AI Act: che cos'è e cosa cambia per i contenuti generati dall'intelligenza artificiale

Un chatbot risponde come una persona. Un video mostra qualcuno mentre pronuncia parole mai dette. Un’immagine sembra fotografica, ma la scena non è mai esistita. Il problema non è che questi contenuti siano sempre falsi o pericolosi. Il problema è capire quando la loro origine artificiale deve essere riconoscibile.

È qui che interviene l’AI Act. Dal 2 agosto 2026 l’articolo 50 introduce nell’Unione europea obblighi di trasparenza per alcuni sistemi e contenuti generati o manipolati dall’intelligenza artificiale. Non impone di etichettare qualsiasi uso dell’IA e non vieta la creatività sintetica. Distingue ruoli, casi d’uso ed effetti.

Indice

1. Che cos’è l’AI Act
2. Un regolamento basato sul rischio
3. Il calendario aggiornato
4. Che cosa prevede l’articolo 50
5. Marcatura tecnica ed etichetta visibile
6. Deepfake e contenuti sintetici
7. Testi di interesse pubblico e controllo editoriale
8. Il Code of Practice
9. Che cosa deve fare chi pubblica
10. Sanzioni, PMI e autorità italiane
11. Domande frequenti

Che cos’è l’AI Act

L’AI Act è il Regolamento (UE) 2024/1689. È stato adottato il 13 giugno 2024, pubblicato il 12 luglio ed è entrato in vigore il 1° agosto 2024. Essendo un regolamento, è direttamente applicabile negli Stati membri secondo il calendario previsto dal testo, senza bisogno di una legge nazionale che lo trasformi in diritto interno.

L’obiettivo non è regolare una singola tecnologia o un singolo prodotto. Il regolamento costruisce un quadro comune per lo sviluppo, la commercializzazione e l’uso dei sistemi di IA nell’Unione, cercando di tenere insieme innovazione, sicurezza e tutela dei diritti fondamentali.

Questo spiega perché non esiste una regola unica per «l’intelligenza artificiale». Un sistema usato per filtrare spam, uno strumento che seleziona candidati e un generatore di video realistici non hanno lo stesso impatto. Di conseguenza, non ricevono lo stesso trattamento.

Un regolamento basato sul rischio

L’AI Act viene spesso sintetizzato in quattro livelli:

• pratiche vietate, perché considerate incompatibili con i valori e i diritti tutelati dall’Unione;
• sistemi ad alto rischio, ammessi ma sottoposti a requisiti e controlli più rigorosi;
• sistemi soggetti a obblighi di trasparenza, tra cui quelli disciplinati dall’articolo 50;
• usi a rischio minimo, per i quali il regolamento non introduce una disciplina specifica paragonabile alle categorie precedenti.

Questa rappresentazione è utile per orientarsi, ma non sostituisce l’analisi del singolo caso. La domanda corretta non è «sto usando l’IA?». È: «che ruolo ho, quale sistema sto usando, con quale scopo e su chi produce effetti?».

Il calendario aggiornato

Il regolamento si applica per fasi.

Le ultime due date derivano dall’Omnibus IA adottato dal Consiglio il 29 giugno 2026. Al 15 luglio 2026 la pubblicazione del testo modificativo nella Gazzetta ufficiale dell’Unione europea resta da monitorare: fino alla sua entrata in vigore occorre distinguere tra il calendario approvato e quello ancora riportato nel testo originario dell’AI Act.

Che cosa prevede l’articolo 50

L’articolo 50 contiene obblighi distinti. Metterli nello stesso elenco senza indicare il soggetto responsabile genera uno degli equivoci più comuni: far credere che chiunque usi uno strumento generativo debba applicare ogni misura.

1. Informare quando si interagisce con un sistema di IA

Il paragrafo 1 richiede ai provider di progettare i sistemi destinati a interagire direttamente con persone fisiche in modo che queste siano informate dell’interazione con un sistema di IA, salvo che ciò sia già evidente per una persona ragionevolmente informata e attenta.

Il caso tipico è un chatbot. Per un’impresa che integra nel proprio sito una soluzione di terzi, il punto pratico è verificare che l’informazione sia davvero presente e visibile nella configurazione utilizzata. Non basta presumere che il fornitore abbia risolto il problema in ogni interfaccia.

2. Rendere rilevabili gli output sintetici

Il paragrafo 2 riguarda i provider di sistemi che generano audio, immagini, video o testi sintetici. Gli output devono essere marcati in formato machine-readable e risultare rilevabili come generati o manipolati artificialmente.

La soluzione deve essere efficace, interoperabile, robusta e affidabile per quanto tecnicamente possibile, tenendo conto del tipo di contenuto, dei costi di implementazione e dello stato dell’arte. Non si tratta quindi di promettere una rilevabilità perfetta in ogni circostanza, ma di adottare misure tecnicamente adeguate.

Sono esclusi, nella misura indicata dal regolamento, i sistemi che svolgono funzioni di assistenza per modifiche standard o che non alterano sostanzialmente i dati o il loro significato.

3. Informare su riconoscimento emotivo e categorizzazione biometrica

Il paragrafo 3 impone ai deployer di informare le persone esposte al funzionamento di sistemi di riconoscimento delle emozioni o categorizzazione biometrica. Restano applicabili le norme sulla protezione dei dati personali.

Questa disposizione non rende leciti sistemi che siano vietati o non conformi ad altre norme. Aggiunge un obbligo di trasparenza dove l’uso è consentito.

4. Dichiarare deepfake e determinati testi di interesse pubblico

Il paragrafo 4 riguarda i deployer.

• Se un sistema genera o manipola immagini, audio o video che costituiscono un deepfake, il deployer deve dichiarare l’origine artificiale o la manipolazione.
• Se un sistema genera o manipola un testo pubblicato con lo scopo di informare il pubblico su questioni di interesse pubblico, occorre una disclosure, salvo le eccezioni previste.

Per opere evidentemente artistiche, creative, satiriche, di finzione o analoghe, la disclosure può essere formulata in modo appropriato senza ostacolare la fruizione dell’opera.

5. Rendere l’informazione chiara e accessibile

Il paragrafo 5 stabilisce come comunicare le informazioni richieste: in modo chiaro e distinguibile, al più tardi al momento della prima interazione o esposizione e nel rispetto dei requisiti di accessibilità applicabili.

Marcatura tecnica ed etichetta visibile

I due concetti vengono spesso confusi, ma rispondono a destinatari e funzioni diversi.

Le due misure possono convivere. Un video può contenere una marcatura machine-readable introdotta dal sistema che lo ha generato e, al tempo stesso, una dichiarazione visibile aggiunta da chi lo pubblica.

Deepfake e contenuti sintetici

Non ogni contenuto generato con l’IA è automaticamente un deepfake.

Il regolamento definisce il deepfake come un contenuto di immagine, audio o video generato o manipolato dall’IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero.

Una grafica dichiaratamente astratta o un’illustrazione di fantasia non diventa un deepfake solo perché è stata prodotta con un modello generativo. Un video che fa apparire una persona reale mentre compie un’azione mai avvenuta, invece, rientra nel cuore del problema.

Prima di pubblicare, conviene porsi quattro domande:

1. Il contenuto assomiglia a una persona, un luogo, un oggetto o un evento esistente?
2. Potrebbe essere interpretato come una registrazione o rappresentazione autentica?
3. La manipolazione riguarda il significato, non soltanto una correzione tecnica?
4. L’etichetta è visibile nel punto e nel momento in cui il pubblico incontra il contenuto?

Testi di interesse pubblico e controllo editoriale

L’obbligo per i testi non riguarda ogni email, descrizione di prodotto o bozza interna. Si concentra sui testi generati o manipolati dall’IA e pubblicati con lo scopo di informare il pubblico su questioni di interesse pubblico.

Il regolamento prevede un’eccezione importante quando il contenuto ha attraversato un processo di revisione umana o controllo editoriale e una persona fisica o giuridica assume la responsabilità editoriale della pubblicazione.

Questa eccezione non va trasformata in una formula vuota. Premere «approva» senza leggere non equivale a una revisione sostanziale. Un processo credibile dovrebbe almeno prevedere:

• verifica dei fatti e delle fonti;
• correzione di errori e passaggi ambigui;
• decisione umana sulla struttura e sul messaggio;
• responsabilità identificabile per la versione pubblicata;
• conservazione della data di aggiornamento e, nei temi sensibili, di una traccia delle verifiche.

È il modello adottato da CyberSkull: l’IA può assistere ricerca e lavorazione, ma fonti, revisione e responsabilità editoriale restano parte del processo umano.

Il Code of Practice

Il Code of Practice on Transparency of AI-Generated Content è stato pubblicato dalla Commissione europea il 10 giugno 2026. È organizzato in due sezioni principali:

• misure per i provider sulla marcatura e rilevazione dei contenuti generati o manipolati;
• misure per i deployer sull’etichettatura di deepfake e determinati testi.

L’8 luglio 2026 la Commissione ha concluso che il Codice copre adeguatamente gli obblighi degli articoli 50(2), 50(4) e 50(5); il 9 luglio l’AI Board ha adottato la propria valutazione di adeguatezza.

L’adesione resta volontaria. Può offrire un quadro comune, maggiore prevedibilità e un modo strutturato per documentare le misure adottate. Non crea nuovi obblighi, non modifica l’AI Act e non costituisce prova conclusiva di conformità.

Chi non aderisce resta libero di adottare misure alternative, ma deve essere in grado di spiegare e documentare perché sono adeguate.

E le linee guida della Commissione?

Al 15 luglio 2026 la Commissione ha pubblicato una bozza di linee guida sull’articolo 50, sottoposta a consultazione fino al 3 giugno. La versione definitiva è annunciata prima del 2 agosto 2026, ma non risulta ancora pubblicata.

Per questo le interpretazioni operative più fini — per esempio su alcuni confini del controllo editoriale, dell’interesse pubblico e delle modifiche sostanziali — vanno presentate con prudenza e aggiornate appena il testo definitivo sarà disponibile.

Che cosa deve fare chi pubblica

Una procedura proporzionata può essere breve, purché sia reale.

Prima di creare

• identificare lo strumento e il fornitore;
• capire se si opera come provider o deployer;
• evitare di inserire dati personali, segreti aziendali o informazioni riservate senza una base e protezioni adeguate;
• definire chi controllerà l’output.

Prima di pubblicare

• verificare se il contenuto può costituire un deepfake;
• verificare se un testo mira a informare il pubblico su una questione di interesse pubblico;
• controllare se esiste e viene conservata una marcatura tecnica;
• aggiungere una disclosure chiara quando richiesta;
• registrare revisore, data e responsabilità editoriale.

Dopo la pubblicazione

• conservare la versione approvata;
• correggere rapidamente errori o etichette mancanti;
• aggiornare il contenuto quando cambiano linee guida o norme;
• evitare che formati derivati e condivisioni perdano l’informazione di trasparenza.

Sanzioni, PMI e autorità italiane

L’articolo 99 prevede per la violazione degli obblighi dell’articolo 50 sanzioni amministrative fino a 15 milioni di euro o, per le imprese, fino al 3% del fatturato mondiale annuo precedente, scegliendo il valore più alto.

Per le PMI, comprese le startup, il tetto è invece il valore più basso tra l’importo e la percentuale. Le autorità devono inoltre considerare natura, gravità, durata, conseguenze, dimensione dell’operatore, cooperazione, misure adottate e carattere intenzionale o negligente della violazione.

Questo non rende le PMI esenti. Impone però un’applicazione proporzionata. L’articolo 62 prevede inoltre supporto specifico, accesso alle sandbox, formazione, canali informativi e attenzione ai costi di valutazione della conformità.

In Italia la legge 23 settembre 2025 n. 132 ha designato AgID e ACN come autorità nazionali per l’intelligenza artificiale, ferme restando le competenze di altre autorità nei settori interessati, compreso il Garante per la protezione dei dati personali quando sono coinvolti dati personali.

Domande frequenti

Devo etichettare tutto ciò che creo con ChatGPT o un generatore di immagini?

No. Gli obblighi dipendono dal ruolo e dal caso. L’articolo 50 distingue tra marcatura tecnica a carico dei provider, disclosure per deepfake e determinati testi a carico dei deployer e altri obblighi specifici.

Un chatbot deve sempre dichiarare che usa l’IA?

Il provider deve progettare il sistema affinché l’utente sia informato, salvo che l’interazione con l’IA sia già evidente nel contesto. Chi integra il chatbot deve verificare che questa informazione non venga persa o resa ambigua.

Un articolo assistito dall’IA deve essere etichettato?

Non automaticamente. Per i testi di interesse pubblico l’articolo 50(4) prevede un’eccezione quando vi sono revisione umana o controllo editoriale e una persona fisica o giuridica assume la responsabilità editoriale.

Usare l’icona europea è obbligatorio?

Il Code of Practice propone icone utilizzabili dai deployer. Il Codice è volontario; ciò che resta obbligatorio è soddisfare i requisiti dell’AI Act con una soluzione adeguata.

Il Code of Practice protegge automaticamente dalle sanzioni?

No. L’adesione può aiutare a dimostrare le misure adottate e rendere il controllo più prevedibile, ma non è una prova conclusiva di conformità.

Le regole sono già definitive in ogni dettaglio?

No. Il regolamento è vincolante, il Codice è stato valutato come adeguato, ma al 15 luglio 2026 le linee guida definitive sull’articolo 50 non risultano ancora pubblicate.

Da qui puoi iniziare

La trasparenza non consiste nell’aggiungere un’etichetta a fine processo. Inizia prima: capire chi ha generato il contenuto, chi lo ha verificato, quali tracce tecniche conserva e chi se ne assume la responsabilità quando viene pubblicato.

Per l’applicazione pratica in azienda, prosegui con AI Act e imprese: cosa cambia davvero per PMI, professionisti e imprese artigiane.