AI Act: il primo codice di condotta settoriale

L’AI Act prende forma operativa con il suo primo codice di condotta: il GPAI Code of Practice, destinato ai fornitori di modelli di IA per finalità generali. Il 10 luglio 2025 la Commissione europea ha pubblicato la versione definitiva del codice, integrata il 18 luglio dalle Linee guida C(2025) 5045 final. A meno di due settimane dal 2 agosto 2025 — data in cui scattano gli obblighi per i GPAI — il quadro è ora completo.

Trasparenza, copyright e sicurezza: il codice che traduce in pratica gli obblighi dell’AI Act.

Introduzione

Il Regolamento (UE) 2024/1689 — AI Act è in vigore dal 1° agosto 2024 e si applica secondo un calendario scaglionato. Una delle tappe più attese è la definizione del codice di condotta per i modelli di IA per finalità generali (General-Purpose AI Code of Practice, «GPAI CoP»): il primo strumento di soft law concepito dall’AI Act per accompagnare gli operatori nella conformità.

Il quadro è ora completo. Il 10 luglio 2025 la Commissione europea ha pubblicato la versione definitiva del codice; il 18 luglio sono uscite le Linee guida (C(2025) 5045 final) che ne accompagnano l’applicazione. A meno di due settimane dal 2 agosto 2025 — data in cui scattano gli obblighi per i fornitori di GPAI — questa guida ricostruisce che cosa contiene il GPAI Code of Practice, come si articola e perché conta per chi sviluppa, distribuisce o integra modelli di IA generativa.

1. Che cos’è il GPAI Code of Practice e su quale base nasce

Il GPAI Code of Practice trova fondamento nell’art. 56 dell’AI Act, che disciplina l’elaborazione, l’adozione e l’approvazione di codici volti a garantire la corretta applicazione degli obblighi gravanti sui fornitori di modelli di IA per finalità generali (artt. 53 e 55). Non si tratta di un regolamento, ma di uno strumento attuativo di natura volontaria, pensato per tradurre obblighi normativi astratti in misure concrete e verificabili.

Su mandato della Commissione europea, alla redazione ha lavorato dall’ottobre 2024 un ampio gruppo multi-stakeholder — oltre mille partecipanti tra imprese, esperti indipendenti, mondo accademico e società civile — organizzato in gruppi di lavoro tematici.

Ma chi è, in concreto, un «fornitore di GPAI»? Ai sensi dell’AI Act, un modello di IA per finalità generali è un modello addestrato su grandi quantità di dati, capace di svolgere con competenza un’ampia gamma di compiti distinti e di essere integrato in una pluralità di sistemi e applicazioni a valle. Il fornitore è il soggetto che sviluppa il modello — o lo fa sviluppare — e lo immette sul mercato, a prescindere dal fatto che sia un grande operatore globale o un laboratorio di dimensioni più contenute.

Un sottoinsieme di questi modelli — i più potenti — è qualificato come a rischio sistemico. L’AI Act presume tale rischio quando la potenza di calcolo complessiva impiegata per l’addestramento supera una soglia molto elevata, indicata in 10²⁵ operazioni in virgola mobile (FLOP). È proprio a questi modelli che si rivolge il capitolo safety & security del GPAI Code of Practice, con obblighi rafforzati di identificazione e mitigazione dei rischi.

2. Il percorso di adozione: dalla bozza al testo definitivo

Il percorso di drafting si è articolato in tre bozze: la prima il 14 novembre 2024, la seconda il 19 dicembre 2024 e la terza l’11 marzo 2025, quest’ultima accompagnata da una consultazione chiusa il 30 marzo.

L’art. 56 fissava al 2 maggio 2025 il termine per la disponibilità del codice. La scadenza è stata superata: la versione definitiva è stata pubblicata dalla Commissione europea il 10 luglio 2025, a valle di un confronto serrato tra i diversi portatori di interesse sul livello di stringenza degli impegni. Il quadro è stato poi completato il 18 luglio con le Linee guida della Commissione sui fornitori di modelli GPAI (C(2025) 5045 final), che chiariscono il perimetro applicativo e i criteri interpretativi degli artt. 53 e 55 AI Act.

3. La struttura: tre capitoli, obblighi differenziati

La versione definitiva del GPAI Code of Practice consolida un’architettura fondata su tre capitoli tematici, che riflettono le aree individuate dall’art. 56:

• Trasparenza — documentazione tecnica aggiornata sui modelli e predisposizione di una sintesi dei dati di addestramento (training-data summary), per consentire la tracciabilità delle caratteristiche del modello;
• Copyright — misure relative al rispetto del diritto d’autore nell’uso dei dati di addestramento, con specifici obblighi di trasparenza sulle fonti utilizzate;
• Safety & Security — identificazione, valutazione e mitigazione dei rischi sistemici, capitolo che si applica ai soli modelli GPAI più potenti (quelli che, ai sensi dell’art. 55, possono comportare rischi sistemici) e che dà attuazione a una governance tecnica e organizzativa lungo tutto il ciclo di vita del modello.

I primi due capitoli riguardano tutti i fornitori di GPAI; il terzo si rivolge alla fascia più avanzata. Sono inoltre previste attenuazioni per i modelli interamente open source.

4. Volontario, ma non neutro: gli effetti dell’adesione

L’adesione al codice è volontaria, ma tutt’altro che priva di conseguenze. L’art. 56 individua nel GPAI Code of Practice lo strumento principale attraverso cui i fornitori possono dimostrare la conformità agli obblighi dell’AI Act: chi vi aderisce beneficia, in sostanza, di una presunzione di conformità.

Al contrario, il fornitore che scelga di non aderire non è esonerato dagli obblighi di legge, ma deve dimostrare di rispettarli «con altri mezzi idonei», assumendosi un onere probatorio — e un’esposizione reputazionale — significativamente più gravosi. La volontarietà, dunque, è formale: sul piano pratico il codice si candida a diventare lo standard di riferimento del settore.

5. Le scadenze che contano per gli operatori

Il calendario dell’AI Act fissa al 2 agosto 2025 l’entrata in applicazione degli obblighi per i fornitori di modelli GPAI (artt. 53 e 55). Da quella data il GPAI Code of Practice diventa pienamente rilevante come strumento di compliance. I poteri di enforcement della Commissione nei confronti dei fornitori GPAI decorrono invece dal 2 agosto 2026: un anno di rodaggio durante il quale i destinatari hanno il tempo di adeguarsi prima dell’attivazione del meccanismo sanzionatorio.

Per i fornitori, le implicazioni sono concrete: chi sviluppa o integra foundation model deve decidere ora se aderire al codice e, in caso affermativo, attrezzarsi per rispettarne gli impegni — dalla documentazione tecnica alla sintesi dei dati di addestramento, fino, per i modelli a rischio sistemico, ai test di sicurezza e alle attività di red-teaming. Si tratta di adempimenti che richiedono tempo, risorse e competenze trasversali.

6. Cosa fare ora: una checklist operativa

L’avvicinarsi del 2 agosto 2025 impone ai fornitori alcune verifiche concrete. Per chi sviluppa o integra modelli di IA per finalità generali, i passaggi essenziali sono i seguenti:

• mappare i modelli sviluppati, integrati o distribuiti e individuare il proprio ruolo nella catena del valore;
• verificare se uno dei modelli rientri tra quelli a rischio sistemico, alla luce della soglia di calcolo e degli altri criteri previsti;
• valutare l’adesione al GPAI Code of Practice rispetto all’alternativa di dimostrare la conformità «con altri mezzi idonei»;
• predisporre la documentazione tecnica e la sintesi dei dati di addestramento (training-data summary);
• per i modelli a rischio sistemico, impostare le misure di gestione del rischio, i test di sicurezza e le attività di red-teaming;
• definire una governance interna che presidi gli adempimenti lungo l’intero ciclo di vita del modello.

Si tratta di attività che richiedono tempo e competenze trasversali — giuridiche, tecniche e organizzative — e che conviene avviare senza attendere l’inizio dell’enforcement, previsto solo dal 2 agosto 2026.

Conclusioni

Il GPAI Code of Practice è il primo tassello operativo dell’AI Act: lo strumento che trasforma princìpi normativi in obblighi verificabili per chi opera sui modelli di IA più diffusi. Con la pubblicazione del 10 luglio e le Linee guida del 18 luglio, il quadro è ora chiuso: a meno di due settimane dall’entrata in applicazione, gli operatori hanno tutto il materiale necessario per scegliere se aderire e per impostare i presidi richiesti. Mappare i modelli utilizzati, individuare il proprio ruolo nella catena del valore e predisporre documentazione di trasparenza e sicurezza sono passaggi che vanno completati ora, in vista del 2 agosto.

ADLP Studio Legale affianca imprese, sviluppatori e fornitori nell’adeguamento all’AI Act: dalla qualificazione dei sistemi e dei modelli di IA alla valutazione dell’adesione al GPAI Code of Practice, fino alla predisposizione della documentazione richiesta.