AI Act, quando devi dichiarare che un contenuto è fatto con l’IA

Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza dell’articolo 50 dell’AI Act, il regolamento europeo sull’intelligenza artificiale. Da quel giorno in poi la domanda gira negli uffici italiani in una forma sola: devo mettere un’etichetta su tutto quello che produco con l’IA?

La risposta breve è no. La norma non riguarda “i contenuti fatti con l’IA” in generale: riguarda alcune situazioni precise, e in gran parte tocca chi quei sistemi li vende, non chi li usa. Vale però la pena sapere quali sono le situazioni, perché una di queste riguarda chiunque pubblichi qualcosa.

Prima cosa: sei fornitore o utilizzatore?

Il regolamento tiene separate due figure, e quasi tutti gli obblighi dipendono da quale delle due sei.

• Il fornitore è chi sviluppa un sistema di IA e lo immette sul mercato con il proprio nome: OpenAI, Google, Anthropic, ma anche la software house italiana che vende un proprio assistente.
• L’utilizzatore (nel testo inglese deployer) è chi quel sistema lo adopera nella propria attività: lo studio che scrive con ChatGPT, l’azienda che mette un chatbot sul sito, la redazione che genera immagini.

Se leggete questo articolo perché usate l’IA al lavoro, quasi certamente siete nella seconda categoria. Gli obblighi tecnici più pesanti, come la marcatura invisibile dentro i file, non sono vostri: sono di chi vi vende lo strumento.

I quattro obblighi, e a chi tocca ciascuno

L’articolo 50 è una norma di trasparenza trasversale: non colpisce solo i sistemi ad alto rischio, ma alcuni modi di usare l’IA che incidono su quello che una persona crede di avere davanti.

1. Far sapere che si parla con una macchina. Chi fornisce un sistema pensato per interagire con le persone deve progettarlo in modo che l’utente sappia di trovarsi davanti a un’IA, a meno che non sia evidente per una persona ragionevolmente attenta.
2. Marcare gli output. Chi fornisce sistemi che generano testo, immagini, audio o video deve fare in modo che quegli output portino un contrassegno leggibile da una macchina, così che un altro sistema possa riconoscerli come artificiali.
3. Avvisare chi viene analizzato. Chi usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone che vi sono esposte, fermi restando gli obblighi del GDPR.
4. Dichiarare i deepfake e certi testi. Chi genera o manipola immagini, audio o video che costituiscono deepfake deve dichiararne la natura artificiale. Lo stesso vale per i testi generati e pubblicati per informare il pubblico su questioni di interesse pubblico.

I primi due riguardano il fornitore, gli altri due chi usa il sistema. È il quarto quello su cui si fanno più confusioni.

Il testo: l’obbligo è più stretto di quanto sembri

L’obbligo di dichiarare un testo non copre tutto quello che scrivete con l’IA. Servono due condizioni insieme: il testo deve essere generato o manipolato artificialmente e deve essere pubblicato per informare il pubblico su questioni di interesse pubblico.

Fuori restano la mail al cliente, la scheda prodotto, il preventivo, il post promozionale sul vostro servizio, la documentazione interna, il codice. Nessuno di questi informa il pubblico su una questione di interesse pubblico, per quanto sia comprensibile la tentazione di leggere la norma come un obbligo generalizzato di confessione.

Dentro ci finisce invece l’articolo su una vicenda sanitaria, la nota su una consultazione elettorale, il pezzo su un procedimento giudiziario. E anche qui c’è un’uscita: la dichiarazione non serve se il contenuto è stato sottoposto a revisione umana o a controllo editoriale e una persona fisica o giuridica si assume la responsabilità editoriale della pubblicazione.

Attenzione a come si usa quell’uscita. La revisione deve essere sostanziale: verifica delle fonti, controllo dell’accuratezza, qualcuno che risponde di quello che esce. Una firma messa sopra un testo non riletto è la responsabilità editoriale ridotta a formula, ed è esattamente il caso che la norma vuole intercettare.

I deepfake, dove il confine si sposta

Qui la regola è più larga: chi genera o manipola immagini, audio o video realistici deve dichiararlo. Per le opere artistiche, creative, satiriche o di finzione la dichiarazione può essere data in modo da non rovinare la fruizione dell’opera, ad esempio senza una scritta piantata in mezzo all’inquadratura.

Resta una fascia grigia grande: doppiaggio sintetico, restauro digitale, avatar, filtri, ricostruzioni storiche, effetti applicati in montaggio. Il criterio pratico non è quanta IA c’è dentro, è quanto quel contenuto può far credere a chi guarda che una persona abbia detto o fatto qualcosa.

Chi vuole capire quanto poco basta a sbagliare può guardare il caso deciso dal Garante privacy sui video di Striscia la Notizia: un’avvertenza c’era, ed è stata giudicata insufficiente per come era stata costruita.

Come si dichiara

L’articolo 50 chiede che l’informazione sia chiara, distinguibile e fornita al più tardi alla prima interazione o esposizione, nel rispetto dei requisiti di accessibilità. Tradotto: non vale metterla nelle condizioni d’uso, in una pagina di policy, in un menu di secondo livello o in una nota che si apre a richiesta. Deve stare dove la persona incontra il contenuto, nel momento in cui lo incontra.

Le date, comprese quelle che quasi nessuno cita

• 2 agosto 2026: l’articolo 50 è applicabile. Gli obblighi sui modelli per finalità generali erano già scattati un anno prima.
• 10 giugno 2026: pubblicato il codice di condotta europeo sulla trasparenza dei contenuti generati dall’IA. È volontario, la Commissione e l’AI Board lo considerano un percorso adeguato per dimostrare la conformità, e a fine luglio vi avevano aderito circa 190 organizzazioni. Aderire non equivale a essere conformi, ma riduce l’incertezza.
• 2 dicembre 2026: il regolamento UE 2026/1744, il cosiddetto Digital Omnibus, entrato in vigore il 27 luglio, ha introdotto un regime transitorio. Come ricostruisce Agenda Digitale, riguarda solo i sistemi immessi sul mercato prima del 2 agosto e solo l’obbligo di marcatura leggibile dalle macchine, che per quei sistemi va rispettato entro dicembre. Tutto il resto dell’articolo 50 vale già adesso, e la distinzione conta: chi legge in giro che “l’obbligo slitta a dicembre” sta leggendo una mezza verità.

Quel transitorio spiega perché in questi mesi i fornitori si stanno muovendo in ordine sparso, come mostra la ricognizione di Agenda Digitale sulle scelte dei singoli. Google punta su SynthID e sullo standard C2PA per immagini, video e audio; OpenAI combina credenziali C2PA, watermark e un portale pubblico di verifica; Microsoft lavora sulla tracciabilità dentro i prodotti aziendali; Meta usa metadati e segnali invisibili più un obbligo di autodichiarazione per gli utenti. Anthropic ha scelto la strada più visibile, applicando una filigrana invisibile in tutti i testi prodotti da Claude, anche fuori dall’Europa.

Cosa fare, in concreto

Per un’impresa che usa l’IA e non la produce, il lavoro utile è breve e va fatto una volta sola.

• Fate l’elenco dei punti in cui l’IA tocca qualcosa che esce verso l’esterno: chatbot, testi pubblicati, immagini, voci sintetiche, video.
• Per ognuno stabilite se siete fornitori o utilizzatori. Nel dubbio, guardate se il vostro nome sta sul sistema o solo sul contenuto.
• Se avete un assistente conversazionale sul sito, verificate che dica cosa è e cosa non può fare, e che sia chiaro come si arriva a una persona.
• Separate i testi che informano il pubblico su questioni di interesse pubblico dal resto. Sono pochi, e sono gli unici su cui la scelta fra etichetta e revisione documentata conta davvero.
• Tenete traccia di chi ha rivisto cosa. La conformità qui non è un’etichetta: è poter dimostrare, mesi dopo, come è nato un contenuto.

Il punto che sfugge più spesso è proprio questo. L’articolo 50 non chiede di dichiarare di aver usato l’IA: chiede che nessuno resti convinto di avere davanti una persona, un fatto o una registrazione quando non è così. La differenza sembra sottile finché non si deve rispondere a un cliente, a un giudice o a un’autorità.