Nel Regolamento (UE) 2024/1689, l’articolo 55 impone ai fornitori di modelli di IA per finalità generali (GPAI) a rischio sistemico di segnalare gli incidenti gravi senza indebito ritardo all’Ufficio per l’IA e, quando opportuno, alle autorità nazionali competenti. L’articolo 73 disciplina invece le segnalazioni dei fornitori di sistemi di IA ad alto rischio e prevede scadenze legate alla gravità dell’incidente.
La distinzione conta: i termini del Codice di buone pratiche per l’IA per finalità generali non sono una scadenza universale prevista dall’articolo 55, e le scadenze dell’articolo 73 appartengono a un regime separato.
Chi deve segnalare ai sensi dell’articolo 55
L’articolo 55, paragrafo 1, lettera c), riguarda i fornitori di modelli GPAI classificati a rischio sistemico. Impone loro di monitorare e documentare le informazioni pertinenti sugli incidenti gravi e sulle possibili misure correttive, oltre a segnalarle senza indebito ritardo all’Ufficio per l’IA e, quando opportuno, alle autorità nazionali competenti. Gli obblighi per i fornitori GPAI si applicano dal 2 agosto 2025.
La norma non fissa un numero di giorni valido per ogni segnalazione: il criterio legale è «senza indebito ritardo». Non si può quindi attribuire automaticamente all’articolo 55 il termine di cinque giorni previsto dal Codice per una specifica categoria di violazioni informatiche.
Quando si applicano i tempi del Codice
Il Codice di buone pratiche offre una modalità volontaria per dimostrare la conformità. La Commissione europea ammette anche misure alternative adeguate: il calendario del Codice riguarda quindi chi assume quegli impegni, non tutti i fornitori soggetti all’articolo 55.
Per una grave violazione della sicurezza informatica, la misura 9.3 prevede un rapporto iniziale entro cinque giorni da quando il fornitore viene a conoscenza del coinvolgimento del modello. Se l’incidente non è risolto, gli aggiornamenti devono arrivare almeno ogni quattro settimane; il rapporto finale va presentato entro 60 giorni dalla risoluzione. La misura 9.4 prevede inoltre di conservare la documentazione per cinque anni, calcolati dalla data più recente tra quella della documentazione e quella dell’incidente.
Articolo 55 e articolo 73 a confronto
L’articolo 73 non estende i termini dell’articolo 55 ai modelli GPAI. Si applica ai fornitori di sistemi di IA ad alto rischio e indirizza la segnalazione all’autorità di vigilanza del mercato dello Stato membro in cui si è verificato l’incidente.
| Regime | Soggetti interessati | Destinatario | Tempistica | Natura |
| Articolo 55 | Fornitori di modelli GPAI a rischio sistemico | Ufficio per l’IA e, quando opportuno, autorità nazionali competenti | Senza indebito ritardo | Obbligo previsto dal regolamento |
| Codice di buone pratiche, misure 9.3 e 9.4 | Firmatari che assumono gli impegni del Codice, per gravi violazioni informatiche | Ufficio per l’IA e, se applicabile, autorità nazionali competenti | Rapporto iniziale entro 5 giorni dalla conoscenza del coinvolgimento del modello; aggiornamenti almeno ogni 4 settimane finché l’incidente resta irrisolto; rapporto finale entro 60 giorni dalla risoluzione | Impegni volontari nell’ambito del Codice |
| Articolo 73 | Fornitori di sistemi di IA ad alto rischio | Autorità di vigilanza del mercato dello Stato membro in cui è avvenuto l’incidente | Immediatamente una volta accertato il nesso causale, o la sua ragionevole probabilità; entro 15 giorni al massimo in generale, 2 giorni per i casi specifici previsti e 10 giorni nei casi di morte | Obbligo previsto dal regolamento, con termini condizionati |
Per l’articolo 73, il termine di due giorni riguarda le violazioni diffuse specificate dalla norma o i gravi incidenti che compromettono infrastrutture critiche. Nei casi di morte, il limite è di dieci giorni dalla conoscenza dell’incidente, nel rispetto delle condizioni previste sul nesso causale. I rapporti iniziali possono essere incompleti quando serve per rispettare i tempi; il fornitore deve poi indagare, valutare i rischi e adottare misure correttive.
Quando un incidente informatico legato a un modello può rientrare nell’articolo 55
La Commissione europea interpreta gli incidenti gravi ai fini degli obblighi GPAI includendo le violazioni gravi della sicurezza informatica legate al modello o alla sua infrastruttura fisica, come l’esfiltrazione dei pesi del modello e gli attacchi informatici. I suoi orientamenti non sono vincolanti, ma riflettono l’interpretazione della Commissione e guidano l’attività di vigilanza.
Hannes Bastians e Maarten Herbosch sostengono, in un’analisi giuridica, che la formulazione possa comprendere anche un incidente in cui il modello agisce da attaccante. È una lettura interpretativa, non una regola già definita per ogni caso: per valutare l’obbligo contano la gravità dell’incidente e il coinvolgimento del modello.
Che cosa cambia per i modelli in fase di sviluppo
La Commissione europea afferma che, in generale, l’AI Act non si applica alle attività di ricerca, test o sviluppo svolte prima che un modello sia immesso sul mercato o messo in servizio. Chiarisce però che alcuni obblighi relativi ai modelli GPAI, tra cui la valutazione e la mitigazione dei rischi, riguardano anche lo sviluppo di modelli destinati al mercato. Questa precisazione non determina da sola se un incidente specifico avvenuto durante lo sviluppo rientri nell’articolo 55: la risposta dipende dall’attività e dal modello coinvolti.
