Dal 2 agosto diventano operativi gli obblighi di trasparenza

Quattro giorni, è questo il tempo che separa la vostra azienda o studio professionale dall’ingresso in vigore di un obbligo che riguarda ogni chatbot che risponde ai clienti posizionato sul sito, ogni immagine generata con l’AI per una campagna marketing, ogni video promozionale costruito con un tool di Intelligenza Artificiale. Il 2 agosto, quest’anno, cade di domenica: nel pieno delle ferie estive, quando l’email aziendale resta chiusa in un cassetto digitale per alcune settimane. Ma tant’è: l’obbligo normativo non va in ferie (“in ferie da cosa”, avrebbe detto Marchionne).

Solo pochi giorni fa, il 20 luglio 2026, la Commissione europea ha pubblicato le linee guida che interpretano l’articolo 50 del Regolamento UE 2024/1689, l’AI Act. Non introducono nulla di nuovo: il loro ruolo è spiegare come si applicano gli obblighi previsti dalla norma che dal 2 agosto diventa operativa e i relativi obblighi sanzionabili.

Bisogna fare attenzione, dunque, a non liquidare la faccenda come l’ennesimo adempimento di scarsa sostanza, perché sarebbe un errore. Qui si parla di come i vostri clienti, i vostri dipendenti, i vostri collaboratori devono essere messi in condizione di sapere se stanno parlando con una macchina e non con una persona.

Quattro ambiti, non uno

Le linee guida della Commissione individuano quattro situazioni distinte in cui la trasparenza diventa obbligo di legge e non più solo buona pratica.

Un obbligo che riguarda il chatbot che risponde ai clienti posizionato sito o sul telefono, per esempio su WhatsApp per rispondere alle richieste di terzi. In questo caso è necessario dichiarare sin da subito di essere un sistema di Intelligenza Artificiale, in modo da mettere chi dialoga con esso in condizione di sapere cosa sta facendo e chi c’è dall’altro capo della chat, a meno che ciò sia già ovvio dal contesto. 

Un altro obbligo riguarda il testo, l’immagine, l’audio o il video generati o manipolati con l’AI: In questi casi vanno marcati (marcatura) in un formato leggibile da una macchina, così che chiunque possa verificarne l’origine. Questo è un obbligo che ricade, in particolare sui provider, quindi coloro che mettono in circolazione prodotti basati sulla intelligenza artificiale.

Un altro obbligo riguarda i sistemi di riconoscimento delle emozioni o di categorizzazione biometrica: chi li usa deve informare le persone esposte, che si tratti di un colloquio di selezione o di un desk clienti monitorato con l’AI.

In questi casi, l’AI Act distingue due responsabilità diverse ed è qui che molte aziende italiane rischiano di perdersi. Infatti, a chi fornisce il sistema di Intelligenza Artificiale – il produttore del chatbot, il tool di generazione immagini, la piattaforma di sintesi vocale – tocca l’obbligo tecnico (marcatura): si tratta di costruire il prodotto in modo che contenga i segnali della propria natura artificiale, marcatura compresa, spesso invisibili per l’utente umano, ma perfettamente visibili per strumenti elettronici. Diverso è chi utilizza in azienda tali strumenti prodotti e messi in circolazione dai provider: parliamo in questo caso del vostro studio, del vostro e-commerce, del vostro ufficio marketing, a cui tocca l’obbligo di relazione con terzi che utilizzano o sono destinatari di tali servizi: bisogna informare (etichettare, segnalare) con chiarezza che dall’altra parte c’è un’AI. Comprare un software “a norma” non esonera dal secondo obbligo. Quindi, della tecnologia si occupa il fornitore, del cliente vi occupate voi.

C’è poi un quarto caso, più delicato: i contenuti che assomigliano a deepfake (quindi immagini e video che potrebbero essere scambiati per reali) e i testi generati dall’AI su questioni di interesse pubblico, pubblicati senza revisione editoriale umana. In questi casi, si deve  dichiarare che sono stati prodotti da (o con il supporto di) strumenti di intelligenza artificiale. Quindi, per fare un esempio, un comunicato stampa scritto interamente da un modello linguistico e diffuso come se lo avesse firmato una redazione non passa più inosservato, così come un articolo di un blog pubblico. Qui ci sono diversi distinguo da fare caso per caso ed è utile conoscere la normativa e le sue specifiche per sapere sempre come comportarsi. Le sanzioni previste dall’AI Act per le violazioni degli obblighi di trasparenza arrivano fino a 15 milioni di euro o al 3% del fatturato globale annuo dell’impresa, quindi l’attenzione è d’obbligo.

Che cosa cambia da lunedì mattina

Pensate al 25 maggio 2018, quando il GDPR entrò in applicazione e buona parte delle aziende italiane si accorse solo all’ultimo che la scadenza era già passata. Qui il copione rischia di ripetersi, con un’aggravante: la trasparenza sull’Intelligenza Artificiale tocca il marketing, le vendite, le risorse umane, insomma tutti i settori di un’azienda, di un ente e di uno studio professionale.

Facciamo qualche esempio per chiarire meglio il contesto. Uno studio di commercialisti mette online sul proprio sito internet un assistente virtuale per rispondere alle domande frequenti dei clienti su scadenze e adempimenti: da domenica, quel bot dovrà contenere, in apertura di conversazione, la dichiarazione esplicita che è un bot e non un essere umano a gestire la relazione e non deve inserirla in un rigo di disclaimer nascosto nel footer del sito, ma nel bot stesso ben visibile. L’utente, insomma, deve sapere con chi sta interagendo, senza alcun dubbio in proposito. 

Un altro esempio. Una azienda di e-commerce genera con l’AI le immagini dei prodotti per il catalogo autunnale: quelle immagini vanno marcate ed etichettate come sintetiche, non semplicemente pubblicate. 

Passiamo a chi seleziona il personale con software che analizzano espressioni facciali o tono di voce: deve informare i candidati prima del colloquio di tale attività e degli strumenti utilizzati. 

Così anche chi pubblica contenuti scritti dall’AI su temi di interesse pubblico – giuridici, di mercato, attualità di settore etc. – senza che una persona li abbia rivisti sostanzialmente, deve indicarlo (etichettarli) apertamente. Insomma: qui si tratta di trasparenza, consapevolezza degli interlocutori e di non creare ambiguità che possono trarre in inganno il pubblico. Diverso, invece, il discorso per le comunicazioni interne, come email tra colleghi, oppure rivolte a specifici interlocutori, come report per clienti.

L’argomento che stiamo trattando non riguarda solo le grandi multinazionali con un data protection officer in organigramma. Riguarda tutti: studi professionali, pmi, grandi aziende, enti. Pensate a chi genera i visual dei social (cover, immagini etc.) con un tool di AI e li pubblica senza nessuna dicitura. Anche qui, poi, ci sono dei distinguo da fare: per esempio se l’immagine generata si capisce che è palesemente fatta o modificata con l’AI, tanto da non poter trarre in inganno e far pensare che sia reale. Immaginate una immagine di un cartoon, una infografica, una composizione palesemente finta. 

Scatta la domanda successiva: questo obbligo di marcatura e di etichettatura vale solo per i contenuti pubblicati dal 2 agosto 2026 in poi, oppure anche per ciò che è stato pubblicato prima e va retroattivamente etichettato o marcato? Ci sono diversi distinguo da fare, che in questa sede prenderebbero troppo spazio, diciamo che la regola è capire se tali contenuti sono ancora in circolazione, se vengono rilanciati e utilizzati attivamente, se sono solo storico on line (come vecchi articoli o post dei social. 

Per chi fornisce sistemi di Intelligenza Artificiale generativa, la Commissione mette a disposizione anche un codice di buone pratiche su base volontaria, pensato per orientare l’adozione delle tecniche di marcatura più affidabili e l’adesione è facoltativa, menter l’articolo 50, dal 2 agosto, è obbligatorio per tutti indistintamente.

Le linee guida della Commissione, in definitiva, non sono un regolamento a sé, ma un’interpretazione autorevole di una norma che vive già nel Regolamento UE 2024/1689. Tali linee guida pubblicate il 20 luglio cercano di aiutare nell’interpretazione e applicazione della normativa, anticipando, che cosa le autorità di vigilanza si aspetteranno di trovare nelle prime ispezioni quando busseranno alla porta.