AI Act, dal 2 agosto 2026 obblighi di trasparenza per chatbot e contenuti generati dall’IA

Dal 2 agosto 2026 l’intelligenza artificiale in Europa ha superato uno spartiacque importante. Sono diventati applicabili gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act, il regolamento europeo sull’intelligenza artificiale con cui l’Unione disciplina lo sviluppo e l’uso dei sistemi di IA. Da questa data chiunque offra o utilizzi un chatbot, un assistente vocale o uno strumento che genera testi, immagini, audio o video deve rendere riconoscibile la natura artificiale di quell’interazione e di quei contenuti. Nello stesso momento entra nel vivo anche la macchina della vigilanza, con le autorità nazionali che assumono i poteri di controllo. Per chi lavora ogni giorno con marketing, contenuti e automazioni non è un dettaglio tecnico, perché la trasparenza smette di essere una buona pratica e diventa un obbligo di legge.

Cosa è scattato davvero il 2 agosto 2026

L’AI Act non è entrato in vigore tutto insieme. Il regolamento si applica per fasi successive, così da dare a imprese e pubbliche amministrazioni il tempo di adeguarsi. Le prime scadenze avevano riguardato, a febbraio 2025, il divieto delle pratiche considerate inaccettabili e, ad agosto 2025, le regole sui modelli di IA per finalità generali insieme all’impianto di governance. Il 2 agosto 2026 rappresenta il terzo grande appuntamento di questo calendario.

La novità di questa tappa è duplice. Da un lato diventano operativi gli obblighi di trasparenza dell’articolo 50, dall’altro prende forma il sistema di sorveglianza del mercato affidato alle autorità competenti dei singoli Stati.

C’è però un punto che conviene chiarire subito, perché nelle scorse settimane ha generato parecchia confusione. Non tutto ciò che era atteso per questa data è realmente scattato. Gli obblighi più pesanti, quelli sui sistemi ad alto rischio, sono stati rinviati, mentre le regole sulla trasparenza sono rimaste ferme al 2 agosto e oggi sono pienamente vincolanti.

Un aspetto importante è che l’articolo 50 non si applica soltanto ai sistemi ad alto rischio. Le sue regole valgono per qualsiasi sistema che rientri nelle situazioni descritte dalla norma, a prescindere dalla categoria di rischio. È una scelta precisa del legislatore europeo, che ha voluto proteggere le persone dal rischio di essere ingannate senza rendersene conto.

Chatbot, deepfake e contenuti sintetici: gli obblighi concreti

Il cuore dell’articolo 50 è semplice da enunciare, meno da mettere in pratica. Le persone devono poter capire quando stanno interagendo con una macchina e quando un contenuto è stato prodotto o modificato dall’intelligenza artificiale.

Nel dettaglio la norma copre quattro situazioni. La prima riguarda i sistemi che interagiscono direttamente con gli utenti, come i chatbot e gli assistenti vocali: il fornitore deve fare in modo che la persona sia informata di trovarsi di fronte a un’IA, a meno che la cosa non sia già evidente dal contesto. La seconda riguarda i sistemi generativi, perché chi produce testo, immagini, audio o video sintetici deve marcare i risultati in un formato leggibile dalle macchine, così da renderli rilevabili come artificiali.

Le altre due situazioni toccano da vicino il mondo dell’informazione e della comunicazione. Chi diffonde un deepfake, cioè un’immagine o un contenuto audio e video manipolato che assomiglia a persone o eventi reali, deve dichiarare che si tratta di materiale generato o alterato dall’IA. Allo stesso modo, chi pubblica testi prodotti dall’IA per informare il pubblico su temi di interesse generale deve segnalarlo con chiarezza.

Qui entra in gioco una distinzione che vale la pena tenere a mente.

Il regolamento separa la figura del fornitore, cioè chi sviluppa e immette sul mercato il sistema, da quella del deployer, chi lo utilizza in modo professionale. Al fornitore spetta soprattutto il compito tecnico di progettare strumenti capaci di marcare i contenuti in modo affidabile. Al deployer spetta invece l’onere di dichiarare in modo visibile, già al primo contatto con l’utente, che un contenuto è stato generato o manipolato. Se gestisci un servizio clienti automatizzato o pubblichi articoli assistiti dall’IA, con ogni probabilità ricadi nella seconda categoria.

Le linee guida della Commissione e il codice di buone pratiche

Per accompagnare questo passaggio la Commissione europea ha pubblicato, il 20 luglio 2026, le linee guida sugli obblighi di trasparenza destinate a fornitori, utilizzatori e autorità. Il documento serve a tradurre in indicazioni operative un articolo che, da solo, lasciava molti dubbi interpretativi.

Insieme alle linee guida è arrivato un codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA, elaborato con il contributo degli Stati membri, del comitato europeo per l’intelligenza artificiale e di numerosi portatori di interesse attraverso una consultazione pubblica. L’adesione al codice è volontaria, ma attenzione, perché gli obblighi dell’articolo 50 restano obblighi di legge. Il codice aiuta a dimostrare la conformità, non la sostituisce.

Il messaggio di fondo è chiaro. La marcatura dei contenuti deve essere solida, interoperabile e difficile da rimuovere, in modo che un’immagine o un video restino riconoscibili come artificiali anche quando passano da una piattaforma all’altra.

Il Digital Omnibus e cosa slitta al 2027 e al 2028

La parte più discussa di questa fase non è ciò che è entrato in vigore, ma ciò che è stato rimandato. Alla fine di giugno 2026 il Consiglio dell’Unione europea ha approvato in via definitiva il cosiddetto Digital Omnibus sull’IA, un pacchetto di modifiche pensato per semplificare l’applicazione delle regole e alleggerire il carico amministrativo sulle imprese.

Il rinvio riguarda proprio i sistemi ad alto rischio, quelli impiegati in ambiti delicati come la selezione del personale, l’istruzione, i servizi essenziali, le infrastrutture critiche e la biometria. Gli obblighi di valutazione della conformità, gestione della qualità, sorveglianza umana e gestione degli incidenti sono stati spostati al 2 dicembre 2027 per i sistemi elencati nell’allegato III e al 2 agosto 2028 per quelli integrati in prodotti già regolamentati, come i dispositivi medici e i macchinari.

La trasparenza, invece, è rimasta fuori dal rinvio.

Questo significa che le aziende avranno più tempo per costruire la documentazione e i processi richiesti dai sistemi ad alto rischio, ma non hanno alcuna proroga sulle regole che impongono di dichiarare chatbot, deepfake e contenuti sintetici. È una differenza che conviene interiorizzare, perché separa nettamente ciò che è urgente da ciò che può ancora attendere.

Cosa cambia in Italia con la legge 132/2025

Sul fronte nazionale l’Italia si è mossa in anticipo rispetto a molti partner europei. Con la legge 132 del 2025 il Paese ha definito il proprio sistema di controlli, individuando le autorità competenti chiamate ad applicare il regolamento sul territorio.

I due riferimenti principali sono l’Agenzia per l’Italia Digitale, che si occupa delle notifiche e della promozione di un uso corretto dell’IA, e l’Agenzia per la Cybersicurezza Nazionale, a cui spettano la vigilanza e i poteri ispettivi sulla sicurezza dei sistemi. Competenze specifiche restano poi in capo a Banca d’Italia, Consob e IVASS per i rispettivi settori, mentre il Garante per la protezione dei dati personali interviene quando l’IA tratta dati biometrici in ambiti sensibili.

Sul piano delle sanzioni il regolamento europeo fissa tetti molto alti. Per le pratiche vietate si può arrivare fino a 35 milioni di euro o al 7 per cento del fatturato mondiale annuo, mentre per la violazione di altri obblighi, tra cui quelli di trasparenza, la soglia scende fino a 15 milioni o al 3 per cento. L’approccio italiano introduce però una logica graduale, in cui non ogni violazione si traduce automaticamente in una multa.

Il confronto con altri modelli è utile. Negli Stati Uniti la spinta arriva soprattutto dai singoli Stati, come mostra la legge sulla trasparenza dei contenuti IA approvata in California, mentre l’Europa punta su una cornice unica e vincolante per tutti i ventisette Paesi.

Cosa conviene fare adesso

Se usi l’intelligenza artificiale nel tuo lavoro, questo è il momento di fare ordine. Il primo passo è mappare i tuoi strumenti e capire dove ricadi come fornitore e dove come utilizzatore, perché da questa distinzione dipendono gli obblighi che ti riguardano davvero.

Poi conviene intervenire sui punti più esposti. Rendi esplicito quando un utente sta parlando con un chatbot, etichetta in modo chiaro le immagini e i video generati o modificati dall’IA, verifica che gli strumenti che usi supportino la marcatura dei contenuti richiesta dalla norma. Sono azioni concrete, spesso poco costose, che riducono in modo netto il rischio di contestazioni.

L’AI Act non è una moda passeggera, è la legge sull’IA più importante del mondo e definirà per anni il modo in cui costruiamo e comunichiamo con questi sistemi. Comprenderne la logica oggi ti mette nella condizione di sfruttarla come vantaggio competitivo, invece di subirla come vincolo. Usa questa scadenza come occasione per rivedere i tuoi processi, aggiornare le tue interfacce e mettere la trasparenza al centro del modo in cui presenti i tuoi contenuti e i tuoi servizi.