AI Act: dal 2 agosto 2026 nuovi obblighi di trasparenza per chatbot e contenuti generati dall'intelligenza artificiale. Cosa cambia per le imprese

18 ottobre 2026 · Francesco Zanotto

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'art. 50 del Regolamento europeo sull'intelligenza artificiale (AI Act). Non tutti riguardano tutte le imprese: la norma distingue tra fornitori, cioè chi sviluppa un sistema di AI o lo mette in servizio con il proprio nome, e deployer, cioè chi lo utilizza nella propria attività. Capire in quale ruolo si trova la propria azienda è il primo passo.

Il Digital Omnibus non ha spostato queste scadenze

A luglio è stato pubblicato il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull'IA, in vigore dal 27 luglio 2026. Ha rinviato l'applicazione del Capo III, sezioni 1, 2 e 3, ad eccezione dell'art. 6, par. 5: al 2 dicembre 2027 per i sistemi classificati ad alto rischio ai sensi dell'art. 6, par. 2, e dell'Allegato III; al 2 agosto 2028 per quelli classificati ad alto rischio ai sensi dell'art. 6, par. 1, e dell'Allegato I. Il rinvio non riguarda indistintamente tutte le disposizioni sui sistemi ad alto rischio. Non ha rinviato invece gli obblighi di trasparenza dell'art. 50, che restano applicabili dal 2 agosto 2026.

Per la trasparenza è prevista una specifica disciplina transitoria (art. 111, par. 4): i fornitori di sistemi di AI, compresi quelli per finalità generali, che generano contenuti audio, immagini, video o testi sintetici e sono stati immessi sul mercato prima del 2 agosto 2026 devono conformarsi all'art. 50, par. 2, entro il 2 dicembre 2026. Questa finestra riguarda la marcatura dei contenuti sintetici e non rinvia gli altri obblighi dell'art. 50.

Cosa prevede la norma

Obblighi dei fornitori

• Sistemi che interagiscono con le persone (par. 1). Il fornitore deve progettare il sistema in modo che le persone sappiano di interagire con un'AI, salvo che sia evidente dal contesto per una persona ragionevolmente informata, attenta e avveduta. È prevista un'esenzione per i sistemi autorizzati dalla legge per accertare, prevenire, indagare o perseguire reati, a meno che non siano messi a disposizione del pubblico per segnalare un reato.
• Marcatura dei contenuti sintetici (par. 2). Il fornitore di sistemi che generano audio, immagini, video o testi deve fare in modo che i contenuti prodotti siano marcati in un formato leggibile dalle macchine e riconoscibili come generati o manipolati artificialmente. Sono previste specifiche eccezioni, tra cui i sistemi che svolgono funzioni di assistenza alla modifica standard o che non alterano sostanzialmente i dati forniti dall'utilizzatore o il loro significato. L'applicabilità delle eccezioni deve essere valutata rispetto alle caratteristiche effettive del sistema.

Un'impresa che acquista un chatbot pronto da un fornitore è di norma un deployer: l'obbligo di progettazione del par. 1 ricade sul fornitore. Se invece l'azienda realizza o fa realizzare un proprio chatbot e lo mette in servizio con il proprio nome, può assumere il ruolo di fornitore. La semplice personalizzazione grafica di un chatbot di terzi non determina automaticamente la qualifica di fornitore. Il ruolo va valutato caso per caso.

Obblighi dei deployer, cioè delle imprese che usano l'AI

• Deepfake (par. 4). Chi utilizza un sistema di AI per generare o manipolare immagini, audio o video che costituiscono un deepfake deve dichiarare che il contenuto è stato generato o manipolato artificialmente. Per le opere manifestamente artistiche, creative, satiriche o di finzione l'obbligo si limita a segnalarne l'esistenza in modo adeguato, senza ostacolare la fruizione dell'opera. L'obbligo non si applica quando l'uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati.
• Testi di interesse pubblico (par. 4). Chi pubblica testi generati o manipolati dall'AI allo scopo di informare il pubblico su questioni di interesse pubblico deve dichiararlo. Non rientrano quindi automaticamente i testi commerciali, le schede prodotto o la comunicazione promozionale. L'obbligo non si applica quando il testo è stato sottoposto a revisione umana o a controllo editoriale e una persona fisica o giuridica ne ha la responsabilità editoriale.
• Riconoscimento delle emozioni e categorizzazione biometrica (par. 3). Chi utilizza questi sistemi deve informare le persone esposte. L'obbligo informativo non rende automaticamente lecito l'impiego di questi sistemi: restano applicabili le disposizioni sulla protezione dei dati personali e i divieti previsti dall'articolo 5 dell'AI Act.

Le informazioni devono essere fornite in modo chiaro e distinguibile, al più tardi al momento della prima interazione o esposizione, e devono rispettare i requisiti di accessibilità applicabili (par. 5).

Le sanzioni

La violazione degli obblighi di trasparenza dell'art. 50, sia da parte dei fornitori sia dei deployer, può comportare sanzioni amministrative pecuniarie fino a 15 milioni di euro oppure, per le imprese, fino al 3% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore. Per le PMI, comprese le startup, si applica il massimale inferiore tra i due (art. 99, par. 6); lo stesso criterio vale per le piccole imprese a media capitalizzazione per le sanzioni dei paragrafi 4 e 5 (par. 6 bis). Si tratta di massimali, non di sanzioni automatiche: l'importo concreto è determinato tenendo conto della gravità, della durata e delle conseguenze della violazione, delle dimensioni dell'operatore, della cooperazione con le autorità e degli altri criteri di proporzionalità previsti dall'art. 99.

Buone pratiche consigliate

Quanto segue non è imposto dall'art. 50, ma riduce il rischio di errori e di contestazioni.

1. Fare l'inventario degli usi dell'AI verso l'esterno: chatbot, risposte automatiche, testi per sito, newsletter e social, immagini e video. Per ciascuno, stabilire se l'azienda è fornitore o deployer.
2. Chatbot: anche quando l'obbligo è del fornitore, verificare che l'avviso compaia davvero all'apertura della conversazione e chiederlo per contratto. Se il chatbot tratta dati personali, verificare che l'informativa privacy descriva correttamente il trattamento e aggiornarla se necessario; verificare inoltre dove e con quali modalità il fornitore tratta i dati: l'uso di un fornitore esterno non comporta necessariamente un trasferimento fuori dall'Unione europea, ma va verificato caso per caso.
3. Revisione dei contenuti: per i testi che rientrano nell'obbligo, documentare chi ha rivisto e quando. Per gli altri, valutare comunque una revisione umana come regola interna.
4. Qualità: Google chiede di verificare accuratezza e fonti dei contenuti generati con l'AI prima di pubblicarli. Pubblicare molte pagine generate senza valore aggiunto viola le sue regole antispam.