L’Unione europea ha presentato ieri la versione definitiva del Codice di condotta per l’intelligenza artificiale general-purpose (Gpai) ossia l’Ai generativa utilizzata su vasta scala. Il testo rappresenta il primo tentativo concreto di tradurre in pratica le ambizioni dell’Ai Act, la legge europea che disciplina l’uso dell’intelligenza artificiale con un approccio basato sul rischio ed entrerà ufficialmente in vigore il 2 agosto 2025.
A poche settimane dal via, le pressioni del mondo economico per rallentarne l’applicazione si fanno sempre più intense: quasi 50 aziende europee, tra cui Airbus, Lufthansa e Bnp Paribas, hanno chiesto una moratoria di due anni. La Commissione ha risposto con un secco no, ma le tensioni restano.
I tre pilastri del Codice di condotta
Il codice si articola su tre aree fondamentali, ognuna con implicazioni specifiche per chi sviluppa o utilizza sistemi di intelligenza artificiale.
Trasparenza: il “libretto di istruzioni” dell’Ai
La prima sezione introduce il Model Documentation Form, un documento standardizzato che funziona come una carta d’identità per ogni modello di Ai. Gli sviluppatori dovranno descrivere in modo accessibile le fonti dei dati utilizzati nell’addestramento, le funzionalità, i limiti e gli scenari d’uso consigliati.
Prendiamo un esempio concreto: se un’azienda sviluppa un chatbot per il customer service basato su un modello come Chat Gpt, dovrà specificare su quali dataset è stato addestrato, se include conversazioni reali di clienti, quali lingue supporta e in quali contesti potrebbe fornire risposte imprecise. Questa trasparenza faciliterà l’integrazione nei sistemi aziendali e permetterà agli utenti finali di comprendere meglio i limiti dello strumento.
Copyright: il difficile equilibrio tra diritti d’autore e innovazione
Il secondo pilastro del Codice di condotta sull’Ai affronta una delle questioni più spinose della intelligenza artificiale generativa: l’uso di contenuti protetti da copyright durante l’addestramento. Il codice non fornisce soluzioni definitive, ma stabilisce principi guida per rispettare la normativa europea sui diritti d’autore. Le aziende sono invitate a implementare policy attive per identificare contenuti protetti utilizzati nell’addestramento. Per esempio, un’azienda che sviluppa un sistema di generazione di immagini dovrà verificare se nel dataset di training sono presenti opere d’arte, fotografie o illustrazioni coperte da copyright, e adottare misure per gestire correttamente questi contenuti.
Cosa devono fare le aziende per rispettare il diritto d’autore?
Identificazione e catalogazione dei contenuti protetti
La gestione corretta inizia con l’identificazione sistematica di tutti i contenuti protetti da copyright presenti nei dataset di addestramento. Le aziende devono implementare sistemi di scansione che riconoscano automaticamente opere d’arte, fotografie, testi, musica e altri materiali coperti da diritti d’autore.
Questo processo include:
- Audit completi dei dataset: verifica di ogni singolo elemento utilizzato per l’addestramento;
- Catalogazione dettagliata: creazione di inventari che specifichino la natura e l’origine di ogni contenuto protetto;
- Tracciabilità delle fonti: documentazione precisa di dove e come sono stati acquisiti i materiali.
Acquisizione delle licenze necessarie
Una volta identificati i contenuti protetti, le aziende devono ottenere le licenze appropriate prima di utilizzarli. Questo significa:
- Contattare i titolari dei diritti: raggiungere editori, artisti, fotografi e altri creatori per negoziare l’uso dei loro materiali;
- Pagare i compensi dovuti: corrispondere le royalty o i pagamenti una tantum stabiliti negli accordi di licenza;
- Documentare gli accordi: mantenere registri dettagliati di tutte le autorizzazioni ottenute.
Implementazione di filtri e controlli tecnici
Sul piano tecnico, “gestire correttamente” significa sviluppare sistemi di filtraggio avanzati che impediscano l’uso non autorizzato di contenuti protetti. Questi sistemi devono:
- Bloccare automaticamente l’inserimento di materiali non licenziati nei dataset;
- Segnalare potenziali violazioni durante il processo di addestramento;
- Rimuovere contenuti problematici già presenti nei modelli esistenti.
Procedure di rimozione e sostituzione
Quando vengono identificati contenuti utilizzati senza autorizzazione, le aziende devono attuare procedure di rimozione immediate che, in alcuni casi, possono comportare la necessità di rifare l’addestramento. L’azienda dovrà in ogni caso sostituire i contenuti non autorizzati con delle alternative legali (copyleft o correttamente licenziati).
Monitoraggio continuo e aggiornamenti
La gestione corretta non è un’attività una tantum, ma richiede monitoraggio costante. Le aziende devono:
- Verificare periodicamente lo status legale dei contenuti utilizzati;
- Aggiornare le licenze quando scadono o cambiano i termini;
- Adattarsi alle nuove normative che possono modificare i requisiti di compliance.
Trasparenza verso gli utenti finali e sanzioni
Infine, gestire correttamente significa anche informare chiaramente gli utenti finali sui contenuti utilizzati sia con dichiarazioni pubbliche sui tipi di materiali utilizzati per l’addestramento, sia con avvisi sulle possibili restrizioni derivanti dal copyright.
Il mancato rispetto di queste procedure può comportare sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale dell’azienda, rendendo la gestione corretta non solo una questione etica, ma anche una necessità di business.
Sicurezza: gestire i rischi sistemici
La terza sezione si concentra sui modelli più avanzati, quelli che potrebbero rappresentare rischi sistemici. Qui il codice diventa più tecnico, raccomandando misure avanzate per prevenire usi impropri come la produzione di armi chimiche o biologiche, o scenari di perdita di controllo da parte degli sviluppatori. Per entrambe le fattispecie, sono state le stesse aziende a lanciare l’allarme: Open Ai ha spiegato che nel prossimo futuro l’Ai potrà permettere a chiunque di costruire armi biologiche potenzialmente devastanti, mentre Anthropic ha evidenziato i rischi di una Ai così intelligente da diventare autonoma, fino a disobbedire ai comandi umani.
Per i modelli che superano determinate soglie di potenza computazionale, il codice prevede valutazioni di sicurezza approfondite, test di stress e meccanismi di monitoraggio continuo. È il caso, ad esempio, dei sistemi più sofisticati come GPT-4 o Claude Opus 4, che richiedono protocolli di sicurezza specifici.
Come si integra il Codice di condotta con l’Ai Act
Il codice non è un documento isolato, ma si inserisce nell’architettura dell’Ai Act. Mentre il regolamento stabilisce obblighi legali che diventeranno applicabili gradualmente dal prossimo 2 agosto allo stesso mese del 2027, il codice offre una guida pratica per anticipare la conformità.
L’adesione è volontaria, ma chi lo sottoscriverà potrà beneficiare di certezza giuridica e procedure semplificate quando l’Ai Act entrerà a pieno regime. L’intenzione di Bruxelles è porre le basi per una strategia win-win dove le aziende ottengono chiarezza normativa e l’Ue può accelerare con l’adozione di standard comuni.
Il meccanismo è simile a quello già sperimentato con il Gdpr: molte aziende avevano iniziato ad adeguarsi alle nuove regole sulla privacy prima della loro entrata in vigore, beneficiando poi di un vantaggio competitivo.
Cosa cambia per le aziende
Per le aziende che utilizzano sistemi di Ai, il codice introduce cambiamenti concreti:
- Documentazione obbligatoria: ogni modello dovrà essere accompagnato da una scheda tecnica dettagliata;
- Audit sui diritti d’autore: verifica sistematica dei contenuti utilizzati nell’addestramento;
- Valutazioni di rischio: per i modelli più avanzati, implementazione di protocolli di sicurezza specifici.
Facciamo ancora un esempio pratico: una startup che sviluppa un assistente virtuale per medici dovrà documentare accuratamente i dataset medici utilizzati, verificare che non violino brevetti farmaceutici e implementare meccanismi per prevenire diagnosi errate o consigli terapeutici inappropriati.
Le pressioni dell’industria e la risposta di Bruxelles
Il percorso verso la pubblicazione del codice non è stato lineare. Le pressioni per rallentare l’Ai Act si sono intensificate nelle ultime settimane, con quasi 50 aziende europee che hanno chiesto una moratoria di due anni, sostenendo che “le aziende non possono rispettare regole che non esistono ancora in forma praticabile“.
Le critiche si concentrano su tre punti: l’incertezza del quadro legale, la complessità degli adempimenti e la velocità di evoluzione della tecnologia. Le aziende temono che l’Europa possa perdere competitività rispetto a Stati Uniti e Cina, dove la regolamentazione è meno stringente.
La Commissione ha risposto con fermezza. Thomas Regnier, portavoce per la Sovranità digitale, ha dichiarato che non ci sarà alcuna pausa nell’applicazione della normativa, definendo le scadenze “stabilite nel testo giuridico” e quindi non modificabili.
Tuttavia, Bruxelles ha mostrato una certa flessibilità sui tempi di attuazione del codice di condotta. Inizialmente previsto per il 2 maggio, è slittato a luglio, e ora la Commissione sta valutando i tempi per l’attuazione del codice di buone pratiche, con la fine del 2025 in esame.
Un modello per il mondo
Con questo codice, l’Unione europea consolida il suo ruolo di pioniere nella regolamentazione dell’Ai. A differenza degli Stati Uniti, dove il quadro normativo rimane frammentato, o della Cina, dove prevale un approccio centralizzato, l’Ue propone un modello basato sulla valutazione del rischio che potrebbe diventare uno standard globale.
Il documento è stato elaborato da 13 esperti indipendenti con il contributo di oltre 1.000 stakeholder, tra cui sviluppatori, PMI, accademici e organizzazioni della società civile. Questa metodologia partecipativa rappresenta un unicum nel panorama internazionale e potrebbe influenzare le future regolamentazioni in altri continenti.
Come ogni strumento di transizione, il suo successo dipenderà dalla capacità di bilanciare innovazione e sicurezza, competitività e protezione dei diritti, ma anche dalla volontà delle superpotenze economiche di regolare l’Ai o lasciarla deregolamentata, con i rischi che ne deriverebbero. La partita è appena iniziata.
