Stai chattando con il servizio clienti di un e-commerce. La risposta arriva in tre secondi: è cordiale, sa già cosa hai comprato l'ultima volta. È una persona? È un bot? Fino a poco tempo fa la domanda restava aperta. Oggi, in Europa, la risposta è scritta nella legge: l'utente ha il diritto di saperlo, sempre.

È uno dei tanti fronti aperti dall'articolo 50 dell'AI Act, la norma europea che disciplina la trasparenza sui contenuti e sui sistemi di AI generativa.

Nelle ultime settimane l'articolo è tornato al centro dell'attenzione per due motivi:

• la Commissione Europea ha pubblicato il testo definitivo un codice di condotta sull'implementazione degli obblighi dell'articolo
• e il Digital Omnibus - il pacchetto di semplificazione dell'AI Act - è stato approvato in via definitiva, riscrivendo parte del calendario.

Vediamo cosa prevede la norma e cosa cambia davvero.

Indice

1. Chi deve rispettare l'art. 50: Provider e Deployer
2. I chatbot e l’obbligo di trasparenza
3. Watermarking: marcare i contenuti sintetici
4. La disclosure dei deepfake
5. Le app "nudifier": dal vuoto normativo al divieto
6. Riconoscimento delle emozioni e dati biometrici
7. Il Digital Omnibus: cosa slitta e cosa no
8. Cosa fare, in pratica

1. Chi deve rispettare l'art. 50: Provider e Deployer

Ne abbiamo già parlato in un altro articolo: l'AI Act distingue due figure:

• con provider si indica "una persona fisica o giuridica, un’autorità pubblica, un’agenzia o altro organismo che sviluppa un sistema AI o un modello AI per finalità generali, oppure che fa sviluppare un sistema AI o un modello AI per finalità generali e lo immette sul mercato o mette in servizio il sistema AI con il proprio nome o marchio, a titolo oneroso o gratuito";
• con deployer si indica "una persona fisica o giuridica, un’autorità pubblica, un’agenzia o altro organismo che utilizza un sistema AI sotto la propria autorità, ad eccezione dei casi in cui il sistema AI sia utilizzato nell’ambito di un’attività personale non professionale".

Questo distinguo taglia fuori l'uso personale. Se generi delle immagini con l'AI per uso personale, non sei un deployer secondo l'AI Act e nessun obbligo dell'articolo 50 ti riguarda.

Se lo fai con gli strumenti aziendali per un cliente, la storia cambia. È una precisazione che vale sempre la pena ripetere, perché è la fonte più comune di allarmismi mal riposti su questa normativa.

2. I chatbot e l'obbligo di trasparenza

Il primo obbligo riguarda la trasparenza dei sistemi conversazionali: un chatbot deve informare l'utente che sta interagendo con una macchina. La ragione è la stessa che guida buona parte del diritto europeo dei consumatori: l'utente si trova spesso in una posizione di asimmetria informativa rispetto a chi progetta il sistema, e deve poter valutare criticamente ciò che riceve, senza un affidamento cieco nella risposta.

È il motivo per cui gli LLM, quando interrogati su temi legali o medici, tendono a inserire un disclaimer che rimanda a un professionista: serve all'utente, ma serve anche al provider per contenere la propria responsabilità.

L'obbligo cade in un caso preciso: i chatbot impiegati dalle forze dell'ordine per finalità di sicurezza o investigative non devono dichiararsi come tali, per ovvie ragioni operative.

3. Watermarking: marcare i contenuti sintetici

Il secondo fronte è la marcatura tecnica dei contenuti generati dall'AI - testo, immagini, audio, video. L'idea iniziale di un logo visibile sull'immagine si è rivelata fragile: basta un ritaglio per farlo sparire. Lo standard si sta quindi spostando su marcatori inseriti nei metadati, leggibili automaticamente anche quando l'etichetta visibile è stata rimossa - come il SynthID, tecnologia sviluppata da Google per Gemini a fine 2025 e divenuta lo standard attuale a maggio 2026.

Per accompagnare questo obbligo, la Commissione Europea ha pubblicato il Codice di buone pratiche sulla trasparenza dei contenuti generati dall'AI, nella versione finale del 10 giugno 2026, dopo sette mesi di consultazione con oltre 187 partecipanti tra industria, accademia e società civile. È un documento ad adesione volontaria: chi lo firma può dimostrare la conformità agli obblighi dell'articolo 50 basandosi su misure già riconosciute a livello UE; chi non lo firma deve comunque rispettare la norma, ma dimostrandone l'adeguatezza caso per caso alle autorità di vigilanza nazionali. Insieme al Codice, la Commissione ha rilasciato anche un set di icone standard, liberamente utilizzabili, per etichettare i contenuti sintetici.

Un'eccezione pratica: l'editing di base - correggere la luce di una foto, per esempio - non fa scattare l'obbligo, perché non altera la sostanza del contenuto fornito dall'utente.

4. La disclosure dei deepfake

L'articolo 50 definisce deepfake qualsiasi contenuto audio, video o immagine generato o manipolato dall'AI in modo da apparire autentico, ritraendo persone, oggetti o eventi reali. Chi lo pubblica deve dichiararne la natura artificiale in modo evidente, non relegato a un disclaimer invisibile.

Il tema ha smesso da tempo di essere astratto. Basta confrontare le prime versioni del meme di "Will Smith che mangia gli spaghetti" - goffe, quasi comiche, di qualche anno fa - con le ricostruzioni video realizzate oggi con i modelli attuali: la differenza di qualità è tale da rendere plausibile una scena di finzione cinematografica.

L'AI Act prevede un'eccezione per le opere palesemente artistiche o satiriche: l'etichettatura resta obbligatoria, ma non deve ostacolare la fruizione dell'opera.

In Italia, la legge 132/2025, in vigore dal 10 ottobre 2025, ha anticipato l'Europa introducendo nel Codice Penale l'articolo 612-quater, che punisce con la reclusione da uno a cinque anni chi diffonde, senza consenso, immagini, video o voci alterati con l'AI in grado di ingannare sulla loro genuinità, causando un danno. È un reato procedibile a querela, salvo che la vittima sia una persona incapace o un'autorità pubblica colpita in ragione delle sue funzioni - in quel caso si procede d'ufficio.

5. Le app "nudifier": dal vuoto normativo al divieto

Le cosiddette app nudifier - usate per generare immagini di nudo a partire da foto reali di persone senza consenso - sono forse il caso più netto di danno reale prodotto da un contenuto interamente fittizio. Il corpo mostrato non è mai quello vero: questi sistemi lo generano da zero, spesso male, basandosi su corpi standard visti in fase di addestramento. Il danno reputazionale sulla vittima, però, resta identico a quello di un contenuto autentico - e i target sono in modo sproporzionato donne, minorenni e figure pubbliche.

Fino a poco tempo fa, l'AI Act non prevedeva un divieto specifico per questi sistemi. Con il Digital Omnibus la situazione è cambiata: è stata introdotta una modifica all'articolo 5 (le pratiche vietate) che proibisce, tanto per i provider quanto per i deployer, la generazione o manipolazione di materiale intimo non consensuale, incluso il materiale di abuso sessuale su minori interamente sintetico. Il divieto si applicherà dal 2 dicembre 2026, con eccezioni circoscritte per usi medici e per contenuti realizzati con il consenso esplicito della persona ritratta.

6. Riconoscimento delle emozioni e dati biometrici

L'articolo 50 disciplina anche i sistemi che raccolgono dati biometrici o inferiscono emozioni dalle espressioni facciali. Un caso emblematico è quello di un'azienda che aveva installato un sistema per stimare il livello di stress dei dipendenti tramite webcam e utilizzo del computer: l'esito è stato l'opposto di quello sperato, perché la sensazione di sorveglianza costante ha generato più stress di quanto il sistema volesse misurare, portando all'abbandono del progetto.

In Europa un sistema simile troverebbe ostacoli seri già nel diritto del lavoro e nel GDPR, prima ancora che nell'AI Act. La norma impone comunque una trasparenza esplicita: l'utente deve sempre sapere se è in funzione un sistema di questo tipo e quali dati tratta.

7. Il Digital Omnibus: cosa slitta e cosa no

Il Digital Omnibus - proposto dalla Commissione il 19 novembre 2025, votato dal Parlamento Europeo il 16 giugno 2026 e adottato in via definitiva dal Consiglio UE nei giorni scorsi - riscrive parte del calendario dell'AI Act. È importante distinguere cosa si sposta e cosa resta fermo, perché il messaggio "tutto è slittato" che circola informalmente è impreciso.

• Resta confermata l'applicazione generale dell'AI Act dal 2 agosto 2026, comprese le disposizioni dell'articolo 50 non toccate esplicitamente dall'Omnibus - come l'obbligo di trasparenza dei chatbot.
• Slitta al 2 dicembre 2026 l'obbligo di marcatura ed etichettatura dei contenuti generati dall'AI (watermarking e labelling dei deepfake), insieme al nuovo divieto sulle app nudifier appena descritto.
• Slittano più in là, al 2 dicembre 2027 per i sistemi ad alto rischio "autonomi" (biometria, selezione del personale, accesso a servizi essenziali, istruzione) e al 2 agosto 2028 per quelli incorporati in prodotti già regolati da normativa di settore, come macchinari e dispositivi medici - gli obblighi più onerosi in assoluto: sistema di gestione del rischio, documentazione tecnica, valutazione di conformità.

Il motivo dichiarato dal legislatore è la mancanza degli standard tecnici armonizzati necessari a rendere quegli obblighi applicabili senza creare incertezza giuridica per le imprese. Resta un margine di ambiguità applicativa - alcune fonti giuridiche distinguono ulteriormente tra i sotto-obblighi dell'articolo 50, e la Commissione ha annunciato linee guida interpretative ancora in arrivo - quindi vale la pena ricontrollare le scadenze specifiche più avanti nell'anno, prima di dare per assodato un calendario definitivo su ogni singolo dettaglio.

8. Cosa fare in pratica

Il rinvio delle scadenze più pesanti non è un via libera. Gli obblighi già in vigore da febbraio 2025 - i divieti dell'articolo 5 e l'alfabetizzazione all'AI - restano sanzionabili oggi, ma chi produce o distribuisce contenuti realizzati con l'AI ha una finestra utile per mappare i propri sistemi, capire quali contenuti richiederanno un'etichetta entro dicembre e valutare se aderire al Codice di condotta o costruire un percorso di conformità alternativo.

La direzione europea, con tutte le sue tensioni tra garantismo e competitività, resta la stessa: rendere sempre più difficile confondere ciò che è reale con ciò che non lo è.

Se siete interessati ad approfondire il tema, ne abbiamo parlato a lungo in questo episodio di Algoritmi!

Simone Conversano - AI Transformation Specialist - Datapizza

Loredana Esposito - Senior AI Adoption Trainer - Datapizza

Giorgia Rastrelli - Trainee Lawyer - DGRS Studio Legale