Modelli GPAI e IA generativa in azienda

ChatGPT, Copilot, Gemini, Claude: gli strumenti di IA generativa sono ormai entrati in tutte le aziende. Quali sono gli obblighi quando li utilizzi e quando li integri nei tuoi prodotti.

Cosa sono i modelli GPAI

Il Regolamento (UE) 2024/1689 definisce i modelli di IA per finalità generali — i cosiddetti GPAI, General Purpose AI Models — all'articolo 3, paragrafo 1, numero 63. Si tratta di modelli addestrati su grandi quantità di dati che sono in grado di svolgere un'ampia gamma di compiti distinti e che possono essere integrati in molti sistemi o applicazioni a valle. Sono GPAI i grandi modelli linguistici come quelli che alimentano ChatGPT, Claude, Gemini, Copilot, ma anche i modelli di generazione di immagini come DALL-E, Midjourney, Stable Diffusion.

La caratteristica fondamentale di questi modelli è la versatilità: non sono progettati per un compito specifico, ma per essere riutilizzati e integrati in una molteplicità di applicazioni. Un'azienda può usare ChatGPT direttamente attraverso l'interfaccia web, oppure integrare il modello GPT nel proprio software attraverso API, oppure costruire sopra di esso un proprio chatbot personalizzato. Ognuno di questi usi comporta obblighi diversi.

Due ruoli, due regimi

L'AI Act distingue chiaramente tra chi sviluppa il modello GPAI (il provider del modello) e chi lo utilizza per costruire o erogare un servizio (l'integratore o l'utilizzatore finale). I provider di modelli GPAI sono soggetti a obblighi specifici previsti dagli articoli 53 e 54 del Regolamento: redazione di una documentazione tecnica dettagliata, condivisione di informazioni con i fornitori a valle, rispetto del diritto d'autore nei dati di addestramento, pubblicazione di un riepilogo dei contenuti usati per l'addestramento. Per i modelli GPAI con rischio sistemico — quelli con capacità di impatto elevato, identificati secondo soglie tecniche — si applicano obblighi aggiuntivi di valutazione dei rischi, di reportistica degli incidenti gravi, di sicurezza informatica (artt. 55-56).

Per la stragrande maggioranza delle aziende italiane, però, il ruolo non è quello di provider del modello ma quello di utilizzatore o integratore. E qui si concentrano i veri problemi pratici: cosa devo fare quando uso ChatGPT in azienda? Quando integro un'API di OpenAI nel mio software? Quando costruisco un chatbot sul mio sito basato su un modello GPT?

Usare ChatGPT in azienda: gli obblighi pratici

Quando un'azienda usa uno strumento di IA generativa per le proprie attività interne, deve affrontare diversi profili di compliance, che spesso si sovrappongono. In primo luogo, c'è la protezione dei dati personali ai sensi del GDPR: ogni volta che si inserisce in un sistema generativo un'informazione che permette di identificare una persona — il nome di un cliente, l'email di un fornitore, i dati di un dipendente — si sta effettuando un trattamento di dati personali, e occorre verificare la base giuridica, l'informativa, eventuali trasferimenti extra-UE.

In secondo luogo, c'è la riservatezza e la proprietà intellettuale: caricare in ChatGPT documenti aziendali, contratti, codice sorgente, può comportare la rivelazione di informazioni protette. Bisogna verificare le condizioni d'uso del servizio specifico (alcuni piani business prevedono che i dati non vengano usati per addestrare ulteriormente il modello, altri piani consumer no), e bisogna formare il personale a non condividere informazioni sensibili.

In terzo luogo, c'è l'AI Act: l'uso di un sistema generativo in azienda è considerato un uso da deployer, e comporta in particolare l'obbligo di garantire la formazione del personale (art. 4, AI Literacy) e, se il sistema è usato per generare contenuti rivolti al pubblico, gli obblighi di trasparenza dell'art. 50 (etichettatura dei contenuti generati o manipolati artificialmente). Vi è poi un quarto profilo, di fonte nazionale: per i professionisti intellettuali, l'art. 13 della Legge 132/2025 impone di informare preventivamente il cliente dell'uso di strumenti di IA nella prestazione, in modo chiaro, semplice ed esaustivo, e stabilisce che il contributo intellettuale umano deve restare prevalente.

Integrare un modello GPAI nei propri prodotti

Più impegnativo è il caso di chi sviluppa un proprio software che integra un modello GPAI di terzi. Si pensi a una software house che costruisce un assistente virtuale per la clientela usando le API di un grande fornitore. In questo caso, l'azienda diventa essa stessa provider di un sistema di IA — il sistema che ha costruito sopra il modello — e assume tutti gli obblighi che derivano dal livello di rischio di quel sistema. Se il sistema è ad alto rischio (per esempio perché usato nel settore HR), gli obblighi sono pesanti: documentazione tecnica, sistema di gestione del rischio, registrazione, valutazione di conformità.

Inoltre, è fondamentale il rapporto contrattuale con il fornitore del modello: l'articolo 25 dell'AI Act prevede che fornitori e integratori si scambino le informazioni necessarie a garantire la conformità lungo la catena del valore. Per le aziende italiane questo significa rivedere i contratti con OpenAI, Anthropic, Google e altri fornitori per assicurarsi di avere accesso alle informazioni richieste e di aver disciplinato correttamente le responsabilità.

Come iusprivacy supporta le aziende che usano l'IA generativa

L'IA generativa è entrata nelle aziende molto più velocemente delle regole. Nella pratica, la maggior parte delle aziende italiane usa già strumenti come ChatGPT, ma senza una policy interna, senza formazione del personale, senza una valutazione dei rischi, senza informativa aggiornata. Questo è il punto su cui iusprivacy.eu interviene con un servizio dedicato di consulenza sull'uso dell'IA generativa in azienda.

Il servizio prevede una mappatura degli strumenti effettivamente in uso (spesso anche solo per dare visibilità a cosa il personale sta già facendo), la redazione di una policy aziendale chiara su cosa si può e non si può fare con questi strumenti, l'erogazione di formazione AI Literacy mirata sui rischi specifici dell'IA generativa, l'aggiornamento delle informative e dei contratti con i fornitori. Per chi integra modelli GPAI nei propri prodotti, si costruisce l'impianto di compliance completo in coordinamento con il team tecnico.