Art. 93 Reg. (UE) 2024/1689 – Potere di richiedere misure

Il potere di intervento della Commissione sui GPAI con rischio sistemico

L'articolo 93 del Regolamento (UE) 2024/1689 attribuisce alla Commissione europea un potere di intervento diretto nei confronti dei fornitori di modelli di IA per finalità generali (GPAI) che presentano rischio sistemico. È una delle disposizioni più rilevanti dell'intero capo dedicato ai GPAI (Capo V): mentre gli artt. 53 e 54 definiscono gli obblighi dei fornitori, l'art. 93 definisce cosa accade quando tali obblighi non sono rispettati o quando emerge un rischio che richiede misure immediate.

Il potere si attiva a seguito della valutazione condotta ai sensi dell'art. 92, che consente alla Commissione - anche tramite esperti indipendenti - di valutare la conformità e le capacità dei modelli GPAI con rischio sistemico. L'art. 93 è, in questo senso, il braccio esecutivo dell'art. 92.

Le tre tipologie di misure richiedibili

Il par. 1 elenca le misure che la Commissione può richiedere:

• Adempimento degli obblighi degli artt. 53 e 54 (lett. a): l'art. 53 prevede gli obblighi generali dei fornitori GPAI (documentazione tecnica, rispetto del diritto d'autore, sintesi dei dati di addestramento, cooperazione con l'Ufficio per l'IA); l'art. 54 prevede obblighi aggiuntivi per i modelli con rischio sistemico (valutazione delle capacità avversariali, segnalazione degli incidenti, misure di cybersicurezza). Se il fornitore è inadempiente, la Commissione può richiedere l'adempimento coattivo.
• Misure di attenuazione del rischio sistemico (lett. b): questa tipologia è attivata quando la valutazione dell'art. 92 ha fatto emergere un «timore serio e comprovato» di rischio sistemico. La formula è volutamente ampia: include misure tecniche (limitazione delle capacità del modello, introduzione di filtri, rafforzamento del monitoraggio), organizzative (potenziamento dei team di sicurezza, processi di testing avversariale) o commerciali (limitazione dell'accesso a determinate categorie di utenti).
• Limitazione, ritiro o richiamo del modello (lett. c): la misura più drastica. La Commissione può richiedere al fornitore di limitare la disponibilità del modello, di ritirarlo dal mercato o di richiamarlo. Questa opzione è il pendant per i GPAI di quanto previsto per i sistemi ad alto rischio dall'art. 79 (misure correttive e restrittive). In assenza di cooperazione del fornitore, la Commissione può adottare misure ancora più incisive ai sensi del regolamento.

Il dialogo strutturato: compliance collaborativa prima dell'intervento formale

Il par. 2 prevede che, prima di richiedere formalmente una misura, l'Ufficio per l'IA possa avviare un «dialogo strutturato» con il fornitore del modello GPAI. Questo strumento - ispirato all'approccio cooperativo del Digital Services Act - mira a risolvere i problemi di conformità senza necessariamente ricorrere a decisioni formali coercitive.

Il dialogo strutturato è una fase procedurale distinta: ha carattere formale (non è una semplice consultazione informale), è documentato e può sfociare in impegni vincolanti. Per i fornitori, è un'opportunità per presentare le proprie misure di mitigazione esistenti, spiegare le scelte tecniche e negoziare soluzioni proporzionate. Per l'Ufficio per l'IA, è uno strumento per raccogliere informazioni tecniche approfondite prima di adottare misure coercitive.

Gli impegni vincolanti: la via consensuale

Il par. 3 introduce un meccanismo di chiusura negoziale: se nel corso del dialogo strutturato il fornitore di un modello GPAI con rischio sistemico «si assume impegni relativi all'attuazione di misure di attenuazione per far fronte a un rischio sistemico», la Commissione può - con decisione formale - rendere tali impegni giuridicamente vincolanti e dichiarare che non vi sono ulteriori motivi di intervento.

Questo schema è simile alle decisioni di impegno previste dal diritto della concorrenza (art. 9 del Regolamento n. 1/2003): il fornitore propone misure, la Commissione le valuta e, se le ritiene adeguate, le rende obbligatorie con decisione. La chiusura del procedimento non equivale a un'assoluzione: se il fornitore non rispetta gli impegni, il procedimento può essere riaperto. Il meccanismo incentiva i fornitori a cooperare attivamente con l'Ufficio per l'IA fin dalle prime fasi della valutazione.

Coordinamento con le sanzioni

Il potere dell'art. 93 si cumula con il sistema sanzionatorio dell'art. 99. Se il fornitore non rispetta le misure richieste dalla Commissione, può essere soggetto a sanzioni pecuniarie. Per le violazioni degli obblighi dei fornitori GPAI con rischio sistemico, l'art. 99 prevede sanzioni significative, calibrate in percentuale del fatturato mondiale annuo. Le regole GPAI si applicano dal 2 agosto 2025.