Articolo 50 AI Act: gli obblighi di trasparenza

L'articolo 50 dell'AI Act, il regolamento (UE) 2024/1689, impone obblighi di trasparenza a fornitori e deployer di quattro tipi di sistemi di IA: quelli che interagiscono con le persone, come gli assistenti virtuali; quelli che generano contenuti sintetici; il riconoscimento delle emozioni e la categorizzazione biometrica; i deep fake e i testi pubblicati su questioni di interesse pubblico. Si applica dal 2 agosto 2026. Solo per la marcatura dei contenuti generati da sistemi già sul mercato prima di quella data il termine è il 2 dicembre 2026.

Non serve un sistema ad alto rischio perché l'articolo 50 vi riguardi: basta un assistente virtuale sul sito, un generatore di immagini usato dal marketing o un testo pubblicato scritto con un modello linguistico.

Chi deve fare cosa

Il capo IV del regolamento è fatto di un solo articolo. I paragrafi 1 e 2 si rivolgono ai fornitori, i paragrafi 3 e 4 ai deployer, il 5 e il 6 valgono per tutti, il 7 riguarda i codici di buone pratiche. Lo stesso assistente virtuale ha quindi un fornitore e un deployer, con obblighi diversi. Se il sistema esce con il vostro nome, il fornitore potreste essere voi anche se il modello è di terzi: come si stabilisce lo spiega la guida su deployer e fornitore nell'AI Act.

Gli obblighi del fornitore

Dire alle persone che parlano con un'IA (paragrafo 1)

Chi sviluppa un sistema che dialoga con clienti, dipendenti o utenti (le FAQ della Commissione citano come esempi assistenti conversazionali, agenti AI e avatar) deve progettarlo in modo che l'interlocutore sappia di avere davanti un sistema di IA. L'obbligo cade solo quando la cosa è evidente dal punto di vista di "una persona fisica ragionevolmente informata, attenta e avveduta", tenendo conto delle circostanze e del contesto d'uso.

Le FAQ pubblicate dalla Commissione sulle proprie linee guida dell'articolo 50 precisano quattro condizioni, tutte necessarie: deve trattarsi di un sistema di IA, progettato per uno scambio reale nei due sensi, con un'interazione diretta (senza un operatore umano in mezzo) e con persone fisiche, che siano consumatori o professionisti. I sistemi che lavorano solo in background o da macchina a macchina restano fuori. La stessa fonte chiede di leggere in modo restrittivo l'eccezione dell'evidenza, perché toglie trasparenza alle persone.

Marcare i contenuti generati (paragrafo 2)

I fornitori di sistemi che generano contenuti audio, immagine, video o testuali sintetici, compresi i sistemi per finalità generali, garantiscono che gli output siano marcati "in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente". Le tecniche devono essere efficaci, interoperabili, solide e affidabili per quanto tecnicamente possibile.

L'obbligo non si applica quando il sistema svolge una "funzione di assistenza per l'editing standard" o non modifica in modo sostanziale i dati di input forniti dal deployer. Secondo le FAQ della Commissione, le linee guida escludono anche brevi sequenze di numeri, simboli o lettere, il codice sorgente e gli output scambiati solo fra macchine, e prevedono un'esenzione stretta per alcuni usi business to business o industriali.

Per un'azienda che usa strumenti generativi di mercato questo è un obbligo del fornitore dello strumento, non suo. Diventa suo se costruisce e mette in servizio con il proprio nome un sistema che genera contenuti.

Gli obblighi del deployer

Riconoscimento delle emozioni e categorizzazione biometrica (paragrafo 3)

Chi usa uno di questi sistemi informa le persone che vi sono esposte del funzionamento del sistema, e tratta i dati personali secondo il GDPR. Per la Commissione l'obbligo vale sia per l'uso in tempo reale sia per l'analisi a posteriori.

Due avvertenze. L'uso di sistemi per inferire le emozioni sul luogo di lavoro e negli istituti di istruzione è vietato, salvo motivi medici o di sicurezza (articolo 5, paragrafo 1, lettera f). E i sistemi di riconoscimento delle emozioni sono ad alto rischio (allegato III, punto 1, lettera c), con gli obblighi del capo III dal 2 dicembre 2027. L'informativa dell'articolo 50 si aggiunge, non sostituisce.

Deep fake (paragrafo 4, primo comma)

L'articolo 3, punto 60 definisce deep fake "un'immagine o un contenuto audio o video generato o manipolato dall'IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero a una persona". Il deployer del sistema che lo genera o lo manipola, cioè chi lo usa in un'attività professionale, rende noto che il contenuto è artificiale.

In azienda il caso tipico è la comunicazione: un video con la voce sintetica dell'amministratore delegato, un testimonial ricostruito. Le FAQ della Commissione aggiungono due precisazioni.

• Il contesto conta. Per capire se un contenuto apparirebbe falsamente autentico si guardano il grado di somiglianza, il messaggio, il contesto di diffusione e il pubblico atteso: effetti speciali e sfondi di una produzione cinematografica standard difficilmente lo sono.
• La marcatura del fornitore non basta. L'avviso del deployer deve essere percepibile dalle persone, per esempio con un'etichetta visibile o udibile, senza strumenti tecnici: non ci si può appoggiare alla marcatura leggibile a macchina del paragrafo 2.

Per le opere manifestamente artistiche, creative, satiriche o di finzione l'obbligo si riduce a rivelare l'esistenza del contenuto artificiale in modo adeguato, senza ostacolare la fruizione dell'opera.

Testi su questioni di interesse pubblico (paragrafo 4, secondo comma)

Chi pubblica testi generati o manipolati dall'IA allo scopo di informare il pubblico su questioni di interesse pubblico lo dichiara. Non deve farlo se il testo è stato "sottoposto a un processo di revisione umana o di controllo editoriale" e una persona fisica o giuridica ne detiene la responsabilità editoriale: servono entrambe le condizioni.

Le FAQ della Commissione indicano tre criteri cumulativi: il testo è pubblicato, ha uno scopo informativo verso il pubblico, riguarda temi di interesse pubblico, fra cui salute pubblica, sicurezza, ambiente, sicurezza dei consumatori e sviluppi economici o finanziari che possono essere oggetto di dibattito. Correzione ortografica e grammaticale non contano come revisione: serve un esame di merito di chi conosce la materia, o un responsabile editoriale che può approvare, cambiare o respingere il testo. Per comunicati, report e contenuti divulgativi la via più semplice è una revisione documentata, con un responsabile nominato.

Come e quando si informano le persone

Il paragrafo 5 vale per tutti i casi precedenti: le informazioni si danno "in maniera chiara e distinguibile al più tardi al momento della prima interazione o esposizione", e devono rispettare i requisiti di accessibilità applicabili. In pratica l'avviso va dato nel punto in cui l'interazione o l'esposizione comincia, non solo nelle condizioni d'uso.

Il paragrafo 6 chiarisce che i paragrafi da 1 a 4 non toccano gli obblighi del capo III per i sistemi ad alto rischio, né gli altri obblighi di trasparenza che il diritto dell'Unione o nazionale pone ai deployer. In Italia va letto insieme, per esempio, l'obbligo del datore di lavoro di informare il lavoratore dell'uso dell'IA, nei casi indicati dall'articolo 11 della legge 132/2025 sull'intelligenza artificiale.

Cosa ha cambiato l'Omnibus digitale sull'IA

Il regolamento (UE) 2026/1744 dell'8 luglio 2026 è, al 1° ottobre 2026, l'unico atto che abbia modificato l'AI Act (banca dati del Publications Office dell'Unione e testo consolidato al 27 luglio 2026). Sull'articolo 50 ha fatto due cose.

• Ha riscritto il paragrafo 7 (articolo 1, punto 20). Prima l'ufficio per l'IA incoraggiava i codici di buone pratiche e la Commissione poteva approvarli con atti di esecuzione. Ora è la Commissione a incoraggiarli e a valutare, sentito il consiglio per l'IA, se l'adesione basta a rispettare i paragrafi 2 e 4; resta la possibilità di adottare norme comuni con un atto di esecuzione se il codice non è adeguato.
• Ha introdotto un periodo transitorio per la marcatura (articolo 1, punto 39, nuovo articolo 111, paragrafo 4). I fornitori di sistemi generativi immessi sul mercato prima del 2 agosto 2026 devono conformarsi al paragrafo 2 entro il 2 dicembre 2026.

Gli obblighi dei paragrafi da 1 a 6 non sono cambiati, e la data di applicazione dell'articolo 50 è rimasta il 2 agosto 2026. Il calendario completo dell'AI Act dopo l'Omnibus sta nella guida su entrata in vigore e scadenze. Le FAQ della Commissione aggiungono che i contenuti generati prima del 2 agosto 2026 non vanno etichettati a ritroso, pur incoraggiando a farlo quando possibile.

Codice di buone pratiche e linee guida

Il 10 giugno 2026 la Commissione ha pubblicato il Code of Practice on Transparency of AI-generated Content, in due sezioni: la prima per i fornitori, sulla marcatura e il rilevamento; la seconda per i deployer, sull'etichettatura di deep fake e testi. Secondo la pagina della Commissione, entro fine luglio 2026 lo avevano firmato circa 190 organizzazioni.

L'adesione è volontaria, gli obblighi no. Per i paragrafi 2, 4 e 5 il codice è stato valutato adeguato dalla Commissione e dal consiglio per l'IA: chi lo firma può usarlo per dimostrare la conformità. Chi non lo firma deve dimostrarla con altri mezzi adeguati, e la Commissione avverte che potrà ricevere più richieste di informazioni. Per i paragrafi 1 e 3 ognuno sceglie le proprie misure, tenendo conto delle linee guida della Commissione sull'articolo 50.

Chi vigila e quanto si rischia

Per la Commissione l'applicazione dell'articolo 50 spetta soprattutto alle autorità nazionali di vigilanza del mercato. L'ufficio per l'IA ha un ruolo limitato, per esempio sui sistemi costruiti su un modello per finalità generali quando sistema e modello hanno lo stesso fornitore. In Italia l'articolo 20 della legge 132/2025 affida ad ACN la vigilanza sui sistemi di IA, comprese ispezioni e sanzioni, ferme le competenze di Banca d'Italia, CONSOB e IVASS come autorità di vigilanza del mercato nei loro settori.

La violazione degli obblighi di trasparenza dell'articolo 50 è punita fino a 15 000 000 EUR o, per le imprese, fino al 3 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore (articolo 99, paragrafo 4, lettera g). Per le PMI, comprese le start-up, vale il valore più basso fra i due (paragrafo 6); lo stesso vale ora per le piccole imprese a media capitalizzazione (paragrafo 6 bis, introdotto dall'Omnibus).

Cosa controllare in azienda, punto per punto

1. Inventario dei punti di contatto. Assistente virtuale sul sito, servizio clienti, centralino vocale, agenti AI che scrivono a clienti o fornitori: per ognuno, chi è il fornitore e se l'avviso c'è dalla prima interazione.
2. Ruolo su ciascun sistema. Se un assistente costruito su un modello di terzi esce con il vostro nome, verificate se siete fornitori, e quindi responsabili anche del paragrafo 1.
3. Contratti con i fornitori di strumenti generativi. Chiedete come marcano gli output e se aderiscono al codice: l'obbligo è loro, ma vi dice se i contenuti che pubblicate portano già la marcatura.
4. Regola interna per la comunicazione. Quando un contenuto generato diventa un deep fake, come si etichetta, chi decide; e chi rivede i testi pubblicati su temi di interesse pubblico.
5. Riconoscimento delle emozioni e biometria. Prima dell'informativa, il controllo che l'uso non sia vietato dall'articolo 5 e la valutazione degli obblighi da alto rischio.

Il quadro degli altri obblighi che un'azienda medio-piccola ha comunque, dall'alfabetizzazione del personale alle pratiche vietate, sta nella guida all'AI Act per le aziende medio-piccole. Chi vuole tenere questi controlli dentro un sistema di gestione certificabile trova il riferimento nella certificazione ISO 42001.

In sintesi: dal 2 agosto 2026 chi fornisce un sistema che dialoga con le persone deve dire che è un'IA, chi fornisce uno strumento generativo deve marcarne gli output (entro il 2 dicembre 2026 se era già sul mercato), chi usa riconoscimento delle emozioni o biometria informa le persone, chi pubblica deep fake o testi di interesse pubblico non rivisti lo dichiara.

Se volete sapere quali dei vostri sistemi di IA rientrano nell'articolo 50 e con quale ruolo, partite da una verifica con noi sull'AI Act.