Glossario

GPAI (modelli di IA per finalità generali)

Un GPAI è un modello di intelligenza artificiale addestrato su grandi quantità di dati che mostra una notevole capacità di generalizzazione e sa svolgere con competenza un'ampia gamma di compiti diversi, secondo la definizione dell'art. 3(63) del Reg. UE 2024/1689. A differenza di un sistema di IA pensato per un singolo scopo, il GPAI è il "motore" che può essere integrato in tanti prodotti e servizi diversi. Per questo la norma lo distingue dal sistema di IA per finalità generali dell'art. 3(66), che è invece l'applicazione concreta costruita sopra quel motore.

Quando senti parlare di GPAI, pensa ai grandi modelli che generano testo, immagini, audio o codice e che oggi stanno sotto al cofano di moltissimi strumenti. Il Regolamento europeo li chiama "modelli di IA per finalità generali" proprio perché non nascono per un compito solo, ma possono essere riadattati a moltissimi usi. L'art. 3(63) li definisce per questa loro versatilità, e il considerando dedicato ai GPAI spiega che un modello del genere può essere immesso sul mercato in tanti modi diversi, anche dentro un sistema più grande.

Qui arriva la distinzione che conta per te. Una cosa è chi costruisce e mette a disposizione il modello, cioè il fornitore del GPAI, su cui ricadono obblighi precisi. Altra cosa è chi quel modello lo usa dentro la propria azienda. Gli obblighi pesanti dell'art. 53, ad esempio tenere la documentazione tecnica del modello e una sintesi dei contenuti usati per l'addestramento, sono in capo a chi il modello lo produce, non a chi lo adopera per scrivere email o riassumere documenti.

Il Regolamento aggiunge poi una categoria a parte, il GPAI "con rischio sistemico", regolata dall'art. 55. Si tratta dei modelli più potenti, quelli con capacità di alto impatto. La soglia tecnica fissata dall'art. 51, paragrafo 2, è una potenza di calcolo usata per l'addestramento superiore a 10^25 operazioni in virgola mobile (FLOP), un numero enorme che oggi raggiungono solo i grandi laboratori. Per questi modelli scattano obblighi extra di valutazione, gestione del rischio, cybersicurezza e segnalazione degli incidenti gravi.

Vale la pena chiarire le date. Gli obblighi per i fornitori di GPAI si applicano dal 2 agosto 2025, in linea con l'art. 113, lettera b), che fa decorrere da quella data il Capo V del Regolamento (quello dedicato appunto ai GPAI). I poteri di vigilanza e le eventuali sanzioni della Commissione partono dal 2 agosto 2026, e i modelli già sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027 per mettersi in regola (art. 111, paragrafo 3). Questi termini riguardano i GPAI e restano quelli del testo vigente del Regolamento. Il pacchetto Digital Omnibus, di cui parliamo più sotto, sposta in avanti soprattutto certe date dell'alto rischio e non incide su questi obblighi GPAI. Vale per tutti, dall'impresa individuale alla multinazionale, perché l'obbligo dipende dal ruolo che hai, non dalla tua dimensione.

Un cenno al Digital Omnibus, perché se ne parla molto. Il pacchetto "Digital Omnibus on AI" è stato adottato in via definitiva dal Consiglio il 29 giugno 2026, ed è oggi il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Le nuove date di applicazione dell'alto rischio sono quindi quelle vive, cioè il 2 dicembre 2027 per i sistemi ad alto rischio autonomi dell'Allegato III e il 2 agosto 2028 per quelli integrati nei prodotti dell'Allegato I. Sui GPAI, invece, il pacchetto non sposta niente: restano le date che hai letto qui sopra.

Torna all'hub AI Act

Questo contenuto ha finalità informative e divulgative e riflette il quadro normativo alla data di ultima revisione indicata. Non costituisce parere o consulenza legale sul tuo caso specifico. Per l'inquadramento giuridico formale lavoriamo con professionisti abilitati.