Dal 2 agosto 2026 la Commissione europea potra' finalmente far rispettare con la forza le regole che l'AI Act impone ai modelli di IA per finalita' generali, i cosiddetti GPAI: quelli alla base di ChatGPT, Gemini, Claude, Llama, Mistral e Grok. Da quella data entrano in vigore i poteri di vigilanza e sanzione dell'AI Office, l'ufficio della Commissione incaricato di supervisionare i modelli piu' potenti. Gli obblighi per i fornitori esistono gia' dal 2 agosto 2025, ma finora mancavano gli strumenti per controllarne il rispetto e per punire le violazioni.
Le tappe dell'AI Act fin qui
Conviene ricordare il calendario. L'AI Act e' entrato in vigore nell'agosto 2024 con un'applicazione scaglionata: da febbraio 2025 sono scattati i divieti sulle pratiche a rischio inaccettabile (come il social scoring); dal 2 agosto 2025 sono diventati applicabili gli obblighi per i modelli GPAI e sono stati istituiti l'AI Office e gli organismi di governance; il 2 agosto 2026 segna l'attivazione dei poteri di enforcement e dell'applicazione delle regole per molti sistemi ad alto rischio. Resta poi un ulteriore scaglione, fissato al 2027, per categorie specifiche di prodotti regolati. In altre parole, il 2026 e' l'anno in cui il regolamento smette di essere solo un insieme di principi e diventa una macchina sanzionatoria operativa.
Quali poteri scattano e quanto si rischia
Da agosto la Commissione potra' chiedere ai fornitori documentazione e informazioni, condurre valutazioni tecniche sui modelli, imporre misure correttive e di mitigazione del rischio e, nei casi piu' gravi, richiedere il ritiro o la rimozione di un modello dal mercato. Soprattutto, potra' comminare sanzioni fino al 3% del fatturato annuo globale o 15 milioni di euro, a seconda di quale importo sia piu' alto, secondo l'articolo 101 del regolamento. Per i giganti dell'IA si tratta di cifre potenzialmente miliardarie.
Cosa devono fare i fornitori di modelli
Gli obblighi per i GPAI riguardano soprattutto la trasparenza e la sicurezza. I fornitori devono pubblicare documentazione tecnica sui propri modelli, fornire informazioni a chi li integra nei propri prodotti, rispettare il diritto d'autore dell'Unione e diffondere un riassunto sufficientemente dettagliato dei dati usati per l'addestramento. Per i modelli che presentano un rischio sistemico, cioe' i piu' grandi e capaci, scattano obblighi aggiuntivi: valutazioni avversariali (red teaming), gestione e segnalazione degli incidenti gravi, misure di cybersicurezza.
Il Codice di buone pratiche come scorciatoia
Per aiutare le aziende a dimostrare la conformita', l'AI Office ha pubblicato un Codice di buone pratiche per i GPAI, articolato in tre capitoli: trasparenza, diritto d'autore e sicurezza. Aderirvi e' volontario, ma firmarlo offre una presunzione di conformita': in pratica un porto sicuro che alleggerisce gli oneri probatori in caso di controlli. Diversi grandi laboratori hanno aderito, altri hanno mantenuto un atteggiamento piu' cauto, contestando alcuni passaggi soprattutto in materia di copyright e di trasparenza sui dati di addestramento.
Perche' riguarda tutti, non solo le big tech
L'impatto va oltre i laboratori americani e cinesi. Le regole valgono per chiunque immetta un modello sul mercato europeo, comprese le aziende UE come Mistral, e si riflettono a cascata su startup e imprese che costruiscono prodotti basati su quei modelli. Chi sviluppa applicazioni dovra' assicurarsi che i fornitori a monte siano in regola, perche' la conformita' lungo la catena diventa un requisito di mercato. Sullo sfondo resta il braccio di ferro politico: parte dell'industria, sostenuta in alcuni passaggi anche dall'amministrazione statunitense, ha chiesto a Bruxelles di rallentare o semplificare l'applicazione, mentre la Commissione ha finora difeso l'impianto del regolamento. La scadenza del 2 agosto, insomma, non e' un dettaglio per addetti ai lavori: e' il momento in cui l'AI Act passa dalla fase delle promesse a quella delle possibili multe, e con esso cambia il rapporto di forza tra Bruxelles e i padroni dei grandi modelli.
