Ai act

La Commissione europea ha pubblicato lunedì 20 luglio gli orientamenti per assistere i fornitori e i deployer di sistemi di intelligenza artificiale (IA) nell’adempimento degli obblighi di trasparenza previsti dal regolamento Ai ACT (art.50), la cui applicazione scatta il 2 agosto 2026.

Gli obblighi di trasparenza aiuteranno le persone a riconoscere le interazioni che effettuano con l’IA o le situazioni in cui determinati contenuti sono stati generati o modificati dall’IA, riducendo così il rischio di inganno e manipolazione. Gli orientamenti pubblicati il 20 luglio chiariscono quali fornitori e deployer devono rispettare gli obblighi relativi alla trasparenza per i sistemi di IA interattivi e alla marcatura ed etichettatura dei contenuti generati dall’IA.

A norma del regolamento sull’IA, i fornitori di IA dovranno progettare sistemi di IA per informare gli utenti quando interagiscono direttamente con un’IA ed aggiungere marchi leggibili meccanicamente per consentire il rilevamento di contenuti generati o manipolati dall’IA.

I deployer dovranno inoltre informare le persone quando sono esposte a deep fake, a contenuti generati dall’IA su questioni di interesse pubblico senza revisione umana o controllo editoriale e a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica.

L’art. 50 AI Act individua quattro autonomi obblighi di trasparenza, applicabili a diverse tipologie di sistemi di IA (“sistemi IA”) e ai relativi output e riferibili a soggetti diversi (providers e/o deployers).

Le Linee Guida chiariscono che la conformità all’art. 50 AI Act non implica, di per sé, la liceità dell’uso del sistema o del suo output: un sistema soggetto agli obblighi di trasparenza può comunque risultare vietato ai sensi dell’art. 5 AI Act (es. riconoscimento delle emozioni sul luogo di lavoro) oppure qualificarsi come “ad alto rischio” con i relativi, ulteriori obblighi.

Definizioni

Provider (fornitore): Persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che sviluppa un sistema di IA (o lo fa sviluppare) e lo immette sul mercato UE o lo mette in servizio con il proprio nome o marchio, a titolo oneroso o gratuito. I providers restano soggetti agli obblighi di trasparenza anche se stabiliti in paesi terzi, quando l’output dei loro sistemi è utilizzato nell’Unione europea.

Deployer (utilizzatore/utente professionale). Persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che utilizza un sistema di IA sotto la propria autorità nell’ambito di un’attività professionale (ossia assumendo la decisione su quali finalità impiegarli). Sono esclusi gli utilizzi meramente personali e non professionali.

Gli obblighi per i Providers

I fornitori di sistemi di IA devono progettare e sviluppare i propri sistemi affinché siano rispettati i seguenti obblighi:

• Trasparenza dell’interazione (art. 50, par. 1): garantire che le persone fisiche siano informate del fatto che stanno interagendo con un sistema di IA, salvo che ciò risulti ovvio a una persona ragionevolmente informata, attenta ed avveduta, o il sistema sia autorizzato per legge a fini di prevenzione, indagine o perseguimento di reati (con esclusione dei sistemi pubblici di segnalazione di reati).
• Marcatura e rilevabilità dei contenuti sintetici (art. 50, par. 2): implementare soluzioni tecniche che rendano gli output audio, immagine, video o testo generati o manipolati marcati in formato leggibile da macchina e rilevabili come artificiali, tramite soluzioni efficaci, interoperabili, solide e affidabili (es. watermarking, metadati, impronte digitali, tecniche crittografiche).

Gli obblighi per i deployers

Gli utilizzatori professionali di sistemi di IA devono:

• Informare sull’uso di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica (art. 50, par. 3): le persone esposte a tali sistemi devono essere informate del loro funzionamento, salva l’eccezione per finalità di prevenzione, indagine e repressione di reati autorizzate per legge.
• Etichettare i deep fake (art. 50, par. 4, primo comma): divulgare in modo chiaro e distinguibile che il contenuto immagine/audio/video è stato generato o manipolato artificialmente. Per le opere evidentemente artistiche, creative, satiriche, fittizie o analoghe, l’obbligo è attenuato: è sufficiente una divulgazione appropriata che non pregiudichi la fruizione dell’opera, fermo restando il rispetto dei diritti dei terzi (dati personali, proprietà intellettuale).
• Etichettare i testi di pubblico interesse generati o manipolati dall’IA (art. 50, par. 4, secondo comma): divulgare la natura artificiale del testo pubblicato per informare il pubblico su temi di interesse pubblico (politica, sanità, giustizia, sicurezza, ambiente, economia, ecc.), salvo che il testo sia stato oggetto di revisione umana o controllo editoriale sostanziale, sotto la responsabilità editoriale di una persona fisica o giuridica identificabile.

Regola trasversale (art. 50, par. 5): tutte le informazioni sopra indicate devono essere fornite in modo chiaro e distinguibile, al più tardi al momento della prima interazione o esposizione, in conformità ai requisiti di accessibilità applicabili.

Il deployer, quindi, ovvero chi utilizza un sistema AI sotto la propria autorità, per esempio uno studio professionale, una società di consulenza, un’impresa, un ufficio comunicazione .deve dichiarare che un contenuto immagine, audio o video costituente deepfake è stato generato o manipolato artificialmente; deve inoltre dichiarare l’origine artificiale di determinati testi quando vengono diffusi al pubblico su materie di rilievo generale, salvo le eccezioni previste dalla norma.

Le principali esclusioni ed eccezioni

Attività personale non professionale: gli obblighi dei deployers non si applicano alle persone fisiche che utilizzano un sistema di IA per finalità puramente personali e non professionali (es. deep fake generati per un biglietto di auguri).

Ricerca e sviluppo: sono esclusi i sistemi sviluppati e messi in servizio esclusivamente per finalità di ricerca scientifica, nonché le attività di ricerca, test e sviluppo antecedenti l’immissione sul mercato (con esclusione dei test in condizioni reali).

Software open-source: i componenti open-source che non costituiscono di per sé un sistema di IA restano esclusi; i sistemi di IA open-source rientranti nell’art. 50 restano invece soggetti agli obblighi.

Forze dell’ordine: uso autorizzato per legge ai fini di prevenzione, indagine, accertamento o perseguimento di reati, salvo per i sistemi pubblici dedicati alla segnalazione di rei.

Il raccordo con il Code of Practice

Le Linee Guida completano il Code of Practice on Transparency of AI-Generated Content (pubblicato il 10 giugno 2026 e composto da una Sezione 1 dedicata ai providers e una Sezione 2 dedicata ai deployers), valutato come “adeguato” dalla Commissione e dall’AI Board. I due strumenti operano su piani distinti e complementari.

Le Linee Guida chiariscono l’ambito soggettivo e oggettivo degli obblighi (definizioni, eccezioni, esempi pratici) e valgono per tutti e quattro i casi dell’art. 50.

Il Code of Practice fornisce, in via volontaria, misure tecniche e organizzative operative per la marcatura, il rilevamento e l’etichettatura (art. 50, par. 2, 4 e 5).

I providers e i deployers che aderiscono al Code of Practice possono presumere la conformità (“safe harbour” pratico) alle relative disposizioni, riducendo l’onere probatorio nei confronti delle autorità di vigilanza.

Chi non aderisce al Code resta comunque tenuto al rispetto degli obblighi di legge, ma dovrà dimostrare con mezzi alternativi – e con un più elevato onere probatorio e maggiore probabilità di richieste istruttorie da parte delle autorità – l’adeguatezza delle misure adottate (ad es. tramite un’analisi comparativa, c.d. gap analysis, rispetto alle misure previste dal Code).

In sintesi, quindi l’adesione al Code di Practice è facoltativa, ma gli obblighi di trasparenza dell’art. 50 AI Act restano vincolanti indipendentemente dalla scelta di aderirvi.

Decorrenza e sanzioni

Gli obblighi dell’art. 50 AI Act si applicano dal 2 agosto 2026 a tutti i sistemi di IA rientranti nel relativo ambito, indipendentemente dalla data della loro immissione sul mercato.

Il c.d. “AI Omnibus” ha introdotto un regime transitorio limitato al solo obbligo di marcatura/rilevabilità (art. 50, par. 2) per i sistemi generativi già immessi sul mercato prima del 2 agosto 2026, con termine di adeguamento al 2 dicembre 2026 (l’obbligo di trasparenza per i sistemi interattivi resta comunque vigente dal 2 agosto 2026).

Le violazioni sono sanzionabili fino a EUR 15.000.000 o, per le imprese, fino al 3% del fatturato mondiale annuo totale dell’esercizio precedente, se superiore (limiti ridotti per le PMI); le istituzioni UE sono soggette a sanzioni fino a EUR 750.000.

Misure da attuare

Per prepararsi all’applicazione dell’articolo 50, è opportuno che l’impresa individui i sistemi di IA utilizzati e verifichi per quali impieghi assume il ruolo di deployer. Sebbene l’articolo 50 non imponga espressamente l’adozione di un registro, di una policy o di uno specifico fascicolo documentale, tali strumenti possono agevolare l’individuazione dei contenuti soggetti a disclosure, l’organizzazione della revisione umana e la dimostrazione della conformità in caso di controllo.