AI Act: gli obblighi di trasparenza diventano applicabili il 2 agosto

Sophie Laurent Responsabile Legale & Compliance, YuSMP Group · Assiste team statunitensi ed europei su GDPR, AI Act e flussi di dati transfrontalieri

La risposta breve

Cosa entra in vigore il 2 agosto?

L'AI Act viene attivato a ondate, e il 2 agosto 2026 è una delle date portanti. Accadono due cose contemporaneamente. Primo, gli obblighi di trasparenza dell'articolo 50 — la parte della legge volta a far sì che le persone possano capire quando hanno a che fare con l'IA — smettono di essere un orientamento e diventano applicabili. Secondo, entrano in applicazione i poteri di esecuzione della Commissione nei confronti dei fornitori di modelli di IA per finalità generali (GPAI): l'Ufficio IA può richiedere documentazione, condurre valutazioni tecniche, esigere misure di mitigazione, limitare un modello sul mercato dell'UE e comminare sanzioni.

Non è una scadenza lontana per sistemi ad alto rischio, del tipo recentemente spostato verso il 2027. L'articolo 50 riguarda le superfici di prodotto di ogni giorno: il chatbot di assistenza in una dashboard SaaS, l'agente IA dentro un'app, i generatori di immagini e video integrati negli strumenti di marketing, e il testo scritto dall'IA pubblicato per informare il pubblico. Se costruisci o commissioni queste funzionalità — inclusi agenti IA e assistenti — il livello di trasparenza fa ora parte della distribuzione verso l'Europa.

Gli obblighi si legano a due ruoli che la legge definisce con cura. I fornitori — chi sviluppa e immette un sistema di IA sul mercato — portano gli obblighi di marcatura. I deployer — chi usa un sistema di IA nell'esercizio della propria attività — portano gli obblighi di informazione per chatbot e deepfake. Molte aziende sono entrambi allo stesso tempo, ed è per questo che una singola funzionalità può far scattare più obblighi contemporaneamente.

I tre obblighi di trasparenza

1. Dire agli utenti che stanno parlando con un'IA. I fornitori di sistemi di IA progettati per interagire direttamente con le persone — chatbot, assistenti virtuali, agenti autonomi — devono garantire che gli utenti siano chiaramente informati, al primo contatto, di comunicare con un'IA. Esiste una stretta esenzione quando il coinvolgimento dell'IA è ovvio per una persona ragionevolmente informata, ma le bozze di linee guida della Commissione leggono l'esenzione in senso stretto: se non è evidente di per sé, si informa. Per i team che costruiscono IA conversazionale, ciò significa un avviso esplicito e accessibile all'inizio dell'interazione, non nascosto in una pagina di termini.

2. Etichettare i deepfake. I deployer di un sistema che genera o manipola immagini, audio o video costituendo un deepfake devono dichiarare che il contenuto è generato o manipolato artificialmente. Punto cruciale: ciò si applica anche senza alcun intento di ingannare — un contenuto che appare o suona come una persona, una scena o un evento reali deve essere etichettato, a prescindere dal fatto che qualcuno volesse trarre in inganno e che sia raffigurata una persona reale. Riprese di marketing sintetiche, voci fuori campo generate dall'IA e immagini di prodotto prodotte rientrano tutte nell'ambito.

3. Marcare l'output generato dall'IA in modo leggibile da macchina. I fornitori di IA generativa devono incorporare marcature leggibili da macchina in audio, immagini, video e testo prodotti dall'IA affinché il contenuto sia rilevabile come generato artificialmente — si pensi a filigrane, metadati e segnali di provenienza che sopravvivono all'uso successivo, « nella misura in cui ciò sia tecnicamente fattibile ». Un obbligo connesso riguarda il testo generato dall'IA pubblicato per informare il pubblico su temi di interesse generale: deve essere dichiarato come generato artificialmente, salvo che sia stato sottoposto a revisione editoriale umana. Se offri funzionalità di IA generativa, questa marcatura va integrata nel percorso di output, non applicata a posteriori.

Cos'è il Codice di buone pratiche, e perché il 22 luglio?

Per aiutare le organizzazioni a rispettare gli obblighi di marcatura e informazione, la Commissione europea ha pubblicato il 10 giugno 2026 un Codice di buone pratiche sulla trasparenza dei contenuti generati dall'IA volontario. Firmarlo non è obbligatorio, ma offre qualcosa di prezioso: i firmatari ottengono, nelle parole della Commissione, « prevedibilità, certezza giuridica e fiducia in tutti gli Stati membri », e possono dimostrare la conformità senza una valutazione individuale, caso per caso, da parte delle autorità nazionali di vigilanza del mercato. Le aziende che scelgono una diversa via tecnica devono invece provare l'adeguatezza del proprio approccio, autorità per autorità.

Le informazioni sul rollout indicano il 22 luglio 2026 come finestra pratica per le organizzazioni che vogliono essere firmatari riconosciuti prima che gli obblighi scattino il 2 agosto — così da avere una presunzione di conformità fin dal primo giorno, anziché difendere un metodo su misura sotto controllo. Poiché le esatte modalità di firma ed eventuali periodi di tolleranza possono cambiare, verifica la posizione attuale rispetto agli orientamenti della Commissione prima di pianificare attorno a una data precisa. Il punto strategico resta: allinearsi al Codice è la via a minor rischio, e standardizza cosa significa « fatto bene » nell'intero mercato interno.

Riguarda le aziende statunitensi?

Sì. Come il resto dell'AI Act, l'articolo 50 è extraterritoriale. I fornitori stabiliti fuori dall'UE rientrano nell'ambito laddove immettono un sistema di IA sul mercato dell'UE, o laddove l'output del sistema è utilizzato nell'UE. Un vendor SaaS statunitense il cui chatbot risponde a clienti europei, uno strumento di design il cui generatore di immagini è usato da team dell'UE, o una piattaforma media che serve articoli scritti dall'IA a lettori dell'UE sono tutti coperti — a prescindere da dove l'azienda sia costituita o dove giri la sua infrastruttura.

Ciò rispecchia la portata che i team italiani e statunitensi già conoscono dal GDPR, e vi converge: una funzionalità generativa può sollevare al contempo un obbligo di trasparenza ai sensi dell'AI Act e una questione di protezione dei dati ai sensi del GDPR. La lettura pragmatica per i team di prodotto è semplice — « siamo fuori dall'UE » non è un'esenzione. Se utenti dell'UE toccano l'output, l'obbligo tocca te.

Cosa significa per i team software italiani

Togliendo la cornice giuridica, restano tre segnali di ingegneria. Primo, questo è un problema di interfaccia e pipeline, non un problema dell'ufficio legale. L'avviso chatbot vive nell'interfaccia, al primo contatto; l'etichettatura dei deepfake vive dove i media sintetici vengono resi; la marcatura leggibile da macchina vive nel percorso di generazione ed export. Adattare tutti e tre a posteriori su un prodotto maturo, sotto pressione di scadenza, è doloroso — ed è per questo che i team che si muovono ora aggiungono un livello « trasparenza IA » sottile e riutilizzabile, invece di rattoppare ogni superficie a mano.

Secondo, i settori regolati pesano di più. Nel FinTech, un assistente IA che parla di saldi o prodotti non deve chiaramente passare per un consulente umano — un punto che in Italia interseca la vigilanza di Banca d'Italia, CONSOB e IVASS. Nell'HealthTech, i media sintetici e il testo generato dall'IA rivolto ai pazienti attirano un'attenzione evidente. Per questi ambiti, informazione e provenienza non riguardano solo l'AI Act — si allineano a obblighi esistenti di correttezza, tutela del consumatore e accuratezza clinica, così che una buona implementazione ripaga su più regimi.

Terzo, la provenienza sta diventando uno standard anche oltre l'Europa. La marcatura leggibile da macchina dei contenuti si sovrappone agli standard emergenti di autenticità dei contenuti e alle politiche delle piattaforme sull'etichettatura dei media sintetici. Un team che implementa marcature durevoli e interoperabili per l'UE costruisce in gran parte la stessa capacità verso cui tende il resto del mercato — il lavoro di conformità è quindi anche lavoro di qualità di prodotto e di fiducia, non peso morto. Abbina la funzionalità all'obbligo, costruisci il livello di trasparenza una volta, e il 2 agosto diventa una nota di rilascio anziché un allarme antincendio.

Una checklist pratica di preparazione

Niente di tutto ciò richiede di reinventare il prodotto — è il lavoro che trasforma una scadenza difficile in una revisione di routine:

1. Inventaria le tue superfici di IA. Elenca ogni punto in cui gli utenti incontrano l'IA: chatbot, agenti, generatori di immagini/audio/video, testo scritto dall'IA. Si copre solo ciò che si vede.
2. Aggiungi l'avviso chatbot al primo contatto. Un avviso chiaro e accessibile « stai chattando con un'IA » all'inizio di ogni interazione conversazionale che raggiunge utenti dell'UE.
3. Etichetta i media sintetici. Ovunque generi o manipoli immagine, audio o video, apponi un'etichetta IA visibile — indipendentemente da ogni intento di ingannare.
4. Incorpora marcature leggibili da macchina. Costruisci filigrane/metadati/segnali di provenienza nel percorso di generazione ed export affinché gli output siano rilevabili come fatti dall'IA.
5. Gestisci il testo di interesse generale. Dove il testo scritto dall'IA informa il pubblico, dichiaralo salvo che un redattore umano lo riveda — e registra questo passaggio.
6. Decidi sul Codice di buone pratiche. Valuta se firmare il Codice (per una presunzione di conformità) batte il difendere un metodo su misura Stato per Stato.
7. Documentalo. Tieni un breve registro di quale superficie porta quali controlli, così che un audit o un questionario cliente sia una consultazione, non un'indagine.

Questo non è un parere legale, e l'approccio giusto dipende dal tuo prodotto, dai tuoi mercati e dai tuoi modelli. Ma la direzione è inequivocabile: dal 2 agosto, in Europa, gli utenti hanno diritto di sapere quando contenuti e conversazioni sono fatti da macchine — e i team più rapidi saranno quelli che lo trattano come un input di progettazione fin da ora.

Domande frequenti

Fonti

Commissione europea — Codice di buone pratiche sulla trasparenza dei contenuti generati dall'IA (pubblicato il 10 giugno 2026)
Commissione europea — Quadro normativo sull'IA (calendario di applicazione dell'AI Act)
AI Act dell'UE — Articolo 50: obblighi di trasparenza per fornitori e deployer