In this Article
L’EU AI Act è ormai il quadro normativo che i team che lavorano con dati web e AI non possono ignorare. Da agosto 2026 sarà applicato con strumenti di enforcement concreti, e due suoi obblighi incidono direttamente su come vengono raccolti i dati di addestramento: i fornitori di modelli AI per finalità generali (GPAI) devono pubblicare un riepilogo dei propri dati di addestramento e adottare una policy sul copyright che rispetti gli opt-out leggibili da macchina. In parole semplici, i segnali con cui un sito web comunica “non estrarre i miei dati” – robots.txt, ai.txt, riserve TDM – assumono ora rilevanza legale per chiunque addestri modelli destinati al mercato UE. Questa guida spiega cosa è cambiato, chi è coinvolto e cosa fare se raccogli dati web.
Sono Andrii Byzov, un Fractional CMO AI-Native che lavora ogni giorno con pipeline di dati web. Qui sotto trovi una panoramica pratica e aggiornata al 2026, con l’importante precisazione che si tratta di informazioni generali, non di consulenza legale. Per approfondire, consulta robots.txt e crawler AI e il web scraping è legale.
Fatti principali
- L’EU AI Act (Regolamento 2024/1689) è la prima legge organica al mondo sull’AI, basata sul rischio e introdotta gradualmente dal 2024 al 2027.
- Le norme GPAI sono iniziate il 2 agosto 2025; l’enforcement effettivo arriva il 2 agosto 2026 (sanzioni GPAI fino a €15M o al 3% del fatturato, oltre a obblighi per sistemi ad alto rischio e di trasparenza).
- Riepilogo dei dati di addestramento: i fornitori GPAI devono pubblicare una panoramica dei contenuti di addestramento utilizzando il modello obbligatorio della Commissione.
- Opt-out per copyright / TDM: i fornitori devono disporre di una policy che individui e rispetti le riserve dei diritti espresse ai sensi dell’eccezione UE per il text and data mining, anche tramite segnali leggibili da macchina come robots.txt e ai.txt.
- Riguarda i fornitori di modelli, non i proxy: gli obblighi competono a chi sviluppa o immette modelli GPAI sul mercato UE e al modo in cui raccoglie i dati. Infrastrutture come i proxy sono neutrali; conta ciò che raccogli e se rispetti gli opt-out.
Cos’è l’EU AI Act e perché riguarda i dati web
L’EU AI Act è un regolamento basato sul rischio: classifica gli usi dell’AI in categorie vietate, ad alto rischio, a rischio limitato e a rischio minimo, e stabilisce gli obblighi di conseguenza. Gran parte riguarda il modo in cui i sistemi AI sono sviluppati e impiegati, ma una sezione specifica interessa i modelli AI per finalità generali (i grandi modelli alla base di chatbot e assistenti), e si estende alla fase di raccolta dei dati. Poiché i modelli moderni vengono addestrati su dati alla scala del web, le norme del Regolamento in materia di trasparenza e copyright disciplinano di fatto come tali dati web siano raccolti e documentati.
La cronologia da conoscere
| Data | Cosa si applica |
|---|---|
| 1 agosto 2024 | L’AI Act entra in vigore |
| 2 febbraio 2025 | Divieti sulle pratiche vietate + obblighi di alfabetizzazione AI |
| 2 agosto 2025 | Iniziano gli obblighi GPAI; entra in vigore l’obbligo di riepilogo dei dati di addestramento |
| 2 agosto 2026 | Enforcement effettivo: sanzioni GPAI, norme di trasparenza, obblighi per sistemi ad alto rischio |
| 2 agosto 2027 | I modelli GPAI preesistenti (immessi prima di agosto 2025) devono pubblicare il riepilogo dei loro dati di addestramento |
Due obblighi che incidono sulla raccolta dei dati
1. Il riepilogo dei dati di addestramento. Ai sensi dell’Articolo 53, i fornitori GPAI devono pubblicare un “riepilogo sufficientemente dettagliato” dei contenuti utilizzati per addestrare il modello, usando un modello diffuso dall’AI Office della Commissione. Richiede i tipi di contenuto, le fonti di dati e i metodi di raccolta, con maggiori dettagli previsti per i dati estratti pubblicamente rispetto ai dataset concessi in licenza o privati. L’effetto pratico: se fai web scraping per addestrare un modello, devi sapere e documentare da dove provengono i dati.
2. La policy sul copyright e sull’opt-out TDM. Sempre ai sensi dell’Articolo 53, i fornitori devono mantenere una policy per rispettare il diritto d’autore UE e, in particolare, per individuare e rispettare le riserve dei diritti espresse ai sensi dell’eccezione per il text and data mining (TDM) della Direttiva DSM (Articolo 4). I titolari dei diritti possono riservare le proprie opere dall’estrazione e, aspetto cruciale, tali riserve sono espresse tramite segnali leggibili da macchina. Il Codice di buone pratiche GPAI impegna i firmatari a rispettare robots.txt e i protocolli leggibili da macchina per la riserva dei diritti. Questo è il collegamento tra un obbligo legale e la configurazione del tuo crawler.
Gli opt-out leggibili da macchina assumono ora rilevanza legale
Questo è il cambiamento più importante per i team che lavorano con i dati. Per anni robots.txt è stato solo una norma di comportamento (consulta la nostra guida a robots.txt e ai crawler AI). Nel regime sul copyright dell’AI Act, rispettare gli opt-out leggibili da macchina – robots.txt, ai.txt e gli emergenti protocolli di riserva TDM – diventa parte della conformità di un fornitore GPAI. Ignorare un valido segnale leggibile da macchina “non estrarre i miei dati” non è più solo scortese: può compromettere la policy di conformità al copyright richiesta dal Regolamento. La Commissione ha persino svolto una consultazione su protocolli standard per esprimere tali riserve.
A chi si applica davvero
- Fornitori di modelli GPAI – chiunque sviluppi o immetta un modello per finalità generali sul mercato UE è soggetto agli obblighi di riepilogo dei dati di addestramento e policy sul copyright, indipendentemente dalla propria sede.
- Team che addestrano o eseguono il fine-tuning dei modelli per utenti UE su dati estratti: ereditate le aspettative di documentazione e opt-out.
- Fornitori di dati e chi fa scraping che alimentano tali pipeline: le vostre pratiche di raccolta diventano parte della catena di conformità di un cliente, quindi la provenienza e la gestione degli opt-out sono importanti anche commercialmente.
Nota la sovrapposizione con il GDPR: se i dati estratti contengono informazioni personali, il diritto UE sulla protezione dei dati si applica oltre all’AI Act. I due regimi si cumulano.
Cosa fare se raccogli dati web per l’AI
- Rispetta gli opt-out leggibili da macchina. Leggi e rispetta robots.txt e le riserve TDM/ai.txt per le fonti che utilizzi: ora è parte della conformità al copyright, non solo galateo.
- Conserva la provenienza. Registra da dove proviene ogni dataset, quando e come è stato raccolto, così potrai compilare un riepilogo dei dati di addestramento e rispondere alle domande a valle.
- Preferisci dati pubblici e non personali e verifica la presenza di informazioni personali per gestire l’esposizione al GDPR; non aggirare login o controlli di accesso.
- Raccogli in modo etico e trasparente. Usa infrastrutture basate sul consenso e di provenienza etica, con ritmi ragionevoli: l’approvvigionamento dei tuoi strumenti è parte della storia che ti verrà chiesto di raccontare.
Il ruolo dei proxy
I proxy sono infrastrutture neutrali: l’AI Act disciplina cosa raccogli e se rispetti gli opt-out, non il trasporto. Detto questo, l’approvvigionamento dei tuoi proxy è parte di una pipeline etica e difendibile, ed è per questo che gli IP residential di provenienza etica sono importanti. I proxy aiutano anche sul fronte dei test di conformità: poiché regole, banner di consenso e contenuti differiscono per Paese, verificare come il tuo sito (o un sito target) viene mostrato nei mercati UE da IP locali ti offre un quadro accurato. I proxy DataImpulse sono di provenienza etica e pay-as-you-go, con targeting a livello di Paese in tutta l’UE: lo strato di infrastruttura pulita alla base di un processo di raccolta responsabile, non un sostituto del lavoro legale.
FAQ
L’EU AI Act vieta il web scraping?
No. Non vieta lo scraping. Disciplina i fornitori di modelli AI per finalità generali, richiedendo un riepilogo dei dati di addestramento e una policy sul copyright che rispetti gli opt-out leggibili da macchina, e influenza così indirettamente il modo in cui i dati di addestramento sono raccolti e documentati.
Quando inizia l’applicazione dell’EU AI Act?
È entrato in vigore il 1 agosto 2024 e viene introdotto gradualmente: obblighi GPAI dal 2 agosto 2025 ed enforcement effettivo (sanzioni GPAI fino a €15M o al 3% del fatturato, trasparenza e obblighi per sistemi ad alto rischio) dal 2 agosto 2026.
Cos’è il riepilogo dei dati di addestramento?
Ai sensi dell’Articolo 53, i fornitori GPAI devono pubblicare una panoramica sufficientemente dettagliata dei contenuti utilizzati per addestrare il proprio modello, utilizzando il modello obbligatorio della Commissione: deve coprire tipi di contenuto, fonti e metodi di raccolta, con maggiori dettagli per i dati estratti pubblicamente.
Devo rispettare robots.txt ai sensi dell’AI Act?
Di fatto sì, se addestri modelli per il mercato UE. Le norme sul copyright dell’AI Act richiedono di rispettare gli opt-out per il text and data mining espressi tramite segnali leggibili da macchina, e il Codice di buone pratiche GPAI si impegna a rispettare robots.txt e i protocolli di riserva dei diritti.
L’AI Act si applica alle aziende non UE?
Sì. Gli obblighi sono a carico dei fornitori che immettono modelli AI per finalità generali sul mercato UE, indipendentemente dalla sede, quindi i team non UE che servono utenti UE rientrano nell’ambito di applicazione.
Costruisci la tua pipeline di dati AI su un’infrastruttura pulita ed etica
Una raccolta responsabile di dati per l’AI inizia rispettando i segnali dei siti e utilizzando IP di provenienza etica. Ottieni residential proxy di provenienza etica da $1/GB – pay-as-you-go, copertura UE e globale, con il controllo geografico necessario per raccogliere e testare responsabilmente.
Questo articolo contiene informazioni generali, non consulenza legale. Consulta un consulente qualificato per i tuoi obblighi specifici ai sensi dell’EU AI Act, della Direttiva DSM e del GDPR.