Articolo 51 — Classificazione dei modelli di IA di uso generale come modelli con rischio sistemico (Regolamento IA UE)

Articolo 51 del Regolamento (UE) 2024/1689 — Classificazione dei modelli di IA di uso generale come modelli con rischio sistemico. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 51 del Regolamento (UE) 2024/1689 (il Regolamento IA UE) stabilisce il meccanismo di classificazione dei modelli di IA di uso generale (GPAI) come modelli con rischio sistemico. Si inserisce nel Titolo V, che crea un livello normativo dedicato ai modelli GPAI distinto dal quadro per i sistemi di IA ad alto rischio del Titolo III.

Ai sensi dell'Articolo 51(1), un modello GPAI è classificato come portatore di rischio sistemico qualora soddisfi una delle due condizioni seguenti. In primo luogo, ha capacità ad alto impatto valutate sulla base di adeguati strumenti e metodologie tecniche, inclusi indicatori e benchmark — con la presunzione confutabile che qualsiasi modello addestrato utilizzando un calcolo cumulativo superiore a 10^25 FLOP rientri in questa categoria. In secondo luogo, viene designato dalla Commissione ai sensi dell'Articolo 51(2) sulla base di altri criteri, indipendentemente dal fatto che la soglia di calcolo sia soddisfatta.

L'Articolo 51(2) conferisce alla Commissione il potere di aggiornare la soglia di calcolo mediante atti delegati man mano che lo sviluppo tecnologico evolve, garantendo che il quadro rimanga calibrato alla realtà del mercato. I fornitori che ritengono che, nonostante il raggiungimento della soglia, il loro modello non comporti un rischio sistemico possono notificarlo alla Commissione e fornire prove a sostegno. La Commissione procede quindi a una determinazione definitiva. La classificazione ai sensi dell'Articolo 51 attiva il set aggiuntivo di obblighi contenuto nell'Articolo 55, che rappresenta il livello più esigente di obblighi nel quadro GPAI.

Cosa significa nella pratica

L'Articolo 51 riguarda direttamente i fornitori di modelli GPAI di frontiera — più immediatamente, i grandi laboratori di IA e le società tecnologiche che sviluppano e rilasciano modelli di base o grandi modelli linguistici addestrati su scala. Qualsiasi fornitore il cui modello raggiunga o superi la soglia di calcolo di addestramento di 10^25 FLOP deve trattare quel modello come presumibilmente portatore di rischio sistemico e iniziare a prepararsi per la conformità al regime di obblighi dell'Articolo 55, a meno che non riesca a confutare con successo la presunzione presso la Commissione.

In termini concreti, un fornitore dovrebbe verificare la propria infrastruttura di addestramento e la documentazione per determinare se la soglia di calcolo è stata superata. Ciò richiede il mantenimento di registrazioni accurate delle esecuzioni di addestramento, inclusi i FLOP cumulativi. Qualora un nuovo modello sia in fase di sviluppo e si preveda che si avvicini alla soglia, i fornitori dovrebbero avviare la pianificazione della conformità prima del rilascio piuttosto che dopo, poiché gli obblighi si attivano al momento della messa in commercio del modello o della sua messa in servizio.

Per i fornitori i cui modelli sono designati dalla Commissione su basi qualitative — ad esempio, a causa di una distribuzione molto ampia nel mercato UE, di capacità decisionali autonome o di una portata multimodale — il trigger non è auto-esecutivo nello stesso modo, ma la designazione produce conseguenze giuridiche identiche. I fornitori dovrebbero pertanto monitorare il registro pubblico dell'Ufficio per l'IA dei modelli a rischio sistemico e le indicazioni della Commissione sui criteri che applica ai sensi dell'Articolo 51(2).

Anche i deployer downstream e le imprese che si affidano a modelli GPAI tramite accesso API dovrebbero esserne consapevoli: se il modello sottostante che utilizzano è classificato ai sensi dell'Articolo 51, potrebbero dover affrontare requisiti di divulgazione contrattuale aggiuntivi da parte del fornitore e dovrebbero tenere conto dello status di rischio sistemico nei propri processi di due diligence.

Obblighi principali

• Monitoraggio della soglia di calcolo: I fornitori devono tracciare e documentare il calcolo cumulativo di addestramento dei propri modelli GPAI per determinare se viene raggiunta la soglia di 10^25 FLOP, che attiva la presunzione confutabile di rischio sistemico ai sensi dell'Articolo 51(1)(a).
• Notifica proattiva: I fornitori che ritengono che il loro modello non comporti un rischio sistemico nonostante il raggiungimento della soglia devono notificarlo proattivamente alla Commissione con prove a sostegno, piuttosto che attendere un'azione esecutiva.
• Conformità alla designazione della Commissione: Quando la Commissione designa un modello come portatore di rischio sistemico ai sensi dell'Articolo 51(2) — sia su basi di calcolo che su altri criteri — il fornitore deve conformarsi a tale designazione e agli obblighi che essa comporta.
• Monitoraggio degli aggiornamenti della soglia: I fornitori devono monitorare le modifiche alla soglia di calcolo apportate dalla Commissione tramite atti delegati ai sensi dell'Articolo 51(2), poiché i modelli attualmente non contemplati potrebbero rientrare nell'ambito di applicazione man mano che la soglia viene adeguata.
• Disponibilità della tenuta dei registri: I fornitori devono mantenere una documentazione tecnica sufficiente a dimostrare se le soglie di classificazione siano o meno soddisfatte, a supporto sia dell'autovalutazione che di qualsiasi revisione della Commissione.
• Comunicazione downstream: I fornitori di modelli GPAI a rischio sistemico classificati devono garantire che i fornitori e i deployer downstream che accedono al modello tramite API o altre interfacce siano informati dello status di classificazione del modello, come richiesto dagli obblighi di trasparenza ai sensi dell'Articolo 53.

Relazione con altri articoli

L'Articolo 51 funge da disposizione gateway per il livello più esigente del quadro GPAI. Deve essere letto insieme all'Articolo 52, che illustra più in dettaglio la procedura di classificazione e i poteri di designazione della Commissione, e all'Articolo 55, che elenca gli obblighi sostanziali — test avversariali, segnalazione degli incidenti all'Ufficio per l'IA, misure di sicurezza informatica e rendicontazione dell'efficienza energetica — che si applicano una volta avvenuta la classificazione.

L'Articolo 53 stabilisce gli obblighi di base applicabili a tutti i fornitori di modelli GPAI indipendentemente dalla classificazione del rischio sistemico, inclusa la documentazione tecnica, la conformità alla legge sul diritto d'autore e la pubblicazione di sintesi dei dati di addestramento. L'Articolo 51 si basa su questo fondamento identificando quali fornitori si trovano di fronte al regime elevato dell'Articolo 55.

L'Articolo 4 conferisce alla Commissione il potere di emanare atti delegati per adeguare i dettagli tecnici, inclusa la soglia di calcolo nell'Articolo 51. I Considerando da 110 a 114 del Regolamento forniscono orientamenti interpretativi sul perché la classificazione del rischio sistemico sia giustificata per i modelli ad alto calcolo e su come la Commissione intende applicare i criteri di designazione qualitativa. L'Ufficio per l'IA istituito ai sensi dell'Articolo 64 svolge un ruolo centrale nel monitoraggio della conformità al quadro di classificazione dell'Articolo 51.

Calendario di conformità

Il Regolamento IA UE è entrato in vigore il 1° agosto 2024, venti giorni dopo la sua pubblicazione nella Gazzetta ufficiale dell'Unione europea. Il Regolamento si applica per fasi:

• Febbraio 2025: I divieti sulle pratiche di IA a rischio inaccettabile (Articolo 5) sono diventati applicabili.
• Agosto 2025: Il quadro GPAI ai sensi del Titolo V, incluso l'Articolo 51, è diventato applicabile. I fornitori di modelli GPAI a rischio sistemico erano tenuti a conformarsi alle procedure di classificazione e agli obblighi dell'Articolo 55 a partire da tale data. Questa è la scadenza più direttamente rilevante per l'Articolo 51.
• Dicembre 2026: Si applicano gli obblighi per i sistemi di IA ad alto rischio elencati nell'Annex I (sistemi con componenti di sicurezza disciplinati dal diritto dell'Unione vigente).
• Agosto 2027: Piena applicazione degli obblighi per i sistemi di IA ad alto rischio elencati nell'Annex III.

Per quanto riguarda specificamente l'Articolo 51, i fornitori di modelli GPAI su larga scala dovevano valutare il proprio calcolo di addestramento e determinare se la soglia di rischio sistemico fosse stata raggiunta a partire dall'agosto 2025 in poi. L'Ufficio per l'IA ha iniziato a emanare orientamenti e codici di condotta in preparazione di tale data per supportare i fornitori nel prendere tale determinazione.