AI Act dal 2 agosto 2026: come etichettare chatbot, deepfake e contenuti AI

Dal 2 agosto 2026 diventano applicabili gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. Per le PMI, le agenzie e gli uffici marketing, la domanda più frequente è apparentemente semplice: ogni contenuto creato con l’intelligenza artificiale dovrà essere etichettato?

La risposta è no.

L’AI Act non impone di accompagnare qualsiasi testo, immagine o video con la dicitura “generato con AI”. Gli obblighi cambiano in base al tipo di sistema, al contenuto prodotto, al modo in cui viene presentato e al ruolo ricoperto dall’organizzazione.

Un chatbot che conversa con i clienti, un video realistico con una voce sintetica e una bozza commerciale corretta da un dipendente non devono essere trattati nello stesso modo.

Le linee guida definitive pubblicate dalla Commissione europea il 20 luglio 2026 aiutano a distinguere tre situazioni:

• contenuti e interazioni che richiedono una dichiarazione;

• contenuti che normalmente non devono essere etichettati;

• casi nei quali serve una valutazione specifica del contesto.

Questo articolo è un approfondimento complementare alla nostra guida completa all’AI Act per aziende e creator digitali. Qui ci concentriamo sui controlli che possono essere applicati concretamente a siti aziendali, campagne pubblicitarie, social media e processi editoriali.

Da ricordare

La trasparenza richiesta dall’AI Act non consiste nell’etichettare indiscriminatamente tutto ciò che è stato realizzato con l’AI. Occorre informare le persone nei casi individuati dal regolamento, con modalità chiare e adeguate al contesto.

Cosa entra in applicazione il 2 agosto

L’articolo 50 distingue tra gli obblighi dei provider, cioè chi sviluppa un sistema AI o lo fa sviluppare e lo mette a disposizione con il proprio nome o marchio, e quelli dei deployer, vale a dire le organizzazioni che utilizzano il sistema nell’ambito della propria attività.

Una PMI che usa un servizio generativo disponibile sul mercato è normalmente un deployer. Potrebbe però assumere il ruolo di provider se fa sviluppare un proprio sistema e lo offre con il proprio marchio.

Dal 2 agosto 2026 diventano applicabili quattro gruppi principali di obblighi.

Interazione con sistemi AI

I provider devono progettare chatbot, assistenti virtuali, agenti conversazionali e altri sistemi interattivi in modo che le persone sappiano di avere davanti un’intelligenza artificiale, salvo che ciò sia già evidente.

Marcatura tecnica degli output

I provider di sistemi che generano o manipolano testi, immagini, audio e video devono rendere gli output rilevabili attraverso marcature leggibili dalle macchine.

Si tratta, per esempio, di metadati, informazioni sulla provenienza o altre soluzioni tecniche. Questa marcatura non coincide con l’avviso visibile destinato al pubblico.

Riconoscimento delle emozioni e categorizzazione biometrica

Chi utilizza questi sistemi deve informare le persone esposte al loro funzionamento. Resta fermo che alcuni utilizzi del riconoscimento delle emozioni, in particolare nei luoghi di lavoro e negli istituti di istruzione, sono già vietati salvo limitate eccezioni previste dal regolamento.

Deepfake e determinati testi di interesse pubblico

I deployer devono dichiarare:

• i contenuti che rientrano nella definizione di deepfake;

• i testi generati o manipolati dall’AI, pubblicati per informare il pubblico su questioni di interesse pubblico, quando non sono stati sottoposti a revisione umana o controllo editoriale e nessuno ne assume la responsabilità editoriale.

Non esiste una proroga generale fino a dicembre. La data del 2 dicembre 2026 riguarda soltanto l’obbligo di marcatura tecnica degli output prodotti da sistemi immessi sul mercato prima del 2 agosto.

I contenuti generati prima del 2 agosto non devono essere etichettati retroattivamente, anche se la Commissione incoraggia una disclosure volontaria quando risulta utile.

Quando dichiarare che un utente interagisce con un chatbot

L’obbligo riguarda i sistemi AI progettati per avere uno scambio diretto con una persona.

Secondo le linee guida, devono ricorrere quattro condizioni:

1. lo strumento è qualificabile come sistema AI;

2. è progettato per un reale scambio bidirezionale;

3. comunica direttamente con la persona, senza un intermediario umano;

4. interagisce con una persona fisica, che può essere un cliente, un professionista o un altro utente.

Un chatbot che interpreta le domande e genera risposte personalizzate rientra normalmente in questa situazione. Un modulo che raccoglie nome, email e richiesta, invece, non diventa un sistema AI interattivo soltanto perché smista automaticamente i dati ricevuti.

Come presentare l’avviso

L’informazione deve comparire all’inizio della prima interazione, in modo chiaro, distinguibile e accessibile.

Una formula semplice può essere:

Stai interagendo con un assistente virtuale basato sull’intelligenza artificiale.

Se è possibile chiedere l’intervento di una persona, si può aggiungere:

Puoi richiedere in qualsiasi momento il supporto di un operatore.

Non è sufficiente inserire l’informazione soltanto nella privacy policy o nelle condizioni generali del servizio. L’utente deve comprenderlo prima di affidarsi alle risposte del sistema.

L’avviso dovrebbe essere verificato anche:

• nella versione mobile del sito;

• nelle lingue disponibili;

• con le tecnologie assistive;

• dopo eventuali aggiornamenti del chatbot;

• quando la conversazione passa dal sistema AI a un operatore umano.

Quando l’interazione è già evidente

L’avviso non è richiesto se una persona media ragionevolmente informata, attenta e consapevole comprende immediatamente di interagire con un sistema AI.

La Commissione invita però a interpretare questa eccezione in modo restrittivo. Espressioni come “assistente digitale”, l’uso di un nome di fantasia o l’immagine di un avatar non rendono necessariamente evidente la natura del sistema.

Per una PMI, inserire un avviso breve ed esplicito rimane generalmente la soluzione più semplice, soprattutto quando il chatbot:

• utilizza un tono molto umano;

• simula un operatore del servizio clienti;

• raccoglie richieste commerciali;

• utilizza una voce sintetica;

• tratta dati personali;

• può influenzare le aspettative del cliente.

Dal punto di vista dell’AI Act, l’obbligo di progettare correttamente il sistema ricade sul provider. L’azienda che integra un chatbot fornito da terzi dovrebbe comunque controllare che la funzione di trasparenza sia attiva e chiarire le responsabilità nel contratto.

Se durante la conversazione vengono raccolti dati personali, occorre verificare anche informativa, conservazione, accessi e utilizzo dei dati. Questi aspetti sono approfonditi nella nostra guida pratica al GDPR.

Quali deepfake devono essere etichettati

Non tutte le immagini generate dall’AI sono deepfake.

Secondo l’AI Act, un deepfake è un contenuto visivo, audio o video generato o manipolato dall’AI che presenta tre caratteristiche:

1. assomiglia in modo significativo a una persona, un oggetto, un luogo, un’entità o un evento;

2. rappresenta qualcosa che esiste, potrebbe esistere o avrebbe potuto plausibilmente esistere;

3. può apparire falsamente autentico o veritiero.

I tre criteri devono essere valutati insieme, considerando anche il contesto di pubblicazione e le aspettative del pubblico.

Esempi normalmente soggetti a disclosure

L’etichetta è generalmente necessaria per:

• un video realistico nel quale un amministratore sembra pronunciare parole mai dette;

• la voce sintetica di una persona reale utilizzata in una pubblicità;

• una testimonianza video generata con un cliente inesistente;

• una fotografia AI presentata come immagine autentica di una sede;

• la ricostruzione realistica di un evento mai avvenuto;

• una fotografia nella quale è stato sostituito il volto di una persona;

• l’immagine di un prodotto non ancora esistente presentato come già disponibile;

• la foto di un immobile realmente esistente modificata con arredi AI, se viene presentata come rappresentazione dello stato attuale.

La dichiarazione deve essere comprensibile e percepibile al più tardi quando la persona vede o ascolta il contenuto per la prima volta.

La sola marcatura tecnica non è sufficiente. L’utente non dovrebbe avere bisogno di esaminare i metadati o utilizzare uno strumento esterno per scoprire che il contenuto è sintetico.

Contenuti che normalmente non sono deepfake

Non rientrano automaticamente nella definizione:

• illustrazioni chiaramente fantastiche;

• personaggi in stile cartoon;

• grafiche astratte;

• icone generate con l’AI;

• mascotte immaginarie;

• sfondi decorativi non presentati come luoghi reali;

• immagini apertamente surreali.

La differenza non dipende soltanto dallo stile. Un’immagine fotorealistica non è necessariamente un deepfake, ma richiede maggiore attenzione quando rappresenta persone, luoghi, prodotti o avvenimenti plausibili e può essere interpretata come documentazione autentica.

Opere creative, satiriche e di fantasia

Quando il deepfake è inserito in un’opera evidentemente artistica, creativa, satirica o fittizia, l’obbligo non scompare. La comunicazione può però essere presentata in modo da non compromettere la fruizione dell’opera.

In base al formato, l’avviso potrebbe comparire:

• nei titoli iniziali o finali;

• nella descrizione associata al video;

• in un pannello mostrato prima della riproduzione;

• in una sezione informativa direttamente collegata al contenuto.

È importante ricordare che la revisione umana non esenta i deepfake. Un video realistico resta soggetto alla disclosure anche se è stato controllato e approvato da un responsabile marketing.

Quando la revisione umana è sufficiente

La revisione umana può evitare l’etichettatura soltanto in una situazione specifica: testi generati o manipolati dall’AI, pubblicati per informare il pubblico su questioni di interesse pubblico.

Il testo deve quindi essere contemporaneamente:

• pubblicato;

• destinato a informare il pubblico;

• relativo a una questione di interesse pubblico.

La Commissione include, tra le altre, materie come:

• politica e processi democratici;

• servizi e amministrazione pubblica;

• giustizia e sicurezza;

• diritti fondamentali;

• salute pubblica;

• ambiente;

• sicurezza dei consumatori;

• sviluppi economici, finanziari, scientifici e culturali rilevanti per il dibattito pubblico.

Un articolo su una legge, un bando, una misura economica o una questione sanitaria può quindi rientrare nell’obbligo.

Che cosa si intende per revisione

Un testo di interesse pubblico non deve essere etichettato se:

• è stato sottoposto a una vera revisione umana o a un effettivo controllo editoriale;

• una persona fisica o giuridica assume la responsabilità editoriale della pubblicazione.

La revisione deve riguardare la sostanza del contenuto. Può comprendere:

• verifica delle affermazioni;

• controllo delle fonti;

• riscontro di date, cifre e riferimenti normativi;

• eliminazione di informazioni non confermate;

• correzione di errori o passaggi fuorvianti;

• decisione effettiva di modificare, approvare o respingere il testo.

Correggere soltanto ortografia, grammatica e impaginazione non è sufficiente.

Tre casi pratici

Descrizione commerciale di un prodotto

L’AI prepara una bozza che viene controllata da un addetto. Il testo normalmente non riguarda una materia di interesse pubblico e non deve essere etichettato in base all’articolo 50, paragrafo 4.

Rimangono applicabili le norme sulla pubblicità e sulle pratiche commerciali scorrette.

Articolo generato automaticamente su una nuova legge

Il testo viene pubblicato senza controllo delle fonti e senza revisione sostanziale. Poiché informa il pubblico su una materia di interesse generale, deve essere chiaramente etichettato.

Articolo preparato con l’AI e revisionato dalla redazione

Un responsabile consulta le fonti ufficiali, verifica le informazioni, corregge la bozza e assume la responsabilità della pubblicazione. In questo caso può operare l’eccezione prevista per i testi sottoposti a controllo editoriale.

Per dimostrare che la verifica non è stata superficiale, è utile conservare:

• nome o ruolo del revisore;

• data del controllo;

• fonti consultate;

• modifiche sostanziali effettuate;

• approvazione finale;

• nominativo o funzione del responsabile editoriale.

Per le aziende che utilizzano Gemini in Gmail, Docs e negli altri strumenti di produttività, questi controlli possono essere integrati nelle procedure descritte nella guida Google Workspace con Gemini per PMI.

Come utilizzare le icone europee

La Commissione europea ha pubblicato un set di icone utilizzabili per indicare i contenuti generati o modificati dall’AI.

Sono disponibili gratuitamente in formato SVG e PNG, nelle varianti nera, bianca e con trasparenza al 50%.

Le indicazioni principali sono:

• icona base, quando l’AI ha partecipato alla creazione del contenuto o l’icona accompagna un testo esplicativo;

• Fully AI-Generated, quando il contenuto è stato interamente generato dall’AI;

• Partially AI-Modified, quando un contenuto umano preesistente è stato modificato con l’AI fino a diventare un deepfake o un testo soggetto a disclosure.

Le icone possono essere scaricate dalla pagina ufficiale della Commissione europea.

Le icone sono facoltative

L’uso delle icone europee non è obbligatorio. È invece obbligatoria la disclosure nei casi previsti dall’AI Act.

Una PMI può utilizzare una dicitura testuale, purché sia chiara, distinguibile e adeguata al contenuto. Per esempio:

• “Voce generata con intelligenza artificiale”;

• “Immagine parzialmente modificata con AI”;

• “Video interamente generato con AI”.

La formula generica “AI assisted” potrebbe non essere sufficiente quando non permette di capire quale elemento sia stato generato o manipolato.

Posizione e accessibilità

L’avviso dovrebbe:

• comparire al più tardi alla prima esposizione;

• non essere coperto da pulsanti o banner;

• rimanere visibile quando il contenuto viene scaricato o condiviso;

• avere dimensioni leggibili;

• utilizzare parole semplici;

• essere accompagnato, quando possibile, da alt text o etichette ARIA;

• rimanere sullo schermo abbastanza a lungo nei contenuti audiovisivi.

L’uso dell’icona, da solo, non dimostra automaticamente la conformità. L’organizzazione resta responsabile della chiarezza e dell’efficacia della comunicazione.

Checklist per marketing e comunicazione

Prima del 2 agosto 2026, una PMI dovrebbe completare almeno questi controlli.

Mappare strumenti e contenuti

Creare un elenco di:

• chatbot e assistenti virtuali;

• generatori di testi;

• strumenti per immagini e video;

• sistemi di clonazione vocale;

• avatar sintetici;

• automazioni che pubblicano contenuti;

• strumenti utilizzati da agenzie e freelance.

Chiarire ruoli e responsabilità

Per ogni processo, individuare:

• provider e deployer;

• responsabile della configurazione;

• persona che verifica gli output;

• responsabile della pubblicazione;

• soggetto incaricato di applicare la disclosure.

Se interviene un’agenzia, il contratto o il brief dovrebbe specificare chi esegue questi controlli.

Controllare i chatbot

Verificare che:

• l’avviso sia mostrato all’inizio;

• il testo dica chiaramente che si tratta di AI;

• l’eventuale passaggio a un operatore sia riconoscibile;

• l’informazione sia accessibile anche da mobile;

• trattamento e conservazione dei dati siano documentati.

Valutare immagini, audio e video

Prima della pubblicazione, chiedersi:

• rappresentano persone, luoghi, prodotti o eventi reali o plausibili?

• potrebbero essere scambiati per autentici?

• contengono volti sostituiti o voci clonate?

• il pubblico si aspetta che il contenuto documenti una situazione reale?

• l’etichetta rimane visibile dopo la condivisione?

Definire la revisione editoriale

Per i testi di interesse pubblico, stabilire:

• chi verifica le fonti;

• quali elementi devono essere controllati;

• come vengono documentate le modifiche;

• chi approva il testo;

• chi assume la responsabilità editoriale.

Conservare le marcature tecniche

Metadati, Content Credentials e altre informazioni di provenienza non dovrebbero essere rimossi automaticamente.

Ritaglio, compressione ed esportazione sulle piattaforme social possono alterare queste informazioni. È quindi necessario verificare il file finale e non soltanto l’originale.

Aggiornare le istruzioni ai fornitori

Agenzie, freelance e collaboratori dovrebbero dichiarare:

• quali strumenti AI utilizzano;

• se producono contenuti sintetici realistici;

• come preservano le marcature;

• chi inserisce l’etichetta;

• come documentano la revisione;

• come gestiscono dati personali e materiali riservati.

La trasparenza deve essere accompagnata anche da adeguati controlli sugli account e sui file. Per questi aspetti si può consultare la guida Cybersecurity di base per PMI: 10 regole che ogni dipendente dovrebbe conoscere.

Prima di pubblicare: il controllo finale

Non serve applicare la stessa etichetta a qualsiasi contenuto creato con ChatGPT, Gemini, Copilot, Claude o un generatore di immagini.

Serve invece un processo capace di rispondere a poche domande precise:

• l’utente sta interagendo direttamente con un sistema AI?

• il contenuto può essere scambiato per una rappresentazione autentica?

• siamo davanti a un deepfake?

• il testo informa il pubblico su una materia di interesse generale?

• è stato realmente revisionato da una persona competente?

• esiste un responsabile editoriale?

• l’avviso è chiaro e visibile al primo contatto?

• le marcature tecniche sono state preservate?

L’obiettivo dell’AI Act non è riempire siti e social di avvertenze generiche. È permettere alle persone di capire quando stanno interagendo con un sistema artificiale o quando un contenuto apparentemente autentico è stato generato o manipolato.

Per le PMI, il lavoro più utile consiste quindi nel classificare correttamente i casi, definire responsabilità e conservare evidenze proporzionate. Una procedura breve ma applicata con coerenza vale più di un’etichetta inserita automaticamente ovunque.

FONTI UFFICIALI

EUR-Lex – Regolamento (UE) 2024/1689 sull’intelligenza artificiale

https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng

AI Act Service Desk – Articolo 50: obblighi di trasparenza per provider e deployer di determinati sistemi AI

https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50

Commissione europea – Linee guida definitive sugli obblighi di trasparenza per provider e deployer di sistemi AI

https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems

Commissione europea – Sintesi delle linee guida sulla trasparenza dei contenuti generati dall’AI

https://digital-strategy.ec.europa.eu/en/policies/guidelines-transparency-ai-generated-content

Commissione europea – Domande e risposte sugli obblighi di trasparenza dell’articolo 50

https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act

Commissione europea – Icone europee per etichettare i contenuti generati o modificati dall’AI

https://digital-strategy.ec.europa.eu/en/policies/eu-icons-labelling-ai-generated-content

Commissione europea – Codice di buone pratiche sulla trasparenza dei contenuti generati dall’AI

https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content

Questa guida ha finalità informative e non sostituisce una valutazione legale del caso concreto.