Obblighi di trasparenza dell'AI Act: cosa si applica al suo chatbot e ai contenuti IA da agosto 2026

Gli obblighi di trasparenza dell'AI Act previsti dall'articolo 50 si applicano a partire dal 2 agosto 2026. Se la sua azienda gestisce un chatbot basato sull'IA per utenti UE o pubblica contenuti generati dall'IA, deve dichiarare l'uso dell'IA ed etichettare l'output, pena sanzioni fino a 15 milioni di euro o il 3% del fatturato mondiale.

La maggior parte delle aziende toccate da queste norme non si è mai considerata un'azienda di IA. Un widget di assistenza che risponde alle domande dei clienti, una pipeline di descrizioni prodotto, un video esplicativo con voce generata dall'IA: ciascuno di questi casi fa scattare un obbligo ai sensi dell'articolo 50. Il 19 luglio 2026 la Commissione Europea ha pubblicato linee guida che chiariscono chi deve fare cosa, pochi giorni prima dell'inizio dell'applicazione. Questo articolo analizza i quattro obblighi, le esenzioni rilevanti per un tipico sito aziendale e i passaggi di verifica che webvise segue nei progetti dei clienti.

• L'articolo 50 dell'AI Act si applica dal 2 agosto 2026. I sistemi già sul mercato prima di tale data hanno tempo fino al 2 dicembre 2026, e solo per l'obbligo di marcatura leggibile da macchina.
• Chatbot e agenti IA devono informare gli utenti di essere IA fin dalla prima interazione, a meno che ciò non risulti evidente a una persona ragionevolmente attenta.
• Il testo generato dall'IA necessita di un'etichetta solo quando informa il pubblico su questioni di interesse pubblico senza revisione umana. Una revisione sostanziale o un controllo editoriale eliminano l'obbligo; il solo controllo ortografico non è sufficiente.
• I deepfake richiedono sempre una dichiarazione visibile. La sola filigrana leggibile da macchina del fornitore non soddisfa l'obbligo del deployer.
• Le sanzioni arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale, applicate principalmente dalle autorità nazionali di vigilanza del mercato.

I requisiti su dati, privacy e revisione umana sono una fase fissa in ogni sprint di consulenza IA condotto da webvise. La checklist alla fine di questo articolo nasce proprio da quel lavoro.

Cosa ha pubblicato la Commissione il 19 luglio 2026

Il comunicato stampa IP/26/1653 ha annunciato le linee guida sulla trasparenza dei contenuti generati dall'IA. Chiariscono quali fornitori e deployer devono conformarsi, cosa costituisce un sistema IA interattivo, un contenuto sintetico o un deepfake, e quali esenzioni si applicano. Si affiancano al Code of Practice on Transparency of AI-Generated Content, un codice volontario redatto da esperti indipendenti che la Commissione e l'AI Board hanno confermato come modo adeguato per dimostrare la conformità.

Henna Virkkunen, Vicepresidente esecutiva della Commissione per la Sovranità Tecnologica, ha descritto l'obiettivo come rendere "i sistemi di IA che interagiscono con le persone, come chatbot e agenti IA, e i contenuti IA più trasparenti e affidabili". La conseguenza pratica compare un paragrafo più avanti nel comunicato. Dal 2 agosto 2026 la Commissione e le autorità nazionali di vigilanza del mercato detengono poteri di applicazione su queste norme, per cui la fase di orientamento termina e inizia quella di applicazione.

I quattro obblighi, e se lei è un fornitore o un deployer

L'AI Act suddivide gli obblighi tra fornitori, che sviluppano o commissionano un sistema IA e lo immettono sul mercato con il proprio nome, e deployer, che utilizzano un sistema IA sotto la propria autorità in un contesto professionale. Acquistare un chatbot da un fornitore terzo la rende un deployer. Venderne uno con il proprio marchio la rende un fornitore, anche quando alla base opera un modello di OpenAI o Anthropic. Le aziende fuori dall'UE rientrano nell'ambito ogni volta che l'output del sistema viene utilizzato all'interno dell'UE.

Per un tipico sito aziendale contano due righe: il 50(1) riguarda il chatbot nell'angolo, il 50(4) riguarda il blog. Le FAQ pubblicate parallelamente dalla Commissione, aggiornate il 24 luglio 2026, rispondono in linguaggio semplice alla maggior parte dei casi limite.

Se gestisce un chatbot: dichiarazione fin dalla progettazione

Le linee guida stabiliscono quattro criteri cumulativi per l'obbligo di dichiarazione. Il sistema deve qualificarsi come sistema IA, essere costruito per uno scambio bidirezionale autentico, interagire direttamente anziché tramite un intermediario umano, e interagire con persone fisiche. I sistemi in background e il traffico da macchina a macchina restano completamente fuori dall'obbligo.

Gli utenti devono vedere l'avviso all'inizio della prima interazione, chiaramente distinguibile e conforme ai requisiti di accessibilità. Esiste un'unica eccezione: quando la natura IA risulta evidente a una persona media, ragionevolmente informata e attenta. La Commissione invita i fornitori a interpretare tale eccezione in modo restrittivo, perché priva di trasparenza la persona dall'altra parte.

Il modo pulito per conformarsi è collocare la dichiarazione nell'interfaccia, mai nella pagina dei termini. Un agente di risposta rivolto ai clienti realizzato da webvise per un'azienda di produzione multimediale apre ogni sessione con un'etichetta IA e instrada le domande a bassa affidabilità verso una casella umana, per cui il design di sicurezza funge ora anche da dichiarazione ai sensi dell'articolo 50. Il modello costruttivo alla base è documentato nell'analisi build vs buy per la receptionist IA, che da agosto comporta una scadenza legale.

Se pubblica contenuti IA: l'esenzione che salva la maggior parte dei blog

L'articolo 50(4) riguarda il testo generato o manipolato dall'IA pubblicato per informare il pubblico su questioni di interesse pubblico: politica, salute pubblica, sicurezza dei consumatori, sviluppi finanziari, scientifici o culturali, e argomenti simili. Devono ricorrere tutte e tre le condizioni insieme. Il testo è pubblicato, informa il pubblico e riguarda una questione di interesse pubblico.

È l'esenzione a fare il lavoro vero e proprio. Il testo sottoposto a revisione umana o controllo editoriale non necessita di etichetta. Le linee guida definiscono la revisione umana come un esame deliberato della sostanza da parte di chi possiede competenze pertinenti, e il controllo editoriale come la presenza di un responsabile editoriale con l'autorità di approvare, modificare o respingere il testo. Il controllo ortografico e grammaticale è esplicitamente indicato come insufficiente.

Questo rende il flusso di revisione una questione di conformità, e ogni team dei contenuti dovrebbe affrontarla questa settimana. Ogni articolo del blog webvise viene redatto con l'assistenza dell'IA, poi rivisto nella sostanza, verificato rispetto alle fonti e curato prima della pubblicazione in 7 lingue, e secondo le nuove linee guida è proprio questa revisione a eliminare l'obbligo di etichettatura. I team che pubblicano l'output del modello senza leggerlo mantengono l'obbligo per intero. Lo standard editoriale che mantiene i contenuti IA posizionati su Google si rivela essere lo stesso che li mantiene esenti.

I deepfake seguono una regola più severa. Immagini, audio o video realistici generati dall'IA che potrebbero passare per autentici necessitano di una dichiarazione visibile o udibile al più tardi alla prima esposizione, e la sola filigrana incorporata dal fornitore non soddisfa l'obbligo del deployer. Per opere evidentemente artistiche o satiriche, la dichiarazione deve solo evitare di rovinare l'esperienza.

Scadenze, sanzioni e chi applica le norme

I contenuti generati prima del 2 agosto 2026 non necessitano di etichettatura retroattiva, sebbene la Commissione la incoraggi. Le sanzioni arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale totale dell'esercizio finanziario precedente, con criteri di proporzionalità per PMI e piccole mid-cap. Aderire al Code of Practice garantisce certezza giuridica e prevedibilità. Le aziende che non vi aderiscono devono dimostrare la conformità con mezzi propri e devono aspettarsi più richieste di informazioni da parte delle autorità.

La verifica da condurre prima del 2 agosto

• Censisca ogni punto di contatto con l'IA. Chatbot, agenti, pipeline di contenuti, generazione di immagini e voce, avatar, e qualsiasi analitica con riconoscimento delle emozioni.
• Classifichi il proprio ruolo per ciascun sistema. Fornitore quando lo rilascia con il proprio marchio, deployer quando utilizza lo strumento di un fornitore terzo. Gli obblighi variano in base al paragrafo dell'articolo 50.
• Chatbot: inserisca l'avviso IA nel primo messaggio e lo verifichi rispetto ai requisiti di accessibilità. Lo faccia anche laddove ritenga che la natura IA sia evidente.
• Contenuti: documenti il passaggio di revisione umana. Indichi il revisore, mantenga la revisione sostanziale e conservi le prove per ogni pezzo pubblicato.
• Ponga due domande ai propri fornitori IA: come implementano la marcatura leggibile da macchina, e se hanno aderito al Code of Practice on Transparency of AI-Generated Content.
• Applichi il periodo di tolleranza solo dove esiste. I sistemi già sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026, e solo per marcatura e rilevamento.

Per il quadro normativo più ampio, le categorie di rischio, gli obblighi GPAI e le certificazioni rilevanti, la guida alla regolamentazione IA europea copre l'intero AI Act. Le scadenze di agosto 2026 lì elencate sono ora in vigore.

Le norme premiano le aziende le cui funzionalità IA hanno previsto controlli di revisione e dichiarazione fin dal primo giorno, il che costa molto meno di un adeguamento dell'ultimo minuto la settimana prima di una scadenza. webvise mappa questi requisiti, la gestione dei dati, i punti di revisione umana e il design della dichiarazione in uno sprint di consulenza IA di 2-4 settimane. Per una domanda diretta sulla sua configurazione, usi il modulo di contatto.