Lo scorso 11 marzo l’Ufficio Europeo per l’AI ha pubblicato la terza bozza, redatta da esperti indipendenti, del Codice di buone pratiche previsto dall’art. 56 AI Act con riferimento ai modelli di AI per finalità generali ed ai modelli di AI per finalità generali con rischio sistemico.
La terza bozza è destinata ad essere l’ultima bozza del Codice: la versione finale del documento si baserà su questo draft e sui commenti ricevuti dagli stakeholder nel corso della consultazione pubblica conclusasi pochi giorni fa, il 30 marzo 2025. La versione finale del Codice è attesa per il 2 maggio 2025.
Rispetto alle prime due versioni del documento (qui il nostro articolo di commento alla seconda bozza pubblicata il 19 dicembre 2024), la terza bozza presenta una struttura più snella e pratica, con l’obiettivo di perfezionare e rendere più chiari gli impegni e le misure a carico dei fornitori di modelli di AI per finalità generali (General Purpose AI – “GPAI”). In quest’ottica, il documento non contiene più l’indicazione separata – per ciascuna delle misure prescritte – di indicatori di prestazione (KPI – Key Performance Indicators) in base ai quali valutare la compliance dei fornitori al Codice, ma li incorpora all’interno del catalogo delle misure in un ulteriore sforzo di chiarezza e semplificazione.
Per quanto concerne in particolare la conformità all’art. 53(1)(c) AI Act in materia di diritto d’autore, il Codice individua le seguenti misure fondamentali:
- Redigere, aggiornare ed implementare una policy interna per la compliance con la normativa UE a protezione del copyright. Si prevede ora che la policy debba essere contenuta in un documento unico, invitando i fornitori a pubblicare periodicamente una sintesi aggiornata della policy.
- Garantire che le attività di text and data mining effettuate per l’addestramento del modello di AI riguardino opere protette dal diritto d’autore a cui il fornitore ha legittimo accesso. A tal riguardo:
2.1) Non eludere le misure tecnologiche di protezione adottate a tutela di opere protette dal diritto d’autore accessibili sul web, come i paywall;
2.2) Impiegare misure ragionevoli per escludere dall’attività di web crawling per l’addestramento del modello, i siti già noti – anche per essere stati oggetto di controversie giudiziarie – per ospitare contenuti in violazione del diritto d’autore (c.d. siti pirata). Una lista di siti pirata redata dalle istituzioni UE verrà a breve pubblicata sul web.
- Riconoscere e rispettare una dichiarazione di riserva (c.d. opt-out) espressa dal titolare dei diritti a norma dell’art. 4, par. 3, della direttiva UE 2019/790 e, a tal fine:
3.1) Utilizzare web crawler in grado di riconoscere e rispettare dichiarazioni di opt-out espresse tramite Robot exclusion protocol (robots.txt);
3.2) Impiegare i massimi sforzi, in proporzione alle dimensioni e capacità del fornitore, per identificare una dichiarazione di opt-out espressa dal titolare dei diritti mediante strumenti diversi dal Robot exclusion protocol – ad esempio mediante l’utilizzo di metadati – che risultino adottati come standard tecnologico intersettoriale ovvero generalmente riconosciuti come “stato dell’arte” della tecnologia;
3.3) Adottare misure ragionevolmente idonee a consentire ai titolari dei diritti di ottenere informazioni sui web crawlers utilizzati dal fornitore e sulle altre misure tecniche impiegate per riconoscere e rispettare una dichiarazione di opt-out, ad esempio pubblicando tali informazioni ed i loro aggiornamenti.
- Adoperare ragionevoli sforzi per verificare la conformità al diritto d’autore di data set di terze parti (ossia non creati direttamente dal fornitore del modello mediante attività di text and data mining), verificando in particolare che i web crawlers utilizzati dal fornitore del data set siano in grado di riconoscere e rispettare una dichiarazione di opt-out espressa tramite Robot exclusion protocol. Non è tuttavia richiesta la verifica di ciascun elemento contenuto nel data set.
- Minimizzare il rischio che il modello possa generare ripetutamente contenuti (output) in violazione del diritto d’autore e a tal fine:
5.1) adoperare ragionevoli sforzi per minimizzare il rischio che il modello possa memorizzare in fase di addestramento contenuti protetti dal diritto d’autore in misura tale da generare ripetutamente output in violazione del copyright (c.d. overfitting del modello);
5.2) vietare contrattualmente di utilizzare il modello per generare output in violazione del diritto d’autore. Il divieto non si applica ai modelli rilasciati con licenza open-source.
- Designare un punto di contatto per le interlocuzioni con i titolari dei diritti e fornire informazioni adeguate e facilmente accessibili su di esso; predisporre una procedura telematica di reclamo accessibile dai titolari dei diritti e dai loro rappresentanti, inclusi gli organismi di gestione collettiva, con diritto del fornitore di disattendere i reclami manifestamente infondati.
Malgrado il Codice sia ormai in fase di finalizzazione, non sono escluse ulteriori modifiche da qui al 2 maggio 2025: nelle premesse alla terza bozza si osserva che il documento non contiene ancora quel livello di chiarezza e coerenza che l’Ufficio Europeo per l’AI si aspetta dalla versione finale del Codice.
Nel frattempo, peraltro, l’ultima bozza del Codice è già finita nel mirino dei rappresentanti delle industrie culturali e creative in Europa, che lamentano un sensibile affievolimento delle misure a protezione del copyright rispetto alle prime due bozze, con particolare riferimento agli impegni richiesti al fornitore per verificare la conformità dei data set di terze parti (sul punto, l’attuale draft passa dall’indirizzare i fornitori a intraprendere un’adeguata due diligence sui dataset di terze parti, a quella, di fatto, di compiere solo “sforzi ragionevoli” che includono semplicemente il controllo del sito web del terzo e solo laddove tale set di dati sia stato costruito mediante web crawling).
L’Ufficio ha inoltre reso noto che, parallelamente ai lavori del Codice, proseguono le interlocuzioni con gli stakeholder per delineare il modello di sintesi dei contenuti utilizzati per l’addestramento che i fornitori di GPAI dovranno redigere e mettere a disposizione del pubblico a norma dell’art. 53(1)(d) AI Act. Durante il gruppo di lavoro sul Codice di buone pratiche, l’Ufficio riferirà in merito ai riscontri ricevuti dalle parti interessate e delineerà le prossime fasi per l’adozione del modello.
Terza bozza del Codice di buone pratiche AI con riferimento alla Sezione Copyright
Il documento completo è disponibile sul sito dell’Ufficio Europeo per l’AI al seguente link: https://digital-strategy.ec.europa.eu/en/library/third-draft-general-purpose-ai-code-practice-published-written-independent-experts