I modelli General Purpose Artificial Intelligence (GPAI): opportunità, compliance e rischi per le imprese

Oggigiorno l’intelligenza artificiale (IA) è sempre più evocata, in particolare, in ambienti lavorativi aziendali, dove la stragrande maggioranza ascolta, riflette, cerca di capire frequentando corsi di formazione – per la maggior parte erogati in versione elearning – ma, nei dettagli, non ne riesce ad inquadrare gli ambiti di applicazione. In altri termini, mentre l’IA si appresta a modificare processi organizzativi, ad introdurre nuovi schemi decisionali e a gestire le informazioni, le Risorse Umane e le parti sociali nutrono un’apparente preoccupazione con riguardo all’impatto occupazionale che ne potrebbe derivare nel prossimo futuro.

A tal proposito, nel tentativo di sgombrare il campo da tali preoccupazioni – per lo più connesse alla rapida affermazione di una rivoluzionaria tecnologia e, nel contempo, alla mancata consapevolezza di come essa si declina nella vita lavorativa di tutti i giorni, con il presente lavoro inizio l’illustrazione tematica di alcune componenti dell’IA partendo dai cc.dd. General Purpose Artificial Intelligence Models (GPAI), vale a dire modelli funzionali progettati e sviluppati per svolgere molteplici compiti mediante l’integrazione nelle diverse applicazioni aziendali.

Nel colmare il vuoto normativo in tale ambito, il legislatore europeo ha dedicato una specifica disciplina ai citati modelli – già in essere in diverse realtà aziendali – con l’adozione del Regolamento (UE) 2024/1689 (AI Act), laddove ha tracciato il perimetro legale di possibili applicazioni tecnologiche e di impatto nella realtà digitale che ci circonda.

I modelli GPAI: di cosa parliamo? 

Proprio l’AI Act viene in soccorso definendo il GPAI come un modello di intelligenza artificiale dotato di particolare capacità nell’eseguire molteplici attività costituendo un tutt’uno con i sistemi informatici operanti nelle diverse realtà aziendali o anche utilizzati a livello personale. Tra essi rientrano i modelli linguistici, conosciuti anche come LLM (Large Language Model)¹, nonché numerosi altri modelli multimodali in grado di elaborare testi, immagini, audio e altri contenuti digitali.

Caratteristica comune ai sistemi appena citati è la loro versatilità nel gestire diverse esigenze gestionali, rappresentando una vera e propria infrastruttura tecnologica capace di svolgere, contemporaneamente, attività diverse quali ad esempio, analisi dei dati aziendali, supporto alle decisioni manageriali, customer care o sicurezza informatica. Dunque, non un software per soddisfare una singola esigenza, ma uno stesso modello per tutte le attività sopra indicativamente elencate. Ed è proprio tale versatilità, impattante su una considerevole mole di dati e informazioni – sia aziendali, sia riguardanti le persone fisiche – ad aver indotto il legislatore europeo, in primis, a prevedere obblighi normativi a carico dei fornitori dei modelli GPAI e, indirettamente, incidendo sulla supply chain delle imprese utilizzatrici.

L’impiego dei GPAI nelle organizzazioni aziendali

Ma dove sono già utilizzati i modelli GPAI?

Sicuramente, nell’area amministrativa e finanziaria di diverse realtà aziendali i modelli GPAI sono già operativi; essi elaborano una grande quantità di dati, documenti, estraendo informazioni da contratti, fatture, note contabili così da individuare possibili incongruenze da segnalare a chi è deputato al controllo interno.

In altri termini, sono modelli che, basandosi sulla  logica della versatilità e della interoperabilità nelle diverse base dati aziendali riescono a produrre risultati con tempistiche notevolmente ridotte rispetto alle estenuanti verifiche che prima di essi venivano condotte manualmente.

Ma anche la gestione delle Risorse Umane è sempre più interessata dall’utilizzo dei GPAI; basti pensare al supporto nell’analisi dei curricula, nella selezione del personale, nella predisposizione delle job descriptions e nella conduzione e monitoraggio di percorsi formativi personalizzati. Ecco che appare evidente l’esigenza di adottare stringenti policy interne aziendali, sulla scorta della normativa europea e nazionale di riferimento, attesi i rischi legati ad un utilizzo non controllato dell’IA che, agendo su dati non esatti o incompleti ricavati dal dataset di addestramento degli algoritmi, potrebbero determinare pratiche discriminatorie nei confronti di dipendenti e/o candidati interessati.

Per non sottacere il massiccio utilizzo di chatbot e assistenti virtuali nei rapporti con la clientela, in grado di gestire richieste e reclami dei clienti o, semplicemente, fornire informazioni commerciali.

Inoltre, sempre più utilizzati risultano essere i GPAI in ambito cybersecurity e gestione dei rischi aziendali laddove, proprio la capacità di analizzare la grande mole di dati derivanti dai diversi sistemi informatici o da informazioni contenute in base dati di riferimento, contribuisce ad individuare attività potenzialmente fraudolenti, ovvero comportamenti anomali e/o altre pratiche illecite, permettendo agli addetti ai lavori di intervenire proattivamente e garantire continuità e regolarità al business e a tutte le altre funzioni aziendali.

E veniamo alla conformità normativa

Il vero punto dolente è la compliance dei modelli GPAI, già in uso, alla nuova normativa europea entrata effettivamente in vigore da qualche giorno e all’emananda normativa nazionale rappresentata dallo schema di decreto legislativo di adeguamento all’AI Act,  approvato, in via definitiva, dal Consiglio dei Ministri del 4 agosto u.s., dopo aver superato l’esame parlamentare e tenuto conto del parere dell’Autorità Garante per la Protezione dei Dati Personali.

Viene spontaneo anche chiedersi  finora quale è stata – e per certi versi – quale è ancora la normativa di riferimento applicata o applicabile a casi di danni ad entità individuali e/o collettive derivanti dall’uso “distorto” dei modelli di IA. A tal proposito, ai casi citati sarà applicata la normativa di cui al GDPR, al Codice Privacy e alle altre leggi vigenti del nostro ordinamento giuridico nazionale, oltre che, dal 2 febbraio 2025, alcune norme dell’AI Act.² e della legge n. 132/2025 (si veda il mio articolo pubblicato su S NEWS il 29 u.s. Intelligenza artificiale e responsabilità d’impresa: dall’AI Act al Digital Omnibus).

Pertanto, il riferimento principale è da individuarsi nel citato AI Act che, individuando una filiera di soggetti incisi, pone a capo di essi un sistema di obblighi differenziati a seconda del ruolo e della funzione svolta. Per cui, sono individuati i fornitori dei modelli GPAI, obbligati a predisporre e mantenere aggiornata una documentazione tecnica che consenta alle autorità competenti di verificare il rispetto della normativa analizzando le caratteristiche fondanti del modello; gli stessi fornitori devono, altresì,  mettere a disposizione degli sviluppatori, che intendono integrare il modello nei propri sistemi, informazioni adeguate sulle sue capacità, sui limiti operativi e sulle condizioni di utilizzo.

Non da meno, vanno attenzionate le disposizioni dell’AI Act che obbligano all’adozione di politiche di conformità al diritto d’autore e la pubblicazione di una sintesi concernente i contenuti utilizzati per l’addestramento dei modelli.

Se poi ci si riferisce a modelli avanzati, cc.dd. GPAI a rischio sistemico, gli obblighi sono maggiormente stringenti, comprendendo attività di valutazione e mitigazione dei rischi, oltre che misure avanzate di cybersecurity e puntuali meccanismi di segnalazione degli incidenti.

Come accennato poc’anzi, oltre all’AI Act, trova piena applicazione il GDPR, laddove l’utilizzo del modello comporti il trattamento di dati personali. In tali casi, la filiera di obbligati (fornitori, sviluppatori, deployer…) devono: individuare la base giuridica del trattamento, fornire informative adeguate, rispettare i principi di minimizzazione e limitazione delle finalità, adottare appropriate misure di sicurezza e, nei casi connotati da rischi elevati per i diritti e le libertà degli interessati, effettuare una valutazione d’impatto sulla protezione dei dati (DPIA).

Tutto quanto sopra per suggerire alla larga platea di soggetti che progettano, sviluppano, commercializzano e utilizzano strumenti basati su GPAI di approntare, laddove non ancora attuate, adeguate misure di governance interna, creando articolazioni organizzative con risorse competenti e poliedricamente capaci di porre in essere un’idonea “Sorveglianza Umana”³, affrontando tematiche legali, tecnologiche e di compliance integrata, definendo con estrema precisione,  ruoli e responsabilità contenuti in altrettante puntuali procedure di conformità normativa.

I GPAI nella prevenzione delle frodi aziendali: esempio concreto di applicazione

Sta riscuotendo sempre più interesse l’applicazione dei modelli GPAI in materia di prevenzione delle frodi, evidentemente derivante dalla ingente quantità di informazioni, transazioni economiche, dati derivanti da diverse fonti (lecitamente acquisite).

Dunque, un modello GPAI può essere addestrato ad analizzare simultaneamente fatture, flussi finanziari, comunicazioni interne, richieste di pagamento e dati contabili, individuando correlazioni e anomalie difficilmente rilevabili attraverso controlli umani tradizionali.

Addentrandoci più nel dettaglio, un modello GPAI potrebbe, ad esempio, segnalare pagamenti verso fornitori recentemente costituiti, rilevare modifiche sospette delle coordinate bancarie di un creditore oppure evidenziare una serie di operazioni effettuate con modalità incompatibili con la normale attività aziendale; tutte anomalie generatrici di alert successivamente valutati dagli operatori competenti, appositamente impiegati quali “Sorveglianti Umani”.

Riprendendo quanto riportato nell’incipit, circa il tentativo di fugare preoccupazioni occupazionali delle risorse umane, questa circostanza rappresenta proprio l’assunto che l’intelligenza artificiale non andrà a sostituisce l’essere umano, ma ne richiederà una maggiore preparazione legale e tecnologica tale da essere capace di  controllare e di consentire al decisore finale ciò che deve essere o non essere posto in essere in quel preciso contesto. 

Le possibili violazioni e le relative conseguenze sanzionatorie

Naturalmente, come è verosimile dedurre, ogni sistema tecnologicamente avanzato espone le imprese – e non solo – a rilevanti rischi di non conformità in ragione del fatto che, diritto e tecnologia, rispondendo a logiche totalmente diverse, nonostante promananti dalla stessa fonte umana,  devono sempre trovare un accordo per garantire il rispetto dei diritti e delle libertà fondamentali degli individui.

Per cui, cercando di elencare le principali non conformità alla normativa, una prima categoria di violazioni potrebbe riguardare l’AI Act laddove, i soggetti obbligati utilizzerebbero sistemi privi della documentazione richiesta, omettendo le necessarie verifiche sui rischi, non assicurando adeguate misure di supervisione umana oppure implementare soluzioni non assistite da adeguate regole di trasparenza e tracciabilità.

Così come si potrebbero violare disposizioni di cui alla normativa in materia di protezione dei dati personali, laddove la mancata individuazione di una legittima base giuridica che consenta un trattamento di dati personali utilizzando un modello IA, nonché l’assenza di adeguata informativa e di una DPIA qualora prescritta, esporrebbe i titolari del trattamento, i responsabili e i sub-responsabili – se ricorrenti – a sanzioni anche considerevoli.

Conclusioni

In conclusione, se è vero che i modelli GPAI rappresenteranno sempre più la soluzione da adottare per offrire alle imprese maggiori opportunità in termini di efficienza, innovazione e competitività, è pur vero che l’utilizzo degli stessi deve necessariamente prevedere una  gestione consapevole dei rischi giuridici, organizzativi ed etici connessi a tali tecnologie.

Dunque, più si tende ad un approccio strategico, cosciente e consapevole nell’utilizzare gli strumenti dell’IA, attraverso una compliance sostanziale – e non solo formale come si tende ancora oggi a concepire tale branca aziendale – più si potrà beneficiare dei risultati derivanti dall’applicazione dei modelli GPAI.

In definitiva, con specifico riferimento alle aziende, esse dovranno sempre più saper coniugare l’innovazione tecnologica con il rispetto delle regole di diritto, a presidio del rispetto dei diritti e delle libertà degli individui, in una visione segnatamente antropocentrica.

1. LLM (Large Language Model): rappresenta un sistema di intelligenza artificiale avanzato che, lavorando su una grande quantità di testi, documenti, libri, articoli, per lo più da internet, attraverso la capacità di apprendimento basata su reti neurali, è in  grado di produrre testi in linguaggio naturale e dialogare con gli esseri umani. Esempi di tali sistemi sono: ChatGPT, Gemini, OpenAI ed altri tuttora disponibili su piattaforme digitali. ↩︎
2. Trattandosi di regolamento UE, l’AI Act è già pienamente in vigore, a partire dal 2 febbraio 2025 u.s, per ciò che concerne la disciplina dell’uso di pratiche di IA vietate (social scoring, manipolazione subliminale, sfruttamento delle vulnerabilità, riconoscimento delle emozioni sul lavoro o a scuola, scraping massivo di immagini facciali….) elencate nell’art. 5 del citato Regolamento. Sono in vigore dal 2 agosto u.s., invece, – le altre disposizioni dell’AI Act di cui agli artt. 50 (violazione degli obblighi di trasparenza concernenti chatbot, deepfake, contenuti sintetici, riconoscimento delle emozioni), 52 (violazione delle procedure di vigilanza e cooperazione con le autorità (ACN-AgID, altre autorità europee)), 99 (fornitura di informazioni inesatte o fuorvianti alle autorità) e 101(Violazione degli obblighi applicabili ai modelli GPAI e GPAI a rischio sistemico). ↩︎
3. Sorveglianza umana: prescritta all’art. 14 dell’AI Act la human oversight per i sistemi di IA ad alto rischio dovrà garantire la capacità di una persona fisica di comprendere, interpretare, valutare gli output del sistema IA di riferimento, evitando le cc.dd. allucinazioni ovvero automation bias (letteralmente, pregiudizio da automazione) e intervenire in tempo reale per bloccare, correggere o ignorare ciò che il sistema produce in violazione della sicurezza e dei diritti fondamentali degli individui. ↩︎

L’Avv. Domenico Vozza è Senior Security Manager e Compliance Expert.