Dal 2 agosto le imprese che usano l’intelligenza artificiale dovranno rispettare i nuovi obblighi dell’AI Act. Aumenta la tutela per i cittadini, ma anche le difficoltà per le PMI.
Mancano poche settimane alle aziende italiane per adeguarsi a una delle scadenze più concrete previste dall’AI Act europeo. Dal 2 agosto 2026 entrerà infatti in vigore l’articolo 50 del Regolamento UE 2024/1689, che stabilisce l’obbligo di trasparenza per chi utilizza sistemi di intelligenza artificiale a contatto con il pubblico.
In pratica, gli utenti dovranno essere informati in modo chiaro quando interagiscono con una macchina o si interfacciano con contenuti generati dall’IA. Addio quindi ai chatbot che si spacciano per esseri umani e ai contenuti generati dall’intelligenza artificiale senza un’indicazione esplicita della loro origine. Chi non si adeguerà rischia sanzioni di oltre 15 milioni di euro.
I nuovi obblighi dell’AI Act per le imprese
Nel dettaglio, l’articolo 50 distingue due figure principali: il fornitore, cioè chi sviluppa e commercializza un sistema di intelligenza artificiale, e il deployer, ovvero chi lo utilizza nell’ambito della propria attività. I primi sono obbligati a progettare i propri sistemi in modo che l’utente sappia di stare interagendo con una macchina; i secondi devono dichiarare esplicitamente se un contenuto, che sia testuale, grafico, audio o video, è stato generato o manipolato mediante l’intelligenza artificiale.
Per chatbot e assistenti virtuali non sarà sufficiente un generico riferimento all’assistente o una nota nascosta nei termini e condizioni. Le linee guida della Commissione europea sono piuttosto stringenti e prevedono, ad esempio, un messaggio testuale chiaro all’avvio dell’applicazione, come «Stai interagendo con un sistema di intelligenza artificiale», oppure un’icona facilmente riconoscibile e comprensibile nel contesto d’uso.
Per quanto riguarda i contenuti generati dall’AI, ogni output dovrà essere marcato con sistemi leggibili dalle macchine, come filigrane digitali, metadati o impronte crittografiche. La scelta della soluzione tecnica è lasciata al fornitore, ma la responsabilità della conformità resta a suo carico.
Ci sono poi due casi che meritano particolare attenzione. Il primo riguarda chi produce o diffonde deepfake, ossia video, immagini o audio che simulano persone, luoghi o eventi reali facendoli apparire autentici, pur essendo stati creati artificialmente. In questi casi l’obbligo di segnalazione è sempre previsto, indipendentemente dall’intenzione di ingannare o meno il pubblico. Ad esempio, un video di un politico che pronuncia un discorso mai tenuto rappresenta un deepfake e deve essere chiaramente identificato come contenuto generato dall’intelligenza artificiale.
Il secondo caso riguarda chi utilizza l’AI per produrre testi destinati a informare il pubblico su questioni di interesse generale. Pensiamo, ad esempio, a blog, siti web o piattaforme informative. Anche in questo caso è necessario indicare esplicitamente che il contenuto è stato generato dall’intelligenza artificiale. L’unica eccezione riguarda i testi che sono stati sottoposti a una revisione editoriale significativa da parte di un essere umano, che se ne assume la responsabilità prima della pubblicazione.
Infine, viene dedicata particolare attenzione ai sistemi di riconoscimento delle emozioni e categorizzazione biometrica. Anche in questo caso i soggetti interessati dovranno essere informati delle aziende per poter esprimere un consenso valido vista la delicatezza dei dati trattati e la possibile decisione automatizzata che ne consegue. In ogni caso, il trattamento dei dati dovrà avvenire in modo conforme a quanto previsto dal Gdpr e permangono i sistemi vietati (a rischio inaccettabile) o limitati (ad alto rischio) individuati dall’AI Act e già in vigore. Tali sistemi vengono impiegati soprattutto con finalità di marketing, per esempio nell’analisi del gradimento e nella pubblicità predittiva, ma anche nei contesti di lavoro e di sicurezza. La misura riguarda quindi un’ampia fetta di aziende, che hanno ormai poco tempo per non farsi cogliere impreparate.
In Italia il processo di inserimento dell’AI in azienda procede a rilento
I numeri mostrano però che le imprese italiane non sembrano ancora del tutto pronte al cambiamento tecnologico. Secondo l’Istat, nel 2024 soltanto l’8% delle aziende italiane utilizzava sistemi di intelligenza artificiale, una quota inferiore alla media europea del 13,5%. Nel 2025 la percentuale è salita al 16,4%, ma resta molto ampio il divario tra le grandi imprese, dove l’adozione raggiunge il 53,1%, e le piccole e medie imprese, ferme al 15,7%.
Il primo passo che le aziende devono compiere è mappare i sistemi di intelligenza artificiale utilizzati e comprendere se ricoprono il ruolo di fornitore, deployer o entrambi. Successivamente occorre verificare le modalità di interazione con gli utenti e valutare la conformità agli obblighi previsti dal regolamento. Per i contenuti generativi è inoltre necessario scegliere una soluzione tecnica per la marcatura. Il Digital Omnibus ha concesso una proroga fino al 2 dicembre 2026 per i sistemi già presenti sul mercato prima di agosto, ma esclusivamente per gli aspetti tecnici legati alla marcatura. Tutti gli altri obblighi entreranno in vigore il 2 agosto senza alcuna deroga.
Cosa rischiano le aziende che non si adeguano
Come anticipato, le sanzioni per il mancato rispetto delle disposizioni dell’AI Act sono piuttosto salate. Le violazioni sono infatti punibili con multe fino a 15 milioni di euro o fino al 3% del fatturato annuo, con applicazione dell’importo più elevato. Sono previste riduzioni per le PMI, ma l’importo della sanzione è in ogni caso commisurato alla gravità dell’infrazione, per frequenza, entità, danno e così via.
Accanto all’aspetto sanzionatorio, tuttavia, le aziende e i professionisti che non sono trasparenti e non gestiscono adeguatamente l’uso dell’intelligenza artificiale corrono ulteriori rischi. Le conseguenze reputazionali, in particolar modo quando l’IA sostituisce il lavoro dei professionisti, viaggiano di pari passo a quelle giuridiche per le sviste dei bot o l’uso degli stessi in contesti vietati.
Ci sono inoltre le richieste di risarcimento avanzate da clienti e cittadini che hanno subito dei danni, per la violazione dei propri dati personali, gli errori e gli inadempimenti contrattuali. Ecco perché nonostante il diverso regime sanzionatorio si amplierà il divario tra PMI e grande realtà, che godono di risorse maggiori per sopportare i costi e per finanziare la riorganizzazione dell’uso dell’IA e del trattamento dei dati.
