Regolamento UE sull’IA: come formexposed utilizza l’IA

Il presente documento è pubblicato in più lingue. In caso di discrepanze tra le versioni linguistiche, fa fede la versione polacca.

Versione 1.0 · Ultimo aggiornamento: 16 ottobre 2026

Che cosa significa il regolamento (UE) 2024/1689 (il “regolamento sull’IA” o “AI Act”) per formexposed, dove il servizio utilizza l’intelligenza artificiale, dove espressamente non la utilizza, quali dati vede un modello e come valutiamo gli obblighi del regolamento nella misura in cui si applicano a noi. Questa pagina descrive lo stato attuale del servizio e la nostra valutazione giuridica; non è un documento contrattuale, e ciò che dobbiamo ai Clienti è disciplinato dalle Condizioni di servizio e dall’Accordo sul trattamento dei dati. Fa parte dei nostri documenti legali insieme all’Informativa sulla privacy e al Registro delle attività di trattamento.

1. In breve

Il regolamento sull’IA è entrato in vigore il 1° agosto 2024. I divieti e l’obbligo di alfabetizzazione in materia di IA si applicano dal 2 febbraio 2025, gli obblighi relativi ai modelli per finalità generali dal 2 agosto 2025 e gli obblighi di trasparenza dell’Art. 50 dal 2 agosto 2026 (Art. 113).

formexposed utilizza un modello linguistico esattamente in due punti: come ausilio per classificare un modulo che le nostre regole non riconoscono e in “Fix it for me”, dove, su Sua richiesta, integra il nostro modulo di protezione nel codice del Suo modulo. In entrambi i casi il modello gira sul nostro server in Polonia; nessun input viene inviato a un fornitore di IA. Punteggio, esito, avvisi, prevenzione degli abusi e protezione antispam del plugin non sono IA, ma regole che abbiamo scritto noi e che possono essere ricalcolate a mano. Nessun output dell’IA decide alcunché in merito a una persona.

2. Dove formexposed utilizza l’IA

2.1 Classificazione dei moduli nel servizio di verifica

In ogni verifica, il crawler deve sapere che tipo di modulo sta esaminando: modulo di contatto, login, ordine, ricerca, newsletter e così via. Da ciò dipende se un modulo viene valutato o meno. La classificazione avviene in due fasi:

1. Prima le regole. Tipi di campo, nomi dei campi, etichette, testi dei pulsanti e il testo attorno al modulo vengono confrontati con elenchi di parole fissi in tedesco, inglese e polacco. In questo modo viene gestita la stragrande maggioranza dei moduli.
2. Il modello linguistico solo se le regole dicono “sconosciuto”. Riceve allora una descrizione del modulo e risponde con un tipo e un grado di affidabilità compreso tra 0 e 1. Se non risponde, risponde con nulla o con qualcosa di sconosciuto, il modulo resta “sconosciuto”. Se il modello non funziona, la verifica prosegue senza questa fase.

Ciò che il modello può fare è strettamente limitato, e lo è nel codice, non solo come intenzione:

• Un modulo classificato dal modello non viene mai inviato. Gli invii di prova esistono solo per i moduli di contatto che le regole hanno riconosciuto con elevata affidabilità e, per i clienti, solo su domini con prova di controllo.
• Un modulo classificato dal modello non incide su punteggio ed esito. Resta visibile nell’elenco dei moduli trovati, ma non viene mai considerato il modulo di contatto rilevante del dominio, a cui si collegano monitoraggio, confronto visivo, portale clienti e “Fix it for me”. Se il modello ritiene che qualcosa sia un modulo di contatto, il codice ne riduce l’affidabilità a un massimo di 0,6, perché nei nostri test ha scambiato campi di ricerca e calcolatori assicurativi per moduli di contatto.
• Accanto a ogni modulo, il report indica da dove proviene la sua classificazione: “regole” o “IA”, con l’affidabilità in percentuale.

2.2 “Fix it for me”: integrazione del modulo di protezione nel Suo codice

Nei piani a pagamento, i titolari e gli amministratori di un workspace ricevono un modulo di protezione pronto all’uso per PHP, Node.js o Python. Il modulo stesso è un modello fisso senza IA; vengono inseriti soltanto il Suo nome host e i nomi dei campi dell’ultima verifica. Facoltativamente, può incollare il codice del Suo modulo e il modello linguistico vi integra il modulo di protezione. Riceve il file modificato e, salvo per file molto grandi, una patch. Prima che Lei veda il risultato, il nostro codice verifica due cose senza IA:

• se la chiamata al modulo è stata effettivamente integrata – se manca, l’interfaccia lo dice espressamente: non pubblicare così;
• se la sintassi è corretta (php -l, node --check o py_compile); il Suo codice viene controllato, non eseguito.

Con ogni risultato, l’interfaccia indica che proviene da un’IA, che un’IA può commettere errori e che il controllo della sintassi non verifica la Sua logica. Non pubblichiamo nulla: non abbiamo accesso al Suo server e non lo chiediamo. La verifica successiva mostra se la modifica funziona.

2.3 Assistenti IA di terzi tramite la nostra interfaccia MCP

Nel piano Business, può collegare il Suo assistente IA (come Claude, ChatGPT o Cursor) al Suo account tramite il Model Context Protocol per interrogare i Suoi domini, verifiche e incidenti. Non si tratta di una nostra IA: forniamo dati all’assistente, esattamente come fa la REST API. Che cosa faccia ciascun fornitore con i dati dipende dalla Sua scelta e dal Suo contratto con quel fornitore. Tramite l’interfaccia, l’assistente può soltanto leggere e avviare una verifica.

2.4 Google reCAPTCHA sui nostri moduli

I nostri moduli (verifica gratuita, strumento header, opt-out, login, registrazione, password, assistenza e contatto) sono protetti da Google reCAPTCHA v3. A tal fine, Google calcola un valore compreso tra 0 e 1 con metodi propri; noi vediamo soltanto questo valore e rifiutiamo un invio al di sotto di una soglia fissa. Il metodo è di Google, non nostro. Chi viene respinto può riprovare o contattarci via e-mail. I dettagli sono nell’Informativa sulla privacy.

3. Dove formexposed non utilizza l’IA

Le seguenti parti si basano esclusivamente su regole stabilite da persone. Non deducono nulla dai dati, non apprendono nulla e pertanto non sono sistemi di IA ai sensi dell’Art. 3(1), come chiarito dal considerando 12:

• Punteggio ed esito: una somma ponderata delle misure di protezione mancanti (CAPTCHA, campo trappola, token, timestamp e altre) da 0 a 100; oltre soglie fisse “Esposto”, “Parzialmente protetto” o “Protetto”. I pesi li stabiliamo noi; non cambiano in base ai dati verificati.
• Rilevamento di misure di protezione, script di terzi, banner dei cookie, accessibilità: confronto con caratteristiche note nel codice sorgente della pagina e nel comportamento della pagina.
• Monitoraggio e avvisi: confronto con la verifica precedente; tempi di risposta rispetto a un valore di riferimento ricavato dalla mediana delle prime misurazioni, con soglie fisse.
• Prevenzione degli abusi per la verifica gratuita: conteggi per indirizzo IP, sessione e periodo con limiti fissi. Chi supera un limite viene respinto per il periodo in corso, per un massimo di 24 ore. Le anomalie vengono segnalate e risolte da una persona.
• Confronto visivo dei moduli: gli screenshot di verifiche successive vengono confrontati mediante profili di luminosità delle loro righe e colonne con soglie fisse, al fine di segnalare un modulo spostato o nascosto.
• Protezione collettiva: un dominio presente nei link di messaggi bloccati viene aggiunto all’elenco condiviso se compare su un numero minimo di siti web diversi entro un periodo fisso; i grandi servizi sono esclusi, e ogni blocco finisce in quarantena, non nel nulla.
• Protezione antispam nel plugin WordPress e nell’estensione TYPO3: campo trappola, token firmato, tempo minimo di compilazione, prova di interazione, quesito aritmetico, controlli su interruzioni di riga e su un dominio di posta in grado di ricevere e-mail, limitazione della frequenza, elenchi di indirizzi usa e getta, sistemi di scrittura in base alle classi Unicode, elenchi di parole e paesi personalizzati. Il controllo stesso avviene sul sito web del Cliente. Finché il sito web è collegato a un account, riceviamo soltanto conteggi, nomi e versioni delle estensioni e, finché partecipa alla protezione collettiva (attiva per impostazione predefinita nel plugin WordPress), i domini dei link nei messaggi bloccati – nessun messaggio e nessun indirizzo.

4. Quali dati riceve il modello e dove gira

Funzione	Input al modello	Output	Che cosa viene conservato
Classificazione dei moduli	Titolo e indirizzo della pagina, testo dei pulsanti di invio, per ogni campo il tipo, il nome, l’etichetta, il placeholder e se è obbligatorio o nascosto, al massimo 400 caratteri di testo visibile del modulo. Nessun valore inserito.	Tipo di modulo e affidabilità	Tipo, affidabilità, origine “IA” e nome del modello insieme al risultato della verifica, secondo il relativo periodo di conservazione; non la richiesta stessa
“Fix it for me”	il codice che Lei incolla (al massimo 30.000 caratteri) e il nostro modulo di protezione con il Suo nome host e i nomi dei Suoi campi	il file modificato	nulla del codice (per il controllo della sintassi, il file modificato viene conservato sul nostro server web come file temporaneo solo per la durata di tale controllo); nel registro delle attività solo linguaggio, lunghezza, esito positivo o meno, se la chiamata è stata integrata e il risultato del controllo della sintassi

• Nessuna fuoriuscita di dati. Il modello gira sul nostro server di verifica in Polonia. Il crawler lo raggiunge dal proprio ambiente isolato, il nostro server web tramite la nostra rete interna. Nessun input viene inviato a un fornitore di IA o ad altri terzi. Il servizio del modello registra solo dettagli tecnici come ora, durata e codice di stato di una richiesta, non il suo contenuto.
• Nessun addestramento. Non addestriamo né modifichiamo il modello e non utilizziamo né i risultati delle verifiche né il Suo codice per migliorarlo. Ogni richiesta è a sé stante.
• Dati personali non sono necessari per nessuna delle due funzioni. In via eccezionale, un nome può finire nel testo del modulo di una pagina di terzi, ad esempio quello di un referente accanto al modulo. In “Fix it for me” Le chiediamo di rimuovere password, chiavi API e dati personali prima di incollare il codice; l’interfaccia Le ricorda password e chiavi API al momento dell’inserimento.
• Limiti di utilizzo: “Fix it for me” con IA è limitato a un numero di richieste per workspace al giorno, affinché il server resti disponibile per le verifiche.

5. Il nostro ruolo ai sensi del regolamento sull’IA

Il modello: Utilizziamo un modello linguistico per finalità generali liberamente disponibile, con pesi aperti, di un fornitore terzo. Gli obblighi relativi al modello stesso (Art. 53 e segg.) gravano sul suo fornitore. Poiché non lo addestriamo né lo modifichiamo, non diventiamo noi stessi fornitori di tale modello.

I sistemi: Abbiamo realizzato la classificazione dei moduli e “Fix it for me” e li gestiamo con il nome formexposed. Secondo la nostra valutazione, siamo il fornitore di un sistema di IA (Art. 3(3)) per entrambi, perché li abbiamo sviluppati noi stessi e messi in servizio con il nostro nome. Utilizziamo inoltre noi stessi la classificazione dei moduli e, in tale misura, siamo anche deployer (Art. 3(4)). “Fix it for me” è utilizzato dai nostri clienti nell’ambito della loro attività professionale; nel farlo, essi sono, secondo la nostra valutazione, deployer.

Classificazione del rischio: Nessuna delle due funzioni rientra nei settori ad alto rischio dell’allegato III (come biometria, infrastrutture critiche, istruzione, occupazione, servizi essenziali, attività di contrasto, migrazione, amministrazione della giustizia) né è un componente di sicurezza di un prodotto ai sensi dell’allegato I. Classificano moduli e modificano codice di programma; non valutano persone. Pertanto non sono sistemi di IA ad alto rischio ai sensi dell’Art. 6; i requisiti per tali sistemi e gli obblighi dei relativi fornitori e deployer (capo III) non si applicano a esse. Sono soggette all’obbligo di alfabetizzazione in materia di IA (Art. 4) e, ove ne ricorrano le condizioni, agli obblighi di trasparenza dell’Art. 50.

Pratiche vietate (Art. 5): formexposed non effettua riconoscimento delle emozioni, categorizzazione o identificazione biometrica, punteggio sociale, previsione di reati né utilizza tecniche manipolative o subliminali.

6. Trasparenza (Art. 50)

• Nessun chatbot. Su formexposed nessuno conversa con un’IA. L’Art. 50(1) riguarda i sistemi di IA destinati a interagire direttamente con le persone fisiche. La classificazione dei moduli non entra in contatto con nessuno; “Fix it for me” riceve codice e restituisce codice, e l’interfaccia indica espressamente che il risultato proviene da un’IA. Chi utilizza la funzione sa quindi in ogni caso di avere a che fare con un’IA.
• Testo generato. “Fix it for me” genera codice di programma. L’interfaccia lo contrassegna come output di un’IA, ed esso raggiunge soltanto Lei, non il pubblico. Se il codice di programma sia “testo” ai sensi dell’Art. 50(2) non è stato chiarito. Secondo la nostra valutazione, si applica in ogni caso l’eccezione prevista da tale disposizione per i sistemi di IA che non modificano in modo sostanziale i dati di input forniti dal deployer o la rispettiva semantica: la funzione è destinata a inserire una chiamata al nostro modulo di protezione nel Suo codice e a lasciarlo per il resto invariato; la patch, con ogni riga modificata, mostra se ciò è riuscito. Per i file molto grandi non c’è una patch; in tal caso, confronti Lei stesso il file.
• Le classificazioni nel report sono contrassegnate come “IA” ogni volta che provengono dal modello.
• Non generiamo immagini, contenuti audio o video, né deepfake.

7. Sorveglianza umana e nessuna decisione automatizzata

Gli output del modello sono ausili, non decisioni. La classificazione dei moduli non può innescare nulla da sola: nessun invio, nessun esito, nessun avviso. “Fix it for me” non modifica nulla sul Suo server; Lei legge il risultato, decide e lo pubblica personalmente. Secondo la nostra valutazione, nessuna funzione di formexposed prende una decisione che produca effetti giuridici riguardanti una persona o che incida in modo analogo significativamente sulla sua persona (Art. 22 GDPR). Se reCAPTCHA o uno dei nostri limiti fissi respinge automaticamente un input, può riprovare o scriverci; una persona esaminerà quindi il caso. Le nostre valutazioni riguardano siti web e moduli, non persone.

Se ritiene che una classificazione sia errata, ci scriva indicando il link al report. La esamineremo e miglioreremo le regole.

8. Alfabetizzazione in materia di IA (Art. 4) e qualità

• Il titolare ha realizzato personalmente le funzioni di IA di formexposed e le gestisce personalmente; attualmente nessun’altra persona lavora con esse. Prima di ogni cambio di modello, si informa sul suo funzionamento e sui suoi limiti, nonché sullo stato attuale del regolamento. Se si aggiungeranno dipendenti o fornitori di servizi che lavorano con queste funzioni, saranno istruiti sul funzionamento delle funzioni, sui loro limiti e rischi prima del primo utilizzo; documentiamo l’istruzione per iscritto.
• Prima di mettere in uso o cambiare un modello, lo testiamo su una raccolta di moduli di prova per tempo di risposta, risposte valide ed errori di classificazione. Si tratta di un passaggio operativo svolto dal titolare, non di un processo imposto dal codice. I limiti descritti nella sezione 2.1 si basano su tali misurazioni.
• L’Art. 4 si applica anche a Lei in quanto Cliente se utilizza “Fix it for me” a livello professionale. Questa pagina e le indicazioni nell’interfaccia hanno lo scopo di aiutarLa in questo.

9. Modifiche e contatti

Aggiorneremo questa pagina non appena una funzione di IA verrà aggiunta, modificata in modo significativo o rimossa; le modifiche significative sono elencate in Modifiche ai documenti contrattuali. Domande e segnalazioni sul nostro utilizzo dell’IA possono essere inviate a contact@lukaswojcik.com, tramite la pagina dei contatti o la finestra di assistenza. I reclami seguono la procedura descritta in Reclami. Resta salvo il diritto di presentare un reclamo all’autorità di vigilanza del mercato competente (Art. 85).

Fornitore: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia.