Il 2 agosto 2026 era la data che molte imprese italiane avevano cerchiata in rosso. Nelle ultime settimane il quadro è cambiato: il Regolamento (UE) 2026/1744 — il cosiddetto Digital Omnibus sull'IA, pubblicato in Gazzetta Ufficiale dell'Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio — ha rinviato gran parte degli obblighi sui sistemi ad alto rischio. Ma non ha toccato l'articolo 50.

Se la tua azienda usa un chatbot, genera testi, immagini o audio con l'IA, o pubblica contenuti sintetici, hai obblighi che scattano fra pochi giorni.

Cosa scatta il 2 agosto 2026 (e cosa è slittato)

Obbligo Data di applicazione
Sistemi ad alto rischio dell'Allegato III (art. 6(2)) 2 dicembre 2027
IA incorporata in prodotti regolamentati, Allegato I (art. 6(1)) 2 agosto 2028
Trasparenza — articolo 50 2 agosto 2026 (invariata)

Due precisazioni operative:

  • I sistemi di IA generativa già immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per adeguarsi alla sola marcatura leggibile da macchina prevista dall'art. 50(2).
  • Il Regolamento 2026/1744 introduce anche due nuovi divieti all'art. 5, applicabili dal 2 dicembre 2026, relativi alla generazione di materiale intimo senza consenso esplicito e al materiale pedopornografico.

Il messaggio, quindi, è l'opposto di "abbiamo più tempo": la parte di AI Act che tocca il maggior numero di aziende — la trasparenza — arriva puntuale.

I quattro obblighi dell'articolo 50

L'articolo 50 distingue tra chi fornisce il sistema (provider) e chi lo utilizza nell'esercizio della propria attività (deployer).

1. Dichiarare che si sta interagendo con un'IA — art. 50(1)

Chi fornisce sistemi destinati a interagire direttamente con persone fisiche deve garantire che l'utente ne sia informato, al più tardi alla prima interazione. L'obbligo cade solo quando la circostanza è ovvia per una persona ragionevolmente informata, attenta e avveduta. Le linee guida della Commissione chiariscono che anche gli agenti IA rientrano in questa previsione.

2. Marcare gli output sintetici — art. 50(2)

Chi fornisce sistemi che generano audio, immagini, video o testo sintetici — inclusi i sistemi di IA per finalità generali — deve garantire che gli output siano marcati in formato leggibile da macchina e rilevabili come artificialmente generati o manipolati. In pratica: watermark, metadati, strumenti di provenienza del contenuto.

3. Informare su emozioni e biometria — art. 50(3)

Chi utilizza sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone che vi sono esposte, fermi restando gli obblighi del GDPR. Prima ancora, va verificato che quell'uso non ricada in un divieto dell'art. 5.

4. Dichiarare deepfake e testi di interesse pubblico — art. 50(4)

Chi utilizza un sistema che genera o manipola contenuti che costituiscono un deepfake deve dichiarare che il contenuto è stato generato o manipolato artificialmente. Lo stesso vale per il testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico.

Le eccezioni — e i due errori più comuni

Le esenzioni esistono, ma sono più strette di come vengono raccontate:

  • Funzione assistiva di editing standard: la marcatura non si applica quando l'IA svolge una funzione meramente assistiva per l'editing standard e non altera sostanzialmente i dati di input. Correggere la grammatica rientra; riscrivere o generare un testo no.
  • Opere artistiche, creative, satiriche o di finzione: l'obbligo si riduce a rivelare l'esistenza del contenuto generato in modo che non ostacoli la fruizione dell'opera.
  • Controllo editoriale: per il testo di interesse pubblico l'obbligo non si applica quando il contenuto è stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica ne detiene la responsabilità editoriale.
  • Contrasto ai reati: sistemi autorizzati dalla legge per rilevare, prevenire, indagare o perseguire reati.

I due errori che ricorrono più spesso:

  1. "Ci pensa il fornitore." L'art. 50(2) grava sul fornitore, ma l'art. 50(4) è tuo: se pubblichi un deepfake o un testo generato su temi di interesse pubblico, la dichiarazione spetta a te.
  2. "Basta una riga nei termini di servizio." L'informazione va data in modo chiaro e distinguibile, al più tardi al momento della prima interazione o esposizione, e deve rispettare i requisiti di accessibilità (art. 50(5)).

Sanzioni europee e il reato italiano sui deepfake

Sul piano amministrativo, la violazione dell'art. 50 rientra nell'art. 99(4) dell'AI Act: fino a 15 milioni di euro o il 3% del fatturato mondiale annuo totale, a seconda di quale importo sia superiore. Per le PMI, incluse le start-up, si applica invece l'importo inferiore tra i due (art. 99(6)).

In Italia si aggiunge un profilo penale. La Legge 132/2025, in vigore dal 10 ottobre 2025, ha introdotto l'art. 612-quater del codice penale — «Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale» — che punisce con la reclusione da uno a cinque anni chi cagiona un danno ingiusto cedendo, pubblicando o diffondendo, senza il consenso della persona interessata, immagini, video o voci falsificati o alterati mediante l'IA e idonei a indurre in inganno sulla loro genuinità. Il reato è procedibile a querela, salvi i casi di procedibilità d'ufficio previsti dalla norma.

Checklist operativa

  1. Mappa i punti di contatto: chatbot e agenti, generatori di testo, immagini, audio o video, sistemi di riconoscimento emozionale o biometrico.
  2. Qualifica il ruolo per ciascun sistema: sei fornitore o deployer? Gli obblighi cambiano, e spesso un'azienda è entrambi su sistemi diversi.
  3. Verifica i fornitori: chiedi per iscritto come implementano la marcatura dell'art. 50(2) e riportalo in contratto.
  4. Progetta le informative: il disclaimer del chatbot, l'etichetta visibile sui contenuti sintetici, l'avviso per emozioni e biometria.
  5. Definisci il processo editoriale per ciò che pubblichi: chi rivede, chi firma, chi assume la responsabilità editoriale. È esattamente ciò che attiva l'esenzione.
  6. Documenta le scelte e le esenzioni invocate: in una verifica conta ciò che riesci a dimostrare, non ciò che hai fatto senza tracciarlo.
  7. Valuta il Codice di buone pratiche sulla trasparenza dei contenuti generati dall'IA, pubblicato a giugno 2026 e ritenuto adeguato dalla Commissione e dal Comitato europeo per l'IA. L'adesione è volontaria, ma è la via più rapida per dimostrare conformità.

Vale la pena ricordare che le linee guida della Commissione sull'articolo 50, adottate il 20 luglio 2026, non sono vincolanti: sono però il metro con cui le autorità leggeranno la norma.

Da dove partire

La trasparenza è l'obbligo dell'AI Act più facile da sottovalutare e più visibile dall'esterno: un chatbot senza disclaimer o un'immagine sintetica non etichettata sono rilevabili da chiunque, senza bisogno di un'ispezione. Un gap assessment mirato sull'articolo 50 — quali sistemi, quale ruolo, quali informative, quali prove — richiede poche giornate e chiude la distanza tra ciò che fai e ciò che puoi dimostrare.