AI Generativa: la trasparenza dei contenuti al centro delle regole europee
L’AI Generativa sta cambiando il modo in cui le imprese producono e condividono contenuti.
Testi, immagini, video, presentazioni e altri materiali vengono realizzati sempre più spesso con il supporto dell’Intelligenza Artificiale, un’evoluzione che genera benefici concreti in termini di efficienza.
Cresce, di pari passo, l’attenzione verso la trasparenza. Sapere se un testo, un’immagine o un video sono stati creati o modificati con l’AI permette a clienti, partner e cittadini di valutare consapevolmente ciò che hanno davanti; dopotutto è proprio questa possibilità di scelta informata a rafforzare la fiducia nel rapporto con le imprese.
In questo scenario si inserisce il Code of Practice pubblicato dalla Commissione europea: uno strumento elaborato per favorire il rispetto dell’obbligo di rendere sempre riconoscibile il ricorso all’Intelligenza Artificiale nella produzione dei contenuti.
Un percorso concreto per dimostrare la conformità
Il Code of Practice non introduce nuovi obblighi di trasparenza, poiché questi derivano già direttamente dall’art. 50 del Regolamento (UE) 2024/1689, che impone di rendere riconoscibili i contenuti generati o modificati tramite l’Intelligenza Artificiale.
Ciò che il Codice offre alle imprese è un modo concreto per dimostrare di rispettare questi obblighi, traducendo le prescrizioni normative in indicazioni operative e in un percorso definito da seguire. Questo impianto è stato elaborato dall’AI Office con il contributo di provider tecnologici, associazioni di categoria, università, pubbliche amministrazioni e altri portatori di interesse.
L’adesione al Codice è volontaria. Le imprese che scelgono di sottoscriverlo potranno fare riferimento a questo insieme di misure per dimostrare la propria conformità; le altre resteranno comunque soggette all’articolo 50 dell’AI Act, ma dovranno dimostrare con strumenti propri di aver raggiunto un livello di conformità equivalente.
La scelta, quindi, non riguarda l’esistenza degli obblighi, che restano identici per tutti, ma il percorso adottato per dimostrarne il rispetto.
Sotto questo profilo il Code of Practice potrebbe diventare, nel tempo, il parametro di riferimento per il mercato europeo. Anche chi non intende sottoscriverlo difficilmente potrà ignorarne i contenuti, perché le sue indicazioni sono destinate a influenzare il comportamento dei fornitori di tecnologia, le richieste dei clienti e, verosimilmente, anche le valutazioni delle autorità competenti.
Due ruoli, due set di obblighi: provider e deployer
Un secondo aspetto rilevante riguarda la prospettiva con cui la disciplina europea considera le imprese.
L’AI Act distingue infatti tra i soggetti che sviluppano o immettono sul mercato sistemi di Intelligenza Artificiale Generativa e quelli che li impiegano nelle proprie attività: ai primi il Regolamento attribuisce il ruolo di provider, ai secondi quello di deployer.
Le due categorie assumono obblighi differenti, che il Code of Practice disciplina in due sezioni distinte.
Gli obblighi dei provider: marcare e rendere verificabile
L’Artificial Intelligence Act prevede per i provider l’obbligo di marcare i contenuti generati o manipolati con l’IA, imponendo l’uso di tecniche efficaci, interoperabili, robuste e affidabili. Il Codice traduce questo obbligo in un approccio a due livelli complementari.
Le tecniche di marcatura
Il primo livello riguarda i metadati firmati digitalmente: informazioni collegate al file, non visibili a un primo sguardo, che attestano l’origine artificiale del contenuto. La firma crittografica ne permette la verifica e consente di accorgersi immediatamente se il file è stato alterato dopo la sua creazione.
Il secondo livello è il watermarking impercettibile: un segno incorporato direttamente nel contenuto – nei pixel di un’immagine, nel segnale audio, nella struttura del testo – che l’utente non nota, ma che uno strumento dedicato è in grado di riconoscere.
Nessuna delle due tecniche, presa singolarmente, garantisce da sola i requisiti di efficacia, interoperabilità, robustezza e affidabilità richiesti dall’AI Act: da qui la scelta di applicarle congiuntamente.
Accanto a queste due soluzioni principali, il Codice ammette anche uno strumento facoltativo e complementare: il fingerprinting, un codice sintetico che consente di riconoscere un contenuto anche dopo piccole modifiche, oppure il logging, cioè la conservazione degli output generati in un registro consultabile per verificarne in seguito la provenienza.
Sono supporti che il Codice considera integrativi: da soli non bastano a soddisfare i requisiti richiesti.
Le eccezioni previste
Nei sistemi generativi integrati in prodotti fisici che operano in ambienti chiusi e controllati può bastare un solo livello di marcatura.
Anche il testo libero, privo cioè di un formato che lo contenga, presenta caratteristiche particolari: per i contenuti molto brevi, indicativamente sotto i 200 token, il watermarking incontra limiti tecnici che ne rendono difficile una rilevazione affidabile.
Il divieto di rimozione e gli strumenti di verifica
Il Codice introduce inoltre un obbligo di non rimozione: i provider dovranno fare il possibile per conservare le marcature già presenti nei contenuti usati come input, vietare nelle proprie condizioni d’uso la rimozione o la manomissione delle marcature da parte di deployer e terzi, e non immettere sul mercato né promuovere strumenti pensati per eluderle.
L’efficacia della marcatura dipende interamente dalla reale possibilità di effettuare controlli. Il Codice chiede quindi ai provider di garantire la verificabilità delle soluzioni adottate attraverso strumenti che potranno consistere in una specifica pubblica aperta a chiunque voglia implementarla, in un programma da installare oppure in un servizio online interrogabile da altri sistemi.
L’accesso a questi strumenti deve essere gratuito, con un margine di flessibilità economica riservato ai provider di dimensioni più contenute; resta invece privo di costi per chi svolge funzioni di controllo, come autorità pubbliche, forze dell’ordine, testate giornalistiche e centri di ricerca.
Per i testi, dove il grado di affidabilità della verifica è più basso, l’accesso può essere limitato a soggetti qualificati che dimostrino un interesse legittimo.
Sul fronte della privacy, infine, il Codice chiede che i contenuti caricati per la verifica vengano trattati esclusivamente a questo scopo e cancellati non appena il controllo è concluso.
Gli obblighi dei deployer: etichettare e vigilare
Per le imprese che adottano sistemi di AI, in alcune circostanze previste dall’articolo 50, diventa necessario rendere evidente che un contenuto è stato generato o modificato mediante Intelligenza Artificiale. Il caso più noto riguarda i deepfake, ma il Regolamento considera anche i testi destinati a informare il pubblico su questioni di interesse generale: una previsione destinata a coinvolgere un numero crescente di organizzazioni.
L’icona europea e il suo posizionamento
Il Codice introduce l’icona europea “AI” come strumento standardizzato per segnalare questi contenuti. Sono previste tre varianti principali: “AI GENERATED” per i contenuti interamente prodotti dall’Intelligenza Artificiale, “AI MODIFIED” per quelli modificati solo in parte, e una versione base con il solo acronimo, pensata per essere integrata con un livello informativo aggiuntivo o con etichette testuali alternative.
Ogni versione è disponibile in nero e in bianco, su sfondo pieno e semitrasparente, per adattarsi a qualsiasi contesto visivo.
L’icona europea potrà essere sostituita con etichette equivalenti, purché conformi alle specifiche di design e posizionamento fissate dal Codice.
La loro collocazione deve garantire una percepibilità immediata, senza bisogno di alcuna interazione da parte dell’utente: l’etichetta va posta all’inizio del testo, del video o dell’audio e, nei contenuti più lunghi, ripetuta a intervalli regolari o dopo eventuali interruzioni.
Le imprese dovranno quindi mappare i propri processi comunicativi per individuare quando è necessaria un’etichettatura: comunicati stampa, materiali informativi, contenuti pubblicati online e documentazione destinata al pubblico rientrano tra i casi più frequenti.
Le eccezioni all’obbligo di etichettatura
L’obbligo di segnalazione non trova applicazione quando il contenuto è stato sottoposto a revisione umana e una persona fisica o giuridica ne assume la responsabilità editoriale.
Il Codice distingue però due situazioni operative:
- i fornitori di servizi di media, soggetti a specifiche regole editoriali, possono fare riferimento alle procedure già adottate;
- tutte le altre organizzazioni, invece, devono individuare con chiarezza chi esercita il controllo editoriale e secondo quali procedure i contenuti vengono verificati prima della pubblicazione.
Un trattamento diverso è riservato ai deepfake che compaiono all’interno di opere di natura chiaramente artistica, satirica o di finzione: qui la segnalazione dovrà essere presente, ma senza compromettere la fruizione dell’opera, per esempio comparendo nei titoli di coda o in una nota a margine.
Un’ulteriore deroga riguarda i deepfake impiegati in ambiti professionali riservati e non aperti al pubblico: in questi casi è sufficiente informare in anticipo le persone coinvolte, anche attraverso un avviso nell’interfaccia o nel luogo fisico in cui l’attività si svolge.
Una responsabilità condivisa lungo la filiera
Il Code of Practice delinea un modello nel quale la trasparenza nasce dalla collaborazione tra tutti i soggetti coinvolti, lungo l’intera catena di sviluppo e diffusione dei contenuti.
Nessun anello di questa catena può garantire da solo l’affidabilità del sistema: i modelli devono essere progettati per rendere riconoscibile la propria origine, i sistemi che li integrano devono applicare correttamente le tecniche di marcatura previste, chi li usa nella propria attività deve rispettare gli obblighi di etichettatura o di controllo editoriale, e chi riceve infine il contenuto deve poter contare su segnali chiari e verificabili.
Di conseguenza, per le imprese, comprendere questa logica significa evitare di trattare la trasparenza come un adempimento isolato, iniziando piuttosto a integrarla stabilmente nei processi di progettazione, selezione e impiego dei sistemi di IA Generativa.
