Artificial Intelligence Act: cosa cambia dal 2 agosto 2026
L’Artificial Intelligence Act entra in una nuova fase applicativa dal 2 agosto 2026, data a partire dalla quale diventano operativi gli obblighi di trasparenza previsti per alcune categorie di sistemi di Intelligenza Artificiale.
Le nuove disposizioni sono contenute nell’articolo 50 del Regolamento (UE) 2024/1689 e coinvolgono imprese e professionisti che sviluppano oppure impiegano sistemi di IA nello svolgimento delle proprie attività.
L’obiettivo perseguito dal legislatore europeo consiste nel garantire che le persone possano riconoscere quando stanno interagendo con l’Intelligenza Artificiale oppure quando vengono esposte a determinati contenuti generati artificialmente.
Per favorire un’applicazione uniforme delle nuove regole, la Commissione europea ha pubblicato anche le Draft Guidelines dedicate all’articolo 50. Pur trattandosi di un documento privo di efficacia vincolante, rappresenta un importante supporto interpretativo grazie ai numerosi esempi pratici riportati.
La distinzione tra fornitore e deployer determina gli obblighi applicabili
Per comprendere quali adempimenti spettino a ciascuna organizzazione è necessario individuare il ruolo ricoperto rispetto al modello di Intelligenza Artificiale:
- il fornitore è il soggetto che sviluppa un sistema di IA, oppure ne commissiona lo sviluppo, e lo mette a disposizione sul mercato o in servizio con il proprio nome o marchio;
- il deployer è il soggetto che impiega soluzioni di Intelligenza Artificiale nell’ambito della propria attività professionale.
La stessa impresa può ricoprire entrambe le qualifiche. Si pensi, ad esempio, a un’azienda che sviluppa un chatbot con il proprio marchio destinato ai clienti e lo usa anche all’interno della propria organizzazione per gestire l’assistenza o alcune attività operative. La medesima impresa può inoltre assumere il ruolo di deployer quando ricorre a sistemi di IA sviluppati da altri fornitori.
L’individuazione del ruolo costituisce il primo passaggio per stabilire quali obblighi trovino concreta applicazione.
Gli adempimenti previsti dall’EU Artificial Intelligence Act per i fornitori
Per i fornitori, la disciplina si concentra sulle caratteristiche che il sistema deve possedere prima dell’immissione sul mercato o della messa in servizio, con particolare attenzione alla trasparenza nei confronti degli utenti e alla riconoscibilità dei contenuti generati dall’IA.
Informare quando una persona interagisce con un sistema di IA
I fornitori di sistemi destinati a interagire direttamente con persone fisiche devono progettare tali soluzioni in modo che gli utenti possano comprendere chiaramente di trovarsi davanti a un sistema basato sull’Intelligenza Artificiale.
L’informazione deve essere percepibile durante l’interazione stessa. Secondo le Draft Guidelines a supporto dell’AI Act EU, non risultano sufficienti semplici riferimenti contenuti nelle condizioni contrattuali, nella documentazione tecnica oppure nei metadati. Rispondono invece alla finalità della norma messaggi espliciti oppure elementi grafici chiaramente comprensibili nel contesto della conversazione.
L’adempimento incontra alcune eccezioni, ad esempio quando la natura artificiale dell’interazione risulta evidente per una persona ragionevolmente informata oppure nei casi previsti dalla legge per finalità di prevenzione, accertamento o perseguimento dei reati.
La marcatura tecnica dei contenuti sintetici
Ulteriori obblighi riguardano i fornitori di sistemi che generano contenuti sintetici, come testi, immagini, contenuti audio o video.
In questi casi gli output devono essere contrassegnati mediante soluzioni tecniche che ne consentano il riconoscimento come contenuti generati artificialmente attraverso formati leggibili meccanicamente.
Le modalità di marcatura devono garantire un livello adeguato di affidabilità e consentire il riconoscimento dell’origine artificiale del contenuto, tenendo conto delle caratteristiche della tecnologia e delle soluzioni tecnicamente disponibili. Tra gli esempi richiamati figurano filigrane digitali, metadati identificativi, impronte digitali e strumenti crittografici idonei a dimostrare la provenienza del contenuto.
Una proposta di modifica dell’Artificial Intelligence Act contenuta nel cosiddetto Digital Omnibus prevede un differimento al 2 dicembre 2026 dell’obbligo di marcatura tecnica per i sistemi già immessi sul mercato prima del 2 agosto 2026. La modifica, tuttavia, è collegata al completamento del relativo procedimento di approvazione.
Le responsabilità dei deployer nell’Artificial Intelligence Act EU
Per i deployer le prescrizioni riguardano soprattutto le modalità con cui determinati sistemi vengono impiegati e le informazioni che devono essere rese alle persone interessate nelle situazioni individuate dalla normativa europea.
Sistemi di riconoscimento delle emozioni e categorizzazione biometrica
Per questa categoria di sistemi il deployer deve informare le persone interessate circa il funzionamento del sistema.
L’informativa deve essere resa entro la prima esposizione al sistema, secondo quanto previsto dall’articolo 50.
A questo adempimento si affianca il rispetto della disciplina in materia di protezione dei dati personali, compreso il GDPR, oltre agli ulteriori requisiti previsti per i sistemi classificati come ad alto rischio.
Deepfake e testi destinati a informare il pubblico
Specifici obblighi riguardano anche i deployer che diffondono contenuti creati oppure modificati mediante sistemi di Intelligenza Artificiale.
Per quanto riguarda i deepfake, occorre rendere noto che immagini, video oppure contenuti audio sono stati generati o manipolati artificialmente quando ricorrono i presupposti previsti dall’articolo 50.
Le Draft Guidelines precisano inoltre alcuni criteri utili per individuare un deepfake, come il grado di somiglianza con persone, oggetti, luoghi o eventi realmente esistenti e la capacità del contenuto di apparire autentico agli occhi del pubblico.
Un’analoga prescrizione interessa i testi destinati a informare il pubblico su questioni di interesse generale. In tali casi deve essere resa nota l’origine artificiale del contenuto, salvo l’ipotesi in cui esso sia stato sottoposto a un effettivo controllo editoriale e un soggetto assuma la relativa responsabilità.
Le regole comuni previste dall’articolo 50
Oltre agli obblighi specifici previsti per fornitori e deployer, l’articolo 50, paragrafo 5, stabilisce alcune modalità comuni con cui devono essere fornite le informazioni alle persone interessate.
In particolare, le comunicazioni devono essere:
- chiare e facilmente comprensibili
- distinguibili rispetto agli altri contenuti
- accessibili secondo la normativa applicabile
- fornite al più tardi al momento della prima interazione o della prima esposizione al sistema
Si tratta di requisiti generali che accompagnano tutti gli obblighi di trasparenza descritti in precedenza.
Come organizzarsi in vista dell’EU AI Act
L’avvicinarsi del 2 agosto 2026 rende opportuno avviare una ricognizione dei sistemi di Intelligenza Artificiale presenti all’interno dell’organizzazione. Il primo obiettivo consiste nell’individuare, per ciascun sistema, se l’impresa operi come fornitore, come deployer oppure in entrambe le vesti, poiché da questa valutazione dipende l’individuazione degli obblighi applicabili.
Successivamente può essere utile esaminare le modalità con cui vengono attualmente fornite le informazioni agli utenti e verificare se risultino coerenti con i requisiti di trasparenza previsti dal regolamento europeo.
Per i sistemi che generano contenuti sintetici assume particolare rilievo anche la valutazione delle soluzioni tecniche destinate alla marcatura degli output, mentre le organizzazioni che ricorrono ai sistemi disciplinati dall’articolo 50 dovrebbero programmare adeguate iniziative formative affinché il personale conosca gli adempimenti informativi previsti per i relativi strumenti di Intelligenza Artificiale.
Considerata l’imminente applicazione delle nuove disposizioni, le organizzazioni che rientrano nel campo di applicazione dell’AI Act dovrebbero verificare quanto prima la propria posizione rispetto ai sistemi di Intelligenza Artificiale impiegati e completare gli eventuali adeguamenti richiesti dalla normativa.
