Stai chattando con il servizio clienti di un e-commerce. La risposta arriva in tre secondi: è cordiale, sa già cosa hai comprato l'ultima volta. È una persona? È un bot? Fino a poco tempo fa la domanda restava aperta. Oggi, in Europa, la risposta è scritta nella legge: di regola l’utente deve essere informato dal provider del sistema, a meno che non sia evidente, che sta interagendo con un'AI.

È uno dei tanti fronti aperti dall'articolo 50 dell'AI Act, la norma europea che disciplina la trasparenza sui contenuti e sui sistemi di AI generativa.

Nelle ultime settimane l'articolo è tornato al centro dell'attenzione per due motivi:

• la Commissione Europea ha pubblicato il testo definitivo un codice di buone pratiche sull'implementazione degli obblighi dell'articolo
• e il Digital Omnibus - il pacchetto di semplificazione dell'AI Act - è stato approvato in via definitiva, riscrivendo parte del calendario.

Vediamo cosa prevede la norma e cosa cambia davvero.

Indice

1. Chi deve rispettare l'art. 50: Provider e Deployer
2. I chatbot e l’obbligo di trasparenza
3. Marcatura dei contenuti sintetici
4. La disclosure dei deepfake
5. Le app "nudifier": dal vuoto normativo al divieto
6. Riconoscimento delle emozioni e dati biometrici
7. Il Digital Omnibus: cosa slitta e cosa no
8. Cosa fare, in pratica

1. Chi deve rispettare l'art. 50: Provider e Deployer

Ne abbiamo già parlato in un altro articolo: l'AI Act distingue due figure:

• il provider è una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa o fa sviluppare un sistema di IA o un modello di IA per finalità generali e immette tale sistema o modello sul mercato o mette in servizio il sistema di IA con il proprio nome o marchio, a titolo oneroso o gratuito;
• il deployer è una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità.

Questo distinguo taglia fuori l'uso personale. Se generi delle immagini con l'AI per uso personale, non sei un deployer secondo l'AI Act e nessun obbligo dell'articolo 50 ti riguarda.

Se lo fai con gli strumenti aziendali per un cliente, la storia cambia. È una precisazione che vale sempre la pena ripetere, perché è la fonte più comune di allarmismi mal riposti su questa normativa.

2. I chatbot e l'obbligo di trasparenza

Il primo obbligo riguarda la trasparenza dei sistemi conversazionali: un chatbot deve informare l'utente che sta interagendo con una macchina. La ragione è la stessa che guida buona parte del diritto europeo dei consumatori: l'utente si trova spesso in una posizione di asimmetria informativa rispetto a chi progetta il sistema, e deve poter valutare criticamente ciò che riceve, senza un affidamento cieco nella risposta.

Un esempio è il caso dei chatbot per l'assistenza clienti, che infatti specificano sempre la loro natura di sistemi AI.

L’obbligo di informare l’utente non si applica quando il sistema è utilizzato - nei casi autorizzati dalla legge e con le garanzie previste - per individuare, prevenire, investigare o perseguire reati.

3. Marcatura dei contenuti sintetici

Il secondo fronte è la marcatura tecnica dei contenuti generati dall'AI - testo, immagini, audio, video. L'idea iniziale di un logo visibile sull'immagine si è rivelata fragile: basta un ritaglio per farlo sparire. Lo standard si sta quindi spostando su marcatori inseriti nei metadati, leggibili automaticamente anche quando l'etichetta visibile è stata rimossa.

Tra le soluzioni oggi disponibili rientra anche il SynthID, una tecnologia sviluppata da Google per identificare contenuti generati dall'AI di Gemini a fine 2025 e che, da maggio 2026, si è imposta come un esempio virtuoso.

Tuttavia l'AI Act non prescrive alcuna tecnologia specifica né individua uno standard unico: i provider possono adottare soluzioni diverse purché rispettino i requisiti previsti dall'articolo 50.

Per accompagnare questo obbligo, la Commissione Europea ha pubblicato il Codice di buone pratiche sulla trasparenza dei contenuti generati dall'AI, nella versione finale del 10 giugno 2026, dopo sette mesi di consultazione con oltre 187 partecipanti tra industria, accademia e società civile.

È un documento ad adesione volontaria: chi lo firma può dimostrare più facilmente la conformità agli obblighi dell'articolo 50 basandosi su misure già riconosciute a livello UE; chi non lo firma deve comunque rispettare la norma, ma la dimostrazione dell'adeguatezza delle misure di compliance adottate sarà oggetto di una valutazione caso per caso da parte delle autorità di vigilanza nazionali.

Insieme al Codice, la Commissione ha rilasciato anche un set di icone standard, liberamente utilizzabili, per etichettare i contenuti sintetici.

Restano invece esclusi gli interventi di editing standard che non modificano in modo sostanziale il contenuto o il significato dell'opera, come ad esempio piccole regolazioni di luminosità, contrasto o colore.

4. La disclosure dei deepfake

L'articolo 3 definisce deepfake qualsiasi contenuto audio, video o immagine generato o manipolato dall'AI che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che, agli occhi di una persona, apparirebbe falsamente autentico o veritiero. Chi usa il sistema (il deployer) deve dichiararne in maniera chiara e distinguibile (e durante la prima interazione o esposizione con il predetto contenuto) la natura artificiale, non relegato a un disclaimer invisibile.

L'informazione deve essere chiara, facilmente percepibile e comprensibile senza che l'utente debba svolgere ulteriori operazioni.

Il tema ha smesso da tempo di essere astratto. Basta confrontare le prime versioni del meme di "Will Smith che mangia gli spaghetti" - goffe, quasi comiche, di qualche anno fa - con le ricostruzioni video realizzate oggi con i modelli attuali: la differenza di qualità è tale da rendere plausibile una scena di finzione cinematografica.

L'AI Act prevede un'eccezione per opere artistiche, creative, satiriche o palesemente fittizie: l'etichettatura resta obbligatoria, ma non deve ostacolare la fruizione dell'opera. L'obbligo può essere assolto in modo meno invasivo, purché l'utente sia comunque informato che il contenuto è stato generato o manipolato con l'AI.

In Italia, la legge 132/2025, in vigore dal 10 ottobre 2025, ha anticipato l'Europa introducendo nel Codice Penale l'articolo 612-quater, che punisce con la reclusione da uno a cinque anni chi diffonde, senza consenso, immagini, video o voci alterati con l'AI in grado di ingannare sulla loro genuinità, causando un danno. È un reato procedibile a querela, salvo che la vittima sia una persona incapace o un'autorità pubblica colpita in ragione delle sue funzioni - in quel caso si procede d'ufficio.

5. Le app "nudifier": dal vuoto normativo al divieto

Le cosiddette app nudifier - usate per generare immagini di nudo a partire da foto reali di persone senza consenso - sono forse il caso più netto di danno ingiusto prodotto da un contenuto interamente fittizio. Il corpo mostrato non è mai quello vero: questi sistemi lo generano da zero, spesso male, basandosi su corpi standard visti in fase di addestramento. Il danno reputazionale sulla vittima, però, resta identico a quello di un contenuto autentico - e i target sono in modo sproporzionato donne, minorenni e figure pubbliche.

Fino a poco tempo fa, l'AI Act non prevedeva un divieto specifico per questi sistemi. Con il Digital Omnibus la situazione è cambiata: è stata introdotta una modifica all'articolo 5 (le pratiche vietate) che proibisce, tanto per i provider quanto per i deployer, la generazione o manipolazione di materiale intimo non consensuale, incluso il materiale di abuso sessuale su minori interamente sintetico.

Il divieto si applicherà dal 2 dicembre 2026, con eccezioni circoscritte per usi medici e per contenuti realizzati con il consenso esplicito della persona ritratta.

6. Riconoscimento delle emozioni e dati biometrici

L'articolo 50 disciplina anche i sistemi di riconoscimento delle emozioni e quelli di categorizzazione biometrica. Un caso emblematico è quello di un'azienda che aveva installato un sistema per stimare il livello di stress dei dipendenti tramite webcam e utilizzo del computer: l'esito è stato l'opposto di quello sperato, perché la sensazione di sorveglianza costante ha generato più stress di quanto il sistema volesse misurare, portando all'abbandono del progetto.

In Europa un sistema simile troverebbe ostacoli seri già nel diritto del lavoro e nel GDPR, prima ancora che nell'AI Act. La norma impone comunque una trasparenza esplicita: l'utente deve sempre sapere se è in funzione un sistema di questo tipo e quali dati tratta.

Vale la pena chiarire un equivoco comune, quello dei siti che permettono di "provare" virtualmente vestiti o occhiali scansionando il corpo con la fotocamera del telefono. Per fare un esempio, un sistema di virtual try-on che utilizza misure corporee esclusivamente per simulare la vestibilità di un capo, senza identificare la persona né effettuare categorizzazione biometrica, normalmente non rientra in questi obblighi.

7. Il Digital Omnibus: cosa slitta e cosa no

Il Digital Omnibus - proposto dalla Commissione il 19 novembre 2025, votato dal Parlamento Europeo il 16 giugno 2026 ed entrato in vigore il 27 luglio 2026 - riscrive parte del calendario dell'AI Act. È importante distinguere cosa si sposta e cosa resta fermo, perché il messaggio "tutto è slittato" che circola informalmente è impreciso.

• Il Digital Omnibus introduce una disciplina transitoria limitata ai sistemi generativi immessi sul mercato prima del 2 agosto 2026. Per tali sistemi i provider hanno tempo fino al 2 dicembre 2026 per adeguarsi all'obbligo di marcatura previsto dall'articolo 50, paragrafo 2. I sistemi immessi sul mercato dal 2 agosto 2026 devono invece rispettare tale obbligo fin dall'immissione.
• Slittano più in là, al 2 dicembre 2027 per i sistemi ad alto rischio cosiddetti "standalone" (biometria, selezione del personale, accesso a servizi essenziali, istruzione) e al 2 agosto 2028 per quelli incorporati in prodotti già regolati da normativa di settore, come macchinari e dispositivi medici - gli obblighi più onerosi in assoluto: sistema di gestione del rischio, documentazione tecnica, valutazione di conformità.
• Restano invece applicabili dal 2 agosto 2026 gli altri obblighi di trasparenza previsti dall'articolo 50, tra cui quelli relativi ai chatbot, ai sistemi di riconoscimento delle emozioni, alla categorizzazione biometrica e ai deepfake.

Il motivo per cui, in relazione ai casi sopra citati, è stata posticipata la data di efficacia, riguarda la mancanza degli standard tecnici armonizzati necessari a rendere quegli obblighi applicabili senza creare incertezza giuridica per le imprese. In tale contesto di incertezza, la Commissione Europea, oltre al codice di buone pratiche sulla trasparenza dei contenuti generati dall'intelligenza artificiale, sta pubblicando anche delle linee guida e delle FAQ a supporto dell’interpretazione e dell’applicabilità di quanto previsto dall’AI Act.

8. Cosa fare in pratica

Il rinvio delle scadenze più pesanti non è un via libera. Fermi gli obblighi già in vigore da febbraio 2025 (tra cui i divieti dell'articolo 5 e l’obbligo di alfabetizzazione all'AI dell’articolo 4), chi produce o distribuisce contenuti realizzati con l'AI ha una finestra utile per mappare i propri sistemi, valutare come implementare le misure necessarie per rispettare gli obblighi imposti e valutare se aderire al Codice di condotta o costruire un percorso di conformità alternativo.

La direzione europea, con tutte le sue tensioni tra garantismo e competitività, resta la stessa: rendere sempre più difficile confondere ciò che è reale con ciò che non lo è.

Se siete interessati ad approfondire il tema, ne abbiamo parlato a lungo in questo episodio di Algoritmi!

Questo contributo ha finalità informative e non costituisce consulenza legale. Per ogni attività di consulenza è bene rivolgersi ad uno studio legale.

Simone Conversano - AI Transformation Specialist - Datapizza

Loredana Esposito - AI Adoption Architect - Datapizza

Giorgia Rastrelli - Trainee Lawyer - DGRS Studio Legale