AI Act: dal 2 agosto 2026 l’intelligenza artificiale dovrà “presentarsi”. Cosa devono fare aziende, consulenti e DPO
Gli obblighi di trasparenza non riguardano soltanto le aziende tecnologiche: anche le imprese che utilizzano chatbot, contenuti generativi, deepfake o sistemi biometrici devono verificare il proprio ruolo e avviare l’adeguamento
Dal 2 agosto 2026 diverranno applicabili gli obblighi di trasparenza previsti dall’art. 50 del Regolamento UE 2024/1689, meglio conosciuto come AI Act.
La scadenza non interessa soltanto le grandi aziende tecnologiche o i soggetti che sviluppano sistemi di intelligenza artificiale; ma rguarda anche le imprese, comprese le PMI, che utilizzano chatbot sul proprio sito, assistenti virtuali, strumenti di intelligenza artificiale generativa, sistemi biometrici o contenuti prodotti mediante IA.
Il primo passaggio, quindi, consisterà nel comprendere quale ruolo ricopra l’organizzazione rispetto al sistema utilizzato.
Provider e deployer: due ruoli e obblighi differenti
L’AI Act distingue, in particolare, tra:
- provider o fornitore, ossia il soggetto che sviluppa un sistema di IA o lo fa sviluppare e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio;
- deployer o utilizzatore professionale, ossia il soggetto che utilizza un sistema di IA sotto la propria autorità, nell’ambito della propria attività professionale.
La distinzione può essere sintetizzata in questo modo: il provider deve predisporre tecnicamente il sistema affinché rispetti gli obblighi di trasparenza; il deployer deve informare le persone nei casi in cui l’obbligo dipende dall’impiego concreto del sistema.
1. Chatbot, assistenti vocali e agenti virtuali
Il primo obbligo riguarda i sistemi di IA destinati a interagire direttamente con le persone, come:
- chatbot presenti sui siti internet;
- assistenti vocali;
- centralini automatizzati;
- agenti virtuali per il servizio clienti;
- sistemi conversazionali utilizzati nell’e-commerce o nell’assistenza post-vendita.
Il provider deve assicurare che il sistema sia progettato e sviluppato in modo che la persona sia informata di stare interagendo con un’intelligenza artificiale, salvo che ciò risulti evidente dalle circostanze e dal contesto di utilizzo.
Una possibile dicitura potrebbe essere:
“Stai interagendo con un assistente virtuale basato su intelligenza artificiale.”
L’obbligo diretto dell’art. 50, paragrafo 1, è posto in capo al provider. Tuttavia, l’impresa che installa e utilizza il chatbot sul proprio sito deve verificare che la funzione informativa sia effettivamente attiva, visibile e coerente con il contesto nel quale il sistema viene impiegato.
Non è quindi sufficiente affidarsi genericamente alle dichiarazioni del fornitore: occorre verificare contratti, configurazioni, interfacce e modalità concrete di interazione con gli utenti.
2. Marcatura dei contenuti sintetici
Il secondo obbligo riguarda i provider di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti sintetici sotto forma di:
- testo;
- immagini;
- audio;
- video.
Il provider deve assicurare che gli output siano marcati in un formato leggibile dalle macchine e rilevabili come generati o manipolati artificialmente.
La marcatura dovrà essere:
- efficace;
- interoperabile;
- solida;
- affidabile;
- tecnicamente adeguata allo stato dell’arte.
La semplice aggiunta di una dicitura visibile, come “contenuto creato con IA”, non sostituisce necessariamente la marcatura tecnica richiesta al provider.
L’AI Act prevede alcune eccezioni, ad esempio quando il sistema svolge una funzione meramente accessoria di modifica standard o non altera in modo sostanziale il contenuto o il suo significato.
Per le imprese utilizzatrici diventa quindi essenziale chiedere al proprio fornitore:
- se il sistema integra strumenti di marcatura;
- quali standard o metadati utilizza;
- se la marcatura permane dopo il download, la modifica o la pubblicazione del contenuto;
- quali evidenze documentali possono essere messe a disposizione.
Si tratta di applicare un approccio di trasparenza e compliance by design, inserendo i requisiti normativi già nella scelta, nella configurazione e nell’acquisto degli strumenti di IA.
3. Riconoscimento delle emozioni e categorizzazione biometrica
Il deployer che utilizza un sistema di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone esposte al funzionamento del sistema.
L’informazione deve essere fornita in modo chiaro, accessibile e tempestivo, al più tardi al momento della prima esposizione al sistema.
È necessario prestare particolare attenzione al fatto che il riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione è, in linea generale, una pratica vietata dall’art. 5 dell’AI Act, salvo i limitati casi nei quali l’utilizzo sia previsto per ragioni mediche o di sicurezza.
L’informativa non rende quindi lecito un utilizzo vietato. Prima di predisporre l’avviso occorre verificare se il sistema possa essere legittimamente utilizzato.
Il tema di possibili sistemi vietati può riguardare, ad esempio:
- software per analizzare le reazioni dei candidati durante un colloquio;
- strumenti che valutano il tono della voce dei lavoratori;
- sistemi che cercano di ricavare emozioni dalle espressioni facciali;
- tecnologie biometriche utilizzate per classificare le persone secondo determinate caratteristiche.
In questi casi l’analisi deve coinvolgere non soltanto l’AI Act, ma anche il GDPR, la normativa lavoristica, le disposizioni antidiscriminatorie e, ove applicabile, le regole sui controlli a distanza dei lavoratori.
4. Deepfake e contenuti di interesse pubblico
Il deployer deve dichiarare quando un’immagine, un contenuto audio o un video costituisce un deepfake, ossia un contenuto generato o manipolato dall’IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che potrebbe apparire falsamente autentico o veritiero.
La dichiarazione deve essere chiara e distinguibile.
Per opere artistiche, creative, satiriche o di fantasia, l’informazione può essere fornita in una forma che non ostacoli la fruizione dell’opera, purché rimanga adeguata e riconoscibile.
Un obbligo analogo riguarda i testi generati o manipolati mediante IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico.
L’obbligo non si applica quando:
- il contenuto è stato sottoposto a revisione umana o controllo editoriale;
- una persona fisica o giuridica assume la responsabilità editoriale della pubblicazione.
La previsione è particolarmente rilevante per siti informativi, newsletter, blog aziendali, comunicati, contenuti istituzionali e campagne destinate a incidere sulla formazione dell’opinione pubblica.
Non è sufficiente che una persona abbia letto superficialmente il testo. L’organizzazione deve poter dimostrare l’esistenza di un effettivo processo di revisione, approvazione e assunzione della responsabilità editoriale.
Quali sono le sanzioni?
La violazione degli obblighi previsti dall’art. 50 può comportare sanzioni amministrative fino a:
- 15 milioni di euro; oppure
- per le imprese, fino al 3% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Nell’applicazione delle sanzioni devono essere considerate le regole specifiche previste per le PMI e le circostanze concrete della violazione.
Possono inoltre emergere responsabilità ai sensi di altre discipline, tra cui:
- normativa sulla protezione dei dati personali (GDPR);
- tutela dei consumatori;
- pratiche commerciali scorrette;
- pubblicità ingannevole;
- diritto d’autore;
- responsabilità editoriale;
- Digital Services Act, per i soggetti che rientrano nel suo ambito di applicazione.
Non è tuttavia corretto affermare che qualsiasi contenuto prodotto con IA e non etichettato diventi automaticamente un “contenuto illegale” ai sensi del Digital Services Act. La qualificazione dipende dalla violazione di una specifica norma dell’Unione o nazionale applicabile al contenuto o all’attività.
Il regime transitorio previsto dal Digital Omnibus
Il Digital Omnibus sull’intelligenza artificiale è stato approvato definitivamente dal Consiglio dell’Unione europea il 29 giugno 2026.
Il testo prevede un regime transitorio specifico per i provider di sistemi che generano contenuti sintetici e che siano stati immessi sul mercato prima del 2 agosto 2026.
Questi provider dovranno adottare le misure necessarie per conformarsi all’obbligo tecnico di marcatura previsto dall’art. 50, paragrafo 2, entro il 2 dicembre 2026.
La proroga:
- riguarda esclusivamente l’obbligo tecnico di marcatura dell’art. 50, paragrafo 2;
- si applica soltanto ai sistemi già immessi sul mercato prima del 2 agosto 2026;
- non riguarda gli altri obblighi di trasparenza;
- non costituisce un periodo di grazia generalizzato per tutti i sistemi di IA.
Il regolamento di modifica stabilisce la propria entrata in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. La pubblicazione in GUUE deve quindi essere verificata per determinare con precisione l’efficacia della disposizione transitoria.
Cosa devono fare ora le imprese?
L’adeguamento non può essere ridotto alla sola aggiunta di un’etichetta o di un avviso sul sito.
Le organizzazioni dovrebbero avviare almeno le seguenti attività:
- Mappare i sistemi di IA utilizzati
Individuare chatbot, assistenti virtuali, generatori di testo, immagini, audio e video, strumenti biometrici, applicazioni HR e sistemi di analisi delle emozioni. - Qualificare il proprio ruolo
Stabilire, per ogni sistema, se l’impresa opera come provider, deployer, importatore, distributore o assume più ruoli contemporaneamente. - Verificare i fornitori
Richiedere informazioni sulle funzionalità di trasparenza, sulle marcature tecniche, sui metadati, sulle limitazioni del sistema e sugli aggiornamenti previsti. - Controllare i canali di comunicazione
Esaminare siti, chatbot, campagne pubblicitarie, newsletter, podcast, immagini, video, comunicati e contenuti social prodotti mediante IA. - Predisporre diciture e informative
Le informazioni devono essere chiare, accessibili e fornite al più tardi in occasione della prima interazione o esposizione. - Definire una procedura editoriale
Nei contenuti di interesse pubblico devono essere documentati la revisione umana, l’approvazione e il soggetto responsabile della pubblicazione. - Conservare le evidenze
Le verifiche effettuate, le risposte dei fornitori, le decisioni adottate e i controlli eseguiti devono essere documentati.
Informare i clienti e aggiornare i servizi di compliance
I consulenti e le funzioni di compliance dovrebbero contattare prioritariamente i clienti che utilizzano:
- chatbot e assistenti virtuali;
- sistemi di IA generativa;
- strumenti biometrici;
- applicazioni di selezione e gestione del personale;
- sistemi di riconoscimento delle emozioni;
- strumenti per la produzione automatizzata di contenuti;
- applicazioni che generano o modificano immagini, audio e video.
La comunicazione ai clienti deve chiarire che l’adempimento non consiste semplicemente nell’apporre la dicitura “generato con IA”.
È invece necessaria una valutazione complessiva che consideri:
- il ruolo dell’organizzazione;
- la tipologia di sistema;
- le modalità concrete di utilizzo;
- la categoria di contenuti prodotti;
- gli obblighi contrattuali del fornitore;
- le misure tecniche disponibili;
- le responsabilità editoriali;
- l’eventuale trattamento di dati personali.
Conclusioni
Dal 2 agosto 2026 l’intelligenza artificiale dovrà, in molti casi, dichiarare la propria presenza.
Per i provider ciò significa integrare la trasparenza nella progettazione e nel funzionamento tecnico del sistema. Per i deployer significa comprendere quando e come informare le persone rispetto all’utilizzo concreto dell’IA.
Il tempo per prepararsi è limitato. Il primo passo consiste nel conoscere i sistemi effettivamente utilizzati, distinguere correttamente i ruoli e verificare che contratti, processi, interfacce e contenuti siano coerenti con l’art. 50 dell’AI Act.
