Obblighi di trasparenza dell'AI Act: cosa fare davvero (l'articolo 50 in pratica)

Dal 2 agosto 2026 l'articolo 50 dell'AI Act è applicabile. È l'adempimento che tocca il numero più alto di aziende, perché non riguarda i sistemi ad alto rischio (quelli sono stati rinviati) ma qualunque organizzazione che faccia parlare un chatbot con i propri clienti o pubblichi contenuti generati dall'AI.

Qui rispondiamo alla domanda pratica: chi nella tua azienda deve fare cosa, entro quando, e come lo dimostri.

In sintesi
L'art. 50 distingue due ruoli: fornitore (chi sviluppa o immette sul mercato il sistema) e deployer (chi lo usa nella propria attività). Gli obblighi sono diversi e molte aziende sono entrambe le cose.
I fornitori devono rendere riconoscibile l'interazione con l'AI e marcare i contenuti sintetici in formato leggibile automaticamente.
I deployer devono dichiarare i deepfake, informare chi è esposto a riconoscimento delle emozioni o categorizzazione biometrica, e dichiarare i testi AI pubblicati su temi di interesse pubblico.
Scadenze scaglionate: 2 agosto 2026 applicabilità, 2 dicembre 2026 per i sistemi generativi già sul mercato, 2 febbraio 2027 per il rilevamento interoperabile.
Sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale.

#Prima di tutto: sei fornitore o deployer?

Il ruolo determina gli obblighi, e nelle PMI la risposta più frequente è «tutti e due».

Se prendi un modello di terze parti, ci costruisci sopra il tuo assistente e lo offri ai tuoi clienti con il tuo marchio, per quel sistema sei fornitore, non semplice utilizzatore. Gli obblighi di progettazione ricadono su di te, anche se il modello sottostante non è tuo.

#I quattro obblighi, tradotti in azioni

1. L'utente deve sapere che sta parlando con un'AI (art. 50, par. 1)

Riguarda i fornitori di sistemi destinati a interagire direttamente con le persone: chatbot, assistenti virtuali, voicebot.

L'informazione va data al più tardi al momento della prima interazione, in modo chiaro e accessibile. Non basta una riga nell'informativa privacy o nei termini di servizio: deve essere percepibile lì dove avviene la conversazione.

Non serve se l'interazione con l'AI è ovvia per una persona ragionevolmente informata, ma è un'eccezione da usare con prudenza: quello che sembra ovvio a chi ha costruito il prodotto raramente lo è per l'utente finale.

2. I contenuti sintetici vanno marcati per le macchine (art. 50, par. 2)

Riguarda i fornitori di sistemi che generano audio, immagini, video o testo sintetici, compresi i sistemi per finalità generali.

Serve una marcatura leggibile automaticamente: il contenuto deve portare con sé un segnale che permetta a un software di riconoscerne l'origine artificiale. È la parte più tecnica dell'articolo 50 e va messa in roadmap dal team di prodotto.

3. Riconoscimento delle emozioni e categorizzazione biometrica (art. 50, par. 3)

Riguarda i deployer. Chi utilizza sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone che vi sono esposte, e trattare i dati nel rispetto della normativa sulla protezione dei dati personali.

Spesso questi sistemi entrano in azienda dentro altri prodotti: software di analisi delle chiamate del customer care, strumenti di valutazione dei candidati, sistemi di controllo accessi.

4. Deepfake e testi pubblicati (art. 50, par. 4)

Riguarda i deployer che pubblicano contenuti.

• I contenuti che costituiscono un deepfake, cioè immagini, audio o video generati o manipolati che appaiono autentici, vanno dichiarati come artificiali.
• I testi generati dall'AI pubblicati per informare il pubblico su questioni di interesse generale vanno dichiarati, a meno che non siano stati sottoposti a revisione umana con responsabilità editoriale su chi li pubblica.

Due eccezioni. La prima: quando l'opera è manifestamente artistica, satirica o di finzione, la dichiarazione va data in modo da non ostacolare la fruizione dell'opera. La seconda: la revisione editoriale umana esclude l'obbligo per i testi, ma va documentata, perché in caso di contestazione l'onere di dimostrarla è tuo.

#Come si marcano i contenuti, in concreto

Il 20 luglio 2026 la Commissione ha pubblicato le linee guida finali sull'articolo 50, che si affiancano al Code of Practice on Transparency of AI-Generated Content rilasciato dall'AI Office il 10 giugno 2026. L'approccio tecnico atteso ha due livelli.

Livello 1: metadati firmati. Nel contenuto vengono registrate informazioni di provenienza, firmate crittograficamente e con marca temporale, in modo da rendere evidente ogni manomissione. Il riferimento di mercato è lo standard aperto C2PA (le cosiddette Content Credentials). Limite noto: i metadati si perdono con uno screenshot o una ricodifica.

Livello 2: watermark impercettibile. Un segnale invisibile incorporato nel contenuto stesso, nei pixel, nella forma d'onda audio o nella distribuzione dei token, progettato per sopravvivere a compressione, ritaglio, ridimensionamento e conversione di formato. Serve proprio a coprire i casi in cui il metadato sparisce.

A questi si può aggiungere il fingerprinting, con hash percettivi registrati in un archivio consultabile. È opzionale, ma utile a chi genera volumi alti di contenuti.

Il Codice prevede anche di mettere a disposizione uno strumento di rilevamento accessibile e di vietare contrattualmente la rimozione delle marcature nei termini d'uso del servizio.

Aderire al Codice è volontario. Chi firma ottiene un percorso riconosciuto per dimostrare la conformità in attesa delle norme armonizzate; chi non firma resta comunque vincolato all'articolo 50, ma dovrà dimostrare la conformità con mezzi propri, esponendosi a uno scrutinio maggiore.

#Cosa non ricade negli obblighi

Le linee guida chiariscono i casi esclusi. I principali:

• uso personale non professionale: un privato che genera immagini per sé non è un deployer;
• ricerca e sviluppo scientifico: sistemi sviluppati e usati esclusivamente per finalità di ricerca;
• sistemi autorizzati dalla legge per accertare, prevenire o indagare reati;
• editing standard che non altera il significato: correzioni ortografiche e grammaticali, ritocchi che non modificano la sostanza informativa del contenuto;
• testi con revisione editoriale umana e responsabilità editoriale su chi pubblica.

L'articolo 50 non ha soglie dimensionali. Una startup di cinque persone con un chatbot pubblico ha gli stessi obblighi di trasparenza di una multinazionale.

#Le scadenze da segnare

La finestra di dicembre, introdotta dal Regolamento (UE) 2026/1744, vale solo per la marcatura tecnica dei sistemi preesistenti. Tutto il resto, dichiarazione del chatbot compresa, è già dovuto adesso (vedi la guida alle scadenze AI Act).

#Quanto costa sbagliare

La violazione degli obblighi di trasparenza rientra nella fascia sanzionatoria fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, con applicazione dell'importo più basso tra i due per PMI e startup.

Per chi vende software, la prima richiesta spesso arriva dal cliente enterprise, prima che dall'autorità di vigilanza: nel questionario fornitori chiede come marchi i contenuti generati dal tuo sistema e chi risponde di quella conformità nel contratto.

#Da dove partire

#Come ti aiuta CertAI

CertAI parte dall'inventario dei sistemi AI e dalla definizione del ruolo per ciascuno, che è il punto in cui quasi tutte le aziende si bloccano. Da lì costruisce la documentazione di conformità e le evidenze che i clienti chiedono nei questionari fornitori, fino al percorso verso standard certificabili come la ISO/IEC 42001 (vedi la guida alla ISO/IEC 42001).