AI Act 2026, controlli UE sui modelli di intelligenza artificiale: indagini, codice sorgente e diritto di difesa

L’Unione europea entra in una fase più concreta dell’applicazione dell’AI Act. Non si parla più soltanto di principi, obblighi e categorie di rischio: vengono definite anche le procedure con cui la Commissione europea potrà valutare e controllare i modelli di intelligenza artificiale per finalità generali, chiedere accesso tecnico ai sistemi, utilizzare esperti indipendenti e, nei casi urgenti, adottare misure provvisorie.

Le nuove regole sono contenute nel Regolamento di esecuzione (UE) 2026/1755 della Commissione, del 20 luglio 2026, pubblicato nella Gazzetta Ufficiale italiana, 2ª Serie Speciale – Unione Europea n. 71 del 10 settembre 2026, a partire da pagina 492. Il provvedimento attua specificamente alcuni procedimenti previsti dal Regolamento (UE) 2024/1689, cioè l’AI Act.

La novità è importante soprattutto per chi sviluppa grandi modelli di IA: in determinate circostanze un controllo europeo potrà arrivare molto più in profondità di una semplice richiesta di documenti.

Che cosa cambia con il nuovo regolamento

L’AI Act è il regolamento europeo che stabilisce le regole armonizzate sull’intelligenza artificiale. Il Regolamento di esecuzione 2026/1755 non riscrive quelle regole e non introduce un nuovo AI Act.

Fa qualcosa di diverso: stabilisce come devono funzionare concretamente alcuni poteri già attribuiti alla Commissione europea.

Il provvedimento riguarda in particolare le valutazioni e determinati procedimenti relativi ai fornitori di modelli di IA per finalità generali.

Con questa espressione si intendono, nel contesto dell’AI Act, modelli di intelligenza artificiale destinati a svolgere un’ampia gamma di compiti e utilizzabili all’interno di numerosi sistemi o applicazioni.

In termini semplici: l’Europa aveva già stabilito le regole del gioco. Ora definisce meglio come può entrare in campo l’arbitro quando deve effettuare una valutazione o contestare una possibile violazione.

La Commissione può chiedere di accedere direttamente al modello

Uno degli aspetti più rilevanti riguarda l’accesso tecnico.

Quando la Commissione adotta una decisione che richiede l’accesso a un modello di IA per finalità generali, deve precisare mezzi tecnici, strumenti, componenti, condizioni e termine entro il quale il fornitore deve consentire l’accesso.

Può anche stabilire requisiti tecnici minimi relativi, per esempio, a prestazioni, latenza e capacità effettiva necessarie alla valutazione.

Non si tratta necessariamente, quindi, di chiedere all’azienda una relazione scritta sul funzionamento del modello.

L’accesso può comprendere API, accesso interno, codice sorgente, pesi del modello e infrastruttura utilizzata per ospitare l’IA. Può inoltre consentire di ispezionare e modificare lo stato del sistema durante l’interazione con il modello. Il regolamento precisa persino che l’accesso può comprendere i livelli di accesso concessi ai dipendenti del fornitore.

Cosa sono API, codice sorgente e pesi del modello

Sono termini tecnici, ma il concetto può essere tradotto facilmente.

Le API – Application Programming Interfaces sono strumenti che permettono a programmi e servizi informatici di comunicare con un sistema. Nel caso di un modello di IA possono consentire di interagire con il modello in maniera strutturata.

Il codice sorgente è l’insieme delle istruzioni software scritte dagli sviluppatori.

I pesi del modello sono invece i parametri numerici appresi dal modello durante il processo di addestramento e costituiscono una componente essenziale del suo funzionamento.

Il regolamento prevede quindi diversi possibili livelli di accesso. Quello effettivamente richiesto deve però essere adeguato agli obiettivi della valutazione.

Questo è un punto fondamentale: il testo non stabilisce che ogni controllo europeo comporterà automaticamente la consegna del codice sorgente o dei pesi del modello.

Stabilisce che tali forme di accesso possono essere comprese quando necessarie alla valutazione.

Il fornitore non può ostacolare tecnicamente il controllo

Quando viene richiesto l’accesso, il fornitore deve fare in modo che non esistano limitazioni tecniche o di altra natura capaci di ostacolare materialmente una valutazione adeguata.

Il regolamento arriva a prevedere che la Commissione possa imporre al fornitore di disabilitare determinate misure di registrazione che potrebbero tracciare o registrare l’accesso della Commissione al modello, nella misura necessaria a preservare integrità e riservatezza del processo di valutazione.

È un passaggio che rende evidente quanto tecniche possano diventare queste verifiche.

Non siamo davanti soltanto a un controllo amministrativo basato sulla lettura di moduli e certificazioni: in determinate valutazioni la Commissione può avere bisogno di osservare direttamente il comportamento e la struttura tecnica del modello.

Entrano in gioco esperti indipendenti

La Commissione può utilizzare esperti indipendenti per effettuare valutazioni per suo conto.

Il regolamento disciplina anche il modo in cui questi esperti vengono scelti.

La Commissione può pubblicare un invito a manifestare interesse e creare un elenco permanente di specialisti dal quale selezionare successivamente gli esperti. Può inoltre nominare direttamente componenti del gruppo di esperti scientifici istituito dall’AI Act.

Ma essere tecnicamente competenti non basta.

L’esperto deve anche essere realmente indipendente.

Come viene controllata l’indipendenza degli esperti

La Commissione deve valutare eventuali rapporti tra l’esperto e le aziende interessate.

Tra gli elementi presi in considerazione figurano assetti condivisi di proprietà, governance, gestione, personale o risorse, precedenti incarichi e rapporti contrattuali intercorsi con il fornitore interessato o con altri fornitori almeno nei 12 mesi precedenti alla valutazione.

L’esperto deve rimanere indipendente per tutta la durata dell’incarico e presentare una dichiarazione di interessi.

Anche la riservatezza è centrale.

Gli esperti devono proteggere segreti aziendali e altre informazioni sensibili e mantenere adeguati protocolli di sicurezza.

Il fornitore interessato non è completamente passivo: può presentare osservazioni motivate sugli esperti nominati qualora ritenga che non siano rispettati i requisiti previsti.

Come parte un procedimento europeo

Il regolamento disciplina poi l’apertura vera e propria dei procedimenti.

La Commissione può avviare un procedimento in vista dell’eventuale adozione delle decisioni previste dall’articolo 101 dell’AI Act nei confronti della condotta dei fornitori di modelli di IA per finalità generali.

Un aspetto particolarmente importante è che alcuni poteri della Commissione possono essere esercitati anche prima dell’apertura formale del procedimento.

E nei casi urgenti può accadere qualcosa di ancora più incisivo.

Nei casi gravi può arrivare uno stop provvisorio

Quando esiste un’urgenza dovuta al rischio di un grave danno per la salute, a esigenze di sicurezza o ad altri interessi pubblici tutelati dall’AI Act, la Commissione può adottare misure provvisorie nei confronti del fornitore.

Il testo contempla espressamente anche il divieto di mettere a disposizione sul mercato un modello di IA per finalità generali.

Per una misura di questo tipo il regolamento parla di una constatazione prima facie di una violazione dell’AI Act.

Prima facie è un’espressione giuridica latina che, in questo contesto, può essere tradotta come una valutazione iniziale basata sugli elementi disponibili.

In sostanza, in presenza delle condizioni di urgenza previste, non è necessario aspettare necessariamente la conclusione dell’intero procedimento prima di adottare una misura provvisoria.

Un esempio pratico

Immaginiamo un grande modello di IA utilizzato attraverso numerosi servizi europei.

Durante una verifica emergono elementi che fanno ritenere alla Commissione che il modello possa provocare un grave rischio riconducibile alle condizioni previste dall’AI Act.

Aspettare mesi per concludere ogni passaggio del procedimento potrebbe rendere inefficace l’intervento.

La logica della misura provvisoria è simile a quella utilizzata quando un'autorità sospende temporaneamente un'attività in presenza di un pericolo urgente: prima si contiene il rischio, poi il procedimento continua secondo le garanzie previste dalla legge.

Questo esempio serve a comprendere il meccanismo; non significa che ogni problema riscontrato in un modello di IA comporti automaticamente il blocco del prodotto.

Il procedimento può anche essere chiuso senza sanzioni

L’apertura di un procedimento non significa automaticamente che il fornitore abbia violato la normativa.

Se, dopo l’apertura, la Commissione stabilisce che non esistono motivi per adottare una decisione ai sensi dell’articolo 101, il procedimento viene chiuso mediante decisione.

In alcuni casi può però essere riaperto.

Il regolamento cita, tra le circostanze possibili, misure risultate inefficaci, impegni non rispettati, decisioni precedentemente fondate su informazioni incomplete, inesatte o fuorvianti oppure una modifica significativa dei rischi sistemici posti a livello dell’Unione dal modello interessato.

L’azienda ha diritto a conoscere le contestazioni e difendersi

Ai poteri di controllo vengono affiancate precise garanzie procedurali.

Quando riceve le constatazioni preliminari, il fornitore può presentare alla Commissione osservazioni scritte e prove.

Il termine stabilito dalla Commissione non può essere inferiore a 21 giorni.

Le informazioni devono essere corrette, complete, non fuorvianti, chiare e ben strutturate.

Le osservazioni possono essere redatte in una delle lingue ufficiali dell’Unione europea. Se i documenti di supporto sono redatti in una lingua che non è ufficiale nell’UE, devono essere accompagnati da una traduzione fedele in una lingua ufficiale.

Anche questo passaggio è importante: contestazione non significa condanna.

Il fornitore deve poter presentare la propria versione dei fatti e le prove a sostegno della propria posizione.

C’è persino un limite per le memorie difensive

Il regolamento entra in dettagli molto pratici.

L’allegato stabilisce che le osservazioni scritte non devono superare 50 pagine. Gli allegati puramente probatori e strumentali non vengono conteggiati nel limite, purché siano proporzionati per numero e lunghezza.

Vengono specificati anche formato, dimensioni dei caratteri, numerazione delle pagine e dei paragrafi e altri requisiti tecnici.

Non è quindi una generica possibilità di “mandare una risposta a Bruxelles”: nasce una procedura amministrativa strutturata.

Il diritto di accedere al fascicolo

Per difendersi bisogna anche sapere su quali elementi si fonda la contestazione.

Per questo il regolamento disciplina l’accesso al fascicolo.

Su richiesta, la Commissione concede al destinatario l’accesso, ma non prima che siano state notificate le constatazioni preliminari.

Il destinatario può ricevere i documenti menzionati nelle constatazioni, con le necessarie protezioni per segreti aziendali e altre informazioni riservate.

La questione è delicata: un procedimento sull’intelligenza artificiale potrebbe contenere codice, informazioni tecniche, strategie industriali e altri dati di enorme valore economico.

Per questo diritto alla difesa e tutela della riservatezza devono convivere.

Non tutto il fascicolo diventa liberamente accessibile

Il diritto di accesso non è assoluto.

Restano esclusi, tra l’altro, informazioni riservate, corrispondenza e documenti interni della Commissione, del Consiglio per l’IA, del forum consultivo, del gruppo di esperti scientifici e delle autorità competenti.

Il regolamento prevede inoltre procedure particolari attraverso le quali consulenti giuridici, economici ed esperti tecnici esterni possono accedere a determinati documenti nel rispetto di rigorosi obblighi di riservatezza.

In circostanze eccezionali la Commissione può anche negare l’accesso a determinati documenti o consentirlo soltanto dopo specifiche omissioni, quando il danno derivante dalla divulgazione risulterebbe complessivamente superiore ai benefici per l’esercizio del diritto di essere ascoltati.

Come vengono protetti i segreti aziendali

Chi trasmette informazioni alla Commissione può chiedere che determinate parti siano considerate segreti aziendali o informazioni riservate.

La richiesta deve però essere motivata.

Può essere necessario consegnare anche una versione non riservata del documento, nella quale le informazioni sensibili siano chiaramente eliminate, accompagnata da una breve descrizione non riservata di ciò che è stato omesso.

Se questi adempimenti non vengono rispettati, la Commissione può ritenere che le informazioni non contengano segreti aziendali o altre informazioni riservate.

Se invece la Commissione ritiene che un’informazione dichiarata riservata possa essere divulgata, deve comunicarlo all’interessato, che dispone di un termine per opporsi.

I documenti viaggiano in digitale

Anche il funzionamento amministrativo è pensato in chiave digitale.

La trasmissione dei documenti e delle informazioni da e verso la Commissione avviene per via digitale e i documenti devono essere firmati almeno con una firma elettronica qualificata conforme alla normativa europea.

Per informazioni condivise in tempo reale o quasi reale, per esempio tramite API, la Commissione stabilisce modalità e durata della condivisione.

Quanto tempo ha la Commissione per applicare una sanzione?

Il regolamento disciplina anche la prescrizione.

La Commissione può adottare una decisione che impone una sanzione pecuniaria per i comportamenti contemplati dall’articolo 101, paragrafo 1, dell’AI Act entro cinque anni dal giorno in cui il comportamento è stato posto in essere.

Se il comportamento è continuato o ripetuto, il termine decorre dal giorno in cui cessa.

Determinati atti d’indagine o procedimentali possono interrompere il termine di prescrizione.

Cosa cambia per le imprese italiane

L’impatto immediato non è identico per tutte le aziende che utilizzano intelligenza artificiale.

Il provvedimento analizzato disciplina specificamente determinati procedimenti della Commissione e, in particolare, i controlli relativi ai fornitori di modelli di IA per finalità generali.

Non significa quindi che un negozio, un Comune o una piccola impresa che utilizza un normale servizio basato sull’IA possa automaticamente ricevere una richiesta europea di consegnare il codice sorgente.

Per i fornitori interessati, invece, il messaggio è molto concreto: la conformità normativa non riguarda soltanto documenti e dichiarazioni. Occorre essere preparati anche alla possibilità di una valutazione tecnica del modello, con accesso agli strumenti necessari e intervento di specialisti indipendenti.

Perché questa norma interessa anche i cittadini

A prima vista sembra un regolamento riservato alle grandi aziende tecnologiche.

In realtà l’obiettivo del sistema di controllo riguarda anche gli utenti finali.

Se modelli di IA sempre più potenti vengono integrati in servizi utilizzati da imprese, pubbliche amministrazioni e cittadini, l’efficacia delle regole dipende anche dalla capacità delle autorità di verificare concretamente ciò che accade.

La grande novità può quindi essere sintetizzata così: l’Europa non stabilisce soltanto cosa devono fare determinati fornitori di IA, ma costruisce anche gli strumenti procedurali per controllarli.

Quando entra in vigore

Il Regolamento di esecuzione (UE) 2026/1755 stabilisce che entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

È obbligatorio in tutti i suoi elementi e direttamente applicabile negli Stati membri.

FAQ – Domande frequenti

La Commissione europea può controllare direttamente un modello di intelligenza artificiale?
Sì. Nei casi previsti dall’AI Act può richiedere accesso a un modello per effettuare una valutazione. La decisione deve specificare modalità, strumenti, componenti, condizioni e termine per consentire l’accesso.

Può chiedere anche il codice sorgente?
Sì, l’accesso previsto dal regolamento può comprendere anche codice sorgente, pesi del modello, infrastruttura, API e altri livelli di accesso. Questo non significa però che tutti questi elementi debbano essere richiesti in ogni controllo: l’accesso deve essere adeguato agli obiettivi della valutazione.

L’UE può bloccare immediatamente un modello di IA?
In presenza delle specifiche condizioni di urgenza previste, la Commissione può ordinare misure provvisorie. Il regolamento contempla anche il divieto di mettere a disposizione sul mercato un modello di IA per finalità generali, sulla base di una constatazione prima facie di una violazione.

Chi effettua le valutazioni tecniche?
La Commissione può avvalersi di esperti indipendenti. Il regolamento stabilisce requisiti riguardanti indipendenza, possibili conflitti d’interesse, riservatezza e sicurezza delle informazioni.

L’azienda può difendersi?
Sì. Dopo le constatazioni preliminari può presentare osservazioni e prove. Il termine concesso dalla Commissione non può essere inferiore a 21 giorni.

L’azienda può vedere i documenti utilizzati contro di lei?
È previsto l’accesso al fascicolo su richiesta dopo la notifica delle constatazioni preliminari, ma con limitazioni destinate a tutelare segreti aziendali, informazioni riservate e determinati documenti interni.

Ogni impresa italiana che usa ChatGPT o altri strumenti di IA rientra automaticamente in queste procedure?
No. Il regolamento qui analizzato riguarda determinati procedimenti previsti dall’AI Act, con particolare riferimento ai fornitori di modelli di IA per finalità generali. Non trasforma automaticamente ogni semplice utilizzatore di un servizio di IA in destinatario di questi specifici poteri di valutazione.

Quanto possono essere lunghe le osservazioni difensive?
L’allegato stabilisce un massimo di 50 pagine per le osservazioni scritte, senza conteggiare determinati allegati probatori e strumentali, purché proporzionati.

Paragone semplice per capire la norma

Pensiamo alla revisione di un'automobile.

Non sarebbe sufficiente chiedere al costruttore: “La macchina è sicura?” e accontentarsi della risposta.

Per effettuare un controllo serio il tecnico deve poter aprire il cofano, collegare gli strumenti diagnostici, controllare determinati componenti e fare delle prove.

Con i grandi modelli di intelligenza artificiale il principio è simile, anche se enormemente più complesso.

La Commissione può aver bisogno non soltanto della documentazione fornita dall’azienda, ma anche di strumenti tecnici che consentano di valutare concretamente il modello. Allo stesso tempo, come accade in un procedimento amministrativo, l’azienda deve sapere cosa le viene contestato, poter presentare prove e difendersi.

È questo il punto centrale del nuovo regolamento: controlli tecnicamente efficaci, ma accompagnati da garanzie procedurali.