AI Act, ChatGPT e Deepfake. Trasparenza obbligatoria e tu sei pronto?

Dal 2 agosto 2026, chi sviluppa sistemi di intelligenza artificiale oppure le usa nel proprio business deve tenere conto di ciò che chiede l’UE ovvero: trasparenza. Non richieste di autorizzazione. Nessuna restrizione sul tipo di IA da usare. Solo trasparenza.

Gli utenti devono sapere sempre quando stanno interagendo con un sistema automatizzato o quando fruiscono di contenuti sintetici. Punto.

Provider (chi sviluppa e fornisce il sistema IA) oppure deployer (chi usa l’IA per servire i clienti) hanno già aggiornato le loro policy, sono informati ?

Il testo della norma è tutt’altro che una dichiarazione di principi e se si analizza il testo, l’AI Act tocca il 90% di quello che si è iniziato a fare online nelle aziende.

I quattro pilastri operativi

La norma e le linee guida comunitarie definiscono quattro ambiti precisi dove la trasparenza diventa obbligo operativo. La Commissione europea ha pubblicato a luglio 2026 sia le linee guida ufficiali che un Codice di buone pratiche per facilitarne l’applicazione. Sono documenti pubblici, non sono negoziabili.

Pilastro 1: Interazione diretta (Chatbot e Assistenti Vocali)

Se avete un chatbot sul sito, una chat di customer service gestita da IA, oppure un assistente vocale, l’utente deve sapere, prima di iniziare l’interazione, che sta parlando con una macchina. Non dopo. Prima.

L’eccezione è interessante: se il contesto rende totalmente ovvio che è IA (diciamo, un widget visivamente chiaro con scritto “Assistente IA”), l’avviso esplicito potrebbe non essere necessario. Ma non contate su questa eccezione. Il criterio dell’ovviousness è interpretabile e, in caso di controllo, è il garante che decide se effettivamente il contesto era chiaro oppure no.

Come implementare? Se è un chatbot scritto, il messaggio iniziale deve dichiarare chiaramente che è IA prima che l’utente mandi il primo messaggio. Se è un agente vocale, l’avviso deve essere anche sonoro. Non solo scritto. Sonoro.

Pilastro 2: Generazione e marcatura di contenuti sintetici (Watermarking)

Se usate un qualsiasi image generator (es: Midjourney, DALL-E, Nano Banana) o un text-to-video (Es.: Runway, etc.), i vostri sistemi devono garantire che l’output contenga tracce tecniche leggibili dalle macchine. Non dal cervello umano. Dalle macchine. Metadati, watermarking, segnali che un sistema di verifica automatica possa rilevare e dire “questa immagine è stata generata da IA”.

Se vendete o pubblicate contenuti generati da IA, dovete poter provare che il vostro sistema ha integrato queste marcature nel momento della generazione.

Per chi ha già sistemi sul mercato (gli altri, non nuovi), il pacchetto di semplificazione europeo ha previsto una finestra transitoria: fino al 2 dicembre 2026 per adeguare retroattivamente questi sistemi con watermarking e metadati. Per i sistemi nuovi, l’obbligo vale subito dal 2 agosto.

Significa che se il vostro generatore di immagini al momento non integra marcature, avete fino a dicembre per metterle. Dopo dicembre, non c’è transizione. C’è norma.

Pilastro 3: Deepfake e contenuti di pubblico interesse

Se pubblicate o diffondete deepfake (audio, video o immagini che simulano persone reali) oppure testi generati da IA su argomenti di pubblico interesse (elezioni, salute, conflitti internazionali), dovete dichiararne esplicitamente la natura “artificiale”. L’avviso deve essere visibile alla prima esposizione, senza che l’utente debba cliccare da nessuna parte per scoprirlo.

Attenzione. La revisione umana del testo fa cadere l’obbligo

L’eccezione è concreta e operativa. Se il vostro contenuto ha ricevuto una revisione umana esplicita con responsabilità editoriale (un giornalista l’ha controllato, un editor l’ha approvato, ve ne assumendo responsabilità formale), allora l’obbligo di dichiarare che è generato da IA viene meno.

Attenzione: i contenuti generati prima del 2 agosto non richiedono etichettatura retroattiva (è solo incoraggiata). Se però sono stati generati prima ma pubblicati dopo il 2 agosto, allora gli obblighi di etichettatura si applicano.

Questo è importante per chi produce newsletter, articoli, comunicati. Se la vostra email marketing o i vostri post LinkedIn sono scritti con supporto di ChatGPT, ma poi un umano ha revisionato, controllato e se ne è assunto responsabilità editoriale, formalmente siete a posto. Non dovete scrivere “questo è stato scritto da IA”. Se invece lo fate nel pilota-automatico, con minima revisione umana, dovete dichiarlo.

Pilastro 4: Riconoscimento emozioni e categorizzazione biometrica

Se usate sistemi che rilevano lo stato emotivo di una persona (sentiment analysis, emotion detection) oppure che categorizzano le persone in base a dati biometrici (volto, voce, movimento), dovete informare preventivamente chi è esposto a questi sistemi.

Retail, ambienti di lavoro, servizi al pubblico. Se avete una telecamera che registra i clienti e un software che estrae emozioni dal loro volto per capire se sono soddisfatti, loro devono saperlo. Non dopo. Prima.

La distinzione chiave: Provider vs Deployer.

Da che parte state?

Se siete provider, cioè sviluppate il sistema IA, la vostra responsabilità è nell’architettura e nel codice. Dovete progettare interfacce trasparenti. Dovete integrare watermarking e metadati leggibili dalle macchine. Dovete fornire documentazione su come il sistema funziona, che limiti ha, come va configurato per essere conforme.

Se siete deployer, cioè usate un sistema IA che qualcun altro ha sviluppato (il 99% di noi), la vostra responsabilità è nella comunicazione all’utente. Voi siete quelli che dicono al cliente “stai interagendo con IA”, “questo è un deepfake”, “questo contenuto è stato generato automaticamente”. Il provider vi dà gli strumenti per essere trasparenti. Voi li usate.

La tabella qui sotto sintetizza chi fa cosa:

Non è ambiguo. Provider costruisce. Deployer comunica.

Ma tutti sapete quando e dove usate l’IA davvero?

Ho parlato nelle settimane passate con diversi founder e manager di aziende di media dimensione. Nessuno aveva fatto il mapping completo di dove usano IA nel loro stack. Nessuno aveva una documentazione su “qui usiamo ChatGPT o Claude per questo, qui Midjourney per quello”. Nessuno aveva aggiornato i ToS per dichiarare l’uso di IA generativa nei loro processi.

Stavano usando gli strumenti, sì. Ma non avevano ancora fatto l’esercizio di fermarsi e chiedere ai vari collaboratori, anzi spesso c’era l’errata convinzione che non venisse utilizzata.

Questo è un  problema reale. Non la norma.

Come fare l’audit di conformità: tre step operativi.

Ecco il processo che consiglio a tutti i clienti. È semplice, ma richiede rigore.

Step 1: Mappatura dell’inventario IA (AI Inventory)

Raccogliete l’elenco di tutti i software in uso. Per ciascuno, rispondete a tre domande chiave:

1. Il sistema interagisce direttamente con persone fisiche? (es. Chatbot sul sito web, risponditori vocali automatizzati per l’assistenza clienti, avatar virtuali).
2. Il sistema genera o manipola contenuti mediatici? (es. Testi per blog, social, comunicati; immagini pubblicitarie; voiceover sintetici; video con avatar o deepfake).
3. Il sistema analizza parametri biometrici o emotivi? (es. Analisi del sentiment della voce nelle chiamate di supporto, webcam per il tracciamento dell’attenzione o delle emozioni).

Se avete almeno un “sì” a una di queste tre domande, quel tool ricade sotto l’Articolo 50. Deve essere documentato e trattato.

Step 2: Matrice di riscontro dell’Articolo 50

Per ogni strumento che ha risposto “sì” a una delle tre domande, verificate quale delle quattro casistiche si applica:

Casistica 1: Chatbot e Agenti Vocali — Se l’azienda usa un sistema di conversazione testo o voce rivolto a clienti o utenti esterni, allora dovete inserire un avviso nell’interfaccia prima dell’invio del primo messaggio o all’avvio della chiamata vocale. Esempio: “Stai chattando con un assistente virtuale basato su IA”. L’eccezione vale solo se il contesto rende del tutto ovvia la natura sintetica dell’interlocutore.

Casistica 2: IA Generativa per testo su questioni pubbliche — Se usate LLM per generare articoli, post, report, comunicati su temi di pubblico interesse destinati all’esterno, dovete dichiarare che il testo è stato generato o assistito da IA. L’obbligo decade se il contenuto è sottoposto a revisione e validazione da parte di un operatore umano che ne assume la responsabilità editoriale prima della pubblicazione.

Casistica 3: Generazione di immagini, audio, video e deepfake — Se create o modificate media sintetici (volti, voci clonate, scenari fotorealistici), come deployer dovete aggiungere una dicitura visibile/udibile (“Immagine generata con intelligenza artificiale”). Come provider, dovete verificare che i vostri strumenti integrino metadati di watermarking leggibili dalle macchine.

Casistica 4: Riconoscimento emozioni e categorizzazione biometrica — Se usate software che analizzano micro-espressioni facciali, tono della voce o parametri biometrici di dipendenti o clienti, dovete informare preventivamente i soggetti interessati tramite un’informativa dedicata prima che siano esposti al tracciamento.

Step 3: Formalizzazione del ruolo (Deployer vs Provider)

Per ogni strumento identificato, definite il vostro ruolo:

Siete deployer se acquistate o usate un software IA fornito da terzi (OpenAI, Microsoft, ManyChat, Zapier con nodi AI) senza modificarne sostanzialmente l’architettura. In questo caso, la vostra responsabilità è comunicare in modo trasparente l’uso dell’IA agli utenti finali.

Siete provider se sviluppate un modello di IA internamente o ne modificate in modo sostanziale le funzionalità o lo scopo originale per poi offrirlo sul mercato. In questo caso, dovete integrare le marcature tecniche (watermarking) nel codice e nella produzione di output.

Checklist operativa di adeguamento.

Una volta fatto il mapping e l’audit, usate questa checklist per verificare lo stato di compliance:

Se avete un 🔲 ancora vuoto, quello è il vostro punto di partenza per il prossimo sprint operativo.

Il Codice di buone pratiche

La Commissione europea ha pubblicato un Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA, adottato a luglio 2026. Non è obbligatorio aderirvi, ma è uno strumento ufficiale riconosciuto che offre maggiore certezza giuridica. Se lo firmate (oltre 190 organizzazioni lo avevano fatto entro fine luglio), dimostrate alle autorità di controllo che state facendo il serio. Le icone UE standardizzate per l’etichettatura (AI generated, AI modified, etc.) sono allegate al Codice e sono gratuite da usare.

Se non aderite al Codice, dovete dimostrare con altri mezzi che siete conformi, valutati caso per caso dalle autorità. È possibile, ma richiede documentazione aggiuntiva.

Cosa non fare.

Non pensate di aggirare la norma scegliendo tool non europei. Se la vostra azienda opera nell’UE (anche parzialmente), anche se i vostri server sono in US, la norma vi riguarda.

Non scrivete termini generici tipo “i nostri sistemi potrebbero usare intelligenza artificiale”. È vago. Non è compliant. Dovete essere preciso.

Non rimandare fino a settembre dicendo “gli avvocati guarderanno la norma l’anno prossimo”. Le sanzioni sono effettive dal 2 agosto. Le autorità di controllo nei singoli stati europei (AGCOM in Italia, CNIL in Francia, Bundesnetzagentur in Germania) stanno già facendo ispezioni. Stanno già controllando. E gli attori più diligenti hanno già iniziato a adeguarsi. Vi conviene non stare nel gruppo di quelli che rincorrono in emergenza dopo.

Le sanzioni come sempre sono stratosferiche, fino a 15 milioni di euro o 3% del fatturato mondiale annuo (il maggiore dei due). Se siete una PMI con fatturato di 10 milioni, il 3% sono 300mila euro. Non sono scherzi.

Cosa facciamo concretamente.

Se hai bisogno di aiuto, contattataci ti aiuteremo a fare la mappatura dell’AI Inventory, l’audit di conformità all’Articolo 50, la formalizzazione dei ruoli provider/deployer, l’aggiornamento della comunicazione al cliente, la documentazione che le autorità potrebbero chiedere in un controllo.

Non è consulenza legale. È operativa. Guardiamo il vostro business nella realtà, non sulla carta. Vi aiutiamo a capire dove state usando IA, chi è responsabile di cosa, come comunicarlo agli utenti senza paralizzare l’operatività.

Facciamo il mapping in una o due settimane, identifichiamo i gap di compliance, prepariamo un action plan con priorità (cosa è critico fare subito, cosa ha scadenza al 2 dicembre per il watermarking, cosa può aspettare).

Se volete discuterne in forma concreta, prendiamo una call breve. Io racconto quello che vedo nei clienti. Voi mi dite quale è il vostro stack e dove pensate di essere vulnerabili. Facciamo il punto insieme. Senza impegno, senza tecnicismi legali.