GPAI. L'Ufficio per l'IA è stato istituito con una decisione della Commissione nel febbraio 2024, in anticipo rispetto all'entrata in vigore del regolamento, proprio per prepararsi all'esercizio di queste funzioni.

L'Ufficio per l'IA svolge un ruolo più ampio di quello previsto dall'art. 88: coordina l'attuazione del regolamento a livello UE, supporta le autorità nazionali, gestisce il database dei sistemi ad alto rischio (art. 71), e promuove la cooperazione internazionale. Ma la sua funzione più distintiva — e più delicata — è l'enforcement sui modelli GPAI, che include il potere di condurre valutazioni, richiedere informazioni, svolgere ispezioni e infine irrogare sanzioni ai sensi dell'art. 99.

Il raccordo con le autorità di vigilanza degli Stati membri

Il paragrafo 2 dell'art. 88 introduce un meccanismo di raccordo che evita una frattura netta tra il livello europeo e quello nazionale. Le autorità di vigilanza del mercato degli Stati membri — che hanno competenza generale sui sistemi di IA ad alto rischio — possono chiedere alla Commissione di esercitare le proprie competenze sui modelli GPAI «ove ciò sia necessario e proporzionato per assisterle nell'adempimento dei loro compiti». Questo meccanismo è attivabile, ad esempio, quando un'autorità nazionale rileva che un sistema di IA ad alto rischio da essa vigilato incorpora un modello GPAI che presenta criticità: l'autorità può «escalare» la questione alla Commissione, che ha gli strumenti per intervenire direttamente sul fornitore del modello.

La previsione dell'art. 75, par. 3 — espressamente «fatta salva» — disciplina il caso speculare: la Commissione, nelle sue indagini sui modelli GPAI, può avere bisogno della collaborazione delle autorità nazionali, che possono fornire informazioni, supporto investigativo e, ove necessario, misure coercitive sul territorio.

Le garanzie procedurali dell'art. 94

Le indagini della Commissione sui fornitori di modelli GPAI non sono procedimenti informali: sono soggette alle garanzie procedurali dell'art. 94, che include il diritto del fornitore di essere ascoltato prima dell'adozione di qualsiasi decisione pregiudizievole, il diritto di accesso al fascicolo, il rispetto della riservatezza delle informazioni riservate, e la possibilità di ricorrere alla Corte di giustizia dell'Unione europea avverso le decisioni della Commissione. Questo quadro procedurale è fondamentale per bilanciare l'efficacia dell'enforcement con le garanzie del giusto procedimento.

Implicazioni pratiche per i fornitori di modelli GPAI

Per un'impresa che fornisce modelli GPAI nell'UE — che sia una grande piattaforma tecnologica extraeuropea o una start-up europea che ha sviluppato un LLM — l'art. 88 ha implicazioni pratiche precise: il proprio interlocutore regolatorio primario non è l'autorità nazionale dello Stato in cui ha sede, ma la Commissione europea attraverso l'Ufficio per l'IA. Questo significa che le comunicazioni, le risposte a richieste di informazioni, le contestazioni e le ispezioni avverranno a livello europeo. Una corretta struttura di governance della compliance deve quindi includere un presidio specifico per il rapporto con l'Ufficio per l'IA, con competenza sulle questioni di diritto europeo dell'IA e capacità di rispondere alle richieste in inglese (lingua di lavoro principale della Commissione). Per i fornitori di modelli GPAI a rischio sistemico — quelli con le soglie computazionali più alte — questo presidio è particolarmente critico, data l'intensità degli obblighi aggiuntivi (artt. 55-56) e il conseguente rischio di indagini.