Il 10 luglio 2025, a seguito della presentazione da parte dei presidenti e dei vicepresidenti nella plenaria di chiusura, la Commissione UE ha ricevuto e pubblicato la versione definitiva del Codice di buone pratiche previsto dall’art. 56 AI Act con riferimento ai modelli di AI per finalità generali ed ai modelli di AI per finalità generali con rischio sistemico. Entro il prossimo 2 agosto, l’AI Office valuterà il documento e potrà approvarlo mediante una decisione di adeguatezza.
Ricordiamo che il Codice – messo a punto da 13 esperti indipendenti dopo aver sentito oltre 1.000 attori del settore – individua una serie di linee guida a cui, in assenza di una norma armonizzata, i fornitori di modelli di AI per finalità generali (General Purpose AI – “GPAI”) dovranno attenersi nei due anni che intercorrono tra l’entrata in vigore dei primi obblighi imposti dall’AI Act (agosto 2025) e l’adozione degli standard (agosto 2027). La versione finale del documento, di quasi 60 pagine, è strutturata in tre parti dedicate rispettivamente a trasparenza, copyright, sicurezza e protezione.
Per quanto concerne in particolare la sezione dedicata al diritto d’autore, il confronto con le prime versioni del documento (qui il nostro articolo di commento alla terza bozza pubblicata lo scorso 11 marzo e qui il commento alla seconda bozza pubblicata il 19 dicembre 2024) mette in luce poche modifiche di carattere sostanziale rispetto alla precedente bozza. La più rilevante è senza dubbio l’eliminazione della misura che imponeva ai provider di verificare la conformità al diritto d’autore di data set di terze parti (ossia non creati direttamente dal fornitore del modello mediante attività di text and data mining), verificando in particolare che i web crawlers utilizzati dal fornitore del data set fossero in grado di riconoscere e rispettare una dichiarazione di opt-out espressa tramite Robot exclusion protocol. Nella versione finale del Codice questa misura è del tutto assente, con l’effetto di alleggerire in maniera significativa il dovere di diligenza dei provider circa l’origine dei dati di addestramento non raccolti direttamente.
Risultano, invece, rafforzate le misure tecniche imposte ai fornitori di GPAI in relazione all’attività di web crawling. I provider hanno ora l’obbligo di evitare i siti web già segnalati dalle autorità per ospitare contenuti in violazione del diritto d’autore (c.d. siti pirata), la cui lista sarà aggiornata in via continuativa e pubblicata dall’AI Office. Si incoraggia poi l’impiego di web crawler in grado di riconoscere il protocollo robots.txt per il rispetto delle dichiarazioni di opt-out dei titolari dei diritti, con maggiore enfasi sull’implementazione di misure alternative da definire di concerto con gli stakeholder. Rispetto alla bozza precedente, si rileva una maggiore apertura alla standardizzazione e alla co-regolamentazione con i titolari dei diritti.
Da segnalare anche le novità riguardanti gli output in chiave anti-plagio: per un verso, si passa da un approccio teso a minimizzare il rischio che il modello memorizzi in fase di addestramento contenuti protetti dal diritto d’autore in misura tale da generare ripetutamente output in violazione del copyright (c.d. overfitting), ad un vero e proprio impegno ad adottare misure tecniche adeguate e proporzionate per impedire la generazione di contenuti in violazione del diritto d’autore; per altro verso, si estende anche ai modelli GPAI rilasciati con licenza open source l’obbligo di segnalare all’utente nella documentazione contrattuale il divieto di generare output in violazione di copyright. Si realizza così un compromesso tra esigenze di responsabilizzazione degli sviluppatori open source e natura della licenza.
Una volta approvato dagli Stati membri e dalla Commissione, il Codice di buone pratiche offrirà ai fornitori di GPAI che lo sottoscriveranno volontariamente, la possibilità di dimostrare la conformità alle obbligazioni pertinenti dell’AI Act. I sottoscrittori godranno infatti di un onere della prova meno gravoso e di maggiori certezze giuridiche rispetto ai provider che sceglieranno modalità alternative di compliance. Il Codice sarà accompagnato dalle nuove linee guida della Commissione UE – che anticiperanno l’entrata in vigore delle disposizioni dell’AI Act sui GPAI (2 agosto 2025) – volte a delimitare l’ambito di applicazione delle regole sui GPAI.