L'AI Act è il regolamento europeo che disciplina lo sviluppo, la commercializzazione e l'utilizzo dei sistemi di intelligenza artificiale nell'Unione Europea. Dal 2 agosto 2026 sono diventati applicabili anche gli obblighi di trasparenza previsti dall'articolo 50, con conseguenze concrete per aziende, professionisti e organizzazioni che utilizzano sistemi di IA.
Questo non significa che ogni testo scritto con ChatGPT debba essere accompagnato dalla dicitura "generato con intelligenza artificiale". Gli obblighi cambiano in base al sistema utilizzato, al ruolo dell'organizzazione e soprattutto al tipo di contenuto o interazione. Un chatbot rivolto ai clienti, un deepfake pubblicato sui social e un testo generato dall'IA su una questione di interesse pubblico sono situazioni molto diverse. Capire queste differenze è il primo passo per applicare correttamente il regolamento.
Cos'è l'AI Act e perché riguarda anche chi utilizza l'IA
Quando si cerca "IA Act cos'è", è facile immaginare una normativa rivolta principalmente alle grandi aziende che sviluppano modelli di intelligenza artificiale. In realtà il Regolamento (UE) 2024/1689 coinvolge un numero molto più ampio di soggetti.
L'AI Act utilizza un approccio basato sul rischio. Gli obblighi previsti dipendono quindi dalle caratteristiche del sistema, dal modo in cui viene utilizzato e dai possibili effetti sulle persone. Accanto alle pratiche vietate e ai sistemi classificati ad alto rischio esistono, ad esempio, sistemi soggetti a specifici requisiti di trasparenza.
Una distinzione importante è quella tra provider e deployer. Il provider è, semplificando, il soggetto che sviluppa un sistema di IA o lo fa sviluppare e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Il deployer è invece chi utilizza un sistema di IA sotto la propria autorità, salvo gli utilizzi personali e non professionali.
Una normale azienda che utilizza strumenti di intelligenza artificiale può quindi trovarsi nella posizione di deployer anche senza aver sviluppato alcun modello.
È proprio questo il punto che rende l'IA Act regolamento rilevante anche per attività che hanno semplicemente integrato l'intelligenza artificiale nei propri processi.
Gli obblighi di trasparenza dell'AI Act
Una parte importante delle regole sulla trasparenza è contenuta nell'articolo 50 dell'AI Act. Le disposizioni sono pensate per permettere alle persone di capire quando stanno interagendo con un sistema di intelligenza artificiale o quando determinati contenuti sono stati generati o manipolati artificialmente.
Dal 2 agosto 2026 questi obblighi sono applicabili ai soggetti e ai sistemi che rientrano nel perimetro previsto dalla norma.
La Commissione Europea individua quattro aree principali: interazione diretta con sistemi di IA, contenuti sintetici generati o manipolati artificialmente, sistemi di riconoscimento delle emozioni o categorizzazione biometrica, deepfake e determinate pubblicazioni testuali relative a questioni di interesse pubblico.
Gli obblighi, però, non ricadono sempre sulla stessa persona. Alcuni riguardano chi fornisce il sistema, altri chi lo utilizza professionalmente. Per un'azienda diventa quindi importante non chiedersi soltanto "stiamo usando l'intelligenza artificiale?", ma capire come la stiamo usando e quale ruolo ricopriamo in quella specifica situazione.
Chatbot e assistenti virtuali devono dichiarare che sono IA?
Uno degli scenari più comuni riguarda chatbot e assistenti virtuali. Pensiamo al classico sistema installato sul sito di un e-commerce per rispondere alle richieste dei clienti, oppure a un assistente integrato in una piattaforma che guida l'utente nell'utilizzo del servizio.
L'articolo 50 prevede che i sistemi destinati a interagire direttamente con persone fisiche siano progettati in modo che queste ultime vengano informate del fatto che stanno interagendo con un sistema di intelligenza artificiale, salvo che ciò risulti evidente dal punto di vista di una persona ragionevolmente informata, attenta e avveduta.
Dal punto di vista pratico significa evitare interfacce ambigue che possano portare l'utente a credere di parlare con un operatore umano quando dall'altra parte sta rispondendo un software.
Una frase come "Stai conversando con il nostro assistente virtuale basato sull'intelligenza artificiale", mostrata prima dell'inizio della conversazione, rende immediatamente comprensibile la natura dell'interazione.
Per chi integra chatbot nel proprio sito è quindi utile verificare non soltanto la qualità delle risposte, ma anche l'interfaccia attraverso cui il servizio viene presentato. La trasparenza deve essere progettata insieme alla funzionalità, non aggiunta in modo frettoloso dopo la pubblicazione.
Contenuti generati con IA: quando devono essere riconoscibili
Uno dei punti che genera maggiore confusione riguarda immagini, video, audio e testi prodotti attraverso strumenti generativi.
L'AI Act non introduce un obbligo generalizzato secondo cui qualsiasi contenuto creato utilizzando l'intelligenza artificiale deve essere accompagnato da un'etichetta visibile.
Per i provider di sistemi capaci di generare contenuti sintetici audio, immagini, video o testi, l'articolo 50 prevede che gli output siano marcati in un formato leggibile dalle macchine e rilevabili come generati o manipolati artificialmente. Le soluzioni devono essere efficaci, interoperabili, robuste e affidabili per quanto tecnicamente possibile, tenendo conto anche delle caratteristiche e dei limiti dei diversi contenuti.
Questo è diverso dall'obbligo di scrivere manualmente sotto qualsiasi contenuto "creato con IA".
Il regolamento distingue infatti la marcatura tecnica del contenuto dagli obblighi di disclosure che riguardano determinati utilizzi. È una differenza importante soprattutto per aziende, agenzie e creator, perché evita di trasformare una norma articolata in una regola semplicistica.
Esistono inoltre eccezioni. Le linee guida della Commissione chiariscono, ad esempio, che alcuni output come codice sorgente, brevi sequenze di numeri, simboli o lettere e determinati contenuti destinati esclusivamente alla comunicazione machine-to-machine possono rimanere fuori dal relativo obbligo. Anche le funzioni di editing standard ricevono un trattamento specifico.
Deepfake: cosa prevede l'AI Act
La situazione cambia quando l'intelligenza artificiale viene utilizzata per creare o manipolare immagini, audio o video che possono far apparire autentico qualcosa che non lo è.
L'AI Act definisce il deepfake come un contenuto audio, immagine o video generato o manipolato dall'IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che potrebbe apparire falsamente autentico o veritiero.
Chi utilizza professionalmente un sistema di intelligenza artificiale per generare o manipolare un contenuto di questo tipo deve rendere noto che il contenuto è stato creato o alterato artificialmente.
Immaginiamo un'azienda che realizzi attraverso l'IA un video realistico nel quale una persona sembra pronunciare parole che non ha mai detto. Oppure una campagna pubblicitaria che ricostruisce artificialmente una situazione reale modificandone persone o avvenimenti.
In questi casi la provenienza artificiale del contenuto assume un'importanza molto diversa rispetto alla semplice generazione di un'illustrazione.
Per opere chiaramente artistiche, creative, satiriche o di fantasia il regolamento prevede comunque un'applicazione proporzionata: l'informazione deve essere fornita in modo appropriato senza ostacolare la fruizione o la visualizzazione dell'opera.
Testi generati con ChatGPT e AI Act
Arriviamo a una delle domande più interessanti per aziende, editori e professionisti: bisogna dichiarare che un articolo è stato scritto con ChatGPT o con un'altra IA generativa?
Non esiste un obbligo generale applicabile indistintamente a qualsiasi testo.
L'articolo 50 introduce però una regola specifica per chi pubblica testo generato o manipolato artificialmente con lo scopo di informare il pubblico su questioni di interesse pubblico. In questo caso deve essere indicato che il contenuto è stato generato o manipolato artificialmente.
La stessa disposizione introduce un'eccezione particolarmente rilevante per il settore editoriale: l'obbligo non si applica quando il contenuto generato dall'IA è stato sottoposto a un processo di revisione umana o controllo editoriale e una persona fisica o giuridica mantiene la responsabilità editoriale della pubblicazione.
Questa distinzione cambia parecchio il modo in cui un'azienda dovrebbe organizzare la produzione di contenuti.
Utilizzare un modello generativo per produrre una prima bozza e affidare poi il testo a una persona che verifica dati, corregge errori, modifica il contenuto e si assume la responsabilità della pubblicazione è diverso dal generare automaticamente centinaia di articoli e pubblicarli senza controllo.
La revisione umana, quindi, non dovrebbe essere interpretata come il semplice gesto di rileggere velocemente il testo prima di premere "Pubblica". Se l'IA entra in un processo editoriale, conviene definire responsabilità e procedure chiare per la verifica delle informazioni.
Riconoscimento delle emozioni e categorizzazione biometrica
Gli obblighi di trasparenza non riguardano soltanto l'IA generativa.
L'articolo 50 disciplina anche l'utilizzo di sistemi di riconoscimento delle emozioni e di categorizzazione biometrica. Quando un deployer utilizza questi sistemi, le persone esposte devono essere informate del loro funzionamento. L'obbligo vale sia quando l'elaborazione avviene in tempo reale sia quando viene effettuata successivamente.
Un esempio potrebbe essere un sistema che analizza determinate caratteristiche di una persona attraverso immagini o altri dati biometrici. Qui il problema di trasparenza è evidente: una persona potrebbe essere sottoposta all'elaborazione senza rendersi conto che un sistema di intelligenza artificiale sta effettuando quel tipo di analisi.
Questo requisito deve essere letto insieme alle altre normative applicabili, a partire dalle regole sulla protezione dei dati personali. Essere trasparenti sull'utilizzo dell'IA non significa automaticamente aver soddisfatto qualsiasi altro obbligo giuridico relativo al trattamento dei dati.
Come devono essere fornite le informazioni
L'AI Act non richiede semplicemente la presenza formale di un'informativa nascosta da qualche parte nel sito.
Le informazioni previste dall'articolo 50 devono essere fornite alle persone interessate in maniera chiara e distinguibile, rispettando i requisiti di accessibilità applicabili. Devono inoltre essere comunicate al più tardi al momento della prima interazione o esposizione.
Questo principio ha conseguenze concrete sulla progettazione delle interfacce.
Se un utente sta per iniziare una conversazione con un chatbot, l'informazione dovrebbe essere visibile nel contesto dell'interazione. Se viene mostrato un deepfake, l'indicazione dovrebbe accompagnare il contenuto in una maniera che permetta di comprenderne la natura.
Nascondere l'informazione all'interno di una pagina legale difficilmente produce lo stesso livello di trasparenza di un messaggio posizionato nel punto in cui l'utente incontra effettivamente il sistema o il contenuto.
La Commissione ha inoltre pubblicato un Code of Practice on Transparency of AI-Generated Content, pensato per aiutare provider e deployer a rispettare gli obblighi relativi alla marcatura e all'etichettatura. L'adesione è volontaria, ma Commissione e AI Board hanno valutato il codice come uno strumento adeguato per facilitare l'applicazione degli articoli 50(2), 50(4) e 50(5).
AI literacy: usare l'IA richiede anche competenze interne
La conformità all'AI Act non riguarda soltanto ciò che viene mostrato all'utente.
L'articolo 4 introduce il concetto di AI literacy, cioè un livello adeguato di conoscenze e competenze sull'intelligenza artificiale da parte delle persone che operano con questi sistemi per conto di provider e deployer.
Il regolamento richiede di adottare misure, nella migliore misura possibile, affinché personale e altri soggetti coinvolti nell'utilizzo dei sistemi possiedano competenze adeguate. Bisogna considerare conoscenze tecniche, esperienza, istruzione e formazione, ma anche il contesto in cui viene utilizzata l'IA e le persone sulle quali il sistema può avere effetti.
Questo significa che acquistare un abbonamento aziendale a uno strumento generativo e distribuirlo ai dipendenti senza alcuna indicazione interna non rappresenta un approccio particolarmente solido.
Un'azienda dovrebbe almeno sapere quali strumenti vengono utilizzati, per quali attività e con quali responsabilità. Da qui può costruire procedure interne e formazione coerenti con il rischio effettivo.
Per un team marketing che utilizza IA generativa per produrre bozze, ad esempio, può essere opportuno definire tre elementi:
- quali informazioni possono essere inserite negli strumenti utilizzati;
- chi deve verificare testi, immagini e dati prima della pubblicazione;
- in quali casi è necessario comunicare l'utilizzo dell'intelligenza artificiale.
Una policy del genere non deve necessariamente diventare un documento di cinquanta pagine. Deve essere sufficientemente chiara da evitare che ogni dipendente interpreti autonomamente cosa sia consentito fare.
Cosa dovrebbe fare un'azienda che utilizza l'intelligenza artificiale
Il primo errore sarebbe affrontare l'AI Act partendo dalla domanda "dove devo mettere l'etichetta IA?". La trasparenza è soltanto il risultato finale di una valutazione più ampia.
Conviene partire da una mappatura degli strumenti realmente utilizzati. Chatbot, generatori di testo, software per creare immagini, automazioni basate su modelli linguistici e sistemi integrati in software aziendali possono avere caratteristiche e finalità differenti.
Una verifica iniziale può seguire tre passaggi:
- Mappare i sistemi di IA utilizzati, identificando strumenti, responsabili, finalità e persone potenzialmente interessate.
- Definire il proprio ruolo, verificando caso per caso se l'organizzazione opera come deployer o assume responsabilità differenti.
- Associare gli obblighi applicabili, controllando trasparenza, supervisione, formazione interna e gli eventuali ulteriori requisiti previsti dalla categoria del sistema.
Da qui diventa molto più semplice intervenire sulle singole applicazioni.
Un chatbot può richiedere una modifica dell'interfaccia. Un processo editoriale può richiedere una procedura di revisione. Un sistema che genera contenuti sintetici può richiedere verifiche tecniche differenti. Un software che utilizza biometria richiede un'attenzione ancora maggiore.
L'obiettivo non dovrebbe essere aggiungere ovunque un generico disclaimer sull'intelligenza artificiale, ma costruire un processo nel quale sia chiaro dove viene utilizzata l'IA, chi ne è responsabile e quali obblighi derivano da quello specifico utilizzo.
Da quando si applicano gli obblighi e quali sono le sanzioni
L'AI Act è entrato in vigore nel 2024 con un'applicazione progressiva delle diverse disposizioni. Gli obblighi di trasparenza dell'articolo 50 sono applicabili dal 2 agosto 2026.
Per la marcatura e rilevabilità dei contenuti generati artificialmente è prevista una limitata disciplina transitoria per determinati sistemi già immessi sul mercato prima del 2 agosto 2026, con adeguamento entro il 2 dicembre 2026. I contenuti generati e già resi disponibili prima del 2 agosto, inoltre, non devono essere etichettati retroattivamente.
Ignorare gli obblighi non è una scelta priva di conseguenze. Secondo le indicazioni della Commissione sull'articolo 50, le sanzioni possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale totale dell'esercizio finanziario precedente, con l'applicazione dei criteri di proporzionalità previsti anche per PMI e small mid-cap.
Per la maggior parte delle aziende, però, il punto di partenza non è costruire da zero una complessa infrastruttura di compliance. È capire esattamente dove l'intelligenza artificiale è già presente nei processi aziendali.
Un chatbot sul sito, contenuti prodotti con strumenti generativi, immagini sintetiche utilizzate nelle campagne pubblicitarie o sistemi automatici rivolti direttamente agli utenti possono avere implicazioni differenti. L'AI Act richiede proprio di distinguere questi scenari, attribuire le responsabilità corrette e rendere l'utilizzo dell'intelligenza artificiale trasparente quando previsto dalla normativa.