AI Act 2 agosto: aziende italiane, calma e sangue freddo

Riepilogo delle normative e dei relativi oneri –  che “incombono” sul mondo dell’AI e aziende italiane

Una rapida occhiata alle fonti, prima di entrare nel merito, è necessaria: ai sensi dell’articolo 113 dell’AI Act, a partire dal 2 agosto 2025 si applicheranno “Il capo III, sezione 4, il capo V, il capo VII e il capo XII ad eccezione dell’articolo 101”.

Il 10 luglio 2025 è stato pubblicato il General-Purpose AI Code of Practice; il 18 luglio 2025 sono state pubblicate dalla Commissione le “Guidelines on the scope of obligations for providers of general-purpose AI models under the AI Act” e, infine, il 24 luglio 2025 la “Explanatory Notice and Template for the Public Summary of Training Content for general-purpose AI models required by Article 53 (1)(d) of Regulation (EU) 2024/1689 (AI Act)”.

Solo l’elenco della normativa, primaria e secondaria, è lungo, figurarsi gli obblighi.

Proviamo a restringere il campo.

• Il Capo III, sezione 4, riguarda gli organismi di notificazione nazionali, e non ha diretto impatto con le aziende in termini di adempimenti; idem dicasi con il Capo VII, che riguarda la governance dell’AI a livello europeo.
• Il Capo V riguarda i modelli di AI per finalità generali e ad esso si riferiscono le linee guida del 18 luglio 2025 e la nota esplicativa del 24 luglio 2025, così come il codice di buone pratiche del 10 luglio 2025.
• Il Capo XII riguarda le sanzioni, ma l’articolo 101 non sarà efficace a partire dal 2 agosto 2025 e riguarda proprio gli obblighi che in quella data lo diventeranno: per questo non c’è stato nessun rinvio.

A chi si applica la normativa AI ACT che diventa efficace il 2 agosto 2025

Il Capo V riguarda i “modelli” di GPAI, ma ovviamente si applica ai fornitori dei modelli.

Ai sensi dell’articolo 3 , n. 3) dell’AI Act il “fornitore” è “una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che sviluppa un sistema di IA o un modello di IA per finalità generali o che fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuito”.

Va distinto dal successivo deployer (n. 4 dell’articolo 3 dell’AI Act) ossia un “persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un’attività personale non professionale”.

Poi vi sono altre due figure “interessate” dalla scadenza del 2 agosto 2025, ossia l’importatore “persona fisica o giuridica ubicata o stabilita nell’Unione che immette sul mercato un sistema di IA recante il nome o il marchio di una persona fisica o giuridica stabilita in un paese terzo” e il “distributore” (persona fisica o giuridica nella catena di approvvigionamento, diversa dal fornitore o dall’importatore, che mette a disposizione un sistema di IA sul mercato dell’Unione).

E le aziende italiane che customizzano il modello per fornirlo alle aziende?

E le tante pmi italiane che stanno adattando/customizzando modelli open Llama e Deepseek per offrirli ad aziende, per usi specifici, dove ricadono? Non è chiaro e forse l’ambiguità dell’Ue è voluta.

Il fatto comunque che la scadenza del 2 agosto 2025 si applichi in via diretta solo al fornitore (OpenAI, Meta, Mistral etc) non implica che la stessa non impatti, seppur indirettamente, ma a cascata, su tutti gli altri soggetti, che dovrebbero impiegare solo sistemi GPAI AI Act compliant. Qui inclusi anche le aziende utenti finali.

Se il nostro fornitore GPAI non è compliant AI ACT che fare?

Quindi cosa possono fare i soggetti che adottano sistemi di GPAI per cui il fornitore non è AI Act compliant il 2 agosto 2025? E per “adottano” intendiamo sia utilizzo finale sia customizzazione di modelli per clienti business?

Praticamente nulla, poiché siamo nel contesto di un oligopolio di mercato su base mondiale, dove nessuno dei players più importanti sembra interessato a cosa l’Unione europea voglia o non voglia per l’AI.

Cosa si rischia? Nulla, perché le sanzioni non sono in vigore se non per gli utilizzi scorretti; questa però è normativa vigente.

Informative

Volendo però essere efficienti e volendo prevenire ogni controversia, i soggetti diversi dal fornitore che impiegano nei loro sistemi modelli GPAI potranno elaborare informative circa:

• il modello usato,
• il tipo di addestramento effettuato (meglio senza indicare dati che costituiscano know how aziendale protetto),

• le customizzazioni effettuate (idem per quanto riguarda le cautele) e
• di aver fatto proprie, per quanto applicabili e per quanto possibile, le buone pratiche e le indicazioni inserite nelle linee guida.

AI ACT è in perenne ritardo reale

Al netto del clamore giornalistico legato ad una data ritenuta – a torto – una milestone, l’AI Act, in termini di impatto e di applicazione, sta “arrancando” molto di più risetto al GDPR, ed è meno controverso del Digital Service Act.

Mentre il mercato dei dati personali europeo è un contesto florido, dal punto di vista dell’appeal di mercato, e l’informazione mainstream e via social impatta ancora molto in termini di fatturato ed in termini di rilevanza politica, il mercato dell’intelligenza artificiale europea sconta il fatto di non avere players di riferimento e di essere applicabile, sostanzialmente, solo ai colossi statunitensi e cinesi, ai quali la normative UE interessano relativamente.

Se il focus odierno è sul contesto geopolitico mondiale in termini di guerre on the ground e dazi commerciali, gli obblighi di trasparenza dei modelli GPAI di sicuro non costituiscono una priorità per i players mondiali, che semmai stanno guardando al business dell’AI sia in termini di sviluppo di modelli più efficienti – forse anche la UE proverà a competere – sia in termini di utilizzo militare della tecnologia e in quel contesto, si passi la metafora, l’AI Act non tocca palla.

Discorso che, a quanto pare, si può estendere all’intera Unione europea.