AI Act: quali obblighi ha chi sviluppa un modello di General-Purpose AI (GPAI)

Con l'entrata in vigore dell'AI Act europeo, anche i modelli di General-Purpose AI (GPAI) - cioè modelli generali come LLM, modelli multimodali o foundation models - sono soggetti a obblighi specifici.

L'obiettivo del legislatore è semplice: garantire trasparenza, responsabilità e gestione dei rischi per tecnologie che possono essere integrate in migliaia di applicazioni diverse.

Gli obblighi principali per i provider di GPAI sono definiti soprattutto negli Articoli 53-56 dell'AI Act.

Vediamo cosa significa concretamente.

1. Documentazione tecnica del modello

Chi sviluppa un modello di GPAI deve creare e mantenere documentazione tecnica dettagliata che descriva il modello e il suo processo di sviluppo.

Questa documentazione deve includere informazioni come:

• -architettura del modello
• -numero di parametri
• -modalità di input e output
• -finalità e possibili utilizzi
• -metodi di training
• -dati utilizzati per addestramento, validazione e test
• -risorse computazionali utilizzate
• -consumo energetico stimato

Queste informazioni devono essere messe a disposizione delle autorità competenti su richiesta.

Lo scopo è permettere alle autorità e agli attori della filiera AI di capire come funziona il modello e come è stato costruito.

2. Informazioni per chi utilizza il modello a valle

I provider devono fornire informazioni sufficienti affinché chi integra il modello (ad esempio aziende che costruiscono applicazioni AI) possa utilizzarlo in modo conforme alla normativa.

Questo include:

• -istruzioni tecniche per l'integrazione
• -limiti del modello
• -politiche di utilizzo accettabile
• -informazioni sui rischi noti

In pratica, se qualcuno costruisce un prodotto AI sopra il tuo modello, deve avere gli strumenti per rispettare l'AI Act a sua volta.

3. Policy di rispetto del copyright

Uno degli obblighi più discussi riguarda i dati di training.

I provider devono:

• -implementare una policy per rispettare il diritto d'autore europeo
• -identificare e rispettare eventuali opt-out dei titolari dei diritti
• -gestire correttamente contenuti protetti utilizzati nei dataset

Questo obbligo si applica anche se il training del modello è avvenuto fuori dall'UE.

4. Trasparenza sui dati di addestramento

I provider devono pubblicare un riepilogo dei contenuti utilizzati per il training del modello.

Non è richiesto rivelare ogni singolo dataset o file (per proteggere segreti industriali), ma il riepilogo deve indicare:

• -principali fonti di dati
• -categorie di dataset
• -archivi o database utilizzati

L'obiettivo è permettere a soggetti interessati, come autori o editori, di capire se i loro contenuti potrebbero essere stati utilizzati nel training.

5. Rappresentante autorizzato nell'UE (per provider extra-UE)

Se il provider del modello non ha sede nell'Unione Europea, deve nominare un rappresentante autorizzato nell'UE.

Questo rappresentante:

• -funge da punto di contatto con le autorità europee
• -può essere responsabile di comunicazioni e verifiche di compliance

L'obiettivo è evitare che aziende fuori dall'UE possano vendere modelli nel mercato europeo senza responsabilità giuridica.

6. Obblighi aggiuntivi per modelli con “rischio sistemico”

Alcuni modelli molto potenti (per esempio foundation models di grandi dimensioni) possono essere classificati come GPAI con rischio sistemico.

In questo caso gli obblighi aumentano e includono:

• -valutazioni approfondite del modello
• -test di sicurezza e adversarial testing
• -analisi e mitigazione dei rischi sistemici
• -segnalazione di incidenti gravi alle autorità
• -misure avanzate di cybersecurity

Queste misure servono a ridurre rischi che potrebbero avere impatti su larga scala sulla società o sull'economia.

7. Adozione di codici di condotta

L'AI Office europeo incoraggia i provider di GPAI ad aderire a codici di condotta (“codes of practice”).

Questi codici servono a:

• -standardizzare le pratiche di compliance
• -definire metriche e procedure comuni
• -dimostrare più facilmente la conformità alla normativa

Se un provider segue uno standard riconosciuto, può ottenere una presunzione di conformità rispetto ad alcune obbligazioni.

Conclusione

Chi sviluppa modelli di General-Purpose AI deve affrontare una nuova responsabilità normativa.

In sintesi, il provider deve:

• -documentare il modello e il processo di sviluppo
• -fornire informazioni ai downstream developers
• -rispettare il copyright nei dati di training
• -pubblicare un riepilogo delle fonti dei dati
• -nominare un rappresentante UE se necessario
• -gestire e mitigare rischi sistemici (per modelli più potenti)

L'AI Act non vieta lo sviluppo di foundation models, ma introduce una nuova regola del gioco: trasparenza e accountability lungo tutta la filiera dell'AI.

O, tradotto in linguaggio meno diplomatico: puoi costruire il prossimo modello rivoluzionario, ma l'Europa vuole sapere come l'hai addestrato, cosa può fare e quali rischi porta con sé.