La Commissione Europea ha pubblicato il GPAI Code of Practice, lo strumento volontario che traduce in pratica gli articoli 53 e 55 del Regolamento UE 2024/1689 (AI Act) per i fornitori di modelli General Purpose AI il 10 luglio 2025. Il codice è in vigore dal 2 agosto 2025, l’enforcement effettivo arriva dal 2 agosto 2026. A nove mesi dalla pubblicazione il bilancio dei firmatari traccia una linea netta nell’industria: Anthropic, OpenAI, Google, Mistral e Cohere hanno aderito, Meta è il principale assente. Per le imprese italiane downstream le conseguenze sono concrete.
Cosa è il GPAI Code of Practice
Primo strumento di soft law europeo dedicato ai fornitori di modelli generalisti.
I Large Language Models e i sistemi multimodali utilizzabili per molteplici applicazioni rientrano nel perimetro. Il testo è stato sviluppato dall’AI Office della Commissione UE attraverso un processo multi-stakeholder durato 9 mesi, con il contributo di accademici, società civile, industria. Il codice si articola in tre capitoli principali. Trasparenza: obblighi documentali sul modello, sulle capacità, sui limiti, sulle valutazioni effettuate. Copyright: politiche per il rispetto della normativa sul diritto d’autore nei dataset di training, con riferimento esplicito alla Direttiva sul copyright nel mercato unico digitale (2019/790). Safety and Security: framework di valutazione dei rischi sistemici, mitigazioni, incident reporting per i modelli più capaci.
L’adesione è formalmente volontaria, ma con un meccanismo di incentivo significativo. I firmatari beneficiano di una presunzione di conformità agli obblighi degli articoli 53 e 55 dell’AI Act. In termini pratici, le procedure di vigilanza sono più snelle e il rischio di contestazione formale è ridotto. Per i non-firmatari l’AI Office potrà richiedere documentazione equivalente, con maggiore frizione operativa e tempi di interlocuzione più lunghi.
I firmatari a maggio 2026
Anthropic, OpenAI, Google, Mistral, Cohere. Hanno firmato.
Il sito ufficiale dell’AI Office aggiorna la lista in tempo reale. Ognuno di questi attori ha pubblicato la documentazione richiesta dal codice, che include schede dettagliate dei modelli, valutazioni di rischio sistemico, politiche sul training data. L’adesione di Anthropic, annunciata l’8 agosto 2025, è arrivata insieme a una dichiarazione pubblica del CEO Dario Amodei sull’allineamento del codice con gli standard interni di safety dell’azienda. OpenAI ha firmato il 22 luglio 2025 con una nota più cauta, segnalando alcune riserve interpretative ma confermando l’adesione operativa. Google ha aderito ad agosto 2025, Mistral a settembre 2025 (con un comunicato che enfatizzava il ruolo europeo dell’azienda francese), Cohere a ottobre 2025.
Il principale assente resta Meta.
L’azienda di Mark Zuckerberg ha pubblicamente dichiarato di non aderire al codice, motivando la scelta con quelle che definisce ambiguità interpretative del testo e con il proprio approccio open source ai modelli (LLaMA). La posizione di Meta non è un caso isolato: alcuni operatori cinesi (DeepSeek, Alibaba Qwen) non hanno aderito, sebbene la loro presenza commerciale in UE sia limitata. AIPIA, in qualità di membro della European AI Alliance, segue da vicino l’evoluzione del codice e contribuisce alla riflessione sull’applicazione downstream presso le imprese e i professionisti italiani.
La Signatory Taskforce e il monitoraggio
Per coordinare l’attuazione del codice è stata istituita la Signatory Taskforce, gruppo di lavoro presieduto dall’AI Office che riunisce i firmatari, autorità nazionali e osservatori. La taskforce si riunisce trimestralmente e produce report pubblici sulle implementazioni, le criticità emerse, le proposte di aggiornamento.
Il primo report sostanziale, pubblicato a febbraio 2026, ha evidenziato tre aree di tensione interpretativa. Prima, la definizione di rischio sistemico e i criteri di soglia (la quantità di compute di training è il principale indicatore, fissato a 10^25 FLOP, ma alcuni modelli sotto soglia hanno comunque capacità rilevanti). Seconda, l’interoperabilità con i regimi extra-UE (USA, UK, Singapore stanno sviluppando codici simili ma divergenti). Terza, l’applicazione pratica degli obblighi di copyright in presenza di dataset di training composti per oltre il 90% da contenuti web.
L’AI Office ha avviato un secondo ciclo di consultazione che si chiuderà a giugno 2026, con possibili aggiornamenti del codice nel quarto trimestre. Il quadro non è statico.
Il regime per modelli rilasciati prima del 2 agosto 2025
Una delle clausole operative più rilevanti del codice riguarda i modelli già in commercio prima del 2 agosto 2025. Per questi la deadline di compliance non è il 2 agosto 2026, ma il 2 agosto 2027. Significa che modelli come GPT-4, Claude 3.5, Gemini 1.5 hanno un anno aggiuntivo per adeguarsi pienamente alla documentazione richiesta. I modelli rilasciati dopo il 2 agosto 2025 (GPT-5, Claude Opus 4 e seguenti, Gemini 3) devono essere conformi entro la prima deadline.
La distinzione ha conseguenze pratiche per gli sviluppatori italiani che usano modelli di frontiera nelle loro applicazioni. Un’impresa italiana che ha sviluppato un prodotto basato su GPT-4 nel 2024 deve verificare che il fornitore (in questo caso OpenAI) sia in linea con la roadmap di compliance. Per i modelli più recenti la verifica deve essere più ravvicinata.
L’effetto a cascata sui downstream provider italiani
La maggior parte delle imprese italiane non sviluppa modelli GPAI. Sono però downstream provider, ovvero usano modelli GPAI come base per le proprie applicazioni. L’AI Act distingue chiaramente le responsabilità: il fornitore GPAI risponde della trasparenza del modello, dei dati di training, delle valutazioni di rischio. Il downstream provider risponde dell’uso conforme, dell’adattamento al caso d’uso specifico, della valutazione del rischio del proprio sistema integrato.
L’effetto a cascata è duplice. Primo, le imprese italiane devono pretendere dai propri fornitori GPAI la documentazione di compliance. Per i modelli forniti tramite API (OpenAI, Anthropic, Google, Mistral) la documentazione è disponibile pubblicamente per i firmatari. Per modelli forniti tramite cloud non firmatari (alcune offerte open source di provider non aderenti al codice) la documentazione richiede maggiore lavoro di reperimento.
Secondo, le imprese italiane devono integrare la documentazione GPAI nella propria valutazione di conformità. Se il sistema downstream è classificato alto rischio nell’Allegato III, la valutazione deve includere la catena di fornitura del modello base. Per inquadrare il quadro generale degli adempimenti AIPIA mantiene la guida operativa all’AI Act aggiornata sui passaggi richiesti.
Il caso Meta e la divergenza open source
La non-adesione di Meta non è un dettaglio marginale.
LLaMA è il modello open source più diffuso al mondo, base di una percentuale rilevante delle applicazioni AI in produzione. Per le imprese italiane che hanno scelto LLaMA per ragioni di costo, controllo, conformità GDPR (dato on-premise), il quadro normativo richiede attenzione aggiuntiva. L’argomento di Meta è che l’AI Act distingue tra fornitori commerciali e modelli open source, con esenzioni specifiche per questi ultimi (articolo 53.2). Meta sostiene che LLaMA, distribuito senza licenza commerciale, ricada nelle esenzioni. La Commissione UE ha una lettura più restrittiva: l’esenzione vale per modelli puramente open source, e LLaMA distribuito da Meta ha caratteristiche commerciali (licenze d’uso restrittive sopra certe soglie di utilizzo).
La controversia interpretativa è in corso e potrebbe arrivare a contenzioso amministrativo. Per le imprese italiane downstream il consiglio operativo è prudenziale: trattare LLaMA come un modello GPAI e mantenere la documentazione di valutazione necessaria, in attesa di chiarimenti definitivi. La scelta di un modello firmatario (Mistral è un’alternativa europea aperta che ha aderito al codice) può ridurre il rischio interpretativo.
Cosa cambia il 2 agosto 2026
Da quel momento, in caso di non conformità, possono essere comminate sanzioni fino a 15 milioni di euro o 3% del fatturato globale per violazioni degli obblighi di articolo 53 (tutti i GPAI) e articolo 55 (GPAI con rischio sistemico). I firmatari del codice godono della presunzione di conformità, i non-firmatari sono soggetti a vigilanza diretta. Per le imprese italiane downstream l’attivazione delle sanzioni significa due cose. I fornitori firmatari saranno più stabili nelle loro politiche, perché un mancato rispetto del codice avrebbe conseguenze immediate. I fornitori non firmatari potrebbero modificare le proprie offerte per rispondere a possibili contestazioni, con cambiamenti nei termini di servizio, nelle politiche di disponibilità, nei prezzi.
Il GPAI Code of Practice non è il solo strumento normativo che impatterà l’industria. È però quello con il calendario più definito e con l’effetto più diretto sugli equilibri industriali. La scelta dei fornitori di modelli base, per un’impresa italiana, non è più solo una valutazione di prestazione e prezzo. È diventata anche una valutazione di compliance e stabilità normativa.
I nove mesi trascorsi dalla pubblicazione hanno chiarito che l’industria si è divisa in due gruppi: chi ha scelto di stare dentro il framework europeo e chi ha scelto di restarne fuori. Per chi opera in Europa, e nel mercato italiano in particolare, la prima scelta è quella che riduce le incertezze a fronte di costi di adeguamento gestibili. L’enforcement non è più una variabile teorica.
