AI Act e normativa
Articolo 50 dell'AI Act: gli obblighi di trasparenza, uno per uno
Sonia Milan · Autrice per Il Sole 24 Ore · Pubblicato il 1 novembre 2026
L'articolo 50 dell'AI Act si applica dal 2 agosto 2026 e contiene quattro obblighi di trasparenza distinti. I fornitori devono far sapere alle persone che stanno interagendo con un sistema di AI, e devono marcare i contenuti sintetici in formato leggibile meccanicamente. I deployer devono dichiarare i deepfake e i testi pubblicati su questioni di interesse pubblico, e informare chi è esposto a riconoscimento delle emozioni o biometria. Un testo con revisione umana e responsabilità editoriale non va dichiarato. Per i sistemi già sul mercato la marcatura è dovuta entro il 2 dicembre 2026.
Dal 2 agosto 2026 si applica l'articolo 50 dell'AI Act, e il 2 dicembre 2026 si chiude l'unica finestra transitoria che lo accompagna. In mezzo ci sono quattro obblighi di trasparenza che molti articoli in circolazione fondono in uno («bisogna dichiarare l'AI»), mentre il testo li assegna a soggetti diversi, con eccezioni proprie.
Questa guida li separa, uno per uno, sul testo consolidato e sulle linee guida della Commissione. Le virgolette sono del regolamento.
I quattro obblighi di trasparenza
| Paragrafo | Chi è obbligato | Cosa deve fare |
|---|---|---|
| 1 | Fornitore | Progettare il sistema in modo che le persone sappiano di interagire con un sistema di AI |
| 2 | Fornitore | Marcare i contenuti sintetici «in un formato leggibile meccanicamente» |
| 3 | Deployer | Informare chi è esposto a riconoscimento delle emozioni o categorizzazione biometrica |
| 4 | Deployer | Dichiarare i deepfake, e i testi pubblicati per informare il pubblico su questioni di interesse pubblico |
La distinzione fra fornitore e deployer determina quali obblighi si applicano: chi sviluppa il sistema e lo immette sul mercato risponde dei primi due paragrafi, chi lo utilizza nella propria attività risponde del terzo e del quarto. Due delimitazioni valgono per tutto l'articolo. Gli usi autorizzati dalla legge per accertare, prevenire, indagare o perseguire reati sono esentati, in ciascuno dei quattro paragrafi. Chi usa l'AI in un'attività «puramente personale e non professionale» sta fuori dal regolamento per esclusione generale (articolo 2, paragrafo 10): le linee guida citano come esempio chi genera testi per sé o per i compiti di scuola.
Il paragrafo 5 aggiunge la regola comune: le informazioni vanno date «in maniera chiara e distinguibile al più tardi al momento della prima interazione o esposizione», e devono rispettare i requisiti di accessibilità applicabili.
Paragrafo 1: dire che è un chatbot
I fornitori garantiscono che i sistemi destinati a interagire con le persone siano progettati in modo che le persone sappiano «di stare interagendo con un sistema di IA». L'obbligo cade se la cosa risulta evidente «dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta».
Per chi mette un assistente conversazionale sul proprio sito la pratica è semplice: una dichiarazione visibile all'avvio della conversazione. L'eccezione dell'evidenza esiste, ma è una valvola interpretativa, e una riga di testo costa meno di una discussione su cosa sia evidente per una persona avveduta.
Paragrafo 2: la marcatura, e di chi è il problema
I fornitori di sistemi che generano «contenuti audio, immagine, video o testuali sintetici» garantiscono che gli output siano «marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente». È la marcatura tecnica dentro il file, il watermarking: una cosa diversa dall'etichetta visibile del paragrafo 4. Nel Codice di buone pratiche passa da marcature nei metadati e da filigrane impercettibili nel contenuto stesso.
Il testo riconosce i limiti della tecnica: le soluzioni devono essere «efficaci, interoperabili, solide e affidabili nella misura in cui ciò sia tecnicamente possibile», tenendo conto dei tipi di contenuto, dei costi e dello stato dell'arte. L'obbligo non si applica ai sistemi che svolgono «una funzione di assistenza per l'editing standard» o che non modificano in modo sostanziale i dati di input: il correttore che riformula una frase non marca il documento.
La finestra che si chiude il 2 dicembre
Il Digital Omnibus ha aggiunto all'articolo 111 un paragrafo 4 con una scadenza precisa: i fornitori di sistemi che generano contenuti sintetici «immessi sul mercato prima del 2 agosto 2026» devono conformarsi alla marcatura entro il 2 dicembre 2026. Riguarda i grandi strumenti generativi arrivati sul mercato prima di quell'estate; le versioni e i modelli immessi sul mercato dopo il 2 agosto 2026 non godono della finestra e devono marcare da subito.
Dal 2 dicembre 2026 la marcatura è quindi esigibile su tutto, e nella stessa data diventano applicabili le due nuove pratiche vietate aggiunte dall'Omnibus.
Il Codice di buone pratiche sulla trasparenza, e chi lo ha firmato
Chi si chiede se gli strumenti che usa marcano davvero ha una risposta verificabile. Il 10 giugno 2026 la Commissione ha pubblicato la versione finale del Codice di buone pratiche sulla trasparenza dei contenuti generati dall'AI, previsto dal paragrafo 7 dell'articolo 50, quello riscritto dall'Omnibus. La Commissione e il consiglio per l'IA lo hanno valutato strumento adeguato a dimostrare la conformità. La prima sezione, rivolta ai fornitori, copre marcatura e rilevamento; fra i firmatari figurano Anthropic, Google, Meta, Microsoft, Mistral e OpenAI, dentro un elenco di circa 190 adesioni a fine luglio 2026. I firmatari si impegnano anche a rendere interoperabili i meccanismi di rilevamento dei watermark, con scadenza al 2 febbraio 2027.
Per un'azienda utilizzatrice la conseguenza è concreta: la marcatura dei contenuti che escono da questi strumenti è un obbligo del fornitore, già coperto da impegni formali. Quello che resta in capo a chi li usa è non guastarla. La misura 1.2 del Codice impegna i firmatari a vietare, nelle condizioni d'uso dei loro sistemi, la rimozione intenzionale e la manomissione delle marcature: una policy interna dovrebbe dire lo stesso alle persone in azienda.
Paragrafo 4: deepfake e testi, l'obbligo di dirlo
Restano i due obblighi del deployer. Il paragrafo 4 viene prima del 3 in questa guida perché prosegue il tema dei contenuti; il paragrafo 3 riguarda sistemi che un'azienda ordinaria incontra di rado.
I deepfake. Chi genera o manipola «immagini o contenuti audio o video che costituiscono un "deep fake"» rende noto che il contenuto è stato generato o manipolato artificialmente. La definizione sta nell'articolo 3, punto 60: contenuto che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che «apparirebbe falsamente autentico o veritiero a una persona». L'elemento dell'apparenza ingannevole è costitutivo: un'illustrazione dichiaratamente stilizzata di una persona reale non è un deepfake. Per le opere manifestamente artistiche, creative, satiriche o di fantasia l'obbligo si attenua: va rivelata l'esistenza del contenuto generato «in modo adeguato, senza ostacolare l'esposizione o il godimento dell'opera». Sul versante penale italiano, la diffusione dannosa e senza consenso resta reato a prescindere dall'etichetta: ne risponde l'articolo 612-quater del codice penale, introdotto dalla legge 132/2025.
I testi che informano il pubblico. Chi pubblica un testo generato o manipolato dall'AI «allo scopo di informare il pubblico su questioni di interesse pubblico» lo dichiara. Con un'eccezione rilevante per le aziende: l'obbligo cade se il contenuto «è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione del contenuto».
Le linee guida della Commissione del 20 luglio 2026 hanno riempito di significato i due requisiti. La revisione umana è «l'esame deliberato della sostanza del contenuto» da parte di persone con conoscenza pertinente, e la verifica dei fatti ne è il requisito minimo: una passata di correttore ortografico non basta. La responsabilità editoriale è il controllo esercitato in concreto da chi ha l'autorità di approvare, modificare o respingere il testo nella sostanza.
La traduzione pratica si regge su due gradini. Molti contenuti aziendali stanno fuori dal perimetro dell'obbligo, che nasce solo per i testi destinati a informare il pubblico su questioni di interesse pubblico. Quando il perimetro è toccato, un processo editoriale documentato, con una revisione vera e una persona che si assume la responsabilità, fa scattare l'eccezione. Un flusso che pubblica testo generato senza revisione, su temi di interesse pubblico, va invece dichiarato.
Le linee guida chiudono anche la domanda sull'archivio: i contenuti generati prima del 2 agosto 2026 non vanno marcati né etichettati retroattivamente, mentre un testo generato prima ma pubblicato dopo quella data va etichettato. Per l'etichetta visibile, dove serve, la Commissione ha pubblicato insieme al Codice un insieme di icone comuni: volontarie, ma risolvono il problema del come.
Paragrafo 3: emozioni e biometria
Un obbligo che riguarda casi specifici: il deployer di un sistema di riconoscimento delle emozioni o di categorizzazione biometrica informa le persone esposte «in merito al funzionamento del sistema», e tratta i dati in conformità al GDPR. Chi pensa di usare questi sistemi deve prima fare i conti con l'articolo 5, che ne vieta una parte (per esempio l'inferenza delle emozioni sul luogo di lavoro, salvo ragioni mediche o di sicurezza), e con la mappa delle classi di rischio.
Le sanzioni per chi viola l'articolo 50
Dal 23 ottobre 2026 la violazione degli obblighi di trasparenza ha una sanzione nazionale precisa. L'articolo 23, comma 2, del decreto legislativo 179/2026 la fissa fino a 15 milioni di euro o, se superiore, al 3 per cento del fatturato mondiale annuo. Per le PMI vale il criterio del minore fra i due importi. Per le violazioni di scarsa offensività l'articolo 22 dello stesso decreto ammette misure non pecuniarie, come l'ordine di eliminare l'infrazione.
La vigilanza del mercato spetta ad ACN, salve le competenze delle autorità di settore su banche, finanza e assicurazioni e quelle del Garante privacy sui sistemi dell'articolo 74, paragrafo 8: il riparto completo sta nella guida alla legge 132/2025.
Cosa fare adesso, in quattro controlli
- Verificate che il chatbot sul sito si dichiari: una riga visibile all'avvio della conversazione chiude il punto.
- Mettete per iscritto il processo editoriale dei contenuti pubblicati: per i testi su questioni di interesse pubblico, una revisione documentata della sostanza e una persona con responsabilità editoriale fanno scattare l'eccezione del paragrafo 4. Fuori da quel perimetro l'obbligo non nasce.
- Etichettate i contenuti che ritraggono in modo realistico persone, luoghi o eventi, quando potrebbero sembrare autentici: per le opere creative, satiriche o di fantasia basta rivelarne l'esistenza in forma attenuata.
- Vietate nella policy interna la rimozione delle marcature dai contenuti generati: le condizioni d'uso dei fornitori firmatari del Codice la vietano già, e la policy allinea le persone a un vincolo che esiste comunque.
Il punto di partenza resta il censimento degli strumenti generativi davvero in uso e dei contenuti che producono: è la prima fase dell'assessment AI. L'articolo 50, poi, va letto nella versione in vigore: il testo del regolamento, senza i riassunti di mezzo.
Fonti
- Articolo 50 del Regolamento (UE) 2024/1689, testo consolidato al 27 luglio 2026 · la versione in vigore, con il paragrafo 7 riscritto dal Digital Omnibus
- Regolamento (UE) 2026/1744, il Digital Omnibus · contiene la finestra transitoria sulla marcatura, nel nuovo articolo 111, paragrafo 4
- Linee guida della Commissione sugli obblighi di trasparenza dell'articolo 50 · pubblicate il 20 luglio 2026: definiscono revisione umana, responsabilità editoriale e regime dei contenuti già pubblicati
- Codice di buone pratiche sulla trasparenza dei contenuti generati dall'AI · versione finale del 10 giugno 2026, con le icone comuni e il testo delle misure citate
- Comunicato della Commissione sulle adesioni al Codice · circa 190 fra aziende e organizzazioni firmatarie a fine luglio 2026
- Decreto legislativo 7 ottobre 2026, n. 179, su Normattiva · l'articolo 23, comma 2, fissa la sanzione italiana per le violazioni dell'articolo 50
Questo articolo descrive un quadro normativo in evoluzione e non costituisce un parere legale. Per stabilire se una specifica attività o un sistema ricadono in una determinata classe di rischio conviene rivolgersi a un legale.