AI Act: le implicazioni per aziende, chatbot e contenuti generati dall’AI
Intelligenza artificiale e compliance
AI Act: attiva la parte 2 per aziende, chatbot e contenuti generati dall’AI
Dal 2 agosto 2026 in applicazione una parte centrale dell’AI Act europeo, con obblighi rilevanti di trasparenza relativi a chatbot, deepfake, testi di interesse pubblico e contenuti generati o manipolati dall’intelligenza artificiale.
I rinvii introdotti dal Digital Omnibus per alcuni sistemi ad alto rischio non rappresentano un liberi tutti: dal 2 agosto occorre sapere quali sistemi AI vengono utilizzati, informare correttamente gli utenti e documentare le misure adottate.
Immagine illustrativa realizzata con il supporto dell’intelligenza artificiale.
Cosa rappresenta la data del 2 agosto 2026?
Dal 2 agosto 2026 le persone devono essere informate quando interagiscono direttamente con determinati sistemi di intelligenza artificiale, salvo che la natura artificiale dell’interazione sia già evidente.
Entrano inoltre in applicazione specifici obblighi riguardanti:
- chatbot e assistenti virtuali;
- contenuti audio, video, immagini e testi generati o manipolati dall’AI;
- deepfake;
- testi pubblicati per informare il pubblico su temi di interesse pubblico;
- sistemi di riconoscimento delle emozioni;
- sistemi di categorizzazione biometrica;
- marcature leggibili dalle macchine dei contenuti sintetici;
- vigilanza e applicazione delle regole sui modelli AI per finalità generali.
Diventa quindi necessario sapere quali sistemi AI vengono utilizzati, per quali finalità e quali contenuti producono.
Cos’è l’AI Act europeo?
L’AI Act è il Regolamento (UE) 2024/1689, la normativa europea che stabilisce regole armonizzate per lo sviluppo, la commercializzazione e l’utilizzo dei sistemi di intelligenza artificiale nell’Unione europea.
Il regolamento adotta un approccio basato sul rischio. Gli obblighi applicabili dipendono quindi dalla funzione del sistema, dal contesto in cui viene usato e dai possibili effetti sulle persone.
In termini generali, l’AI Act distingue tra:
Pratiche vietate
Sono gli utilizzi dell’intelligenza artificiale considerati incompatibili con i valori e i diritti fondamentali dell’Unione europea.
Sistemi ad alto rischio
Sono sistemi utilizzati in ambiti particolarmente sensibili, come occupazione, istruzione, accesso a servizi essenziali, biometria e alcuni prodotti regolamentati.
Sistemi soggetti a trasparenza
Comprendono, tra gli altri, sistemi che interagiscono con le persone e sistemi capaci di generare o manipolare contenuti sintetici.
Sistemi a rischio limitato o minimo
Possono essere utilizzati senza il regime previsto per l’alto rischio, ferma restando l’applicazione di altre norme e degli eventuali obblighi di trasparenza.
Il regolamento è entrato in vigore il 1° agosto 2024, ma le sue disposizioni sono diventate applicabili progressivamente. Il 2 agosto 2026 rappresenta una delle principali tappe di questo percorso.
L’appuntamento dell’AI Act del 2 agosto 2026
Dal 2 agosto 2026 si applicano gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act.
Il principio di fondo è semplice: quando l’intelligenza artificiale può indurre una persona a credere di interagire con un essere umano oppure può produrre contenuti artificiali difficili da distinguere da quelli autentici, occorre rendere riconoscibile il ruolo dell’AI.
| Ambito | Soggetto interessato | Obbligo principale |
|---|---|---|
| Chatbot e sistemi interattivi | Fornitore del sistema | Informare la persona che sta interagendo con un sistema AI, salvo che ciò sia evidente. |
| Contenuti sintetici | Fornitore del sistema generativo | Fare in modo che gli output siano rilevabili e marcati in un formato leggibile dalle macchine. |
| Deepfake | Chi utilizza il sistema e diffonde il contenuto | Dichiarare che il contenuto è stato generato o manipolato artificialmente. |
| Testi di interesse pubblico | Chi utilizza l’AI per generare o manipolare il testo | Rendere noto l’utilizzo dell’AI, salvo le eccezioni previste per controllo editoriale e responsabilità umana. |
| Riconoscimento delle emozioni | Utilizzatore professionale del sistema | Informare le persone esposte al sistema. |
| Categorizzazione biometrica | Utilizzatore professionale del sistema | Informare le persone interessate, nel rispetto anche delle norme sulla protezione dei dati. |
Fornitore e deployer non sono la stessa cosa
Nel linguaggio dell’AI Act, il fornitore è il soggetto che sviluppa un sistema AI o lo immette sul mercato con il proprio nome o marchio.
Il deployer è invece il soggetto che utilizza il sistema sotto la propria autorità nell’ambito di un’attività professionale.
Un’azienda che utilizza ChatGPT, Gemini, Copilot, Canva AI o un chatbot fornito da terzi è normalmente utilizzatrice del sistema. Può però assumere responsabilità più ampie quando modifica sostanzialmente il sistema, lo integra in un proprio prodotto oppure lo commercializza con il proprio marchio.
Cosa è stato rinviato dal Digital Omnibus?
Il Digital Omnibus ha modificato il calendario di applicazione di alcune disposizioni sui sistemi AI ad alto rischio.
Il rinvio riguarda soprattutto gli obblighi specifici previsti per i sistemi classificati ad alto rischio. Non elimina invece gli obblighi di trasparenza dell’articolo 50 applicabili dal 2 agosto 2026.
| Tipologia di sistema | Esempi | Nuova data |
|---|---|---|
| Sistemi autonomi dell’Allegato III | Selezione del personale, istruzione, credito, biometria e accesso ad alcuni servizi essenziali. | 2 dicembre 2027 |
| Sistemi integrati nei prodotti dell’Allegato I | AI inserita in dispositivi medici, macchine e altri prodotti soggetti a normativa armonizzata. | 2 agosto 2028 |
Un rinvio non equivale a un’esenzione
Lo slittamento di alcuni adempimenti previsti per i sistemi di intelligenza artificiale ad alto rischio non deve essere interpretato come un’esenzione. Le imprese dovrebbero utilizzare il periodo transitorio per prepararsi in modo strutturato, evitando di arrivare alle nuove scadenze senza processi, responsabilità e documentazione adeguati.
È quindi opportuno censire i sistemi AI utilizzati, classificare i diversi casi d’uso, individuare quelli potenzialmente ad alto rischio, valutare i fornitori, definire le responsabilità interne e predisporre progressivamente le evidenze necessarie a dimostrare la conformità.
Il rinvio riguarda inoltre soltanto specifici obblighi dell’AI Act. Restano pienamente applicabili le altre normative pertinenti, tra cui il GDPR, la disciplina sul lavoro, la tutela dei consumatori, la proprietà intellettuale, la sicurezza dei prodotti e la responsabilità contrattuale.
Chatbot e assistenti virtuali: cosa deve essere dichiarato?
Quando una persona interagisce direttamente con un sistema di intelligenza artificiale deve essere informata della natura artificiale dell’interazione, salvo che ciò risulti evidente a una persona normalmente informata e ragionevolmente attenta.
La regola può riguardare:
- chatbot installati nei siti web;
- assistenti virtuali per il customer care;
- voicebot telefonici;
- assistenti AI integrati in ecommerce e aree riservate;
- avatar digitali che dialogano con gli utenti;
- agenti AI che raccolgono richieste o forniscono raccomandazioni.
Come informare correttamente l’utente
L’informazione deve essere chiara, tempestiva e comprensibile. Dovrebbe essere mostrata al più tardi al momento della prima interazione.
Esempio di avviso per un chatbot
Stai interagendo con un assistente basato sull’intelligenza artificiale. Le risposte possono essere generate automaticamente e potrebbero contenere inesattezze. Per richieste che richiedono una valutazione umana puoi contattare il nostro servizio clienti.
Non è sufficiente nascondere l’informazione nella privacy policy o nei termini generali del sito. L’utente deve poter capire con immediatezza che l’interlocutore non è una persona.
Serve sempre una dichiarazione?
L’obbligo può non essere necessario quando la natura artificiale del sistema è già evidente (ad esempio mettendo la figura di un robot nella chatbot, chiamandolo con nome con AI ecc). Tuttavia, per evitare ambiguità e fornire una migliore esperienza all’utente, una comunicazione esplicita resta generalmente la scelta più prudente.
Contenuti generati dall’AI: marcatura e rilevabilità
L’articolo 50 richiede ai fornitori di sistemi AI che generano contenuti sintetici di adottare soluzioni tecniche affinché gli output siano rilevabili come generati o manipolati artificialmente.
La marcatura deve essere:
- efficace;
- interoperabile;
- robusta;
- affidabile;
- tecnicamente realizzabile;
- leggibile dalle macchine.
Questa responsabilità riguarda principalmente chi sviluppa o fornisce il sistema generativo. Non significa che ogni azienda che utilizza uno strumento AI debba sviluppare autonomamente un watermark.
L’impresa utilizzatrice dovrebbe però verificare se la piattaforma scelta supporta sistemi di marcatura, metadati di provenienza o altre tecnologie di identificazione.
La marcatura tecnica è sempre visibile?
No. Una marcatura leggibile dalle macchine può essere incorporata nei metadati, nel file oppure nel contenuto mediante tecniche non immediatamente visibili all’occhio umano.
Non deve quindi essere confusa con una semplice etichetta testuale come immagine generata con AI.
Due livelli differenti di trasparenza
La conformità può richiedere sia una marcatura tecnica leggibile dalle macchine, normalmente predisposta dal fornitore del sistema, sia una comunicazione comprensibile alle persone, richiesta in specifici casi a chi pubblica o utilizza il contenuto.
Deepfake: quando è obbligatorio dichiarare l’uso dell’AI?
L’AI Act definisce deepfake un contenuto immagine, audio o video generato o manipolato dall’intelligenza artificiale che assomiglia a persone, oggetti, luoghi, entità o eventi reali e che potrebbe apparire falsamente autentico o veritiero.
Chi utilizza un sistema AI per generare o manipolare un deepfake e successivamente lo diffonde deve rendere noto che il contenuto è stato creato o alterato artificialmente.
La dichiarazione deve essere chiara e distinguibile e deve essere effettuata al più tardi al momento della prima esposizione del contenuto.
Esempi di contenuti potenzialmente interessati
- video nei quali una persona sembra pronunciare parole mai dette;
- registrazioni audio che imitano la voce di una persona reale;
- immagini fotorealistiche di eventi mai avvenuti;
- ricostruzioni artificiali di personaggi pubblici;
- contenuti promozionali nei quali testimonial reali vengono rappresentati artificialmente;
- riproduzioni realistiche di luoghi o prodotti inesistenti presentate come autentiche.
Opere artistiche, satiriche e creative
Per opere chiaramente artistiche, creative, satiriche o di finzione, l’obbligo deve essere applicato in modo da non ostacolare inutilmente la fruizione dell’opera.
Ne avevamo parlato in un articolo dedicato su come riconoscere le fake news.
La natura artificiale del contenuto deve comunque essere indicata in modo appropriato.
Esempio di etichetta
Contenuto generato o manipolato mediante intelligenza artificiale.
Quando necessario, la formula può essere resa più specifica: “Video ricostruito con intelligenza artificiale”, “Voce sintetica” oppure “Immagine fotorealistica generata con AI”.
Testi generati dall’AI su questioni di interesse pubblico
L’articolo 50 disciplina anche i testi generati o manipolati dall’intelligenza artificiale e pubblicati con lo scopo di informare il pubblico su questioni di interesse pubblico.
In questi casi chi utilizza il sistema deve dichiarare che il testo è stato generato o manipolato artificialmente.
La disposizione può interessare, per esempio:
- articoli informativi;
- notizie e comunicati su temi pubblici;
- contenuti politici o istituzionali;
- testi relativi a salute, sicurezza, ambiente ed economia;
- pubblicazioni che possono influenzare il dibattito pubblico.
L’eccezione del controllo editoriale umano
La dichiarazione può non essere richiesta quando il contenuto generato dall’AI è sottoposto a un processo di revisione umana o controllo editoriale e una persona fisica o giuridica assume la responsabilità editoriale della pubblicazione.
Questa eccezione non dovrebbe essere interpretata come una possibilità di approvare automaticamente qualsiasi testo.
L’organizzazione dovrebbe poter dimostrare:
- chi ha revisionato il contenuto;
- quali verifiche sono state effettuate;
- chi ne assume la responsabilità editoriale;
- quale versione è stata approvata;
- quando è avvenuta l’approvazione.
Un controllo umano solo formale non è sufficiente
Premere “pubblica” dopo una lettura superficiale non costituisce necessariamente un controllo editoriale adeguato. Occorre verificare almeno accuratezza, fonti, tono, possibili discriminazioni, diritti di terzi e coerenza con gli obiettivi della pubblicazione.
Formazione e alfabetizzazione AI
L’articolo 4 dell’AI Act richiede ai fornitori e agli utilizzatori professionali di adottare misure adeguate per sostenere un livello sufficiente di alfabetizzazione in materia di intelligenza artificiale del personale e delle altre persone coinvolte nell’utilizzo dei sistemi.
L’obbligo è applicabile dal 2 febbraio 2025.
La formazione dovrebbe essere proporzionata:
- alle conoscenze tecniche del personale;
- al ruolo ricoperto;
- al contesto nel quale il sistema viene utilizzato;
- alle persone o ai gruppi sui quali il sistema può produrre effetti;
- ai rischi associati allo specifico utilizzo.
Un corso generico non sempre è sufficiente
Chi utilizza l’AI per tradurre una descrizione prodotto non necessita necessariamente della stessa formazione di chi utilizza un sistema per selezionare candidati, analizzare clienti, produrre informazioni sanitarie o automatizzare decisioni.
Un piano credibile dovrebbe distinguere almeno tra:
Utilizzatori ordinari
Uso corretto delle piattaforme, protezione dei dati, controllo delle risposte, copyright e riconoscimento delle allucinazioni.
Responsabili di funzione
Valutazione dei casi d’uso, autorizzazioni, supervisione, gestione dei fornitori e approvazione dei contenuti.
Sviluppatori e tecnici
Sicurezza, qualità dei dati, logging, test, monitoraggio, robustezza e controllo delle integrazioni.
Direzione e governance
Rischi organizzativi, responsabilità, compliance, gestione degli incidenti e impatto sui processi aziendali.
Come documentare la formazione
È opportuno conservare:
- programma e materiali dei corsi;
- registro dei partecipanti;
- data e durata delle attività;
- ruoli e sistemi utilizzati dai partecipanti;
- eventuali test di apprendimento;
- aggiornamenti periodici effettuati.
In agenzia abbiamo iniziato a fare formazione interna immediatamente, per dare consapevolezza e linee guida a tutto il Team. E da 2025 abbiamo iniziato a fare formazione anche ad aziende clienti e non, attraverso collaborazioni con Camera di Commercio e Fondazione ISI per l’Innovazione e lo Sviluppo Imprenditoriale.
L’impatto su agenzie di comunicazione, marketing e sviluppo web come HT&T?
Le agenzie digitali possono utilizzare l’intelligenza artificiale in numerosi processi: copywriting, grafica, video, traduzione, advertising, analisi, chatbot, sviluppo software, customer care e automazione.
Non tutti questi utilizzi comportano automaticamente lo stesso obbligo, ma devono essere censiti e gestiti.
| Caso d’uso | Possibile adempimento |
|---|---|
| Chatbot nel sito di un cliente | Avviso chiaro che l’utente sta interagendo con un sistema AI; gestione dell’escalation verso un operatore umano. |
| Immagini AI chiaramente illustrative | Valutare se sia necessaria un’etichetta in base al contesto; conservare informazioni su strumento e processo creativo. |
| Immagini fotorealistiche di persone o eventi | Verificare se rientrano nella definizione di deepfake e dichiarare la generazione o manipolazione artificiale. |
| Articoli informativi generati dall’AI | Prevedere revisione editoriale documentata o dichiarare l’utilizzo dell’AI quando richiesto. |
| Traduzioni AI | Controllo umano proporzionato al rischio, soprattutto per testi tecnici, legali, medici o commerciali. |
| Creatività pubblicitarie | Verificare trasparenza, diritti d’autore, diritti delle persone rappresentate e assenza di contenuti ingannevoli. |
| Selezione o valutazione del personale | Valutazione specifica del rischio: il sistema può rientrare tra quelli ad alto rischio dell’Allegato III. |
| Chatbot RAG sviluppato per un cliente | Definire ruoli contrattuali, fonti, logging, supervisione umana, sicurezza, trasparenza e gestione degli incidenti. |
Le piattaforme di Ads hanno, ovviamente, inserito la possibilità di inserire avviso per le creatività prodotte tramite AI, ma la responsabilità è sempre dell’agenzia e del cliente, che ha comunque l’obbligo e dovere di controllare che le cose siano fatte nel modo corretto.
L’agenzia può diventare fornitore ai sensi dell’AI Act?
Sì, in alcuni progetti.
Un’agenzia che si limita a configurare un servizio di terzi può restare prevalentemente un integratore o un utilizzatore. Tuttavia, se sviluppa un sistema che utilizza AI, lo commercializza con il proprio marchio, lo modifica sostanzialmente o ne cambia la finalità prevista, potrebbe assumere il ruolo di fornitore e non più di semplice deployer.
Questo aspetto deve essere definito chiaramente nei contratti con clienti, subfornitori e piattaforme tecnologiche.
Qual è il rapporto tra AI Act, C2PA e Content Credentials?
L’AI Act stabilisce gli obiettivi di trasparenza e, per i fornitori di sistemi generativi, richiede che i contenuti sintetici siano rilevabili mediante marcature leggibili dalle macchine.
Non impone però in modo generalizzato l’utilizzo esclusivo di una determinata tecnologia.
Il sistema C2PA e le Content Credentials rappresentano una delle soluzioni più rilevanti per documentare la provenienza e le modifiche di immagini, video, audio e altri contenuti digitali.
Le Content Credentials possono includere informazioni su:
- origine del file;
- strumento utilizzato per crearlo;
- modifiche apportate;
- eventuale utilizzo dell’intelligenza artificiale;
- soggetto che ha firmato le informazioni di provenienza.
C2PA può quindi contribuire alla trasparenza tecnica richiesta dall’AI Act, ma non risolve da solo tutti gli obblighi.
Il passaporto digitale dei contenuti
Nel nostro approfondimento dedicato analizziamo il funzionamento di C2PA, delle Content Credentials e dei sistemi utilizzati per verificare la provenienza dei contenuti digitali.
C2PA è obbligatorio dal 2 agosto 2026?
No. L’AI Act richiede risultati di trasparenza e rilevabilità, ma non stabilisce che ogni organizzazione debba adottare obbligatoriamente C2PA.
La tecnologia può tuttavia diventare uno degli strumenti più utili per dimostrare la provenienza dei file e conservare le informazioni sulle trasformazioni effettuate.
Una scritta generato con AI sostituisce la marcatura tecnica?
Non necessariamente.
L’etichetta visibile informa le persone, mentre la marcatura tecnica consente a piattaforme e strumenti automatici di rilevare la natura sintetica del contenuto. I due livelli possono essere complementari.
Controlli, responsabilità e sanzioni
Dal 2 agosto 2026 diventano operative ulteriori parti del sistema di governance e applicazione dell’AI Act.
Per i fornitori di modelli di intelligenza artificiale per finalità generali, la Commissione europea, attraverso l’AI Office, può esercitare i propri poteri di controllo e applicazione.
Il regolamento prevede sanzioni differenziate in base alla violazione. Gli importi massimi possono arrivare:
- fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per alcune pratiche vietate;
- fino a 15 milioni di euro o al 3% del fatturato mondiale annuo per altre violazioni del regolamento;
- a percentuali o importi differenti per informazioni inesatte o incomplete fornite alle autorità.
Il calcolo concreto dipende dal tipo di soggetto, dalla violazione e dalle circostanze del caso. Per le piccole e medie imprese sono previsti criteri proporzionati e massimali specifici.
La conformità non riguarda soltanto le multe
Una gestione inadeguata dell’intelligenza artificiale può produrre anche danni reputazionali, violazioni contrattuali, contestazioni sulla proprietà intellettuale, problemi privacy, discriminazioni e responsabilità verso clienti o persone interessate.
Registro, formazione, controllo umano e valutazione dei fornitori sono quindi anche strumenti di gestione del rischio aziendale.
Casi pratici: cosa deve fare concretamente un’azienda
Gli obblighi dell’AI Act non dipendono soltanto dal nome della piattaforma utilizzata. È necessario valutare la funzione del sistema, il tipo di contenuto prodotto, il contesto della pubblicazione e il ruolo assunto dall’organizzazione.
Il principio da applicare
Utilizzare ChatGPT, Gemini, NanoBanana, Claude, Midjourney, Canva o un’altra piattaforma AI non genera automaticamente lo stesso obbligo in ogni situazione. Cambiano le responsabilità se l’AI dialoga con una persona, produce un deepfake, genera un testo di interesse pubblico oppure viene integrata in un servizio offerto ai clienti.
Cosa deve fare una PMI entro il 2 agosto 2026?
Una PMI dovrebbe almeno sapere quali sistemi di intelligenza artificiale vengono utilizzati e per quali attività. Il primo passo è predisporre un registro dei sistemi e dei casi d’uso AI.
L’azienda dovrebbe quindi:
- censire piattaforme, account e integrazioni AI;
- individuare chi utilizza ciascun sistema;
- verificare se sono presenti chatbot o assistenti rivolti al pubblico;
- controllare come vengono pubblicati immagini, audio, video e testi generati dall’AI;
- definire chi revisiona e approva i contenuti;
- formare il personale in modo proporzionato agli utilizzi;
- documentare le misure adottate;
- verificare contratti e condizioni dei fornitori AI.
Per una PMI che utilizza l’AI soltanto come supporto interno, gli obblighi possono essere limitati. Non viene però meno la necessità di promuovere l’alfabetizzazione AI del personale e di rispettare le norme applicabili su dati, riservatezza, copyright e responsabilità. L’articolo 4 sull’alfabetizzazione AI riguarda infatti fornitori e deployer, comprese le PMI, con misure proporzionate al contesto e ai rischi.
Chi utilizza ChatGPT o Claude in azienda è soggetto all’AI Act?
Sì, l’uso professionale di ChatGPT può rientrare nell’ambito dell’AI Act, ma non significa che chiunque inserisca un prompt debba applicare tutti gli obblighi previsti dal regolamento.
L’azienda che usa ChatGPT è normalmente un deployer, cioè un utilizzatore professionale di un sistema fornito da un altro soggetto.
Deve quindi valutare:
- per quale finalità viene utilizzato;
- quali dati vengono inseriti;
- se gli output vengono pubblicati o utilizzati per decisioni;
- se il contenuto riguarda questioni di interesse pubblico;
- se esiste un controllo umano effettivo;
- se il personale ha ricevuto una formazione adeguata.
L’uso di ChatGPT per correggere una frase interna è molto diverso dal suo utilizzo per pubblicare automaticamente una notizia, selezionare candidati o rispondere autonomamente ai clienti.
Se pubblico un’immagine AI su LinkedIn devo dichiararlo?
Non tutte le immagini create con l’intelligenza artificiale devono essere necessariamente accompagnate dalla stessa etichetta visibile.
La dichiarazione diventa particolarmente importante quando l’immagine:
- riproduce in modo realistico una persona reale;
- rappresenta un evento mai avvenuto come se fosse autentico;
- modifica artificialmente una fotografia reale;
- può essere scambiata per una testimonianza documentale;
- rientra nella definizione di deepfake;
- viene utilizzata per informare o influenzare il pubblico su una questione rilevante.
Per una grafica chiaramente illustrativa, astratta o concettuale, il rischio di inganno è normalmente inferiore. Resta comunque consigliabile indicare l’utilizzo dell’AI quando questa informazione è rilevante per la corretta comprensione del contenuto.
Formula prudenziale per LinkedIn
Immagine illustrativa realizzata con il supporto dell’intelligenza artificiale.
Per contenuti realistici o manipolati è preferibile una formula più precisa, come: “Immagine generata con AI, non rappresenta un evento reale”.
Il calendario aggiornato dell’AI Act
| Data | Cosa cambia |
|---|---|
| 1° agosto 2024 | Entrata in vigore del Regolamento europeo sull’intelligenza artificiale. |
| 2 febbraio 2025 | Applicazione delle regole sulle pratiche AI vietate e dell’obbligo relativo all’alfabetizzazione AI. |
| 2 agosto 2025 | Applicazione degli obblighi per i nuovi modelli AI per finalità generali immessi sul mercato. |
| 2 agosto 2026 | Applicazione degli obblighi di trasparenza dell’articolo 50; entrata in funzione di ulteriori meccanismi di vigilanza e dei poteri di enforcement sui modelli GPAI. |
| 2 dicembre 2026 | Termine transitorio previsto per alcune marcature tecniche relative a sistemi generativi già presenti sul mercato prima del 2 agosto 2026. |
| 2 dicembre 2027 | Applicazione degli obblighi per i sistemi AI ad alto rischio autonomi rientranti nell’Allegato III. |
| 2 agosto 2028 | Applicazione degli obblighi per i sistemi AI ad alto rischio integrati nei prodotti disciplinati dall’Allegato I. |
Cosa dovrebbe fare adesso un’azienda?
Un’impresa che utilizza l’intelligenza artificiale soltanto per attività interne non deve presumere di essere automaticamente esclusa dall’AI Act.
Deve prima conoscere le tecnologie utilizzate e le loro finalità.
Le priorità operative sono:
Conoscere
Creare un inventario aggiornato dei sistemi, degli account e delle integrazioni AI utilizzate dall’organizzazione.
Classificare
Valutare finalità, dati trattati, persone coinvolte e potenziale livello di rischio.
Informare
Inserire avvisi appropriati nei chatbot e nelle pubblicazioni che rientrano negli obblighi di trasparenza.
Documentare
Conservare registri, valutazioni, controlli editoriali, formazione e verifiche sui fornitori.
Supervisionare
Mantenere una responsabilità umana effettiva sulle attività che possono produrre conseguenze rilevanti.
Aggiornare
Rivedere periodicamente policy e procedure, perché piattaforme, linee guida e interpretazioni possono cambiare.
Conclusioni
Il 2 agosto 2026 non coincide con l’applicazione simultanea di ogni obbligo previsto dall’AI Act, ma rappresenta comunque una data decisiva per la trasparenza dei sistemi e dei contenuti generati dall’intelligenza artificiale.
Per molte aziende gli adempimenti più immediati riguardano chatbot, contenuti sintetici, processi editoriali, formazione del personale e controllo dei fornitori.
Il Digital Omnibus concede più tempo per l’adeguamento di alcuni sistemi ad alto rischio, ma non elimina la necessità di conoscere e governare l’intelligenza artificiale già utilizzata nei processi aziendali.
Da ricordare
Trasparenza, formazione e documentazione non devono essere considerate meri adempimenti formali. Sono gli strumenti attraverso i quali un’organizzazione può dimostrare di utilizzare l’intelligenza artificiale in modo consapevole, controllato e responsabile.
Domande frequenti sull’AI Act e gli obblighi dal 2 agosto 2026
La data del 2 agosto 2026 per l’AI Act cosa rappresenta?
Dal 2 agosto 2026 diventano applicabili, tra le altre disposizioni, gli obblighi di trasparenza dell’articolo 50 relativi a chatbot, contenuti sintetici, deepfake, riconoscimento delle emozioni, categorizzazione biometrica e alcuni testi generati dall’AI su temi di interesse pubblico.
Gli obblighi per i sistemi AI ad alto rischio sono stati rinviati?
Sì. Il Digital Omnibus ha spostato al 2 dicembre 2027 l’applicazione delle regole per i sistemi ad alto rischio autonomi dell’Allegato III e al 2 agosto 2028 quelle per i sistemi AI integrati nei prodotti dell’Allegato I.
Un sito che utilizza un chatbot deve avvisare gli utenti?
In generale, sì. L’utente deve essere informato che sta interagendo con un sistema AI, salvo che la natura artificiale dell’interazione sia già evidente. L’informazione dovrebbe essere mostrata prima o al momento della prima interazione.
Devo dichiarare tutte le immagini create con l’intelligenza artificiale?
Non esiste una regola unica applicabile indistintamente a qualsiasi immagine. Occorre considerare il tipo di contenuto, il contesto, la possibilità che venga percepito come autentico e l’eventuale qualificazione come deepfake. Per i deepfake la natura artificiale deve essere dichiarata.
Pubblicare la dicitura “immagine generata con AI” è sufficiente?
La dicitura può soddisfare l’esigenza di informare le persone in alcuni contesti, ma non sostituisce necessariamente la marcatura tecnica leggibile dalle macchine richiesta ai fornitori dei sistemi generativi.
Per le immagini nei contenuti generate prima del 2 Agosto, si deve andare a fare dichiarazioni retroattivamente?
La Commissione europea chiarisce espressamente che i contenuti generati prima del 2 agosto 2026 non devono essere etichettati retroattivamente. L’aggiornamento dei contenuti precedenti è incoraggiato, quando possibile e utile, ma non è imposto in modo generalizzato.
Inoltre, non tutte le immagini generate con AI richiedono un’etichetta visibile. L’obbligo per chi pubblica riguarda soprattutto i deepfake: immagini, audio o video che somigliano in modo apprezzabile a persone, oggetti, luoghi o avvenimenti reali e che potrebbero apparire autentici. Una normale illustrazione concettuale, chiaramente grafica o fantastica, non rientra automaticamente in questa categoria.
C2PA diventa obbligatorio dal 2 agosto 2026?
No. L’AI Act non impone in modo generalizzato l’adozione obbligatoria dello standard C2PA. C2PA e Content Credentials possono però contribuire a dimostrare provenienza, autenticità e modifiche dei contenuti digitali.
Se pubblico un’immagine generata con un AI su LinkedIn devo dichiararlo?
Dipende dal contenuto e dal contesto. Una grafica chiaramente illustrativa non è equiparabile automaticamente a un deepfake. La dichiarazione è particolarmente importante quando l’immagine appare autentica, rappresenta persone reali, ricostruisce eventi o può indurre il pubblico in errore.
Le funzioni AI di Canva rientrano nell’AI Act?
Sì, quando Canva viene utilizzato per generare o manipolare contenuti mediante intelligenza artificiale. Il semplice utilizzo di Canva come programma di impaginazione grafica non comporta invece automaticamente gli obblighi previsti per i contenuti sintetici.
Come deve essere adeguato un sito WordPress che utilizza un chatbot AI?
Il sito dovrebbe informare chiaramente l’utente che sta interagendo con un sistema AI, mostrare l’avviso prima o al momento della prima interazione e, quando opportuno, consentire il passaggio a un operatore umano. Devono inoltre essere verificati privacy, dati trasmessi e condizioni del fornitore.
Chi utilizza ChatGPT per lavoro deve rispettare l’AI Act?
L’azienda che utilizza ChatGPT professionalmente è normalmente un deployer. Gli obblighi concreti dipendono dall’uso: formazione e governo dello strumento sono rilevanti in generale, mentre trasparenza e ulteriori adempimenti dipendono dal tipo di contenuto o servizio prodotto.
Gli articoli scritti con ChatGPT devono essere sempre dichiarati?
La dichiarazione è prevista per testi generati o manipolati dall’AI e pubblicati per informare il pubblico su questioni di interesse pubblico. Può non essere richiesta quando esiste un controllo editoriale umano effettivo e una persona fisica o giuridica assume la responsabilità della pubblicazione.
L’obbligo di formazione AI parte il 2 agosto 2026?
No. L’obbligo relativo all’alfabetizzazione AI è già applicabile dal 2 febbraio 2025. La formazione deve essere proporzionata al ruolo delle persone, ai sistemi utilizzati e ai rischi del contesto operativo.
Usare ChatGPT in azienda rende automaticamente l’impresa un fornitore AI?
No. Normalmente l’impresa che utilizza un servizio AI di terzi opera come deployer, cioè utilizzatore professionale. Potrebbe però diventare fornitore quando sviluppa, modifica sostanzialmente o commercializza un sistema con il proprio nome o marchio.
Qual è il primo documento da preparare per l’AI Act?
Il punto di partenza più utile è un registro dei sistemi e dei casi d’uso AI. Senza un censimento non è possibile stabilire ruoli, rischi, obblighi di trasparenza, necessità formative e responsabilità.
Le PMI devono rispettare l’AI Act?
Sì, quando rientrano nell’ambito di applicazione del regolamento. Gli obblighi dipendono dal ruolo e dal tipo di utilizzo, non soltanto dalle dimensioni dell’impresa. Il regolamento prevede comunque criteri di proporzionalità e misure di sostegno per le PMI.
Chi controlla la conformità all’AI Act?
La governance coinvolge la Commissione europea, l’AI Office e le autorità nazionali competenti. L’autorità concretamente responsabile può dipendere dal soggetto, dal settore e dal tipo di sistema utilizzato.
Fonti normative e approfondimenti
L’articolo è stato redatto sulla base del testo dell’AI Act e dei documenti pubblicati dalle istituzioni dell’Unione europea. Le linee guida europee non sostituiscono il testo del regolamento né una valutazione legale del singolo caso.
Regolamento europeo sull’intelligenza artificiale
Unione europea
Testo ufficiale del Regolamento (UE) 2024/1689 che stabilisce regole armonizzate in materia di intelligenza artificiale.
Linee guida sull’articolo 50
Commissione europea
Indicazioni ufficiali sull’applicazione degli obblighi di trasparenza per fornitori e utilizzatori di sistemi AI.
FAQ sugli obblighi di trasparenza
Commissione europea
Domande e risposte ufficiali relative agli obblighi dell’articolo 50 applicabili dal 2 agosto 2026.
Trasparenza dei contenuti generati dall’AI
Commissione europea
Approfondimento sulle marcature, sulle etichette e sulla rilevabilità dei contenuti sintetici.
Digital Omnibus e nuove scadenze
Consiglio dell’Unione europea
Comunicazione ufficiale sulle modifiche e sul rinvio delle scadenze relative ai sistemi AI ad alto rischio.
Regole sui modelli AI per finalità generali
Commissione europea
Linee guida relative ai fornitori di modelli GPAI e ai poteri di enforcement applicabili dal 2 agosto 2026.
C2PA e Content Credentials
HT&T Consulting
Il nostro approfondimento sul passaporto digitale dei contenuti, la provenienza dei media e le tecnologie per riconoscere i file generati dall’AI.
Continua a leggere
22 minuti di lettura
20 minuti di lettura
30 minuti di lettura
E fa consumare meno energia.
Per tornare alla pagina che stavi visitando ti basterà cliccare o scorrere.