Nella vita di una normativa “nuova” esiste un momento in cui noi legali capiamo che le aziende si stanno adeguando o stanno comprendendo l’importanza di attivarsi e iniziano ad agire. Lo capisci dal numero di quesiti che arrivano e lo capisci dalla reazione che hai quando gli parli del problema. Sino a qualche mese prima le parole del legale restavano sospese nell’aria, poi improvvisamente l’azienda si attiva. Nelle normative europee in cui il legislatore comunitario ha previsto una operatività della legge differita, come il Regolamento per l’Intelligenza Artificiale (AI ACT) si inserisce anche la reazione dell’azienda che pensa “c’è tempo” oppure “tanto ci sarà una proroga”. Questa volta la proroga c’è stata, per il GDPR non fu così, ma i tempi tecnologici e legislativi hanno comunque raggiunto il punto in cui non si può più rimandare e le aziende stanno agendo.
È importante, quindi, a questo punto, cercare di fare ordine, capire quali sono le attività in vigore e con le quali dobbiamo già lavorare, volenti o nolenti.
Indice
Quadro normativo dell’Intelligenza articificiale
Il riferimento centrale è il Regolamento (UE) 2024/1689 – AI Act, entrato in vigore il 1° agosto 2024. È un regolamento direttamente applicabile e adotta un modello basato sul rischio: pratiche vietate, sistemi ad alto rischio, obblighi specifici di trasparenza, disciplina dei modelli di IA per finalità generali (GPAI) e regole per gli altri sistemi.
Le tempistiche originali sono, però, state profondamente modificata dal Regolamento (UE) 2026/1744 – Digital Omnibus on AI, entrato in vigore il 27 luglio 2026.
[Vedi anche: Digital Omnibus: come uscire dal labirinto digitale]
L’Omnibus non ha rimesso in discussione l’impianto dell’AI Act, ma ne ha semplificato diverse disposizioni e soprattutto ha rinviato l’applicazione degli obblighi relativi ai sistemi ad alto rischio.
Cosa è già applicabile oggi del Regolamento UE
Dal 2 febbraio 2025 sono applicabili:
- le disposizioni generali;
- la maggior parte delle pratiche di IA vietate dell’art. 5;
- l’obbligo di AI literacy per provider e deployer.
Il Digital Omnibus ha riscritto l’art. 4 chiarendo che provider e deployer devono adottare misure per sostenere un livello adeguato di alfabetizzazione del personale e delle persone che utilizzano i sistemi per loro conto, tenendo conto di esperienza, formazione, contesto e destinatari; non è però imposto un livello uniforme predeterminato di competenza.
Dal 2 agosto 2025 è inoltre applicabile la disciplina dei modelli GPAI (General-Purpose AI Models), insieme a una parte importante della governance europea e del sistema sanzionatorio. Per i modelli GPAI già presenti sul mercato prima del 2 agosto 2025 opera una disciplina transitoria fino al 2 agosto 2027.
Dal 2 agosto 2026 è applicabile la maggior parte delle ulteriori disposizioni dell’AI Act e sono iniziati i poteri effettivi di enforcement dell’AI Office e delle autorità nazionali.
Accanto all’AI Act: linee guida e codici europei
Il quadro europeo non è composto soltanto dal regolamento.
Nel 2025-2026 la Commissione e l’AI Office hanno progressivamente prodotto strumenti interpretativi e di compliance, tra cui:
- Guidelines sulle pratiche vietate;
- Guidelines sulla definizione di sistema di IA;
- Disciplina e Code of Practice GPAI;
- Guidelines per i provider di modelli GPAI;
- Guidelines sull’art. 50, pubblicate il 20 luglio 2026;
- Code of Practice on Transparency of AI-generated Content, pubblicato nel giugno 2026 e giudicato adeguato da Commissione e AI Board.
Questi strumenti non sono tutti fonti normative vincolanti in senso stretto, ma sono ormai fondamentali per capire come la Commissione interpreta e intende applicare concretamente l’AI Act.
E la legge italiana?
In Italia, il riferimento principale è la legge 23 settembre 2025, n. 132 – “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, entrata in vigore il 10 ottobre 2025.
La legge non sostituisce l’AI Act: stabilisce espressamente che le proprie disposizioni devono essere interpretate e applicate conformemente al Regolamento europeo.
La legge è entrata in vigore il 10 ottobre 2025 e sono quindi già operative le disposizioni direttamente applicabili, tra cui i principi generali sull’utilizzo dell’intelligenza artificiale e le specifiche regole introdotte nei settori della sanità, del lavoro, delle professioni intellettuali, della pubblica amministrazione e della giustizia, nonché le modifiche in materia di diritto d’autore e le nuove disposizioni penali.
Sono inoltre già designate AgID e ACN quali Autorità nazionali per l’intelligenza artificiale: AgID quale autorità di notifica e ACN quale autorità di vigilanza del mercato e punto di contatto unico con le istituzioni europee.
I decreti attuativi della legge italiana
La legge italiana prevede che il quadro normativo venga completato attraverso uno o più decreti legislativi di adeguamento all’AI Act, da adottare sulla base della delega contenuta nell’art. 24.
Ad oggi – 6 settembre 2026 – questo percorso di attuazione non risulta ancora definitivamente concluso. Sono stati predisposti due principali schemi di decreto legislativo.
- Atto del Governo n. 421: completa la disciplina dei poteri delle Autorità nazionali, delle funzioni di vigilanza, delle procedure di applicazione dell’AI Act e delle misure in materia di formazione e alfabetizzazione sull’intelligenza artificiale;
- Atto del Governo n. 418: riguarda l’utilizzo dei sistemi di IA nelle attività di polizia e completa il quadro della responsabilità penale e civile connessa all’impiego illecito dell’intelligenza artificiale.
L’iter di approvazione dei decreti non è ancora completo, ma questo non vuole dire che la legge 132 e gli obblighi in essa previsti non siano già in essere.
Cosa è cambiato il 2 agosto 2026?
Ma per le aziende che utilizzano l’Intelligenza Artificiale al 2 agosto si applica l’articolo 50 del Regolamento AI che contiene uno dei principi cardine del Regolamento: il principio di trasparenza.
Gli obblighi di trasparenza sono, infatti, quelli che coinvolgono il maggior numero di aziende in quanto è un obbligo che si applica a chiunque utilizza l’intelligenza artificiale nella comunicazione con le persone. La Commissione europea il 20 luglio 2026 ha pubblicato le linee guida sull’attuazione dell’articolo 50 della legge sull’AI, consapevole dell’importanza di questa disposizione.
Il principio di fondo è: le persone devo sapere quando hanno a che fare con l’intelligenza artificiale e, quindi, provider e deployer lo devono comunicare in maniera trasparente e chiara.
Provider o deployer?
In questa sede ci occuperemo degli obblighi del deployer, ma qual è la differenza?
I “provider” sono individui o entità giuridiche che progettano, sviluppano o producono sistemi di AI per uso diretto o per distribuzione sul mercato europeo, a titolo gratuito o a pagamento. In caso di gravi incidenti, sono soggetti a obblighi di segnalazione alle autorità di vigilanza degli Stati membri dell’UE, similmente a quanto avviene nel GDPR.
Rispetto agli obblighi di trasparenza al Provider si applicano gli obblighi previsti dai paragrafi 1 e 2 dell’articolo 50.
| Disposizione | Tipo di sistema/output di IA | Obbligo di trasparenza | Eccezioni o regimi speciali |
| Art. 50, par. 1 | Sistemi di IA che interagiscono direttamente con persone fisiche | I fornitori devono sviluppare e progettare il sistema di IA in modo tale che le persone fisiche interessate siano informate del fatto che stanno interagendo con un sistema di IA. | 1) Quando l’origine artificiale dell’interazione è evidente;
2) Quando il sistema è autorizzato dalla legge a rilevare, prevenire, indagare o perseguire reati, salvo che il sistema sia a disposizione del pubblico per segnalare un reato. |
| Art. 50, par. 2 | Sistemi di IA che generano o manipolano contenuti sintetici sotto forma di immagini, video, audio o testo | I fornitori devono garantire che gli output del sistema di IA siano marcati in un formato leggibile dalle macchine e rilevabili come generati o manipolati artificialmente, mediante soluzioni tecniche efficaci, interoperabili, robuste e affidabili. | 1) Quando il sistema di IA svolge una funzione di assistenza per l’editing standard o non modifica in modo sostanziale i dati di input o la loro semantica;
2) Quando il sistema è autorizzato dalla legge a rilevare, prevenire, indagare o perseguire reati. |
FONTE: LINEE GUIDA SULL’ART. 50 PUBBLICATE IL 20 LUGLIO 2026
[Vedi anche: Provider e Deployer nell’AI Act: chi sono e cosa fanno?]
I “deployer” sono persone o entità, anche P.A., che utilizzano o rendono disponibili sotto la propria autorità sistemi di AI agli utenti sul mercato, esclusi i fornitori o gli importatori, tranne nei casi di utilizzo personale non professionale.
Rispetto al principio di trasparenza ai Deployer di applicano i paragrafi 3 e 4 dell’articolo 50.
| Disposizione | Tipo di sistema/output di IA | Obbligo di trasparenza | Eccezioni o regimi speciali |
| Art. 50, par. 3 | Sistemi di IA di riconoscimento delle emozioni o di categorizzazione biometrica | I deployer devono informare le persone fisiche esposte al sistema in merito al suo funzionamento. | Quando il sistema di IA è consentito dalla legge per rilevare, prevenire o indagare reati. |
| Art. 50, par. 4 | Sistemi di IA che generano o manipolano deep fake o testi pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico | I deployer devono comunicare che il contenuto è stato generato o manipolato artificialmente. | 1) Quando l’uso del sistema di IA è autorizzato dalla legge per rilevare, prevenire, indagare o perseguire reati.
2) Quando la pubblicazione testuale è stata sottoposta a revisione umana o controllo editoriale ed è soggetta a responsabilità editoriale. Ai deep fake facenti parte di opere o programmi artistici, creativi, di fantasia, satirici o analoghi si applica un regime speciale di comunicazione. |
FONTE: LINEE GUIDA SULL’ART. 50 PUBBLICATE IL 20 LUGLIO 2026
Provider e Deployer: un confine sottile
Un Deployer però può anche diventare un Provider. Se un’impresa – ad esempio – prende un sistema di IA generativa già esistente e immesso sul mercato da un fornitore, lo modifica (es mediante nuovi dati di addestramento) e successivamente lo mette in servizio a proprio nome e marchio essa diviene Provider del nuovo sistema.
Gli obblighi per i deep fake (ART. 50 PAR.4)
Identifichiamo innanzitutto che cos’è un deep fake.
Il «deep fake» è «un contenuto immagine, audio o video generato o manipolato dall’IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero a una persona» (L’articolo 3, punto 60 AI ACT).
Nelle Linee guida della Commissione si escludono dalla definizione di deep fake:
- immagine generata dall’IA di una sfinge che vola sopra la Torre Eiffel;
- video generato dall’IA di topi che discutono in linguaggio umano quale sia il formaggio migliore, nell’ambito della campagna pubblicitaria di un produttore;
- riproduzione vocale mediante IA di personaggi di fantasia, ad esempio per audiolibri, videogiochi o animazioni, quando non vi sia inganno sull’identità dei narratori;
- trasmissione radiofonica manipolata dall’IA per regolare parametri tecnici dell’audio, quali normalizzazione del volume, riduzione del rumore o compressione, senza alterare le parole pronunciate né il modo di parlare;
- versione a fumetti generata dall’IA a partire da un’immagine preesistente che rappresenta un evento storico;
- video di un presentatore di un programma televisivo scientifico che attraversa una zona montuosa parlando del ritiro dei ghiacciai, illustrato da un’animazione di sfondo manipolata dall’IA che ne mostra l’evoluzione dai livelli storici a quelli attuali;
- ambienti fittizi generati dall’IA, quali foreste o castelli immaginari, nei videogiochi;
- film in cui attori reali e non manipolati dall’IA recitano su uno sfondo generato dall’IA, ad esempio una prateria immaginaria o edifici storici di città antiche;
- prodotto reale, ad esempio un’automobile, mostrato in una pubblicità su uno sfondo e in un ambiente generati dall’IA, purché il messaggio non sia idoneo a indurre in errore sulla rappresentazione, sulle caratteristiche o sull’uso effettivi del prodotto.
Per il solo fatto che un’immagine sia generata o manipolata dall’IA, se non costituisce deep fake non sorge in capo al deployer l’obbligo di disclosure previsto dall’art. 50, par. 4.
I Provider però dovranno preoccuparsi di marcare in un formato leggibile i contenuti generati o manipolati dall’AI (art. 50 paragrafo 2).
Quali sono gli obblighi di trasparenza per i deep fake?
I deployer di sistemi che generano o manipolano immagini, audio o video costituenti deep fake devono comunicare che il contenuto è stato generato o manipolato artificialmente. Il considerando 134 dell’AI Act precisa che tale origine deve essere resa in modo chiaro e distinguibile, etichettando adeguatamente l’output e dichiarandone l’origine artificiale. Le modalità di etichettatura o comunicazione devono essere comprensibili e percepibili direttamente dalle persone fisiche, ad esempio mediante etichette visive o sonore, senza richiedere strumenti tecnici specifici o azioni dedicate.
Gli obblighi di marcatura delle immagini previste per i provider al comma 2 dell’articolo 50 non sono sufficienti. Per i deep fake, secondo il legislatore, è necessario una comunicazione diretta chiara e distinguibile che chiunque può intercettare e capire.
Testi generati o manipolati dall’Intelligenza Artificiale (ART. 50 PAR.4)
Qualora un deployer utilizzi un sistema di IA per generare o manipolare un testo un testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico deve informare sull’uso dell’AI.
Ecco degli esempi di le questioni di interesse pubblico proposti nelle Linee Guida della Commissione:
- “sintesi generata dall’IA, pubblicata sul sito di un quotidiano, di un articolo scritto da una persona riguardante una recente decisione del consiglio comunale;
- parti manipolate dall’IA di un articolo su un sito dedicato agli stili di vita, che confronta gli effetti di diverse diete su una specifica malattia nelle donne di mezza età;
- relazioni societarie manipolate dall’IA e pubblicate sul sito di una società quotata, contenenti informazioni per gli investitori;
- messaggio generato dall’IA sul profilo social di un istituto meteorologico, che avverte i cittadini del maltempo e delle relative precauzioni.”
Cosa si deve fare?
Come per i deep fake, il Deployer dovrà dichiarare in modo chiaro e distinguibile l’origine artificiale del testo, mediante adeguata etichettatura dell’output. Etichette, avvertenze o altre comunicazioni devono essere direttamente chiare e percepibili dalle persone fisiche, ad esempio visibili o udibili, senza l’uso di strumenti tecnici specifici né il compimento di azioni dedicate.
Eccezioni importanti per i Deployer
L’obbligo non si applica quando il testo è stato sottoposto a un processo di revisione umana oppure a controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione.
Per revisione umana si intende l’esame intenzionale della sostanza del contenuto da parte di una o più persone fisiche dotate delle conoscenze pertinenti e del giudizio professionale richiesto dalla materia, ad esempio nell’ambito di una revisione accademica tra pari o di una catena di validazione professionale. La verifica della correttezza fattuale costituisce un requisito minimo della revisione, non sono sufficienti controlli meramente formali o superficiali, come la correzione grammaticale o una semplice approvazione procedurale.
Le Linee guida indicano, tra gli esempi di testi che possono beneficiare dell’eccezione:
- “articolo di giornale manipolato dall’IA o sintesi generata dall’IA, sottoposti al controllo del direttore responsabile, con responsabilità editoriale della persona giuridica che pubblica il quotidiano;
- blog accademico manipolato dall’IA, sottoposto a revisione interna tra pari, del quale il centro di ricerca che lo gestisce assume la responsabilità editoriale;
- avvisi di sicurezza pubblica generati dall’IA, approvati da un funzionario prima della diffusione ai cittadini e pubblicati sotto la responsabilità dell’autorità competente per la protezione civile;
- relazioni di sostenibilità generate dall’IA, pubblicate sul sito di una società quotata e sottoposte a revisione umana da parte di professionisti delle funzioni pertinenti, ad esempio compliance;
- traduzione assistita dall’IA di un articolo scritto da una persona, successivamente sottoposta a revisione umana”.
Come si attua l’obbligo di trasparenza (ART. 50 PAR.5)
Le Linee guida della Commissione chiariscono anche come deve essere adempiuto l’obbligo di trasparenza, dando concretezza al paragrafo 5 dell’articolo 50.
Innanzitutto, le informazioni devono essere fornite in modo:
- chiara: l’informazione deve essere evidente, facilmente comprensibile e accessibile alla persona interessata, comprese le persone con disabilità.
- distinguibile: l’informazione deve essere facilmente individuabile come separata dalle altre informazioni e dall’ambiente in cui il contenuto è presentato.
L’informazione deve inoltre essere fornita al più tardi al momento della prima interazione con il sistema o della prima esposizione al contenuto da parte della persona interessata.
Infine, provider e deployer devono rispettare i requisiti di accessibilità applicabili previsti dalla normativa vigente, in particolare dalla direttiva (UE) 2016/2102 e dalla direttiva (UE) 2019/882.
