Obblighi di trasparenza AI Act: cosa devi fare dal 2 agosto 2026

Prima cosa: sei provider o deployer?

Il provider mette a disposizione il sistema, il deployer lo usa nella propria attività. La distinzione conta perché gli obblighi dell'articolo 50 sono distribuiti tra i due: i commi 1 e 2 gravano sul provider, i commi 3 e 4 sul deployer.

Il confine non è sempre netto. Chi integra il sistema di un altro nel proprio prodotto e lo distribuisce con il proprio nome o marchio, o ne cambia la finalità, può trovarsi nei panni del provider anche senza aver addestrato niente.

Il chatbot va dichiarato

È l'articolo 50(1). Chi fornisce un sistema che interagisce direttamente con le persone deve fare in modo che sappiano di parlare con un'AI. L'informazione va data al più tardi al momento della prima interazione, in modo chiaro e distinguibile, rispettando i requisiti di accessibilità.

Nascondere l'avviso nel footer o dentro i termini di servizio non vale. Esiste un'eccezione quando la natura artificiale è ovvia per una persona ragionevolmente informata, ma le linee guida della Commissione invitano a non appoggiarcisi troppo: quello che è ovvio per chi ha costruito il bot non lo è per chi ci arriva da una ricerca.

I contenuti generati vanno marcati

È l'articolo 50(2), e grava sul provider del sistema generativo. La marcatura richiesta è leggibile dalle macchine, non dagli occhi: metadati, watermark, meccanismi di provenienza. Deve essere efficace, interoperabile, robusta e affidabile, nei limiti della fattibilità tecnica.

Oggi nessuna singola tecnica soddisfa tutti e quattro i criteri, quindi nella pratica si combinano più livelli. Restano fuori le funzioni puramente assistive di editing e i sistemi che non alterano sostanzialmente i dati in input: un correttore ortografico non fa scattare l'obbligo.

Per i sistemi già immessi sul mercato prima del 2 agosto 2026 la scadenza non è quella: è il 2 dicembre 2026, per effetto del Digital Omnibus.

I deepfake vanno dichiarati

Articolo 50(4), primo periodo, obbligo di chi pubblica. Un deepfake è contenuto generato o manipolato che somiglia a persone, oggetti, luoghi o eventi reali al punto da sembrare autentico. Il contenuto palesemente fantastico resta fuori dalla definizione: un drago che sorvola Milano non è un deepfake.

Per le opere artistiche, creative, satiriche o di finzione la disclosure è ammessa in forma attenuata. Attenuata non vuol dire assente: l' obbligo resta, cambia il modo di soddisfarlo perché non deve rovinare la fruizione dell'opera.

I testi di interesse pubblico vanno dichiarati

Sempre articolo 50(4), secondo periodo. Riguarda i testi generati o manipolati con AI e pubblicati per informare il pubblico su temi di interesse pubblico: notizie, attualità, questioni di rilievo collettivo. Una scheda prodotto o una pagina commerciale di solito non rientrano.

L'obbligo non si applica se il contenuto è stato sottoposto a revisione editoriale umana e qualcuno se ne assume la responsabilità editoriale. È l'eccezione che verrà invocata più spesso, ed è anche quella più facile da invocare a vuoto: va sostanziata, perché se qualcuno chiede conto del processo una spunta non basta.

Le icone della Commissione

Il Codice di condotta sulla trasparenza dei contenuti generati da AI, pubblicato in versione finale il 10 giugno 2026, è volontario e ha due sezioni firmabili separatamente: una per i provider sull'articolo 50(2), una per i deployer sull'articolo 50(4). In allegato contiene tre icone pronte all'uso, testate con gli utenti: contenuto interamente generato, contenuto modificato, e un'icona base per un layer informativo.

Sono gratuite e non richiedono attribuzione, ma il loro uso è facoltativo e non fa conformità da solo. Servono a rendere l'etichettatura riconoscibile: l'obbligo di etichettare resta comunque tuo.

Cosa invece non scatta il 2 agosto

Gli obblighi sui sistemi ad alto rischio sono stati rinviati dal Digital Omnibus: Allegato III, sistemi autonomi, al 2 dicembre 2027; Allegato I, AI integrata in prodotti già regolati, al 2 agosto 2028. Anche le sandbox normative nazionali slittano al 2 agosto 2027.

È il punto su cui circolano più informazioni sbagliate, perché fino a pochi mesi fa la data era davvero il 2 agosto 2026. Il quadro completo è nelle scadenze aggiornate.

Cosa rischi

Le sanzioni arrivano a 35 milioni di euro o al 7 per cento del fatturato mondiale per le pratiche vietate, e a 15 milioni o al 3 per cento per la violazione degli altri obblighi, tra cui quelli di trasparenza. Per PMI e startup si applica l'importo minore tra i due, per il principio di proporzionalità.

In Italia il potere sanzionatorio è dell'ACN, che è anche autorità di sorveglianza del mercato e punto di contatto unico; AgID è l'autorità di notifica. Va tenuto presente anche l'obbligo nazionale della L. 132/2025: chi esercita una professione intellettuale deve comunicare al cliente quali sistemi AI usa, in linguaggio chiaro, semplice ed esaustivo. È un adempimento distinto da questo, e su due punti quasi tutte le fonti lo raccontano male: non prevede sanzioni amministrative e non nomina mai l'albo.