Migliore IA open source

AI Act e modelli open source: che cosa deve fare un'azienda che ne adatta uno

L'AI Act riserva ai modelli open source un'esenzione parziale, e la maggior parte delle aziende che ne adatta uno non diventa mai fornitore di un nuovo modello. Una lettura degli articoli, delle indicazioni della Commissione e dell'Omnibus del 2026, con una lista di controllo finale.

Di La redazione · Aggiornato il · 8 min di lettura

Una responsabile della conformità e un ingegnere esaminano un regolamento stampato con le pagine segnate da linguette, a una scrivania accanto a un'alta finestra in un ufficio europeo.
Per la maggior parte delle aziende, gli obblighi dell'AI Act sui modelli aperti riguardano la documentazione, non i divieti.
Indice
  1. La domanda dietro la ricerca
  2. Come il regolamento tratta l'IA open source
  3. Che cosa cambia quando un'azienda adatta un modello
  4. Le date
  5. Il lato della protezione dei dati
  6. Lista di controllo per un'azienda che adatta un modello aperto
  7. Domande frequenti
  8. Fonti

La domanda dietro la ricerca

Un'azienda europea che sposta il proprio lavoro con l'IA su un modello a pesi aperti, e poi lo addestra sui propri dati, ha una preoccupazione ragionevole: se così facendo diventi un fornitore di modelli di IA, con gli obblighi che ne derivano. L'AI Act è lungo, è già stato modificato una volta e gran parte dei commenti riguarda i grandi laboratori di frontiera, non le aziende che adattano i loro modelli. Questa guida legge gli articoli pertinenti e le indicazioni della Commissione per questo caso più circoscritto. È una sintesi per orientarsi, non una consulenza legale.

Come il regolamento tratta l'IA open source

Il regolamento distingue i sistemi di IA, cioè le applicazioni che le persone usano, dai modelli di IA per finalità generali su cui quei sistemi si basano⁠1.

Sistemi open source. L'articolo 2, paragrafo 12, stabilisce che il regolamento non si applica ai sistemi di IA rilasciati con licenze libere e open source, a meno che non siano immessi sul mercato come sistemi ad alto rischio o rientrino nelle pratiche vietate dell'articolo 5 o negli obblighi di trasparenza dell'articolo 50⁠1.

Modelli open source. Per i modelli per finalità generali, l'articolo 53, paragrafo 2, esenta i fornitori di modelli rilasciati con licenza libera e open source dagli obblighi di documentazione tecnica dell'articolo 53, paragrafo 1, lettere a) e b). L'articolo 54, paragrafo 6, esonera i fornitori extra-UE dall'obbligo di nominare un rappresentante autorizzato. Nessuna delle due esenzioni vale per i modelli a rischio sistemico⁠1.

Che cosa resta. Ogni fornitore di un modello per finalità generali, aperto o no, deve adottare una policy di rispetto del diritto d'autore dell'UE e pubblicare una sintesi sufficientemente dettagliata dei contenuti usati per l'addestramento, ai sensi dell'articolo 53, paragrafo 1, lettere c) e d). Il considerando 104 conferma che l'esenzione per l'open source non copre questi due obblighi⁠1.

Che cosa conta come aperto. Il considerando 102 lega l'apertura alla pubblicazione di parametri, pesi, architettura e informazioni d'uso. Il considerando 103 esclude i componenti forniti a pagamento o altrimenti monetizzati, precisando che la pubblicazione tramite repository aperti non è di per sé monetizzazione⁠1. Le indicazioni della Commissione riassumono le condizioni: una licenza che consenta accesso, uso, modifica e distribuzione senza monetizzazione; pesi, architettura e informazioni d'uso pubblici; assenza di rischio sistemico⁠2.

Rischio sistemico. Si presume che un modello presenti un rischio sistemico quando il suo addestramento ha richiesto più di 10^25 operazioni in virgola mobile, ai sensi dell'articolo 51, paragrafo 2⁠1. Il criterio indicativo della Commissione per stabilire se un modello sia per finalità generali è un calcolo di addestramento superiore a 10^23 operazioni unito alla capacità di generare testo, immagini o video⁠2.

Che cosa cambia quando un'azienda adatta un modello

È il punto che preoccupa più spesso le aziende, e le indicazioni della Commissione sono rassicuranti. Un'azienda che modifica un modello per finalità generali diventa fornitore del modello modificato solo se la modifica usa più di un terzo del calcolo impiegato per addestrare il modello originale. Al di sotto di quella soglia, le modifiche minori non fanno scattare gli obblighi del fornitore⁠23.

Un'azienda sopra la soglia è considerata fornitore del modello modificato, ma i suoi obblighi di documentazione riguardano solo la modifica: che cosa è stato cambiato e quali nuovi dati sono stati usati, non l'intero modello⁠2. Il fine-tuning efficiente in termini di parametri, come LoRA, addestra un piccolo numero di parametri aggiuntivi⁠4, il che con ogni probabilità mantiene un tipico adattamento aziendale ben al di sotto di un terzo del calcolo di addestramento originale; il dato va comunque stimato e registrato.

I sistemi ad alto rischio seguono una regola distinta. In base all'articolo 25, paragrafo 1, un deployer è considerato fornitore di un sistema di IA ad alto rischio se, tra gli altri casi, vi appone il proprio nome o marchio o lo modifica in modo sostanziale⁠1. Un'azienda che integra un modello in un caso d'uso ad alto rischio, come la selezione del personale o il credito, dovrebbe leggere prima quell'articolo.

Le date

DataChe cosa si applica
2 febbraio 2025Obbligo di alfabetizzazione in materia di IA dell'articolo 4 per fornitori e deployer⁠5
2 agosto 2025Obblighi per i fornitori di modelli di IA per finalità generali⁠3
2 agosto 2026Poteri di controllo della Commissione sui modelli per finalità generali, sanzioni comprese; controllo nazionale dell'alfabetizzazione in materia di IA⁠35
27 luglio 2026Entrata in vigore del regolamento (UE) 2026/1744, il Digital Omnibus sull'IA⁠6
2 agosto 2027Scadenza per i modelli per finalità generali immessi sul mercato prima del 2 agosto 2025⁠3
2 dicembre 2027Obblighi per i sistemi ad alto rischio dell'allegato III, rinviati dall'Omnibus⁠6
2 agosto 2028Obblighi per i sistemi ad alto rischio dell'allegato I, rinviati dall'Omnibus⁠6

L'Omnibus, proposto dalla Commissione a novembre 2025 e adottato a luglio 2026, ha anche attenuato l'articolo 4, semplificato la documentazione per le piccole e medie imprese e introdotto nuovi divieti sull'IA che genera deepfake intimi o materiale pedopornografico⁠76. Dopo la modifica, l'articolo 4 non prescrive più un livello sufficiente di alfabetizzazione in materia di IA, ma la Commissione precisa che affidarsi solo alle istruzioni per l'uso è in genere insufficiente⁠5.

Il codice di buone pratiche per l'IA per finalità generali, volontario e pubblicato a luglio 2025, indica come i fornitori possono rispettare gli obblighi di trasparenza e di diritto d'autore, con un capitolo separato su sicurezza e protezione per i modelli a rischio sistemico. Mistral AI e Aleph Alpha sono tra i firmatari⁠8.

Il lato della protezione dei dati

Addestrare un modello su dati aziendali che includono dati personali è un trattamento ai sensi del GDPR, qualunque cosa dica l'AI Act. Il riferimento è il parere 28/2024 del Comitato europeo per la protezione dei dati: un modello addestrato su dati personali non può essere considerato anonimo in tutti i casi, ed è anonimo solo se sia l'estrazione di dati personali sia la loro divulgazione tramite interrogazioni sono di probabilità trascurabile. Il legittimo interesse può essere una base giuridica per sviluppare e impiegare un modello, a condizione di superare un test in tre fasi, e un'azienda che impiega un modello di terzi dovrebbe verificare che sia stato sviluppato lecitamente⁠9. In Francia la CNIL ha pubblicato schede pratiche sulla base giuridica e sullo status di un modello rispetto al GDPR⁠10.

Lista di controllo per un'azienda che adatta un modello aperto

  1. Registrare ogni modello in uso, la sua versione e la sua licenza, e verificare se la licenza soddisfa le condizioni della Commissione per l'open source.
  2. Verificare lo status di rischio sistemico del modello di base. Se supera le 10^25 operazioni, gli obblighi aggiuntivi gravano sul suo fornitore; chi lo adatta restando sotto la soglia di un terzo non li eredita.
  3. Stimare il calcolo di ogni fine-tuning e conservare il dato. Sotto un terzo del calcolo di addestramento originale, l'azienda non è fornitore di un nuovo modello per finalità generali.
  4. Documentare comunque la modifica: quali dati sono stati usati, che cosa è cambiato e come è stata valutata. È obbligatorio sopra la soglia e buona pratica al di sotto.
  5. Confrontare il caso d'uso con l'elenco dei sistemi ad alto rischio e con l'articolo 25, paragrafo 1, prima della messa in servizio.
  6. Svolgere una valutazione GDPR sui dati di addestramento, ridurre al minimo i dati personali e documentare il test del legittimo interesse quando è questa la base giuridica.
  7. Avviare un programma di alfabetizzazione in materia di IA per il personale che usa o supervisiona il sistema.
  8. Segnare le date in agenda, in particolare il 2 dicembre 2027 per i sistemi ad alto rischio.

Un'azienda che ha svolto questi otto passaggi può rispondere alle domande che con ogni probabilità le porranno un'autorità, un cliente o le rappresentanze dei lavoratori, e la maggior parte scoprirà che adattare un modello aperto la lascia nel ruolo di deployer con obblighi di documentazione, non di fornitore di modelli.

Domande frequenti

L'AI Act si applica all'IA open source?

In parte. I sistemi di IA rilasciati con licenze libere e open source sono esclusi dal regolamento, salvo che siano ad alto rischio, rientrino nelle pratiche vietate o negli obblighi di trasparenza. I modelli open source per finalità generali sono esentati da alcuni obblighi di documentazione, ma devono comunque avere una policy sul diritto d'autore e pubblicare una sintesi dei contenuti di addestramento; i modelli a rischio sistemico non hanno esenzioni.

Se adattiamo un modello open source con il fine-tuning, diventiamo fornitori ai sensi dell'AI Act?

Di solito no. Secondo le indicazioni della Commissione, un'azienda che modifica un modello per finalità generali ne diventa fornitore solo se la modifica usa più di un terzo del calcolo impiegato per addestrare il modello originale. Anche in quel caso, gli obblighi riguardano solo la modifica, come i cambiamenti apportati e i nuovi dati di addestramento.

Da quando si applicano le regole dell'AI Act per i modelli per finalità generali?

Gli obblighi per i fornitori di modelli di IA per finalità generali si applicano dal 2 agosto 2025. I poteri di controllo della Commissione, sanzioni comprese, si applicano dal 2 agosto 2026. I modelli immessi sul mercato prima del 2 agosto 2025 devono adeguarsi entro il 2 agosto 2027.

Il Digital Omnibus ha rinviato l'AI Act?

Ha rinviato le regole sui sistemi ad alto rischio. Il regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, sposta gli obblighi al 2 dicembre 2027 per i sistemi dell'allegato III e al 2 agosto 2028 per quelli dell'allegato I. Attenua inoltre l'obbligo di alfabetizzazione in materia di IA. Non sembra modificare gli obblighi per i modelli per finalità generali.

Che cosa si intende per modello di IA per finalità generali con rischio sistemico?

Il regolamento presume un rischio sistemico quando un modello è stato addestrato con più di 10^25 operazioni in virgola mobile. Questi modelli hanno obblighi aggiuntivi di sicurezza, e l'esenzione per l'open source non si applica a loro.

L'AI Act impone la formazione sull'IA per i dipendenti?

L'articolo 4 chiede a fornitori e deployer di adottare misure per l'alfabetizzazione in materia di IA del proprio personale e si applica dal 2 febbraio 2025. Dopo l'Omnibus del 2026 non prescrive più un livello sufficiente, ma la Commissione precisa che affidarsi solo alle istruzioni per l'uso è in genere insufficiente.

Fonti

  1. Regulation (EU) 2024/1689 (Artificial Intelligence Act). EUR-Lex, 12 lug 2024. Consultato il 9 nov 2026.
  2. Questions and answers on the guidelines for general-purpose AI providers. European Commission. Consultato il 9 nov 2026.
  3. Guidelines for providers of general-purpose AI models. European Commission. Consultato il 9 nov 2026.
  4. PEFT. Hugging Face. Consultato il 9 nov 2026.
  5. AI literacy: questions and answers. European Commission. Consultato il 9 nov 2026.
  6. Regulation (EU) 2026/1744 (Digital Omnibus on AI). EUR-Lex, 24 lug 2026. Consultato il 9 nov 2026.
  7. Digital Omnibus on AI: regulation proposal. European Commission, 19 nov 2025. Consultato il 9 nov 2026.
  8. The General-Purpose AI Code of Practice. European Commission, 10 lug 2025. Consultato il 9 nov 2026.
  9. Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. European Data Protection Board, 18 dic 2024. Consultato il 9 nov 2026.
  10. Les fiches pratiques IA. CNIL. Consultato il 9 nov 2026.

Aggiornato il 9 nov 2026: Prima pubblicazione, aggiornata al regolamento (UE) 2026/1744 (Digital Omnibus sull'IA).

Approfondimenti

Anche in: English · Deutsch · Français · Español · Nederlands · Polski