La trasparenza come nuovo pilastro dell’AI Act

Il 2 agosto 2026 segna una data chiave per l’applicazione del Regolamento (UE) 2024/1689, il cosiddetto AI Act: da questo momento le autorità nazionali di vigilanza sono pienamente operative e gli obblighi di trasparenza previsti dall’art. 50 diventano concretamente esigibili, non più solo un principio enunciato sulla carta. Nello stesso giorno la Commissione europea, attraverso l’AI Office, acquisisce il potere di sanzionare direttamente i modelli di intelligenza artificiale per finalità generale (i cosiddetti modelli GPAI).

Si tratta di un passaggio che riguarda la maggior parte delle imprese italiane ed europee, perché l’art. 50 disciplina proprio i sistemi di IA a “rischio limitato”: la categoria in cui rientrano gli strumenti oggi più diffusi, come chatbot, assistenti vocali e sistemi di generazione di testo, immagini, audio e video.

La classificazione del rischio nell’AI Act: dove si colloca l’art. 50

L’AI Act adotta un approccio basato sul rischio, distinguendo quattro livelli di sistemi di intelligenza artificiale:

• pratiche vietate (art. 5): tra queste rientra, dal 2 dicembre 2026, anche il nuovo divieto relativo ai sistemi “nudifier” e alla generazione di materiale pedopornografico sintetico;
• sistemi ad alto rischio: comprendono, tra l’altro, selezione del personale, accesso al credito, istruzione, biometria (Allegato III) e prodotti che incorporano IA (Allegato I); gli obblighi di documentazione, trasparenza e rispetto del diritto d’autore sono già in vigore dal 2 agosto 2025, mentre gli obblighi più stringenti sono stati rinviati al biennio 2027-2028;
• sistemi a rischio limitato: è il cuore dell’articolo 50 e il tema di questo approfondimento;
• sistemi a rischio minimo: la maggior parte degli strumenti di IA oggi in commercio, per i quali non sono previsti obblighi specifici, ma solo buone pratiche volontarie.

I modelli di intelligenza artificiale per finalità generale (GPAI) seguono invece un regime a parte, con poteri di enforcement diretto della Commissione europea attivi dal 2 agosto 2026.

Fornitore o deployer? Il ruolo determina gli obblighi

Un primo chiarimento è essenziale per orientarsi correttamente: gli obblighi dell’articolo 50 non dipendono dal fatturato dell’impresa né dal settore in cui opera, bensì dal ruolo concretamente svolto rispetto al sistema di intelligenza artificiale. È inoltre possibile rivestire entrambi i ruoli contemporaneamente.

Il fornitore è il soggetto che costruisce o sviluppa il sistema di IA. Su di lui gravano obblighi tecnici, integrati direttamente nel prodotto: la progettazione dei sistemi che interagiscono con le persone e la marcatura leggibile dalla macchina degli output generativi.

Il deployer è invece il soggetto che utilizza l’intelligenza artificiale nei propri processi aziendali — la condizione in cui si trova la maggioranza delle imprese. Su di lui gravano obblighi prevalentemente informativi e organizzativi: informare le persone coinvolte in caso di riconoscimento delle emozioni o categorizzazione biometrica, ed etichettare deepfake e contenuti pubblici generati dall’IA.

I quattro obblighi di trasparenza previsti dall’articolo 50

La norma si articola in quattro paragrafi, ciascuno con un destinatario e un contenuto precettivo distinti.

1. 50 comma 1 — Dichiarare l’interazione con una macchina (obbligo del fornitore)

Chi progetta sistemi di IA destinati a interagire direttamente con le persone, come chatbot e assistenti vocali, deve costruirli in modo che l’utente sappia, fin dal primo contatto, di non stare parlando con un operatore umano. Non è sufficiente un avviso aggiunto in un secondo momento: si tratta di un requisito di progettazione, integrato nel prodotto stesso. L’unica esenzione riguarda i casi in cui la natura artificiale del sistema risulti già evidente a una persona ragionevolmente informata e attenta. Per questo obbligo non è prevista alcuna proroga: si applica dal 2 agosto 2026.

2. 50 comma 2 — Marcare gli output generati dall’IA (obbligo del fornitore)

I fornitori di sistemi di IA generativa, come testo, immagini, audio e video sintetici, devono integrare negli output un segnale leggibile dalla macchina e non un semplice watermark visivo che sparisce con uno screenshot o un ritaglio. È un obbligo di natura tecnica, da inserire già nell’architettura del prodotto. Per i sistemi già presenti sul mercato prima del 2 agosto 2026, questo specifico obbligo di marcatura slitta al 2 dicembre 2026: una proroga che vale solo per la marcatura e solo per i sistemi già esistenti, non per gli altri obblighi dell’articolo.

3. 50 comma 3 — Informare su emozioni e categorizzazione biometrica (obbligo del deployer)

Chi utilizza sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare, in modo chiaro e tempestivo, le persone fisiche esposte al funzionamento del sistema. Restano naturalmente ferme, in parallelo, le regole generali sul trattamento dei dati personali previste dal GDPR e le indicazioni del Garante per la protezione dei dati personali. Anche in questo caso l’obbligo si applica dal 2 agosto 2026, senza proroghe.

4. 50 comma 4 — Etichettare deepfake e contenuti pubblici generati dall’IA (obbligo del deployer)

I deployer che generano o diffondono deepfake, oppure contenuti destinati al pubblico su temi di interesse generale creati con l’IA, devono dichiararlo in modo esplicito e visibile. L’avviso va fornito prima o al momento della prima esposizione al contenuto, non relegato in una nota a piè di pagina. Anche questo obbligo decorre dal 2 agosto 2026.

Le eccezioni previste dalla norma

Non tutti i contenuti e i sistemi rientrano automaticamente negli obblighi appena descritti. La norma prevede alcune esenzioni mirate:

• l’avviso sull’interazione con un chatbot non è necessario quando la natura artificiale del sistema è già evidente a una persona ragionevolmente attenta;
• per i contenuti editoriali sottoposti a revisione umana documentata opera un’esenzione, a condizione che l’impresa conservi traccia della revisione: è questa la prova che dimostra la sussistenza dell’esenzione editoriale;
• per le opere artistiche, creative o satiriche è sufficiente una segnalazione adeguata, che non comprometta la fruizione dell’opera.

Checklist operativa per le imprese

In vista dell’entrata in vigore degli obblighi, le imprese — siano esse fornitori, deployer o entrambi — dovrebbero anzitutto capire con precisione quale ruolo rivestono rispetto a ciascun sistema di IA utilizzato, distinguendo caso per caso se agiscono come fornitori, come deployer o in entrambe le vesti. È poi essenziale mappare i sistemi di intelligenza artificiale effettivamente in uso in azienda, includendo anche le soluzioni adottate autonomamente da singoli reparti al di fuori di un progetto IT centralizzato, che spesso sfuggono a una prima ricognizione. A questo deve accompagnarsi l’aggiornamento delle informative privacy, dei siti web e delle interfacce digitali, specificando chiaramente l’interazione con sistemi automatizzati.

Le imprese dovrebbero, infine, predisporre la formazione del personale prevista dall’art. 4 dell’AI Act in materia di alfabetizzazione sull’intelligenza artificiale, e conservare con cura la documentazione relativa alla revisione umana dei contenuti editoriali, poiché è proprio questa documentazione a dimostrare la sussistenza delle esenzioni previste dalla norma.

Conclusioni

Dal 2 agosto 2026 gli obblighi di trasparenza dell’articolo 50 dell’AI Act non sono più un principio generale enunciato dal regolamento, ma una regola concretamente verificabile dalle autorità di vigilanza. Fornitori e deployer di sistemi di intelligenza artificiale sono quindi chiamati a un adeguamento tempestivo delle proprie procedure, delle informative e delle interfacce digitali, per evitare i rischi sanzionatori connessi alla mancata conformità.