Come adeguarsi alle nuove regole di trasparenza AI

Dal 2 agosto 2026 chi mette a disposizione un assistente automatico deve dichiarare che è un'AI, fin dal primo messaggio. L'obbligo riguarda i sistemi che parlano con le persone, i deepfake e i testi pubblicati su temi di interesse generale: non riguarda le email commerciali, i preventivi o i documenti che mandate a un cliente.

In giro si legge che ogni documento prodotto con l'AI va etichettato. Non è così, e crederci costa lavoro inutile. Vale la pena sapere con precisione cosa la norma chiede — e cosa non chiede.

Cosa impone davvero l'articolo 50

Gli obblighi di trasparenza dell'AI Act sono operativi dal 2 agosto 2026. Riguardano quattro situazioni precise, non la totalità dei contenuti prodotti con l'AI.

La prima: chi mette a disposizione un sistema che interagisce direttamente con le persone — un assistente sul sito, un centralino automatico — deve informare l'utente che sta parlando con un'intelligenza artificiale, a meno che sia evidente. È un requisito di progettazione: non basta scriverlo nella privacy policy o farlo dire al bot solo se qualcuno glielo chiede.

La seconda riguarda chi FORNISCE un sistema generativo: gli output vanno marcati in un formato leggibile dalle macchine. È un obbligo del produttore del sistema, non di chi lo usa. Per i sistemi già sul mercato la scadenza è slittata al 2 dicembre 2026 con il Digital Omnibus, il Regolamento (UE) 2026/1744.

La terza: i deepfake vanno dichiarati da chi li pubblica. La quarta: i testi generati dall'AI e pubblicati per informare il pubblico su temi di interesse generale vanno dichiarati — salvo che una persona li abbia rivisti assumendosene la responsabilità editoriale.

Cosa NON riguarda la vostra azienda

Se usate l'AI per preparare un preventivo, scrivere un'email commerciale, redigere un report interno o rispondere a un cliente per iscritto, l'articolo 50 non vi impone di etichettare quei documenti. Non sono sistemi che interagiscono direttamente con una persona nel senso della norma, non sono deepfake, e non sono testi pubblicati per informare il pubblico.

Questo non significa che dichiararlo sia sbagliato. Significa che è una scelta vostra, commerciale e di rapporto con il cliente, non un adempimento. È una distinzione che conviene tenere ferma: chi confonde le due cose finisce per costruire procedure pesanti per obblighi che non esistono, e a volte per trascurare quello vero.

Il caso concreto più frequente nelle PMI è proprio il primo della lista: l'assistente sul sito. Quello sì, e va sistemato nel prodotto, non aggiunto dopo.

Cosa fare, in ordine

Il primo passo è l'inventario: quali sistemi di AI usa davvero l'azienda, chi li ha messi lì, per fare cosa. Nella maggior parte delle PMI la risposta comprende strumenti che nessuno ha mai deciso formalmente di adottare — l'AI usata dai singoli per scrivere o riassumere.

Il secondo è una policy interna su cosa si può fare e con quali dati: non è un obbligo dell'AI Act, ma è ciò che evita che informazioni riservate finiscano in strumenti non autorizzati.

Il terzo riguarda il GDPR, che resta in vigore e non viene sostituito dall'AI Act: se l'AI tratta dati personali, valgono le regole di sempre su base giuridica, minimizzazione e conservazione.

Solo a quel punto ha senso guardare gli obblighi di trasparenza, perché a quel punto si sa a quali sistemi si applicano.

Le sanzioni, e come si legge il rischio davvero

Il regolamento prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, a seconda di quale sia il valore più alto. Sono cifre pensate per i grandi operatori, e citarle a una PMI serve più a spaventare che a informare.

Per un'azienda di trenta persone il rischio concreto è un altro, ed è più prosaico: ritrovarsi a rifare un assistente sul sito perché l'informativa non si può appiccicare sopra a lavori finiti, o scoprire che uno strumento adottato senza pensarci tratta dati che non dovrebbe.

Questo testo non è un parere legale. Per il vostro caso specifico vale la pena sentire il vostro consulente: qui c'è la mappa, non la risposta alla vostra situazione.

Che cos’è: Obblighi di trasparenza (art. 50 AI Act)

Sono gli obblighi, operativi dal 2 agosto 2026, di dichiarare quando una persona sta interagendo con un sistema di intelligenza artificiale, di marcare in modo leggibile dalle macchine gli output dei sistemi generativi, e di dichiarare deepfake e testi pubblicati su temi di interesse generale. Non impongono di etichettare ogni documento prodotto con l'AI.

Domande frequenti

Devo etichettare le email commerciali scritte con l'AI?

L'articolo 50 non lo impone: non sono sistemi che interagiscono direttamente con una persona nel senso della norma, né testi pubblicati per informare il pubblico. Dichiararlo resta una scelta commerciale legittima, ma non è un adempimento.

Ho un assistente sul sito: cosa devo fare?

Deve dichiarare di essere un'intelligenza artificiale dal primo messaggio, a meno che sia evidente. È un requisito di progettazione: non basta una nota nella privacy policy o una risposta data solo su richiesta.

Un disclaimer generico sul sito basta per i chatbot?

No. L'informazione deve raggiungere l'utente nel momento in cui inizia a interagire con l'assistente, non stare in una pagina che potrebbe non aprire mai.

L'AI Act sostituisce il GDPR?

No, sono due norme distinte che convivono. Se un sistema di AI tratta dati personali, il GDPR continua ad applicarsi per intero: base giuridica, minimizzazione, tempi di conservazione e diritti degli interessati.