AI Act: codice di condotta per i modelli GPAI

Dopo tre bozze e vari incontri, i quattro gruppi di lavoro hanno inviato alla Commissione europea la versione finale del codice di condotta per i modelli AI ad uso generale (GPAI), come quelli alla base di ChatGPT, Gemini e Claude. Si tratta in pratica di un aiuto per rispettare le disposizioni previste dall’AI Act a partire dal 2 agosto. La CCIA (Computer & Communications Industry Association) ha subito criticato il testo.

Trasparenza, copyright e sicurezza

Il codice di condotta non è obbligatorio, ma serve per illustrare come devono essere rispettati gli articoli 53 e 55 dell’AI Act relativi ai modelli GPAI (standard e con rischi sistemi). Le aziende che scelgono di aderire al codice si impegnano a seguire le indicazioni riportate nei tre capitoli.

Il primo capitolo riguarda la trasparenza. I provider AI devono fornite tutte le informazioni sui modelli quando vengono immessi sul mercato e quando vengono aggiornati. Ciò avviene tramite un form suddiviso in varie sezioni. L’azienda deve ad esempio specificare nome del modello, data di rilascio, architettura, dimensione, tipi di input/output, metodi di distribuzione e licenza, tipo di utilizzo e specifiche del processo di addestramento.

Il secondo capitolo riguarda il copyright. I firmatari si impegnano a rispettare la legge europea sul diritto d’autore. Non dovranno ad esempio utilizzare i contenuti dei siti web senza autorizzazione e addestrare i modelli con materiale pirata. Dovranno inoltre implementare misure per evitare la generazione di output che non rispetta il copyright.

Il terzo capitolo riguarda la sicurezza dei modelli AI con rischi sistemici. I provider si impegnano a rilevare e mitigare i rischi, ad esempio l’uso dei modelli per eseguire attacchi informatici o sviluppare armi. È prevista anche la segnalazione di eventuali incidenti di sicurezza e le misure correttive entro determinate scadenze (ad esempio, due giorni per danni alle infrastrutture critiche e cinque giorni in caso di data breach).

Diverse aziende europee avevano chiesto di posticipare l’applicazione dell’AI Act per i modelli GPAI, ma la Commissione europea ha confermato la scadenza del 2 agosto. Secondo la CCIA, il codice di condotta avvantaggerà i provider che non firmeranno e introduce misure che vanno oltre lo scopo dell’AI Act.