AI Act e Trasparenza: cosa Cambia per Chi Usa Chatbot e Contenuti Generati

In sintesi: Il regolamento europeo sull’intelligenza artificiale si applica in generale dal 2 agosto 2026. Il cosiddetto Digital Omnibus ha spostato in avanti gli obblighi per i sistemi ad alto rischio ma non ha toccato le regole di trasparenza dell’articolo 50, che riguardano chatbot, contenuti generati e deepfake. Per la maggior parte delle aziende mettersi in regola costa poche ore di lavoro, a patto di sapere quali strumenti parlano con il pubblico e chi ne risponde.

Il rinvio dell’AI Act non riguarda la trasparenza

Durante l’estate molti titoli hanno annunciato il rinvio dell’AI Act, il regolamento (UE) 2024/1689. La notizia è vera solo in parte. Il regolamento di modifica chiamato Digital Omnibus sull’AI, entrato in vigore il 27 luglio 2026, ha spostato al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio usati in ambiti delicati come la selezione del personale, l’istruzione o le infrastrutture critiche; quelli integrati in prodotti già regolati, come macchinari e dispositivi medici, slittano al 2 agosto 2028.

Il calendario pubblicato dalla Commissione europea conferma invece che il regolamento è applicabile in generale dal 2 agosto 2026 e che le regole di trasparenza decorrono da quella data. Restano in vigore anche i divieti e l’obbligo di alfabetizzazione del personale, entrambi applicati dal 2 febbraio 2025; del secondo abbiamo parlato nell’articolo sulla formazione AI obbligatoria.

Chi usa un assistente virtuale sul sito, pubblica immagini generate o fa scrivere testi a un modello linguistico è quindi già soggetto a queste regole. Pochi se ne sono accorti, perché la parola «rinvio» ha messo in ombra tutto il resto.

Che cosa chiede l’articolo 50, in quattro regole

1. Chi parla con una macchina deve saperlo

I sistemi progettati per interagire direttamente con le persone, come chatbot e assistenti vocali, devono far sapere all’interlocutore che sta parlando con un’intelligenza artificiale. L’obbligo cade su chi fornisce il sistema e viene meno solo quando la natura artificiale risulta evidente a una persona ragionevolmente informata. Un riquadro di chat che risponde in pochi secondi a qualunque ora, con un nome di fantasia e una foto sorridente, raramente rende evidente quella natura.

2. I contenuti generati devono essere riconoscibili

Chi fornisce sistemi che generano testi, immagini, audio o video deve marcare i risultati in un formato leggibile dalle macchine, così che sia possibile riconoscerli come generati artificialmente. Questo obbligo tecnico pesa soprattutto sui grandi fornitori di modelli. L’azienda che usa questi strumenti ha però un interesse diretto a sceglierne di conformi, perché è il suo nome a comparire accanto ai contenuti pubblicati.

3. Emozioni e dati biometrici

Chi utilizza sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone esposte, oltre a rispettare le regole sulla protezione dei dati. Il caso riguarda poche aziende, per esempio chi analizza il tono di voce dei clienti nelle chiamate al servizio di assistenza, ma chi usa questi sistemi deve conoscere l’obbligo.

4. Deepfake e testi di interesse pubblico

Chi utilizza un sistema per generare o manipolare immagini, audio o video che somigliano a persone, luoghi o eventi reali, al punto da sembrare autentici, deve dichiarare che si tratta di contenuti artificiali. Per le opere chiaramente artistiche, satiriche o di fantasia basta un’indicazione che non disturbi la visione o l’ascolto dell’opera. Lo stesso dovere vale per i testi generati che informano i lettori su questioni di interesse pubblico, salvo quando una persona li ha rivisti e qualcuno ne assume la responsabilità editoriale.

Per tutte e quattro le regole l’informazione va data in modo chiaro e distinguibile, al più tardi al momento della prima interazione o della prima esposizione al contenuto.

Fornitore o utilizzatore: la distinzione che decide gli obblighi

Il regolamento distingue fra il fornitore, cioè chi sviluppa un sistema anche tramite terzi per metterlo in servizio con il proprio nome, e l’utilizzatore, chiamato deployer nel testo inglese, che usa il sistema nella propria attività. Gli obblighi cambiano a seconda del ruolo, quindi la prima domanda da porsi riguarda la posizione dell’azienda.

Un’azienda che attiva sul sito il chatbot di un software commerciale, così come lo vende il produttore, resta normalmente un utilizzatore. Spetta al produttore progettare l’avviso ma conviene verificare che sia attivo, perché molte piattaforme permettono di modificare il primo messaggio fino a eliminare l’avviso. Diverso è il caso di chi si fa costruire un assistente su misura, collegato alle API di un modello linguistico e pubblicato con il proprio marchio: in questa situazione l’azienda può diventare a sua volta fornitore di quel sistema, con l’obbligo di progettare l’avviso. Per stabilire il ruolo nei casi dubbi serve il parere di un professionista, da chiedere prima che il sistema vada online.

Un esempio: un hotel della riviera romagnola

In un esempio illustrativo, un hotel della riviera romagnola con 40 dipendenti nella stagione estiva usa l’intelligenza artificiale in tre punti. Un’agenzia web gli ha costruito un assistente, basato su un modello linguistico, che risponde sul sito e su WhatsApp alle richieste di disponibilità, con circa 1.200 conversazioni al mese nei periodi di punta. Per la campagna di primavera il responsabile marketing ha generato alcune immagini della terrazza dell’hotel con ospiti a cena che non esistono. La newsletter mensile, infine, viene scritta con un assistente e corretta dalla stessa persona prima dell’invio.

Poiché l’hotel ha commissionato l’assistente e lo presenta con il proprio nome, la scelta prudente è considerare l’hotel fornitore del sistema. Il primo messaggio diventa: «Sono l’assistente virtuale dell’hotel. Per richieste particolari una persona dello staff risponde dalle 9 alle 19.» Il contratto con l’agenzia viene aggiornato per stabilire chi deve conservare l’avviso dopo ogni modifica dell’assistente.

Le immagini della terrazza ritraggono un luogo reale con persone inventate, in modo tale da sembrare fotografie, quindi rischiano di rientrare nella definizione di deepfake; la soluzione più semplice consiste in una dicitura «immagine generata con AI» sotto ogni foto. La newsletter promozionale non informa il pubblico su questioni di interesse generale e passa comunque da una revisione umana, perciò non richiede avvisi; l’hotel annota soltanto chi rivede i testi e quando.

Sanzioni e legge italiana

L’articolo 99 del regolamento prevede per la violazione degli obblighi di trasparenza sanzioni fino a 15 milioni di euro o fino al 3% del fatturato mondiale annuo, se questo importo è superiore. Per le piccole e medie imprese vale il criterio opposto, cioè si applica il più basso dei due tetti. Per un’azienda con 8 milioni di fatturato il massimo teorico scende così a 240.000 euro, una cifra comunque sproporzionata rispetto al costo di una riga di avviso.

In Italia la legge 132 del 2025, in vigore dal 10 ottobre 2025, affianca il regolamento con principi di trasparenza, sicurezza e supervisione umana. Per gli studi professionali conta soprattutto l’articolo 13: il professionista intellettuale può usare l’intelligenza artificiale solo come supporto alla propria prestazione e deve comunicare al cliente, con un linguaggio chiaro, quali sistemi impiega. Commercialisti, avvocati e consulenti devono quindi aggiornare anche lettere di incarico e informative.

Errori da evitare

• Leggere «rinvio» come «sospensione». Il Digital Omnibus sposta le scadenze degli obblighi per i sistemi ad alto rischio mentre la trasparenza, i divieti e l’alfabetizzazione del personale restano in vigore.
• Dare al chatbot un nome e un volto umani senza avviso. Una persona inventata con foto e nome proprio rende meno evidente la natura artificiale dell’interlocutore, cioè la situazione che la norma vuole evitare.
• Considerare l’avviso un problema del solo fornitore. Il produttore progetta l’avviso eppure è l’azienda a decidere come configurare lo strumento e a rispondere davanti ai clienti.
• Etichettare tutto per prudenza. Una dicitura su ogni email scritta con l’aiuto di un assistente non serve e abitua i lettori a ignorarla; conviene riservarla ai casi che la norma indica.
• Non tenere traccia delle revisioni. L’esenzione per i testi rivisti da una persona vale solo se la revisione avviene; annotare chi controlla i testi e in quale data richiede pochi minuti.

Come mettersi in regola in tre settimane

Prima settimana: l’elenco dei punti di contatto. Si annotano tutti i punti in cui un sistema di intelligenza artificiale parla con clienti, fornitori o candidati e quelli in cui produce contenuti destinati al pubblico: chat del sito, risposte automatiche sui social, centralino, immagini delle campagne, schede prodotto, testi del blog.

Seconda settimana: ruolo e avvisi. Per ogni voce si stabilisce se l’azienda è fornitore o utilizzatore, si controlla che l’avviso compaia al primo contatto e si decide quali contenuti richiedono una dicitura. I casi dubbi passano a un legale o al consulente privacy.

Terza settimana: regole scritte e contratti. Una pagina interna fissa chi rivede i testi generati, come si etichettano le immagini e chi aggiorna gli avvisi quando cambia uno strumento. I contratti con agenzie e fornitori vengono integrati con una clausola sulla conformità all’articolo 50. La stessa pagina diventa materiale per la formazione del personale.

Da leggere anche