Articolo 3 — Definizioni (Regolamento UE sull'IA)

Articolo 3 del Regolamento (UE) 2024/1689 — Definizioni. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 3 del Regolamento (UE) 2024/1689 (Regolamento UE sull'IA) stabilisce il quadro definitorio che governa l'intero Regolamento. Contiene 65 definizioni numerate che attribuiscono un significato giuridico preciso alla terminologia fondamentale utilizzata nel corso dell'intero testo normativo.

La definizione più basilare è quella di «sistema di IA» (articolo 3, paragrafo 1): un sistema automatizzato progettato per operare con livelli variabili di autonomia, che può manifestare capacità di adattamento dopo la messa in servizio e che, per obiettivi espliciti o impliciti, deduce dai dati ricevuti in ingresso come generare output — quali previsioni, contenuti, raccomandazioni o decisioni — capaci di influenzare ambienti fisici o virtuali. Tale definizione si allinea deliberatamente alla Raccomandazione dell'OCSE sull'IA ed è neutrale dal punto di vista tecnologico.

L'articolo 3 definisce inoltre i principali operatori di mercato: i fornitori (articolo 3, paragrafo 3), che sviluppano e immettono sul mercato sistemi di IA; i deployer (articolo 3, paragrafo 4), che utilizzano sistemi di IA in contesti professionali; gli importatori (articolo 3, paragrafo 6); i distributori (articolo 3, paragrafo 7); e gli operatori, termine collettivo che comprende fornitori e deployer. Le definizioni aggiuntive riguardano i modelli di IA per finalità generali (articolo 3, paragrafo 63), i sistemi di IA per finalità generali (articolo 3, paragrafo 66), i sistemi di IA ad alto rischio, la finalità prevista, l'uso improprio ragionevolmente prevedibile, la modifica sostanziale, l'immissione sul mercato, la messa in servizio, il componente di sicurezza, i dati biometrici e molte altre, essenziali per determinare l'ambito di applicazione, gli obblighi e le categorie di rischio applicabili ai sensi del Regolamento.

Cosa significa in pratica

L'articolo 3 è il punto d'accesso al Regolamento UE sull'IA. Prima che qualsiasi organizzazione possa determinare se è soggetta a regolamentazione, in quale misura e in quale ruolo, deve esaminare sistematicamente le definizioni contenute nell'articolo 3.

Fase 1 — Il proprio prodotto si qualifica come sistema di IA? Applicare il test di cui all'articolo 3, paragrafo 1: il sistema opera con una certa autonomia? Deduce dagli input per generare output? Un modello di machine learning utilizzato per la valutazione del credito si qualifica. Un calcolatore di idoneità con regole fisse e codificate no.

Fase 2 — Qual è il proprio ruolo? Un'azienda che addestra e commercializza un modello di rilevamento delle frodi è un fornitore. Una banca che ottiene in licenza quel medesimo modello e lo integra nel proprio processo di approvazione dei prestiti è un deployer. Un'azienda con sede negli Stati Uniti che vende il modello nel mercato UE è un importatore. La stessa persona giuridica può detenere simultaneamente più ruoli per diversi prodotti di IA o nell'ambito della stessa catena del valore.

Fase 3 — Si applica la definizione GPAI? Se la propria organizzazione sviluppa un grande modello fondazionale (ad esempio un grande modello linguistico) addestrato su dati ampi e capace di compiti multipli, l'articolo 3, paragrafo 63, si applica probabilmente, attivando gli obblighi del Titolo VIII per i modelli GPAI indipendentemente dal fatto che il modello sia dispiegato come sistema di IA autonomo.

Esempio concreto: Un'azienda SaaS di Berlino che affina un LLM open source e lo vende come chatbot di assistenza clienti ai dettaglianti è fornitore sia di un modello GPAI (se rilascia il modello sottostante) sia di un sistema di IA. Un dettagliante che utilizza il chatbot per le interazioni con i clienti è un deployer. Entrambi devono rispettare obblighi di conformità distinti ai sensi del Regolamento, tutti dipendenti dalla corretta identificazione dei ruoli tramite l'articolo 3.

Obblighi principali

• Identificare correttamente il ruolo giuridico applicabile — ogni organizzazione deve determinare se agisce come fornitore, deployer, importatore, distributore o una combinazione di questi, poiché ciascun ruolo comporta un insieme distinto e non trasferibile di obblighi ai sensi dei Titoli da III a VIII.
• Applicare il test del sistema di IA di cui all'articolo 3, paragrafo 1, prima di presupporre che il Regolamento si applichi — verificare la presenza di inferenza automatizzata dagli input per generare output prima di attivare l'intero quadro di conformità.
• Distinguere i sistemi di IA dai modelli GPAI — l'articolo 3, paragrafi 63 e 66, crea un percorso regolatorio separato per i modelli di IA per finalità generali; le organizzazioni che sviluppano modelli fondazionali o di base devono valutare l'applicabilità degli obblighi del Titolo VIII indipendentemente dalla classificazione dei sistemi di IA.
• Valutare se si è verificata una «modifica sostanziale» — l'articolo 3, paragrafo 23, definisce la modifica sostanziale come una modifica apportata a un sistema di IA dopo l'immissione sul mercato che incide sulla sua conformità al Regolamento o ne altera la finalità prevista; tali modifiche reimpostano gli obblighi del fornitore e possono richiedere una nuova certificazione.
• Stabilire la «finalità prevista» — l'articolo 3, paragrafo 12, definisce la finalità prevista come l'uso per cui un sistema di IA è specificamente progettato e documentato dal fornitore; la classificazione del rischio e i requisiti applicabili sono ancorati a questa definizione, rendendo la documentazione accurata della finalità prevista un controllo di conformità fondamentale.
• Tenere conto dell'«uso improprio ragionevolmente prevedibile» — l'articolo 3, paragrafo 13, richiede che i fornitori considerino gli utilizzi del loro sistema che non sono previsti ma che possono derivare da comportamenti umani ragionevolmente prevedibili, ampliando l'ambito effettivo della valutazione del rischio oltre i casi d'uso dichiarati.

Relazione con altri articoli

L'articolo 3 è alla base di ogni successiva disposizione del Regolamento. Si collega direttamente all'articolo 2 (ambito di applicazione), che utilizza le definizioni di «fornitore», «deployer», «importatore» e «distributore» per determinare chi è soggetto al Regolamento e a quali condizioni territoriali. La definizione di sistema di IA di cui all'articolo 3, paragrafo 1, delimita il confine tra il Regolamento e la normativa sul software non-AI, confluendo direttamente nelle pratiche vietate elencate nell'articolo 5 e nei criteri di classificazione ad alto rischio dell'articolo 6 e dell'Allegato III.

La definizione di finalità prevista si collega alle procedure di valutazione della conformità di cui agli articoli 43–48 e ai requisiti di documentazione tecnica dell'articolo 11 e dell'Allegato IV. Le definizioni di modello GPAI di cui all'articolo 3, paragrafi 63–66, sono fondanti per l'intero quadro del Titolo VIII (articoli 51–56). Il concetto di modifica sostanziale (articolo 3, paragrafo 23) attiva il reingresso negli obblighi del fornitore e si collega alla sorveglianza post-commercializzazione ai sensi dell'articolo 72.

Calendario di conformità

L'articolo 3, in quanto parte del Titolo I (Disposizioni generali), è entrato in applicazione il 2 agosto 2026 — 24 mesi dopo l'entrata in vigore del Regolamento il 1° agosto 2024. Tutte le definizioni dell'articolo 3 hanno quindi pieno effetto giuridico a partire da tale data.

Le organizzazioni devono tuttavia notare che l'identificazione accurata dei ruoli e della classificazione dei sistemi ai sensi dell'articolo 3 è un prerequisito per la conformità alle fasi precedenti dell'attuazione graduale del Regolamento. Le pratiche vietate di cui all'articolo 5 si sono applicate a partire dal 2 febbraio 2025 (6 mesi dall'entrata in vigore), il che significa che le organizzazioni hanno dovuto applicare le definizioni dell'articolo 3 per valutare l'esposizione a tali divieti fin da quella data. Gli obblighi per i modelli GPAI ai sensi del Titolo VIII si sono applicati a partire dal 2 agosto 2025 (12 mesi dall'entrata in vigore). I requisiti per i sistemi di IA ad alto rischio ai sensi dell'Allegato I si applicano dal 2 agosto 2027 (36 mesi); quelli ai sensi dell'Allegato III si applicano dal 2 agosto 2026, con una deroga fino al 2 agosto 2027 per determinati sistemi già in servizio. Le organizzazioni che non hanno ancora completato l'esercizio di classificazione dei ruoli e dei sistemi ai sensi dell'articolo 3 sono in violazione del prerequisito fondamentale di conformità in più fasi di applicazione.