Articolo 53 del regolamento europeo sull'IA: gli obblighi dei fornitori di GPAI spiegati

L'articolo 53 impone ai fornitori di GPAI di predisporre documentazione tecnica e di cooperare con le autorità. Ecco che cosa devono fare gli sviluppatori di modelli di base: questi obblighi sono già in vigore.

Aggiornato il 31 luglio 2026 — correzione. Gli obblighi relativi all'IA per finalità generali previsti dal capo V si applicano dal 2 agosto 2025. Sono già in vigore, non imminenti. In precedenza questo articolo riportava la data sbagliata. Se sta costruendo o distribuendo un modello di IA per finalità generali (GPAI) — si pensi a GPT-4, Claude, Mistral o Llama — l'articolo 53 del regolamento europeo sull'IA crea obblighi che si applicano dal 2 agosto 2025. Sono già in vigore.

A differenza degli articoli da 9 a 15 (che si applicano ai sistemi di IA ad alto rischio), l'articolo 53 riguarda direttamente i fornitori di GPAI. Richiede documentazione tecnica, trasparenza sui dati di addestramento, cooperazione con le autorità e adesione ai codici di buone pratiche dell'Ufficio per l'IA.

Questa guida illustra che cosa richiede davvero l'articolo 53, a chi si applica e che cosa deve preparare prima del termine di applicazione.

A chi si applica l'articolo 53

L'articolo 53 si applica ai fornitori di modelli di IA per finalità generali immessi sul mercato dell'UE. Un modello GPAI è definito come:

Un modello di IA addestrato su grandi quantità di dati, capace di svolgere un'ampia gamma di compiti e destinato a essere integrato in vari sistemi o applicazioni a valle.

Esempi che rientrano nell'ambito di applicazione

Modelli di base (GPT-4, Claude, Gemini, Llama, Mistral)
Modelli multimodali (DALL·E, Stable Diffusion, Midjourney)
Modelli di embedding distribuiti come API o librerie
Modelli di generazione di codice (Codex, il motore di GitHub Copilot)

Esempi fuori dall'ambito di applicazione

Un chatbot costruito sopra GPT-4 (lei è un deployer, non un fornitore di GPAI)
Un modello di dominio ristretto addestrato solo per l'analisi del sentiment
Un modello interno non immesso sul mercato dell'UE

Se è un deployer a valle (ad es. usa l'API di OpenAI per costruire un bot di assistenza clienti), l'articolo 53 non si applica direttamente a lei, ma gli articoli da 9 a 15 potrebbero applicarsi, a seconda del caso d'uso.

Gli obblighi fondamentali dell'articolo 53

L'articolo 53 stabilisce quattro requisiti principali per i fornitori di GPAI:

1. Documentazione tecnica

Deve predisporre e mantenere aggiornata una documentazione tecnica che comprenda:

Architettura del modello e metodologia di addestramento
Fonti dei dati, compresa una descrizione dei dati di addestramento e della loro provenienza
Risorse di calcolo utilizzate (ad es. ore-GPU, durata dell'addestramento)
Procedure di test e validazione
Limiti noti e casi d'uso previsti
Misure adottate per rilevare e attenuare i bias

Questa documentazione deve essere sufficiente affinché l'Ufficio per l'IA possa valutare la conformità al regolamento europeo sull'IA.

2. Trasparenza sui dati di addestramento

Se il suo modello è stato addestrato su materiale protetto dal diritto d'autore, deve fornire:

Una sintesi sufficientemente dettagliata dei contenuti utilizzati per l'addestramento
La conformità alla direttiva (UE) 2019/790 (direttiva sul diritto d'autore)

È la clausola sulla «trasparenza in materia di diritto d'autore»: risponde alle preoccupazioni sui modelli addestrati su dati raccolti dal web, libri o repository di codice senza licenze esplicite.

3. Cooperazione con l'Ufficio per l'IA

Deve cooperare con l'Ufficio europeo per l'IA e con le autorità nazionali competenti, in particolare:

Rispondendo alle richieste di informazioni
Consentendo l'accesso alla documentazione
Partecipando ad audit o valutazioni

Il rifiuto di cooperare può innescare un'azione di enforcement.

4. Adesione ai codici di buone pratiche

L'Ufficio per l'IA pubblicherà codici di buone pratiche per i fornitori di GPAI. Si tratta di quadri volontari, ma:

Se aderisce a un codice di buone pratiche approvato, beneficia di una presunzione di conformità all'articolo 53.
Se non aderisce, deve dimostrare la conformità con altri mezzi.

Si prevede che i codici di buone pratiche coprano:

I benchmark di valutazione dei modelli
Il red-teaming e i test antagonistici
La segnalazione degli incidenti
La trasparenza su capacità e limiti del modello

Articolo 53 e requisiti per i sistemi di IA ad alto rischio a confronto

Requisito	Articolo 53 (fornitori di GPAI)	Articoli 9-15 (sistemi di IA ad alto rischio)
A chi si applica	Fornitori di modelli di base	Deployer di sistemi di IA ad alto rischio
Ambito della documentazione	Addestramento del modello, dati, architettura	Gestione dei rischi a livello di sistema, governance dei dati
Valutazione della conformità	Autovalutazione + vigilanza dell'Ufficio per l'IA	Valutazione da parte di terzi (sistemi dell'allegato VII)
Obblighi continuativi	Cooperazione con l'Ufficio per l'IA, adesione a un codice di buone pratiche	Monitoraggio, registrazione, sorveglianza umana, segnalazione degli incidenti
Sanzioni per non conformità	Fino a 15 milioni di euro o al 3% del fatturato mondiale	Fino a 35 milioni di euro o al 7% del fatturato mondiale

Il punto chiave: se è un fornitore di GPAI e il suo modello è integrato in un sistema ad alto rischio, è soggetto sia agli obblighi dell'articolo 53 (come fornitore del modello) sia a quelli degli articoli da 9 a 15 (come deployer del sistema o in cooperazione con il deployer).

Che cosa devono fare i modelli GPAI con «rischio sistemico» (articolo 53 + allegato XIII)

Se il suo modello GPAI raggiunge la soglia di rischio sistemico — definita come i modelli addestrati con una potenza di calcolo superiore a 10²⁵ FLOP — è soggetto a obblighi aggiuntivi ai sensi dell'allegato XIII:

Valutazione del modello (compresi i test antagonistici)
Valutazione e attenuazione dei rischi sistemici (ad es. uso improprio per attacchi informatici, minacce CBRN)
Tracciamento e segnalazione degli incidenti gravi
Protezioni di cibersicurezza per i pesi del modello e l'infrastruttura
Comunicazione dell'efficienza energetica

Ad aprile 2026 questa soglia riguarda modelli come:

GPT-4
Claude 3 Opus
Gemini Ultra
Llama 3 405B

I modelli più piccoli (ad es. Mistral 7B, Llama 3 8B) sono soggetti all'articolo 53 ma non agli obblighi sul rischio sistemico.

Elenco di controllo pratico per l'articolo 53

Ecco che cosa deve avere in atto ora che questi obblighi sono operativi:

Attività	Responsabile	Termine
Redigere la documentazione tecnica (architettura, dati di addestramento, calcolo)	Ingegneria ML	T2 2026
Documentare la conformità al diritto d'autore dei dati di addestramento	Legale + Dati	T2 2026
Individuare il codice di buone pratiche applicabile e mappare l'adesione	Responsabile conformità	T3 2026
Istituire un referente presso l'Ufficio per l'IA e un processo di segnalazione degli incidenti	Responsabile conformità	T3 2026
(Se rischio sistemico) Condurre test antagonistici e documentarne i risultati	Ingegneria ML + Sicurezza	T2 2026
(Se rischio sistemico) Attuare controlli di accesso ai pesi del modello	Sicurezza	T2 2026

Esempio: una start-up che costruisce un modello di generazione di codice

Scenario: sta costruendo un modello di completamento del codice (simile a GitHub Copilot) addestrato su 500 miliardi di token di codice open source provenienti da GitHub, Stack Overflow e documentazione pubblica.

Obblighi ai sensi dell'articolo 53:

Documentazione tecnica: documenti l'architettura del modello (ad es. basata su transformer, 7 miliardi di parametri), le fonti dei dati di addestramento (repository GitHub, post di Stack Overflow) e la potenza di calcolo utilizzata (ad es. 10²³ FLOP su 128 GPU A100 in 14 giorni).
Trasparenza sul diritto d'autore: fornisca una sintesi dei repository usati per l'addestramento. Se ha raccolto codice con licenza GPL, documenti come rispetta la direttiva sul diritto d'autore (ad es. attribuzione, compatibilità delle licenze).
Cooperazione: designi un referente per la conformità in grado di rispondere alle richieste dell'Ufficio per l'IA entro 30 giorni.
Codice di buone pratiche: monitori i codici di buone pratiche pubblicati dall'Ufficio per l'IA per i modelli GPAI. Se uno di essi riguarda i modelli di generazione di codice, mappi le sue prassi rispetto a esso (ad es. «facciamo red-teaming sulle vulnerabilità da code injection e ne documentiamo i risultati ogni trimestre»).

Che cosa NON deve fare ai sensi dell'articolo 53:

La valutazione della conformità (riguarda i sistemi ad alto rischio, non i modelli GPAI)
La registrazione delle richieste degli utenti (è un obbligo dell'articolo 12 per i deployer di sistemi ad alto rischio)
La sorveglianza umana (di nuovo, articolo 14 per i sistemi ad alto rischio)

Tuttavia, se un cliente utilizza il suo modello in un contesto ad alto rischio (ad es. un sistema di IA che seleziona candidati — allegato III.4), sarà lui a essere soggetto agli articoli da 9 a 15, e lei potrebbe dover fornirgli documentazione a sostegno della sua conformità.

Errori ricorrenti dei fornitori di GPAI

Errore 1: pensare che l'articolo 53 riguardi solo le big tech

Realtà: l'articolo 53 si applica a qualsiasi fornitore di GPAI che immetta un modello sul mercato dell'UE, indipendentemente dalle dimensioni dell'impresa. Se è una start-up che offre un modello Llama messo a punto tramite API, rientra nell'ambito di applicazione.

Errore 2: confondere gli obblighi GPAI con quelli dei sistemi ad alto rischio

Realtà: l'articolo 53 riguarda il modello. Gli articoli da 9 a 15 riguardano il sistema. Se fornisce un'API di modello, è soggetto all'articolo 53. Se utilizza quel modello in un caso d'uso ad alto rischio, è anche soggetto agli articoli da 9 a 15.

Errore 3: aspettare che l'Ufficio per l'IA pubblichi i codici di buone pratiche

Realtà: i codici di buone pratiche potrebbero non essere definitivi prima della fine del 2026 o dell'inizio del 2027. Dovrebbe preparare ora la documentazione tecnica e le sintesi sul diritto d'autore, anziché attendere orientamenti ufficiali.

Errore 4: trattare la documentazione come un adempimento una tantum

Realtà: l'articolo 53 richiede una documentazione aggiornata. Se riaddestra il modello, cambia la composizione dei dati di addestramento o scopre nuovi limiti, deve aggiornare la documentazione.

Come Vigilia aiuta i fornitori di GPAI

Se è un fornitore di GPAI, lo strumento di audit di Vigilia può aiutarla a:

Mappare il suo modello sui requisiti dell'articolo 53: individuare quali obblighi si applicano (GPAI standard o rischio sistemico).
Generare un elenco di controllo per la conformità: analisi delle lacune articolo per articolo, relativa all'articolo 53, all'allegato XIII e agli obblighi di trasparenza connessi.
Documentare la sua posizione di conformità: un PDF pronto per l'audit da condividere con l'Ufficio per l'IA, gli investitori o i clienti enterprise.

L'audit richiede 20 minuti e costa 499 €, contro i 5.000-40.000 € di un audit di conformità tradizionale.

Generi il suo rapporto di conformità all'articolo 53 →

A 101 giorni dall'applicazione del regolamento europeo sull'IA, è il momento di documentare la posizione di conformità del suo modello GPAI. L'articolo 53 non richiede una certificazione da parte di terzi, ma richiede che la documentazione sia pronta quando l'Ufficio per l'IA bussa alla porta.

Il presente articolo ha finalità puramente informative e non costituisce consulenza legale. Per orientamenti sulla sua situazione specifica, consulti un avvocato esperto del regolamento europeo sull'IA.