AI Act, obblighi di trasparenza dal 2 agosto: chi deve fare cosa

Se il tuo sito ha un chatbot, se generi immagini o testi con l’intelligenza artificiale, o se pubblichi contenuti che potrebbero sembrare umani senza esserlo, tra meno di due settimane diventano operativi gli obblighi di trasparenza dell’art. 50 dell’AI Act. La Commissione europea ha appena pubblicato le linee guida definitive per interpretarli.

Non è una scadenza qualsiasi in mezzo a tante, perché il Digital Omnibus ha spostato al 2 dicembre 2027 gli obblighi sui sistemi ad alto rischio autonomi mentre il 2 agosto resta l’unica data che non si è mossa. È anche per questo che vale la pena prenderla sul serio: le scadenze che slittano abituano a rimandare, quella che resta ferma no. Vale la pena capire in concreto chi riguarda e cosa richiede.

Il principio, in una frase

L’art. 50 parte da un’idea semplice: nessuno deve scoprire dopo aver parlato con una macchina, o dopo aver guardato un contenuto sintetico, che quella macchina non gliel’aveva detto prima. La trasparenza non è un afterthought, è la condizione perché la persona possa scegliere con consapevolezza se fidarsi di quello che ha davanti.

Da questo principio derivano quattro obblighi distinti, e distinguerli è il primo passo per capire se e cosa ti riguarda.

I quattro obblighi, uno per uno

Chatbot e sistemi che interagiscono direttamente con le persone (art. 50, par. 1). Chi fornisce un sistema di IA pensato per parlare con le persone deve garantire che l’utente sappia di stare interagendo con un’intelligenza artificiale, salvo che questo sia già evidente dal contesto. L’obbligo è del fornitore del sistema, non di chi lo installa sul proprio sito: se usi un chatbot di terzi per l’assistenza clienti, la responsabilità della dichiarazione ricade su chi lo ha sviluppato. Ma se quel chatbot non lo dichiara, il problema diventa comunque tuo nel momento in cui un cliente si sente ingannato.

«I fornitori garantiscono che i sistemi di IA destinati a interagire direttamente con le persone fisiche sono progettati e sviluppati in modo tale che le persone fisiche interessate siano informate del fatto di stare interagendo con un sistema di IA, a meno che ciò non risulti evidente dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto di utilizzo. Tale obbligo non si applica ai sistemi di IA autorizzati dalla legge per accertare, prevenire, indagare o perseguire reati, fatte salve le tutele adeguate per i diritti e le libertà dei terzi, a meno che tali sistemi non siano a disposizione del pubblico per segnalare un reato.» (art. 50, par. 1, Regolamento UE 2024/1689)

Contenuti sintetici: audio, immagini, video, testo (art. 50, par. 2). Chi fornisce sistemi che generano questo tipo di contenuti deve marcarli in un formato leggibile da macchina, così che risultino identificabili come artificiali. Le linee guida della Commissione chiedono che le soluzioni tecniche siano efficaci, interoperabili, solide e affidabili, nei limiti di quanto tecnicamente fattibile, e che la marcatura sopravviva lungo la catena di distribuzione del contenuto.

«I fornitori di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici, garantiscono che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente. I fornitori garantiscono che le loro soluzioni tecniche siano efficaci, interoperabili, solide e affidabili nella misura in cui ciò sia tecnicamente possibile, tenendo conto delle specificità e dei limiti dei vari tipi di contenuti, dei costi di attuazione e dello stato dell’arte generalmente riconosciuto, come eventualmente indicato nelle pertinenti norme tecniche. Tale obbligo non si applica se i sistemi di IA svolgono una funzione di assistenza per l’editing standard o non modificano in modo sostanziale i dati di input forniti dal deployer o la rispettiva semantica, o se autorizzati dalla legge ad accertare, prevenire, indagare o perseguire reati.» (art. 50, par. 2, Regolamento UE 2024/1689)

Riconoscimento delle emozioni e categorizzazione biometrica (art. 50, par. 3). Chi utilizza (non chi sviluppa, qui l’obbligo è del deployer) sistemi che riconoscono emozioni o classificano le persone in base a caratteristiche biometriche deve informare chi vi è esposto, prima o al momento della prima esposizione.

«I deployer di un sistema di riconoscimento delle emozioni o di un sistema di categorizzazione biometrica informano le persone fisiche che vi sono esposte in merito al funzionamento del sistema e trattano i dati personali in conformità dei regolamenti (UE) 2016/679 e (UE) 2018/1725 e della direttiva (UE) 2016/680, a seconda dei casi. Tale obbligo non si applica ai sistemi di IA utilizzati per la categorizzazione biometrica e il riconoscimento delle emozioni autorizzati dalla legge per accertare, prevenire o indagare reati, fatte salve le tutele adeguate per i diritti e le libertà dei terzi e conformemente al diritto dell’Unione.» (art. 50, par. 3, Regolamento UE 2024/1689)

Deepfake e testo su temi di interesse pubblico (art. 50, par. 4). Chi utilizza sistemi che producono o manipolano deepfake deve dichiarare la natura artificiale del contenuto. La stessa logica vale per chi pubblica testo generato dall’IA su argomenti di interesse pubblico: va dichiarato, a meno che il testo sia passato attraverso una revisione editoriale umana sostanziale e qualcuno se ne assuma la responsabilità.

«I deployer di un sistema di IA che genera o manipola immagini o contenuti audio o video che costituiscono un “deep fake” rendono noto che il contenuto è stato generato o manipolato artificialmente. Tale obbligo non si applica se l’uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati. Qualora il contenuto faccia parte di un’analoga opera o di un programma manifestamente artistici, creativi, satirici o fittizi, gli obblighi di trasparenza di cui al presente paragrafo si limitano all’obbligo di rivelare l’esistenza di tali contenuti generati o manipolati in modo adeguato, senza ostacolare l’esposizione o il godimento dell’opera. I deployer di un sistema di IA che genera o manipola testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico rendono noto che il testo è stato generato o manipolato artificialmente. Tale obbligo non si applica se l’uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati o se il contenuto generato dall’IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione del contenuto.» (art. 50, par. 4, Regolamento UE 2024/1689)

Cosa resta fuori

Le linee guida elencano alcune eccezioni che vale la pena conoscere prima di allarmarsi: l’uso personale e non professionale, le attività di ricerca e sviluppo prima dell’immissione sul mercato, il software open source, le attività autorizzate per finalità di ordine pubblico, e le modifiche editoriali standard come la correzione ortografica o grammaticale, che non trasformano un testo umano in un contenuto da dichiarare.

Fornitore o deployer: due ruoli da non confondere

Buona parte della confusione su questi obblighi nasce dal non distinguere i due ruoli, che l’AI Act tratta in modo diverso proprio perché comportano responsabilità diverse. Il fornitore è chi sviluppa, o fa sviluppare, un sistema di IA e lo immette sul mercato con il proprio nome o marchio, mentre il deployer è chi lo utilizza nell’ambito della propria attività professionale. Una stessa organizzazione può ritrovarsi in entrambi i ruoli insieme, per esempio se costruisce internamente uno strumento che poi usa sui propri clienti.

Per la maggior parte delle piccole e medie imprese italiane, la posizione più comune è quella di deployer: si usano strumenti di IA sviluppati da altri, non se ne costruiscono di nuovi. Questo non significa essere esenti da responsabilità, significa che il primo passo è capire quali obblighi ricadono su di te direttamente e quali invece devi solo verificare che il tuo fornitore rispetti.

Prendi un caso ipotetico ma realistico: un’azienda installa sul proprio sito un chatbot di assistenza clienti fornito da un partner tecnologico e si sente al sicuro perché non lo ha sviluppato lei. È esattamente lo scenario in cui la distinzione tra fornitore e deployer viene fraintesa più spesso. L’obbligo di dichiarare l’interazione con un’IA è del fornitore del chatbot, vero, ma se quel chatbot non lo rispetta, e un cliente lo scopre lamentandosi pubblicamente, il problema di reputazione arriva comunque a chi lo ha messo sul proprio sito, non a chi lo ha costruito.

Cosa fare prima del 2 agosto

Un percorso essenziale, in ordine:

1. Fai una mappa dei sistemi di IA che usi. Chatbot sul sito, strumenti che generano immagini o testo per il marketing, software di trascrizione, qualunque cosa interagisca con le persone o produca contenuti: senza questa mappa gli obblighi restano un’astrazione difficile da applicare.
2. Per ciascun sistema, stabilisci il tuo ruolo. Sei fornitore, deployer, o entrambi. Se hai dubbi, il criterio pratico è chiederti chi ha sviluppato lo strumento e con quale marchio viene proposto agli utenti.
3. Verifica se il fornitore rispetta già l’obbligo. Se usi un chatbot o un generatore di contenuti di terzi, controlla che dichiari la natura artificiale dell’interazione o marchi l’output. Se non lo fa, hai un problema da sollevare con il fornitore prima che diventi un problema tuo con l’utente finale.
4. Aggiorna le informative rivolte agli utenti. Se il tuo sito ha un chatbot, un banner o un avviso che dichiari l’interazione con un’IA è la forma più semplice di conformità, e nella maggior parte dei casi anche la più efficace.
5. Forma chi in azienda pubblica contenuti generati dall’IA. Chi scrive newsletter, post o descrizioni prodotto con l’aiuto di strumenti di IA deve sapere quando quel contenuto richiede una dichiarazione e quando la revisione editoriale che già fa è sufficiente a escluderla.

In sintesi

L’art. 50 chiede semplicemente di dichiarare quando si sta usando l’intelligenza artificiale, senza farla passare per qualcos’altro davanti a chi la incontra. È un obbligo di onestà minima verso chi si trova dall’altra parte, e per molte organizzazioni la conformità non richiede investimenti importanti: richiede di rendere visibile qualcosa che oggi, spesso, resta sott’inteso.

Da chi segue questi temi ogni giorno, l’impressione è che le imprese italiane sappiano già come marcare tecnicamente un contenuto sintetico. Il passaggio più lento riguarda la cultura interna: accettare che dichiarare l’uso dell’IA rafforzi la credibilità agli occhi di chi legge, e non sia solo un adempimento imposto dall’alto.

Questo articolo è un contenuto divulgativo aggiornato alle linee guida della Commissione europea disponibili alla data di pubblicazione. Non costituisce consulenza legale sul caso concreto: la qualificazione di un sistema come fornitore o deployer, e gli obblighi che ne derivano, vanno valutati caso per caso.