Obblighi di trasparenza previsti dalla legge sull’IA: le 10 domande più frequenti dopo la pubblicazione delle linee guida dell’UE

Gli obblighi di trasparenza previsti dall’AI Act hanno finalmente un quadro normativo di riferimento: il 20 luglio 2026, la Commissione europea ha pubblicato le linee guida definitive sull’attuazione dell’articolo 50 dell’AI Act. Tredici giorni prima del 2 agosto 2026, data in cui entreranno in vigore le disposizioni pertinenti dell’AI Act dell’UE.

La tempistica la dice lunga su come questo dossier sia stato gestito a Bruxelles. Ma elimina anche l’ultima scusa per rimandare.

Dopo mesi di lavoro su questo tema, la mia impressione è che gli obblighi di trasparenza previsti dall’AI Act ai sensi dell’articolo 50 siano destinati a interessare il maggior numero di aziende — molte più di quante se ne rendano conto attualmente. Non si tratta di una norma riservata a chi sviluppa sistemi di IA ad alto rischio. È una norma che riguarda chiunque metta l’intelligenza artificiale a contatto con le persone, attraverso un chatbot, un’immagine, un file audio, un video o un testo pubblicato.

Le linee guida non sono vincolanti e solo la Corte di giustizia può fornire un’interpretazione autorevole dell’AI Act. In pratica, però, costituiranno il riferimento principale utilizzato dalle autorità di vigilanza del mercato in tutti i 27 Stati membri al momento di valutare la conformità all’articolo 50. Ciò le rende quanto di più simile a un regolamento le imprese avranno a disposizione il 2 agosto 2026.

Di seguito sono riportate le dieci domande che mi vengono poste più spesso, alle quali rispondo alla luce delle nuove linee guida, del Codice di condotta sulla trasparenza dei contenuti generati dall’IA, del Digital Omnibus e dei decreti attuativi italiani ai sensi della legge n. 132/2025.

Cosa aggiungono le linee guida agli obblighi di trasparenza dell’AI Act

Tre documenti si trovano ora sullo stesso piano e svolgono funzioni diverse.

Le linee guida definiscono l’ambito di applicazione: chi è soggetto alle norme, cosa si intende per interazione, cosa si intende per deep fake, quando si applica effettivamente un’eccezione. Il Codice di condotta sulla trasparenza dei contenuti generati dall’IA, pubblicato il 10 giugno 2026 e confermato dalla Commissione e dal Comitato per l’IA come strumento volontario adeguato, fornisce il quadro pratico per la marcatura e l’etichettatura. La serie di icone dell’UE offre a chi implementa tali sistemi un’etichetta visiva già pronta.

Il Codice è volontario. Gli obblighi no. Ed è proprio su questa distinzione che si concentra ora la maggior parte della strategia di conformità, come spiego alla domanda 9.

1. Quali sistemi di IA rientrano effettivamente nell’ambito di applicazione — e chi sta per scoprirlo

L’articolo 50 stabilisce quattro obblighi distinti, che vale la pena tenere separati poiché ricadono su soggetti diversi:

• Sistemi che interagiscono direttamente con le persone (articolo 50, paragrafo 1): chatbot, assistenti vocali, servizio clienti automatizzato. Il fornitore deve progettare il sistema in modo che gli utenti sappiano di stare parlando con una macchina.
• Sistemi di IA generativa (articolo 50, paragrafo 2): chiunque produca testi, immagini, audio o video sintetici deve contrassegnare i risultati in un formato leggibile da una macchina e garantire che siano riconoscibili come artificiali.
• Riconoscimento delle emozioni e classificazione biometrica (articolo 50, paragrafo 3): chi implementa il sistema deve informare le persone esposte ad esso.
• Deepfake e testi su questioni di interesse pubblico (articolo 50, paragrafo 4): chi implementa il sistema deve rivelare la natura artificiale del contenuto.

Il punto che sottolineo sempre è questo: i destinatari non sono i “produttori di IA”, ma la categoria ben più ampia di aziende che utilizzano l’IA nelle loro operazioni quotidiane. L’e-commerce con un chatbot di assistenza. L’agenzia di comunicazione che genera immagini e testi. L’azienda che pubblica comunicati stampa o contenuti editoriali realizzati con l’IA. Il rivenditore che sperimenta l’analisi dei dati dei clienti. Si tratta di organizzazioni che spesso non si considerano affatto “soggetti della legge sull’IA” — e che rientrano pienamente nel campo di applicazione.

Le linee guida confermano inoltre ciò che molti speravano di evitare. Gli agenti di IA sono contemplati e devono rivelare sia la loro natura artificiale sia la persona per conto della quale agiscono. Laddove un fornitore non possa determinare in anticipo se un agente interagirà con un essere umano, l’agente deve essere progettato in modo da rivelare la propria natura in ogni situazione in cui tale interazione sia ragionevolmente probabile.

Nella mia esperienza, la sorpresa più frequente riguarda le PMI che hanno adottato strumenti generativi “pronti all’uso” senza chiedersi quali obblighi ne derivassero, partendo dal presupposto che, poiché lo fanno tutti, andrà tutto bene.

Non andrà tutto bene.

2. Fornitore o Operatore? La qualifica non è scolpita nella pietra

Nella stragrande maggioranza dei casi, un’azienda che integra un chatbot di terze parti nel proprio sito web è un operatore: utilizza il sistema sotto la propria autorità, ma non lo ha creato.

Attenzione, però, perché la qualifica può cambiare. Se un’azienda modifica sostanzialmente il sistema, lo immette sul mercato con il proprio nome o marchio, oppure ne modifica la destinazione d’uso, può scivolare nella posizione di fornitore e assumersi obblighi ben più gravosi. Le linee guida sono esplicite su questo punto, e ciò accade più spesso di quanto si pensi.

La ripartizione degli obblighi funziona come segue:

• Il fornitore deve progettare il sistema in modo che la divulgazione della sua natura artificiale sia tecnicamente possibile ed efficace (articolo 50, paragrafo 1), e deve contrassegnare i risultati generativi (articolo 50, paragrafo 2).
• Il operatore deve garantire che la divulgazione raggiunga effettivamente l’utente nel contesto concreto di utilizzo, e ha l’obbligo di etichettatura per i deepfake e i testi di interesse pubblico (articolo 50, paragrafo 4).

Due precisazioni contenute nelle linee guida meritano attenzione. In primo luogo, l’«autorità» su un sistema di IA non richiede il controllo tecnico: si tratta di decidere se e come il sistema viene utilizzato. In secondo luogo, i singoli dipendenti che agiscono secondo le istruzioni di un’azienda non sono gestori distinti: lo è la persona giuridica.

La corretta interpretazione è quella di una catena. Il fornitore mette a disposizione la capacità tecnica; l’azienda che la utilizza la attiva e la visualizza. Se uno dei due anelli si spezza, l’obbligo non è adempiuto — ed è proprio per questo che il contratto con il fornitore diventa determinante, come spiego alla domanda 8.

3. Come si presenta un’informativa sull’IA conforme — e cosa non è sufficiente

In questo caso le linee guida sono davvero utili, soprattutto perché ci indicano cosa non funziona. Sono espressamente elencati come insufficienti, se utilizzati da soli:

• informative contenute esclusivamente nei termini e nelle condizioni, negli URL o nella documentazione;
• contrassegni leggibili da macchine, come metadati o filigrane, che l’utente non può percepire nel momento dell’interazione;
• segnali poco chiari o ambigui, come un riferimento generico a un «assistente», o rappresentazioni simili a quelle umane che potrebbero indurre in errore;
• affermazioni generiche come «i servizi su questo sito web utilizzano l’IA»;
• descrizioni puramente tecniche come «questo sistema utilizza modelli di linguaggio di grandi dimensioni (LLM)», senza spiegare cosa ciò significhi per l’utente.

La formulazione efficace

Ciò che è invece necessario è un avviso che sia chiaro, in linguaggio semplice e posizionato nel momento in cui l’utente entra in contatto con il sistema. In pratica suggerisco una formulazione diretta — del tipo «Stai interagendo con un assistente virtuale basato sull’intelligenza artificiale» — visibile prima o all’inizio della conversazione, non nascosta dietro un clic. Le linee guida privilegiano una combinazione di formati: un messaggio di testo semplice accompagnato, ove utile, da elementi visivi persistenti.

Il criterio guida che tengo presente è semplice. Un utente ragionevole, al momento del contatto, deve comprendere immediatamente e senza sforzo che dall’altra parte non c’è una persona.

Quando l’interazione è davvero «ovvia»

E l’«eccezione dell’interazione ovvia» è più ristretta di quanto la maggior parte delle persone supponga. Le linee guida stabiliscono che dovrebbe essere limitata ai casi in cui non sussista quasi alcun dubbio sulla natura dell’interazione. Possono rientrare in questa categoria gli assistenti di programmazione utilizzati esclusivamente da sviluppatori professionisti, gli strumenti interni destinati ai dipendenti per il personale qualificato o gli strumenti di supporto diagnostico utilizzati solo da professionisti sanitari. Un chatbot di assistenza clienti su un sito web pubblico non rientra in questa categoria.

Un altro aspetto pratico: in contesti più rischiosi — compagni basati sull’IA, consulenza finanziaria o sanitaria, gestione dei reclami o interazioni con bambini e utenti anziani — un unico avviso all’inizio potrebbe non essere sufficiente. Probabilmente saranno necessari promemoria periodici.

4. Cosa si intende per “deep fake” e perché le vostre intenzioni sono irrilevanti

La Commissione ha adottato un’interpretazione volutamente ampia, e questo è un punto su cui invito i clienti a non illudersi.

La definizione comprende contenuti di immagini, audio o video generati o manipolati dall’IA che assomiglino in modo apprezzabile a persone, oggetti, luoghi, entità o eventi esistenti e che possano ingannare una persona facendogli credere che siano autentici o veritieri. Non è necessario che sia raffigurata una persona reale, né che la manipolazione sia sofisticata.

E qui la risposta è netta: sì, l’obbligo si applica anche in totale assenza di qualsiasi intenzione di ingannare. Le linee guida confermano che la valutazione è oggettiva. La trasparenza non dipende dalla vostra buona fede.

Questo è l’errore più diffuso che riscontro: pensare «è ovviamente falso, non sto cercando di ingannare nessuno» e concludere che non sia necessaria alcuna etichetta.

Il pubblico che devi tenere presente

Vale la pena interiorizzare altri due punti delle linee guida. A differenza del test previsto dall’articolo 50, paragrafo 1, la valutazione dei deepfake non si basa su un’ipotetica persona media: deve tenere conto della composizione eterogenea del pubblico ragionevolmente prevedibile, inclusi bambini, anziani e persone con scarsa alfabetizzazione digitale. I contenuti che potrebbero fuorviare quella parte del pubblico rientrano nell’ambito di applicazione.

Al contrario, i contenuti che sfidano le leggi della natura — draghi, esseri umani che volano, elefanti alla guida di automobili — non rientrano nell’ambito di applicazione, poiché non hanno il potenziale di indurre in errore.

Dal punto di vista commerciale, l’esempio più rilevante è la pubblicità. Un’immagine di un prodotto generata dall’intelligenza artificiale che lo fa apparire più attraente, di migliore qualità o diverso dall’originale è un deep fake. Un’auto reale fotografata su uno sfondo generato dall’IA, laddove la pubblicità non induca in errore riguardo al prodotto stesso, non lo è.

Esiste un regime meno rigido per i contenuti che siano evidentemente artistici, creativi, satirici o di fantasia: in tali casi, l’indicazione deve semplicemente essere appropriata e non deve ostacolare la fruizione dell’opera. Tuttavia, non esiste un’esenzione totale. E laddove un contenuto presenti un carattere sia informativo che creativo, le linee guida stabiliscono che prevalga sempre il carattere informativo.

5. Testi generati dall’IA su questioni di interesse pubblico: chi li etichetta e come

L’obbligo ricade sul responsabile della diffusione, ovvero il soggetto che pubblica o diffonde testi generati o manipolati dall’IA su questioni di interesse pubblico. Si pensi a un riassunto generato dall’IA di un articolo sul sito web di un quotidiano, a relazioni aziendali manipolate dall’IA contenenti informazioni per gli investitori o a un’allerta meteo pubblicata da un ente pubblico.

Esiste, tuttavia, un’eccezione significativa: qualora il contenuto sia stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica ne assuma la responsabilità editoriale, non è richiesta alcuna etichetta. Entrambe le condizioni devono essere soddisfatte.

Le linee guida chiudono qui diverse porte che erano state lasciate socchiuse nella bozza:

• controlli superficiali o puramente formali — controllo ortografico, correzione grammaticale, la mera esistenza di una politica editoriale, approvazione sommaria — non sono sufficienti;
• la verifica dei fatti per accertare l’accuratezza del contenuto è descritta come un requisito minimo della revisione;
• se l’IA viene utilizzata per modificare o riformulare il contenuto dopo l’approvazione editoriale, l’eccezione decade;
• l’identità e i recapiti della persona o della funzione che detiene la responsabilità editoriale devono essere pubblicamente disponibili in una posizione facilmente individuabile.

Per quanto riguarda le modalità, l’UE ha ora pubblicato una serie di icone con tre varianti: un’icona di base, un’icona “Generato interamente dall’IA” e un’icona “Modificato parzialmente dall’IA”. Il loro utilizzo è gratuito e i test sugli utenti hanno dimostrato che l’efficacia migliora quando l’icona è accompagnata da una breve etichetta testuale. Il loro uso è facoltativo; l’obbligo di etichettatura non lo è.

Il consiglio operativo che do ai team di comunicazione e marketing è quello di definire fin da ora una politica editoriale interna: quando si utilizza l’IA, chi verifica, chi se ne assume la responsabilità e quando deve essere applicata l’etichetta. Un processo chiaro è sempre preferibile alle decisioni prese caso per caso.

6. Etichettatura leggibile da macchina e la scadenza del 2 dicembre 2026

Questa proroga deriva dal pacchetto «Digital Omnibus» e va letta con attenzione, poiché ha una portata più ristretta di quanto spesso venga descritto.

La regola prevede che i sistemi di IA generativa immessi sul mercato o messi in servizio prima del 2 agosto 2026 beneficino di un periodo transitorio e debbano conformarsi all’obbligo di marcatura di cui all’articolo 50, paragrafo 2, entro il 2 dicembre 2026. I sistemi immessi sul mercato a partire dal 2 agosto 2026 non godono di alcuna tolleranza: devono contrassegnare i propri output sin dal primo giorno.

Il criterio determinante è quindi la data di immissione sul mercato o di messa in servizio di ogni singolo sistema. Ed è proprio qui che la questione si intreccia con la mappatura: senza un inventario che registri, sistema per sistema, la data di adozione di ciascuno, non è nemmeno possibile stabilire quale scadenza sia applicabile al proprio caso.

Tre avvertimenti che ripeto costantemente:

1. La proroga riguarda solo l’articolo 50, paragrafo 2. Tutti gli altri obblighi previsti dall’articolo 50 — indicazione dell’uso di chatbot, etichettatura dei deepfake, etichettatura dei testi di interesse pubblico — si applicano a partire dal 2 agosto 2026.
2. I sistemi che sono in parte interattivi e in parte generativi beneficiano della proroga solo per quanto riguarda l’obbligo di etichettatura. L’indicazione dell’interattività è prevista per il 2 agosto.
3. Questo non è un permesso per rallentare. Si tratta di poche settimane in più per completare l’implementazione tecnica.

I requisiti di qualità alla base dell’etichettatura

Un avvertimento sulla tempistica. Il regolamento di modifica era stato adottato dal legislatore dell’UE ma era ancora in attesa di pubblicazione nella Gazzetta Ufficiale quando sono state emanate le linee guida, ed entra in vigore il terzo giorno successivo alla pubblicazione. Fino ad allora, la data di dicembre funge da orizzonte di pianificazione piuttosto che da norma applicabile. Consiglierei di basare il piano su tale data, ma non di far dipendere da essa il programma di conformità.

Sul merito, le soluzioni tecniche devono essere efficaci, interoperabili, robuste e affidabili, in linea con lo stato dell’arte generalmente riconosciuto. E le linee guida sottolineano un punto importante: la fattibilità tecnica è un concetto oggettivo, che non dipende dalle risorse del singolo fornitore. Non è possibile sostenere che l’etichettatura fosse irrealizzabile per voi perché il vostro team è piccolo.

Esistono alcune eccezioni limitate: applicazioni genuinamente industriali o business-to-business che soddisfano tre condizioni cumulative, output generativi confinati all’interno di prodotti fisici chiusi e contenuti effimeri in tempo reale che non vengono archiviati né diffusi. Si tratta di casi ristretti e non costituiscono una via d’uscita generale.

7. Riconoscimento delle emozioni e categorizzazione biometrica: verificare prima il divieto

Qui devo ribaltare la domanda, perché è qui che vedo la maggiore confusione.

Prima della trasparenza viene il divieto. Il riconoscimento delle emozioni sul posto di lavoro e negli istituti scolastici è vietato ai sensi dell’articolo 5 dell’AI Act, salvo ristrette eccezioni di natura medica o di sicurezza. Quindi, in uno scenario di reclutamento, la questione non è «come informo il candidato»: il punto è che, di norma, quel sistema non può essere utilizzato affatto. Si tratta di una distinzione da chiarire immediatamente con i team delle risorse umane, poiché l’esposizione non costituisce una lacuna informativa, ma una pratica vietata, soggetta al livello di sanzione più elevato previsto dall’intero regolamento.

Laddove l’uso è consentito — ad esempio in determinate applicazioni nel settore della vendita al dettaglio — si applica l’articolo 50, paragrafo 3, e chi implementa il sistema deve informare le persone esposte al suo funzionamento. Le linee guida confermano che ciò vale sia che il sistema funzioni in tempo reale sia a posteriori, e che l’informazione debba raggiungere tutte le persone esposte, compresi i minori. Tra gli esempi pratici citati figurano un pop-up prima dell’avvio di un gioco o un avviso visibile all’ingresso di ogni stanza in cui vengono acquisite le immagini facciali dei visitatori.

A ciò si aggiunge l’intero quadro normativo del GDPR, poiché si tratta di dati biometrici e potenzialmente di categorie particolari: base giuridica, valutazione d’impatto, minimizzazione.

Un aspetto tecnico che riveste enorme importanza nella pratica. Molti strumenti commercializzati come “analisi del sentiment” si limitano ad analizzare parole chiave in una conversazione per comprenderne il tono, senza alcun trattamento biometrico che farebbe scattare il divieto. Tale distinzione era al centro dell’avvertimento del Garante italiano della protezione dei dati nel caso Myndoor, che ho analizzato in questo articolo sull’analisi del sentiment tramite IA sul posto di lavoro. Prima di ragionare sull’informativa, verificate come funziona effettivamente la tecnologia — e se sia affatto lecita.

8. I cinque errori che riscontro più spesso — e le clausole da rinegoziare subito

Gli errori ricorrenti, secondo la mia esperienza, sono cinque:

• nascondere l’informativa nei termini e condizioni o nell’informativa sulla privacy, invece di collocarla nel punto di contatto;
• affidarsi esclusivamente alla filigrana tecnica, trascurando l’avviso che l’utente può effettivamente vedere;
• utilizzare formulazioni generiche o eufemistiche — «assistente», «servizio intelligente» — che non dichiarano mai la natura artificiale;
• non mappare i sistemi e, di conseguenza, non sapere quali obblighi si applichino effettivamente;
• trattare la conformità come un progetto una tantum, senza una gestione continuativa.

Dal punto di vista contrattuale, invito i clienti a rinegoziare — o almeno a rivedere — fin da ora i seguenti aspetti con i propri fornitori di IA:

• una chiara attribuzione dei ruoli di fornitore/implementatore e delle relative responsabilità;
• garanzie che i risultati siano contrassegnati e individuabili come artificiali in linea con l’articolo 50, paragrafo 2;
• l’impegno a rendere disponibili le funzionalità di divulgazione e la necessaria documentazione tecnica;
• indennizzi per la non conformità imputabile al fornitore;
• l’obbligo di collaborare in caso di ispezione da parte delle autorità;
• il trasferimento a valle degli obblighi lungo la catena di fornitura.

Queste clausole sono spesso del tutto assenti dalle condizioni standard dei fornitori. Non si tratta di una svista redazionale che si vorrebbe scoprire durante un’ispezione.

9. Chi garantisce l’applicazione, con quali poteri e quali sono le sanzioni

In Italia, il quadro normativo è stato definito dai decreti attuativi della Legge n. 132/2025, di cui ho parlato in dettaglio in questo articolo sull’attuazione dell’AI Act in Italia. Il fulcro della vigilanza operativa — comprese le ispezioni e le sanzioni — è l’ACN, l’Agenzia nazionale per la sicurezza informatica, mentre l’AgID è l’autorità di notifica. Le competenze delle autorità di regolamentazione settoriali (Banca d’Italia, CONSOB, IVASS) e del Garante rimangono intatte nei rispettivi ambiti.

Per quanto riguarda i poteri concreti, l’articolo 50 si inserisce nel sistema europeo di vigilanza del mercato. In pratica ciò significa richieste di documentazione e informazioni, ispezioni in loco, il potere di ordinare misure correttive e, nei casi più gravi, il potere di richiedere il ritiro o il richiamo di un sistema non conforme.

Le sanzioni raggiungono 15 milioni di euro o il 3% del fatturato annuo globale totale, a seconda di quale sia l’importo più elevato. Per le PMI e le start-up si applica l’importo minore tra i due. Non sono previste esenzioni in base alle dimensioni: un singolo professionista o una microimpresa che pubblichi contenuti generati dall’IA senza le informative richieste rientra pienamente nell’ambito di applicazione.

Il decreto italiano adotta un approccio graduale e proporzionato, calibrando le sanzioni in base al grado di responsabilità lungo la catena di fornitura. Si tratta di un criterio di proporzionalità, non di un lasciapassare.

Firmare il Codice, o dimostrarlo autonomamente

Ed ecco il punto che ritengo strategicamente più rilevante nelle linee guida. I firmatari del Codice di condotta vedranno l’attività di vigilanza concentrata sulla verifica dell’effettiva attuazione delle misure in esso contenute. I non firmatari dovranno dimostrare la conformità con altri mezzi adeguati, spiegare in che modo le loro misure garantiscano la conformità e — secondo le stesse parole della Commissione — effettuare un’analisi delle lacune confrontando quanto attuato con il Codice. Dovranno inoltre aspettarsi un numero maggiore di richieste di informazioni e di accesso.

In altre parole, non firmare è una scelta legittima. È anche una scelta quella di dimostrare la conformità agli obblighi di trasparenza previsti dall’AI Act nel modo più difficile, con un onere probatorio più gravoso. Il termine per essere inclusi nel primo elenco pubblicato dei firmatari scadeva il 22 luglio 2026, sebbene sia possibile aderire anche in un secondo momento.

Un’ultima osservazione dalla prassi di applicazione: come abbiamo visto ripetutamente nelle decisioni del Garante, l’adozione di misure correttive a posteriori non è generalmente considerata sufficiente per evitare una sanzione. Preparate la documentazione prima dell’ispezione, non dopo.

10. Le tre priorità da portare a termine entro il 2 agosto 2026

Se un’azienda dovesse stabilire oggi tre priorità assolute, queste sarebbero le mie, in ordine di urgenza.

In primo luogo, mappare i sistemi di IA in uso — compresi quelli nascosti all’interno di software di terze parti — e classificarli per ruolo e per categoria ai sensi dell’articolo 50. Senza questo, tutto il resto è alla cieca.

L’esercizio di mappatura è meno tecnico e più investigativo di quanto ci si aspetti: partire dalle funzioni aziendali piuttosto che dall’IT, poiché sono il marketing, la comunicazione, le risorse umane, l’assistenza clienti e le vendite ad aver introdotto autonomamente gli strumenti generativi. Passare poi agli appalti e alle licenze software, chiedendo esplicitamente ai fornitori se il loro prodotto incorpora componenti di IA, se genera contenuti e se interagisce con gli utenti. Registrare, per ciascun sistema, la data di immissione sul mercato o di messa in servizio.

In secondo luogo, attuare gli obblighi di informativa che entrano in vigore il 2 agosto: l’avviso di interazione con l’IA nei chatbot (articolo 50, paragrafo 1) e l’etichettatura dei deepfake e dei testi di interesse pubblico (articolo 50, paragrafo 4). Questi sono gli obblighi che entrano in vigore senza alcun periodo transitorio, e sono anche quelli più visibili all’esterno.

Governance: decidere chi fa cosa

In terzo luogo, rivedere i contratti con i fornitori e istituire una governance interna. La conformità agli obblighi di trasparenza previsti dall’AI Act non è di competenza di una singola funzione. L’ufficio legale e il responsabile della protezione dei dati (DPO) interpretano gli obblighi e gestiscono la revisione contrattuale e le sovrapposizioni con il GDPR; l’IT e il responsabile della sicurezza informatica (CISO) implementano le informative, la marcatura e i registri; la funzione di compliance crea il registro e gestisce il monitoraggio; i responsabili di business di ciascuna funzione sono incaricati dell’effettiva visualizzazione delle informative; la funzione acquisti vigila sulle clausole relative ai fornitori; e l’alta dirigenza fornisce il mandato, senza il quale la governance rimane solo sulla carta. Il modello che raccomando è un piccolo comitato di governance dell’IA con una matrice delle responsabilità — chi fa cosa, per ciascun sistema.

La marcatura leggibile da macchina ai sensi dell’articolo 50, paragrafo 2, che può avvalersi della proroga fino al 2 dicembre 2026 per i sistemi già in uso, segue immediatamente. È importante, ma con qualche settimana in più di margine.

La responsabilità è la vera prova

Il principio che continuo a ripetere ai clienti è la responsabilità. Non basta essere conformi; bisogna essere in grado di dimostrarlo, rapidamente.

In termini concreti, suggerisco di creare un fascicolo di conformità per ciascun sistema, contenente:

Quel fascicolo fa la differenza tra rispondere a una richiesta dell’autorità in un giorno o nel giro di settimane.

Domande frequenti

Gli obblighi di trasparenza previsti dall’AI Act si applicano alle piccole imprese e ai liberi professionisti?

Sì. Non sono previste esenzioni in base alle dimensioni. Un libero professionista o una microimpresa che pubblichi contenuti generati dall’IA senza le informazioni richieste rientra pienamente nell’ambito di applicazione. Per le PMI e le start-up, la sanzione è calcolata sul valore minore tra il massimale fisso e la percentuale del fatturato, ma si tratta di un meccanismo di proporzionalità, non di un’esenzione.

Devo etichettare i contenuti generati prima del 2 agosto 2026?

No. I contenuti generati o manipolati prima di tale data non devono essere contrassegnati o etichettati retroattivamente. Tuttavia, i testi su questioni di interesse pubblico generati prima del 2 agosto ma pubblicati a partire da tale data devono essere etichettati. I gestori in possesso di deep fake preesistenti non etichettati sono incoraggiati a etichettarli, senza che ci si aspetti da loro uno sforzo sproporzionato, come la verifica di interi database di contenuti.

Gli enti pubblici rientrano nell’ambito di applicazione dell’articolo 50?

Sì, e quasi sempre in qualità di gestori. Un comune che dispone di un chatbot sul proprio portale, un’autorità sanitaria che utilizza strumenti di supporto basati sull’IA, una scuola che impiega soluzioni didattiche basate sull’IA: tutti devono mappare i propri sistemi, garantire le informative, eseguire la FRIA ove richiesto, assicurare un’autentica supervisione umana e investire nell’alfabetizzazione all’IA per il proprio personale. La legge n. 132/2025 è esplicita sul principio antropocentrico: la decisione finale deve rimanere di competenza di una persona fisica.

La partecipazione a una sandbox normativa mi tutela?

In parte. I partecipanti che agiscono in buona fede e rispettano il piano concordato sono esenti da sanzioni amministrative per le violazioni commesse nell’ambito della sperimentazione. Non sono invece esenti dalla responsabilità civile nei confronti di terzi per i danni causati dal sistema testato. Il Digital Omnibus, nel frattempo, ha posticipato al 2 agosto 2027 il termine entro il quale gli Stati membri devono istituire almeno una sandbox nazionale operativa.

Il Codice di condotta sulla trasparenza dei contenuti generati dall’IA è obbligatorio?

No. L’adesione è volontaria. Gli obblighi di cui all’articolo 50 non lo sono. La firma offre un percorso prevedibile e riconosciuto a livello UE per dimostrare la conformità; non firmare significa dimostrare l’adeguatezza con altri mezzi e aspettarsi un controllo più approfondito da parte delle autorità di vigilanza del mercato.

Non lasciatevi cogliere impreparati il 2 agosto

Gli obblighi di trasparenza previsti dall’AI Act sono, a mio avviso, le disposizioni con la portata pratica più ampia e il livello di consapevolezza più basso tra le imprese che ne saranno effettivamente interessate. Le linee guida della Commissione hanno eliminato gran parte dell’ambiguità su cui le aziende facevano affidamento per rinviare le decisioni. Ciò che resta è l’attuazione.

Se desiderate valutare la situazione della vostra organizzazione, mappare i sistemi di IA che state effettivamente utilizzando, rivedere i contratti con i fornitori o definire la governance necessaria a coordinare il tutto, non esitate a contattarmi all’indirizzo giulio.coraggio@dlapiper.com o a collegarvi con me su LinkedIn. Noi di DLA Piper affianchiamo i clienti lungo l’intero percorso di conformità all’AI Act, dalla mappatura e dall’analisi delle lacune alla correzione degli aspetti contrattuali e all’interazione con le autorità.

Su un argomento simile, potete leggere l’articolo “L’UE raggiunge un accordo sulle modifiche alla legge sull’IA: cosa significa davvero il nuovo compromesso” e, per le nozioni di base, “Il vostro software è un sistema di intelligenza artificiale ai sensi della legge UE sull’IA?“.

Per ulteriori aggiornamenti sulla legge UE sull’IA, sulla governance dell’IA e sulla regolamentazione tecnologica, visitate la sezione dedicata all’IA su GamingTechLaw.com e ascoltate il podcast “Diritto al Digitale”