MAGAZINE 02
IN BREVE
Un modello di intelligenza artificiale e un sistema di intelligenza artificiale non sono la stessa cosa. La distinzione può sembrare tecnica, ma nell’AI Act diventa giuridicamente decisiva.
Il modello costituisce il motore capace di elaborare input e generare risultati. Il sistema è invece ciò che utilizza quella capacità all’interno di una determinata architettura, per determinate finalità e in un concreto contesto d’uso.
Con i modelli di IA per finalità generali, o GPAI — General-Purpose AI models, compare inoltre una disciplina specifica che riguarda il modello indipendentemente dal singolo utilizzo finale.
Per l’avvocato comprendere questa architettura significa iniziare a formulare correttamente una domanda fondamentale: quando utilizzo uno strumento di intelligenza artificiale, che cosa sto realmente utilizzando e quale posizione occupo nella catena regolata dall’AI Act?
Dal concetto tecnico alla qualificazione giuridica
Nel percorso AI spiegata semplice abbiamo visto che, terminato il training, ciò che rimane non è una macchina che conserva semplicemente tutte le risposte incontrate durante l’addestramento.
Rimane un modello.
Il modello incorpora una struttura matematica e una serie di parametri appresi durante il training e può essere utilizzato per elaborare nuovi input.
Ma questo non significa ancora che modello e sistema coincidano.
È proprio qui che la distinzione tecnica tra modello e sistema comincia ad acquistare rilevanza giuridica.
L’AI Act disciplina infatti separatamente sistemi di IA e modelli di IA per finalità generali. La stessa Commissione europea evidenzia che i modelli vengono normalmente integrati nei sistemi e che le due categorie sono sottoposte a discipline differenti, sebbene tra loro collegate.
In termini semplici
Possiamo rappresentare il rapporto così:
MODELLO → integrazione → SISTEMA → utilizzo concreto → OUTPUT
Il modello mette a disposizione determinate capacità.
Il sistema organizza quelle capacità all’interno di un prodotto, servizio o processo.
L’utilizzatore interagisce normalmente con il sistema.
E il sistema produce un risultato nel contesto per il quale viene utilizzato.
È una semplificazione, ma è utile per comprendere la struttura normativa.
Che cos’è un sistema di IA per l’AI Act
L’articolo 3 dell’AI Act contiene la definizione normativa di sistema di IA.
Gli elementi essenziali sono l’automazione, la possibilità di operare con differenti livelli di autonomia, l’eventuale adattabilità successiva alla diffusione e soprattutto la capacità di dedurre dagli input ricevuti come generare output quali previsioni, contenuti, raccomandazioni o decisioni capaci di influenzare ambienti fisici o virtuali.
Questa definizione è fondamentale perché impedisce di identificare l’intelligenza artificiale semplicemente con un programma informatico.
Il concetto normativo guarda al funzionamento del sistema.
Per il giurista questo passaggio è importante: prima di chiedersi quali obblighi siano applicabili, occorre comprendere che cosa stiamo qualificando.
E il modello?
Qui occorre una precisazione.
L’AI Act non costruisce una disciplina generale autonoma per qualunque possibile modello di IA nello stesso modo in cui definisce il sistema di IA. Introduce invece una categoria specifica:
modello di IA per finalità generali — General-Purpose AI model, GPAI.
Un GPAI è, in sintesi, un modello caratterizzato da una significativa generalità e capace di svolgere competentemente un’ampia gamma di compiti differenti, potendo essere integrato in numerosi sistemi o applicazioni downstream.
Il termine downstream significa letteralmente “a valle”.
Nel contesto dell’AI Act indica ciò che avviene successivamente nella catena del valore: un soggetto può prendere un modello sviluppato da altri e integrarlo in un proprio sistema o servizio.
Ed è proprio questa possibilità di integrazione che aiuta a comprendere perché il legislatore abbia distinto modello e sistema.
Un esempio vicino allo studio legale
Immaginiamo un modello linguistico capace di elaborare testo.
Quel modello potrebbe essere utilizzato per moltissime attività.
Un’impresa potrebbe integrarlo in un sistema destinato al servizio clienti.
Un’altra potrebbe utilizzarlo per creare un assistente alla programmazione.
Un’altra ancora potrebbe costruire una piattaforma destinata alla ricerca documentale.
Infine, un fornitore potrebbe inserirlo in un servizio utilizzato dagli avvocati per interrogare documenti e predisporre bozze.
Il modello può essere lo stesso.
Cambiano però il sistema nel quale viene integrato, la finalità, i dati trattati, le funzionalità aggiuntive, il contesto d’impiego e i soggetti coinvolti.
Dal punto di vista giuridico queste differenze possono essere decisive.
Il modello non eredita automaticamente la qualificazione del sistema
Questa è probabilmente una delle conseguenze più importanti della distinzione.
Il fatto che un modello possa essere utilizzato all’interno di un determinato sistema non significa che il modello e quel sistema siano giuridicamente la stessa cosa.
La Commissione chiarisce che le disposizioni riguardanti i sistemi dipendono dal relativo contesto d’uso, mentre quelle dedicate ai GPAI riguardano il modello stesso, indipendentemente dal suo impiego finale.
Ne deriva una struttura regolatoria che possiamo rappresentare così:
MODELLO GPAI
↓
obblighi propri del provider del modello
↓
INTEGRAZIONE
↓
SISTEMA DI IA
↓
regole applicabili al sistema in funzione delle sue caratteristiche e del suo utilizzo.
Non dobbiamo quindi chiedere soltanto:
«Quale modello utilizza questo prodotto?»
Occorre chiedere anche:
«In quale sistema è stato integrato e per quale finalità viene utilizzato?»
Chi è il provider
Anche provider, normalmente tradotto nell’AI Act italiano come fornitore, è un termine tecnico-giuridico.
Non identifica semplicemente chi vende software.
L’articolo 3 collega questa qualifica al soggetto che sviluppa — o fa sviluppare — un sistema di IA o un modello GPAI e lo immette sul mercato oppure, nel caso del sistema, lo mette in servizio con il proprio nome o marchio.
La qualificazione soggettiva conta perché l’AI Act distribuisce gli obblighi lungo la catena dell’intelligenza artificiale.
E chi è il deployer?
Il deployer è invece, in termini semplificati, il soggetto che utilizza un sistema di IA sotto la propria autorità nell’ambito della propria attività, salvo l’uso personale non professionale.
Non coincide necessariamente con il provider.
Questo concetto diventerà particolarmente importante quando analizzeremo l’impiego professionale dell’intelligenza artificiale.
Un avvocato che utilizza un servizio AI non diventa per questo automaticamente provider del modello sottostante.
Ma la qualificazione concreta non può essere stabilita mediante formule astratte: dipende da ciò che il soggetto effettivamente fa, dal prodotto utilizzato e dall’eventuale integrazione o modifica del sistema.
Il downstream provider
L’AI Act introduce inoltre la figura del fornitore a valle — downstream provider.
È il provider di un sistema di IA che integra un modello di IA, indipendentemente dal fatto che il modello provenga da un soggetto diverso oppure sia fornito dalla stessa organizzazione attraverso un’integrazione verticale.
La catena diventa allora più chiara:
provider del modello → downstream provider → sistema → deployer → utilizzo concreto
Non sempre saranno presenti soggetti diversi per ciascun passaggio.
Ma questa rappresentazione permette di comprendere perché, quando analizziamo uno strumento utilizzato nello studio legale, conoscere semplicemente il nome commerciale del servizio può non essere sufficiente.
Gli obblighi dei provider GPAI
L’articolo 53 dell’AI Act disciplina specificamente gli obblighi dei provider dei modelli GPAI.
Tra gli elementi principali rientrano la documentazione tecnica del modello, le informazioni necessarie ai soggetti che intendono integrarlo nei propri sistemi, una politica diretta al rispetto della disciplina europea sul diritto d’autore e la pubblicazione di una sintesi sufficientemente dettagliata dei contenuti utilizzati per l’addestramento secondo il modello predisposto dall’AI Office.
Il secondo punto è particolarmente importante.
Il legislatore considera espressamente la possibilità che un soggetto sviluppi il modello e un altro lo integri nel proprio sistema.
La documentazione deve quindi consentire al provider del sistema a valle di comprendere capacità e limiti del modello e di adempiere ai propri obblighi.
La distinzione tecnica diventa così architettura della responsabilità regolatoria.
GPAI con rischio sistemico
Non tutti i GPAI sono trattati nello stesso modo.
L’articolo 51 individua i modelli di IA per finalità generali con rischio sistemico.
Il concetto di rischio sistemico riguarda rischi connessi alle capacità di impatto elevato dei modelli GPAI che possono produrre effetti significativi nel mercato dell’Unione o conseguenze negative su larga scala per salute pubblica, sicurezza, diritti fondamentali o società nel suo complesso.
Per tali modelli l’articolo 55 introduce obblighi ulteriori, riguardanti tra l’altro valutazione del modello, adversarial testing, valutazione e mitigazione dei rischi sistemici, gestione degli incidenti gravi e cibersicurezza.
Attenzione
GPAI e GPAI con rischio sistemico non sono sinonimi.
Il secondo costituisce una categoria sottoposta a requisiti ulteriori.
I considerando aiutano a capire il perché della norma
Gli articoli ci dicono che cosa prescrive il Regolamento.
I considerando sono invece particolarmente utili per comprenderne il contesto, la ratio e l’architettura complessiva.
Nel caso dei GPAI spiegano un elemento essenziale: i modelli possono essere componenti fondamentali di molti sistemi differenti e possono essere immessi sul mercato attraverso molteplici modalità.
È proprio la loro capacità di essere riutilizzati e integrati in numerose applicazioni a rendere insufficiente una regolazione concentrata esclusivamente sul prodotto finale.
Per HUMAIURIS questo metodo diventerà sistematico:
articolo → considerando pertinenti → interpretazione istituzionale → conseguenza professionale.
Le Guidelines della Commissione
Accanto alla norma occorre distinguere le fonti interpretative.
Le Guidelines sui GPAI della Commissione chiariscono come la Commissione interpreta l’ambito degli obblighi previsti dall’AI Act per i provider di modelli GPAI.
Non sono una fonte normativa equivalente al Regolamento e la stessa Commissione precisa che non sono giuridicamente vincolanti. Sono però particolarmente importanti per comprendere l’interpretazione istituzionale che guiderà anche l’enforcement.
Guidelines della Commissione sui provider di modelli GPAI
E il GPAI Code of Practice?
Un’altra distinzione importante.
Il General-Purpose AI Code of Practice non è l’AI Act e non deve essere presentato come se fosse una fonte normativa primaria.
È uno strumento volontario di compliance che aiuta i provider a dimostrare l’adempimento degli obblighi relativi, in particolare, a trasparenza, copyright e — per i modelli interessati — safety e security.
General-Purpose AI Code of Practice
Questa distinzione tra norma → Guidelines → Code of Practice è essenziale per evitare di attribuire lo stesso valore giuridico a documenti che svolgono funzioni differenti.
Il quadro italiano
La distinzione non rimane estranea alla disciplina nazionale.
La legge italiana n. 132/2025 si inserisce nel quadro europeo e disciplina anche l’utilizzo dell’IA nelle professioni intellettuali. La normativa nazionale deve quindi essere letta insieme all’AI Act e non come un sistema regolatorio autonomo alternativo.
Per l’avvocato il punto fondamentale rimane antropocentrico.
L’intelligenza artificiale è strumento della prestazione professionale, non il soggetto che assume la responsabilità della prestazione.
Ed è proprio per questo che capire quale tecnologia si sta utilizzando non costituisce una curiosità informatica.
È parte della capacità del professionista di governare consapevolmente lo strumento.
Perché interessa concretamente l’avvocato
Quando uno studio legale valuta uno strumento AI, dovrebbe progressivamente imparare a porre almeno queste domande:
- Qual è il sistema che sto utilizzando?
- Quale modello o quali modelli utilizza?
- Il modello è un GPAI?
- Chi è il provider del sistema?
- Chi è il provider del modello?
- Il sistema utilizza servizi o modelli di soggetti terzi?
- Quali dati vengono trasmessi e a chi?
- Gli input vengono utilizzati per ulteriori attività di training o miglioramento?
- Dove vengono conservati i dati?
- Quale controllo mantiene concretamente l’avvocato sull’output?
Queste domande ci conducono direttamente verso il Lab.
Ma non ancora.
Prima dobbiamo completare alcune fondamenta tecniche, perché termini come parametro, peso, probabilità, token, embedding e RAG devono essere compresi prima di essere utilizzati in una metodologia professionale.
Il concetto fondamentale
Modello e sistema non sono sinonimi.
Un modello fornisce capacità che possono essere utilizzate in applicazioni differenti.
Un sistema utilizza quelle capacità all’interno di un determinato contesto e per determinate finalità.
L’AI Act tiene conto di questa differenza e costruisce attorno ad essa una parte importante della propria architettura regolatoria.
Per l’avvocato comprenderla significa iniziare a leggere l’intelligenza artificiale non come una scatola nera chiamata genericamente “AI”, ma come una catena tecnologica e giuridica composta da soggetti, modelli, sistemi, dati, finalità e responsabilità.
Ed è da qui che inizieremo a costruire il metodo professionale HUMAIURIS.
Continua il percorso
Approfondisci il quadro:
AI Literacy — il percorso strutturato per comprendere l’intelligenza artificiale prima di utilizzarla professionalmente.
Prossimo passo tecnico:
AI SPIEGATA SEMPLICE 09 — Parametri e pesi. Dove resta ciò che il modello ha imparato.
Sviluppo professionale programmato:
Provider e deployer nell’AI Act: il ruolo dell’avvocato nella catena dell’IA, quindi la checklist per la valutazione degli strumenti utilizzati nello studio legale.
Fonti istituzionali
La base normativa resta il Regolamento (UE) 2024/1689, utilizzato nella versione consolidata vigente; per l’interpretazione dei GPAI sono pertinenti le Guidelines e le Q&A della Commissione. Il Code of Practice viene utilizzato esclusivamente secondo la sua funzione di strumento volontario di compliance.
AI Act — EUR-Lex, testo consolidato vigente
Guidelines GPAI — Commissione europea
Q&A sui GPAI — Commissione europea
GPAI Code of Practice — Commissione europea
Legge italiana n. 132/2025 — Gazzetta Ufficiale