Articolo 93 — Potere di richiedere misure (Regolamento UE sull'IA)

Articolo 93 del regolamento (UE) 2024/1689 — Potere di richiedere misure. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'articolo 93 del regolamento (UE) 2024/1689 (il regolamento sull'IA) si colloca nel capo IX, sezione 5 — la sezione che attribuisce alla Commissione, per il tramite dell'Ufficio per l'IA, poteri di vigilanza esclusivi sui fornitori di modelli di IA per uso generale (GPAI). All'interno di quella sezione costituisce il terzo e più incisivo gradino di una scala di esecuzione progressiva: l'articolo 91 consente alla Commissione di richiedere documentazione e informazioni, l'articolo 92 le consente di condurre valutazioni di un modello, e l'articolo 93 le consente di esigere che il fornitore agisca su quanto quei passaggi hanno rivelato. A differenza dei poteri di vigilanza del mercato del resto del capo IX, questi poteri non sono esercitati dalle autorità nazionali: per i modelli GPAI, la Commissione è l'unico esecutore in tutta l'Unione.

L'articolo 93, paragrafo 1, autorizza la Commissione, ove necessario e opportuno, a richiedere al fornitore una di tre cose: a) adottare misure adeguate per conformarsi agli obblighi del fornitore di cui agli articoli 53 e 54; b) attuare misure di attenuazione quando la valutazione condotta a norma dell'articolo 92 ha suscitato preoccupazioni serie e comprovate su un rischio sistemico a livello dell'Unione; oppure c) limitare la messa a disposizione del modello sul mercato, ritirarlo o richiamarlo. Le tre opzioni formano una propria escalation interna, dalla conformità ordinaria all'attenuazione mirata, fino alla rimozione del modello dal mercato dell'Unione.

I due paragrafi restanti prevedono la de-escalation. Ai sensi dell'articolo 93, paragrafo 2, prima che una misura sia richiesta, l'Ufficio per l'IA può avviare un dialogo strutturato con il fornitore. Ai sensi dell'articolo 93, paragrafo 3, se un fornitore di un modello GPAI con rischio sistemico offre impegni ad attuare misure di attenuazione, la Commissione può, mediante decisione, renderli vincolanti e dichiarare che non vi sono ulteriori motivi di intervento — chiudendo il procedimento senza che alcuna misura formale sia mai imposta.

Cosa significa in pratica

Formalmente, la lettera a) raggiunge qualsiasi fornitore di un modello GPAI inadempiente rispetto agli obblighi dell'articolo 53 (documentazione tecnica, informazioni ai fornitori a valle, politica sul diritto d'autore, sintesi dei contenuti di addestramento) o dell'articolo 54 (rappresentante autorizzato per i fornitori extra-UE). In pratica, il baricentro è il piccolo gruppo di fornitori i cui modelli sono classificati a rischio sistemico ai sensi degli articoli 51 e 52 — con soglia di presunzione a un calcolo di addestramento superiore a 10²⁵ FLOPs —, perché le opzioni di attenuazione e richiamo sono legate ad accertamenti di rischio sistemico derivanti dalle valutazioni dell'articolo 92.

Per quei fornitori, l'articolo 93 è il punto in cui la vigilanza mette i denti. Una richiesta di documentazione è un onere amministrativo; una valutazione è uno scrutinio; una richiesta di misure è un ordine con dietro un meccanismo sanzionatorio. Il rifiuto espone il fornitore a sanzioni ex articolo 101 fino al 3 % del fatturato annuo mondiale o 15 milioni di euro, se superiore — e l'inottemperanza alla richiesta è un motivo di sanzione autonomo, indipendente dalla violazione sottostante.

L'opzione dal raggio d'azione più ampio è la c). La restrizione, il ritiro o il richiamo di un modello di frontiera è esistenziale per il suo fornitore, ma non si ferma lì: ogni sistema di IA a valle costruito su quel modello eredita la perturbazione. Un'organizzazione che ha integrato un modello a rischio sistemico nei propri prodotti porta, di fatto, una dipendenza regolatoria che non controlla. I fornitori a valle e i deployer prudenti seguono quindi lo status regolatorio del proprio modello a monte e disciplinano contrattualmente lo scenario del richiamo — impegni di continuità, assistenza alla migrazione, obblighi di notifica.

Il meccanismo degli impegni dell'articolo 93, paragrafo 3, svolgerà gran parte del lavoro reale. Ricalca le decisioni con impegni del diritto della concorrenza dell'UE: il fornitore propone un pacchetto di attenuazioni, la Commissione lo rende vincolante, ed entrambe le parti evitano una misura contenziosa. Un esempio concreto: una valutazione ex articolo 92 di un modello di frontiera suscita preoccupazioni serie e comprovate che le sue capacità possano agevolare in modo significativo la creazione di minacce biologiche. L'Ufficio per l'IA apre un dialogo strutturato; il fornitore offre controlli di accesso graduali, rafforzamento dell'addestramento al rifiuto e red-teaming indipendente secondo un calendario definito; la Commissione rende vincolanti tali impegni e chiude il fascicolo. Nessun richiamo, ma un miglioramento di sicurezza azionabile.

Obblighi principali

• Rispondere a una richiesta di misure nei termini fissati. Una richiesta ex articolo 93, paragrafo 1, non è consultiva; ignorarla è autonomamente sanzionabile ai sensi dell'articolo 101.
• Mantenere dimostrabili gli obblighi sottostanti degli articoli 53 e 54 — documentazione tecnica, informazioni a valle, politica sul diritto d'autore, sintesi dei contenuti di addestramento, rappresentante autorizzato ove richiesto —, poiché la lettera a) trasforma ogni lacuna persistente in un ordine eseguibile.
• Per i fornitori a rischio sistemico, mantenere l'apparato dell'articolo 55 (valutazioni del modello, test avversariali, segnalazione degli incidenti, cibersicurezza): sono le misure che una richiesta di attenuazione esigerà in pratica di rafforzare.
• Partecipare al dialogo strutturato. L'articolo 93, paragrafo 2, esiste per risolvere le preoccupazioni prima di misure formali; trattarlo come un contenzioso spreca l'uscita meno costosa.
• Valutare presto gli impegni. Un pacchetto di impegni ben congegnato ex articolo 93, paragrafo 3, chiude il procedimento con la dichiarazione che non vi sono ulteriori motivi di intervento.
• Operatori a valle: nessun obbligo diretto ex articolo 93, ma esposizione reale alla lettera c) — monitorare lo status del modello a monte e prevedere contrattualmente restrizione, ritiro o richiamo.

Rapporto con gli altri articoli

L'articolo 93 completa la catena di esecuzione del capo IX, sezione 5. L'articolo 88 stabilisce la competenza esecutiva esclusiva della Commissione sui fornitori GPAI; l'articolo 89 disciplina il monitoraggio; l'articolo 90 convoglia gli allarmi di rischio sistemico del gruppo di esperti scientifici — spesso l'innesco di tutto ciò che segue. L'articolo 91 (documentazione e informazioni) e l'articolo 92 (valutazioni) sono i gradini istruttori immediatamente inferiori, e un accertamento di preoccupazioni serie e comprovate ai sensi dell'articolo 92 è la condizione espressa di una richiesta di attenuazione ex articolo 93, paragrafo 1, lettera b). L'articolo 94 garantisce i diritti procedurali degli operatori economici interessati.

Gli obblighi sostanziali che una richiesta fa rispettare risiedono negli articoli 53 e 54 (tutti i fornitori GPAI) e nell'articolo 55 (fornitori di modelli con rischio sistemico), mentre classificazione e designazione sono rette dagli articoli 51 e 52. L'adesione a un codice di buone pratiche ai sensi dell'articolo 56 è il modo pratico di dimostrare la conformità — e quindi l'assicurazione meno costosa contro il rischio di ricevere mai una richiesta. La rete sanzionatoria è l'articolo 101. Per il contesto generale della regolazione GPAI, si veda l'hub GPAI; per l'esposizione sanzionatoria nell'intero regolamento, si veda l'articolo 99.

Calendario di conformità

Il regolamento è entrato in vigore il 1° agosto 2024. Gli obblighi sostanziali GPAI che l'articolo 93 fa rispettare — articoli da 53 a 55 — si applicano dal 2 agosto 2025. I poteri di esecuzione della Commissione del capo IX, sezione 5, compreso il potere di richiedere misure, si applicano dal 2 agosto 2026, insieme al potere sanzionatorio dell'articolo 101 sui fornitori GPAI.

L'Omnibus digitale del 2026 non ha toccato questo binario: ha rinviato gli obblighi ad alto rischio degli allegati III e I al 2 dicembre 2027 e al 2 agosto 2028 rispettivamente, ma ha lasciato intatto il quadro GPAI e le sue date di esecuzione. Per i fornitori di modelli a rischio sistemico, la preparazione pratica è facile da enunciare ed esigente da realizzare: tenere aggiornate le evidenze degli articoli da 53 a 55, aderire a un codice di buone pratiche, provare lo scenario del dialogo strutturato e avere pronta una strategia di impegni prima che l'Ufficio per l'IA chiami.