Articolo 64 — Ufficio per l'IA (Regolamento UE sull'IA)

Articolo 64 del Regolamento (UE) 2024/1689 — Ufficio per l'IA. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 64 del Regolamento (UE) 2024/1689 istituisce l'Ufficio per l'IA come organismo all'interno della Commissione europea, incaricato di contribuire all'attuazione, al monitoraggio e alla supervisione del Regolamento UE sull'IA a livello dell'Unione. L'Ufficio per l'IA è investito di un ampio mandato istituzionale che copre diverse funzioni fondamentali: sviluppare e mantenere competenze a livello dell'Unione sulle tecnologie e i mercati dell'intelligenza artificiale; vigilare sulla conformità da parte dei fornitori di modelli di IA per finalità generali, inclusi i modelli che presentano un rischio sistemico; supportare il Comitato europeo per l'intelligenza artificiale e la Commissione nei loro rispettivi compiti; e coordinare con le autorità nazionali competenti per garantire un'applicazione coerente nel mercato unico.

L'Articolo conferisce all'Ufficio per l'IA poteri investigativi e di esecuzione rispetto ai modelli di IA per finalità generali (GPAI). Questi includono l'autorità di richiedere informazioni e documentazione ai fornitori, condurre valutazioni dei modelli GPAI e rinviare questioni per ulteriori azioni. L'Ufficio gestisce inoltre lo sviluppo di codici di condotta intesi a facilitare la conformità agli obblighi applicabili ai fornitori di modelli GPAI ai sensi del Capitolo V del Regolamento.

L'Articolo 64 attribuisce inoltre all'Ufficio per l'IA la responsabilità di monitorare gli sviluppi del mercato, le capacità emergenti dell'IA e i rischi sistemici associati ai modelli di frontiera. Può emettere orientamenti, raccomandazioni e pareri per le parti interessate e le autorità nazionali. L'Ufficio per l'IA funge da punto di contatto unico per le questioni riguardanti i modelli GPAI e garantisce che le azioni di esecuzione a livello dell'Unione siano proporzionate, tecnicamente informate e proceduralmente solide nell'ambito del quadro stabilito dal Regolamento.

Cosa significa nella pratica

Per i fornitori di modelli di IA per finalità generali — compresi i grandi modelli linguistici e i modelli di fondazione multimodali — l'Ufficio per l'IA è il principale interlocutore regolatorio a livello europeo. Qualsiasi fornitore il cui modello sia reso disponibile nell'UE, indipendentemente da dove il fornitore sia stabilito, rientra nell'ambito del mandato di vigilanza dell'Ufficio per l'IA una volta che le disposizioni GPAI si applicano.

In termini pratici, i fornitori dovrebbero aspettarsi che l'Ufficio per l'IA emetta richieste di documentazione tecnica, valutazioni dei modelli e informazioni sui dati di addestramento, le soglie di calcolo e i casi d'uso a valle. I fornitori di modelli classificati come presentanti un rischio sistemico — quelli addestrati con più di 10^25 FLOP o altrimenti identificati dalla Commissione — sono soggetti a un controllo rafforzato, inclusi i requisiti di test avversariali e gli obblighi di segnalazione degli incidenti monitorati dall'Ufficio per l'IA.

L'Ufficio per l'IA guida inoltre lo sviluppo e la vigilanza dei codici di condotta per la conformità GPAI. La partecipazione a questi codici è volontaria ma ha un peso significativo in termini di conformità: i fornitori che aderiscono a un codice di condotta approvato beneficiano di una presunzione di conformità agli obblighi corrispondenti. I fornitori che scelgono di non partecipare devono dimostrare la conformità alternativa con altri mezzi, che l'Ufficio per l'IA valuta.

Per i deployer e gli operatori a valle, l'Ufficio per l'IA è meno direttamente rilevante, ma i suoi documenti di orientamento, le valutazioni pubblicate e le decisioni di esecuzione stabiliscono la base interpretiva che le autorità nazionali di vigilanza del mercato seguono. Le imprese che integrano modelli GPAI in sistemi di IA ad alto rischio dovrebbero monitorare attentamente le pubblicazioni dell'Ufficio per l'IA, poiché le sue conclusioni tecniche determinano il modo in cui gli obblighi si trasmettono dai fornitori GPAI ai deployer.

Le autorità nazionali competenti che gestiscono i sistemi di IA ad alto rischio si coordinano con l'Ufficio per l'IA attraverso il Comitato europeo per l'intelligenza artificiale, garantendo che l'esecuzione negli Stati membri rimanga coerente e tecnicamente informata.

Obblighi principali

• I fornitori di modelli GPAI devono cooperare pienamente con le richieste di informazioni dell'Ufficio per l'IA, incluso fornire accesso a documentazione tecnica, pesi del modello (nell'ambito di adeguate tutele della riservatezza), sintesi dei dati di addestramento e risultati delle valutazioni nei tempi stabiliti dall'Ufficio.
• I fornitori di modelli GPAI con rischio sistemico devono impegnarsi con il regime di vigilanza rafforzata dell'Ufficio per l'IA, incluse le valutazioni delle capacità avversariali, la notifica degli incidenti e la segnalazione delle misure di cybersicurezza.
• Tutti i fornitori GPAI dovrebbero monitorare e partecipare ai processi del codice di condotta guidati dall'Ufficio per l'IA, o mantenere prove di conformità alternativa documentate sufficienti a soddisfare la valutazione di equivalenza dell'Ufficio.
• L'Ufficio per l'IA stesso è obbligato a esercitare i suoi poteri in conformità con il giusto processo, la proporzionalità e le garanzie procedurali stabilite nel Capitolo VII del Regolamento, inclusi i diritti di difesa per le entità sotto indagine.
• Le autorità nazionali competenti devono cooperare con e supportare le indagini transfrontaliere dell'Ufficio per l'IA e condividere le pertinenti conclusioni della vigilanza del mercato attraverso i meccanismi di coordinamento stabiliti.
• La Commissione europea deve garantire che l'Ufficio per l'IA disponga di adeguate risorse in termini di competenze tecniche, personale e indipendenza operativa per svolgere efficacemente il suo mandato ai sensi del Regolamento.

Relazione con altri articoli

L'Articolo 64 è il fondamento istituzionale dell'architettura di governance a livello dell'Unione e deve essere letto in congiunzione con le disposizioni circostanti del Titolo VII. L'Articolo 65 istituisce il Comitato europeo per l'intelligenza artificiale, che opera a fianco dell'Ufficio per l'IA come principale organo consultivo. Gli Articoli 66 e 67 istituiscono rispettivamente il Forum consultivo e il Comitato scientifico per l'IA per finalità generali — entrambi forniscono competenze tecniche nelle operazioni dell'Ufficio per l'IA.

Per la vigilanza specifica sui GPAI, l'Articolo 64 si collega direttamente al Capitolo V (Articoli 51-56), che stabilisce gli obblighi che l'Ufficio per l'IA applica. Gli Articoli 88-94 disciplinano nel dettaglio i poteri investigativi e di esecuzione dell'Ufficio per l'IA, incluso l'accesso ai modelli, le misure correttive e le sanzioni.

L'Articolo 74 sulla vigilanza del mercato e l'Articolo 85 sulla riservatezza delle informazioni sono anche operativamente rilevanti per il modo in cui l'Ufficio per l'IA svolge le sue attività. L'Articolo 5 (pratiche vietate) e gli Articoli 6-51 (sistemi ad alto rischio) informano le responsabilità di monitoraggio del mercato dell'Ufficio per l'IA, anche laddove l'applicazione primaria spetta alle autorità nazionali.

Calendario di conformità

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, stabilendo immediatamente la base giuridica per l'Ufficio per l'IA. L'Ufficio ha iniziato a costituire la sua struttura e competenze durante il periodo transitorio iniziale.

Febbraio 2025: Le disposizioni sulle pratiche di IA vietate (Articolo 5) sono diventate applicabili; il ruolo di monitoraggio dell'Ufficio per l'IA in relazione ai rischi sistemici e agli sviluppi del mercato è stato attivato.

Agosto 2025: Gli obblighi per i modelli GPAI ai sensi del Capitolo V sono diventati pienamente applicabili. Da questa data, l'autorità di esecuzione dell'Ufficio per l'IA sui fornitori di modelli di IA per finalità generali — incluse le valutazioni dei rischi sistemici, la vigilanza sui codici di condotta e le richieste di informazioni — è diventata pienamente operativa.

Dicembre 2026: I requisiti per i sistemi di IA ad alto rischio ai sensi dell'Allegato I (legislazione sulla sicurezza dei prodotti) si applicano; le autorità nazionali di vigilanza del mercato si attivano sotto il coordinamento dell'Ufficio per l'IA.

Agosto 2027: I restanti obblighi per i sistemi di IA ad alto rischio ai sensi dell'Allegato III si applicano. La governance a più livelli completa — che combina la vigilanza GPAI dell'Ufficio per l'IA con l'applicazione nazionale dei sistemi ad alto rischio — è operativa in tutto il mercato unico dell'UE.

I fornitori di modelli GPAI già disponibili prima dell'agosto 2025 disponevano di una limitata sistemazione transitoria, ma a questo punto dovrebbero essere pienamente conformi a tutti gli obblighi del Capitolo V e attivamente coinvolti nei processi di vigilanza dell'Ufficio per l'IA.