Per due anni l’AI Act è stato, per molte direzioni IT, un tema da tenere d’occhio più che da gestire: un regolamento europeo importante, sì, ma con scadenze percepite come lontane e obblighi che riguardavano soprattutto i grandi fornitori di modelli fondativi.
Il 2 agosto 2026 chiude questa fase di attesa. Da quella data diventano pienamente applicabili gli obblighi di trasparenza previsti dall’articolo 50 del Regolamento (UE) 2024/1689, e la responsabilità di rispettarli non ricade solo su chi sviluppa sistemi di intelligenza artificiale, ma anche su chi li utilizza all’interno della propria organizzazione. Per una direzione IT, questo significa che il tema smette di essere una questione di compliance astratta e diventa un problema di inventario tecnico, di processi e di governance quotidiana.
Il 20 luglio 2026, a pochi giorni dall’entrata in applicazione della norma, la Commissione europea ha pubblicato le linee guida definitive per l’attuazione dell’articolo 50, frutto di un lavoro condotto insieme agli Stati membri, all’AI Board e a un ampio numero di soggetti coinvolti in una consultazione pubblica. Il documento non ha valore giuridicamente vincolante, ma rappresenta il riferimento interpretativo principale a cui fornitori, utilizzatori e autorità di vigilanza dovranno rifarsi nell’applicazione pratica della norma. Per chi lavora in un ufficio sistemi informativi, è il momento di tradurre quelle indicazioni in azioni concrete.
Cosa prevede davvero l’articolo 50
L’articolo 50 dell’AI Act non riguarda la sicurezza o l’affidabilità dei sistemi di intelligenza artificiale, temi affrontati da altre parti del regolamento con riferimento ai sistemi ad alto rischio. Riguarda un aspetto più semplice da enunciare ma non meno complesso da governare: la possibilità, per le persone, di riconoscere quando stanno interagendo con una macchina o quando si trovano di fronte a un contenuto generato o modificato artificialmente. È una norma pensata per contrastare inganno, impersonificazione, frode e manipolazione dell’opinione pubblica, e si applica trasversalmente, indipendentemente dal livello di rischio del sistema utilizzato.
Le linee guida della Commissione individuano quattro aree di applicazione che una direzione IT deve imparare a riconoscere all’interno del proprio parco applicativo:
Sistemi interattivi. Chatbot, assistenti virtuali, agenti conversazionali e avatar che dialogano con l’utente devono dichiarare, in modo chiaro fin dal primo contatto, la propria natura artificiale, a meno che questo non risulti già evidente dal contesto d’uso. Vale per gli assistenti sul sito aziendale, per i bot di primo livello nei contact center, per gli agenti integrati nelle app dei clienti.
Contenuti sintetici. Audio, video, immagini e testi generati o manipolati da sistemi di intelligenza artificiale devono riportare una marcatura tecnica leggibile da una macchina, oltre a un’etichettatura visibile per il pubblico quando previsto. Riguarda tanto i contenuti prodotti da fornitori terzi di AI generativa quanto quelli realizzati internamente con strumenti aziendali.
Deepfake. Immagini, audio o video che rappresentano in modo verosimile persone, luoghi o eventi inesistenti, o che alterano sensibilmente contenuti reali, richiedono un’etichettatura esplicita che ne segnali la natura artificiale o manipolata, salvo le eccezioni previste per usi giornalistici, satirici o artistici entro limiti definiti.
Testi di interesse pubblico. Articoli, comunicati, informative e altri contenuti testuali pubblicati per informare il pubblico su questioni di interesse generale, se generati o modificati sostanzialmente da un sistema di AI senza revisione editoriale o supervisione umana, devono essere segnalati come tali.
Due ruoli, due responsabilità distinte
Le linee guida insistono su una distinzione che nella pratica organizzativa fa spesso la differenza fra un adempimento gestito bene e uno gestito male: quella fra provider e deployer. Il provider è chi sviluppa o immette sul mercato un sistema di AI generativa e deve dotarlo di meccanismi tecnici di marcatura degli output, in linea con lo stato dell’arte disponibile. Il deployer è chi utilizza quel sistema per produrre contenuti destinati a un pubblico, e su di esso ricade l’obbligo di rendere visibile ed esplicita la natura artificiale del contenuto prima della sua diffusione o al momento della prima interazione.
Per la maggior parte delle aziende italiane che si affidano a modelli e piattaforme di terze parti, questo significa assumere il ruolo di deployer: la responsabilità della marcatura tecnica è del fornitore del modello, ma la responsabilità di comunicare correttamente all’utente finale resta interna. È un punto che le direzioni IT devono chiarire con precisione, perché la tentazione di considerare l’obbligo “risolto” dal fornitore è concreta, ma non corrisponde al perimetro reale della norma.
Il regime transitorio: cosa cambia per i sistemi già in uso
Non tutto scatta il 2 agosto con la stessa intensità. Le linee guida, insieme alle modifiche discusse nell’ambito del Digital Omnibus sull’AI, chiariscono che per i sistemi di AI generativa già immessi sul mercato prima di quella data è prevista una finestra più ampia per adeguarsi all’obbligo tecnico di marcatura previsto dal paragrafo 2 dell’articolo 50: il termine per questi casi è fissato al 2 dicembre 2026. Non è invece richiesta un’etichettatura retroattiva dei contenuti già prodotti prima del 2 agosto, sebbene la Commissione inviti i deployer a farlo volontariamente ove possibile.
Questa distinzione è rilevante per la pianificazione interna: consente di dare priorità, nei primi mesi, ai flussi di contenuto attivi e visibili al pubblico — sito, customer care, comunicazione — rimandando a un secondo momento gli interventi tecnici più profondi sui sistemi legacy, purché entro la scadenza di dicembre.
Cosa deve fare concretamente una direzione IT
Tradurre l’articolo 50 in pratica operativa significa muoversi su tre livelli, che è utile pensare come fasi sequenziali più che come attività isolate.
1. Mappatura. Il primo passo, indicato con insistenza anche da chi ha già iniziato ad applicare la norma in settori regolati come quello legale e sanitario, è la ricognizione puntuale degli strumenti di intelligenza artificiale realmente in uso in azienda. Non basta l’elenco dei contratti firmati con i fornitori: serve mappare gli usi effettivi, spesso più ampi e meno formalizzati di quanto risulti dagli acquisti ufficiali. Chatbot su sito e app, assistenti integrati nei gestionali, strumenti di generazione testi o immagini usati dal marketing, funzionalità di AI generativa incorporate in suite software di uso comune: ogni singolo caso va valutato per capire se rientra nel perimetro dell’articolo 50 e, se sì, in quale delle quattro categorie.
2. Controlli tecnici e di processo. Una volta completata la mappatura, occorre verificare, per ciascun sistema, se il fornitore garantisce la marcatura tecnica prevista e in quale formato, e predisporre i meccanismi di etichettatura visibile lato deployer: informative chiare nei punti di contatto con l’utente, avvisi contestuali nei contenuti generati, procedure di revisione umana per i testi destinati al pubblico che permettano di documentare l’intervento editoriale quando questo esclude l’obbligo di segnalazione.
3. Responsabilità chiare. Serve infine individuare, con la stessa logica adottata per altri adempimenti normativi come la protezione dei dati, un responsabile interno per la compliance all’articolo 50, con compiti di monitoraggio continuo, aggiornamento della mappatura al variare degli strumenti adottati e gestione dei rapporti con i fornitori sul tema della marcatura tecnica. Il coordinamento fra IT, legal, comunicazione e marketing è determinante: la norma tocca aspetti tecnici ma le sue conseguenze si vedono soprattutto nei contenuti che l’azienda espone all’esterno.
Un problema di governance, non solo di conformità
Va detto con chiarezza: l’articolo 50 non introduce restrizioni sull’uso dell’intelligenza artificiale generativa, e non richiede autorizzazioni preventive per adottare nuovi strumenti. Chiede però qualcosa che molte organizzazioni non hanno ancora messo a sistema: sapere, in ogni momento, quali sistemi di AI sono in uso, chi li utilizza, per quali finalità e con quale grado di visibilità verso l’esterno. È lo stesso tipo di disciplina che negli anni scorsi ha accompagnato l’adeguamento al GDPR, ma applicata a un perimetro tecnologico che cambia più rapidamente e che spesso sfugge al controllo centralizzato dell’IT, perché adottato direttamente dai singoli reparti.
Per questo motivo, la scadenza del 2 agosto 2026 va letta come un’occasione più che come un vincolo: costringe le organizzazioni a fare qualcosa che avrebbero comunque dovuto fare, ovvero costruire un inventario aggiornato e governato degli strumenti di intelligenza artificiale in uso, con responsabilità definite e processi ripetibili. Le aziende che affrontano questo passaggio con un approccio strutturato, invece che rincorrendo la scadenza all’ultimo momento, si trovano con un vantaggio che va oltre la sola conformità normativa: una visibilità reale su come l’AI viene effettivamente utilizzata nei processi aziendali, condizione necessaria per governarne in modo consapevole anche gli sviluppi futuri.
In sintesi
L’articolo 50 dell’AI Act diventa applicabile dal 2 agosto 2026 e impone obblighi di trasparenza su sistemi interattivi, contenuti sintetici, deepfake e testi di interesse pubblico generati con l’intelligenza artificiale. Le direzioni IT, nel loro ruolo prevalente di deployer, sono chiamate a mappare gli strumenti in uso, verificare i meccanismi di marcatura offerti dai fornitori, predisporre etichettature visibili e assegnare responsabilità chiare di monitoraggio continuo. Per i sistemi già attivi prima della scadenza, l’adeguamento tecnico completo può avvenire entro il 2 dicembre 2026, ma la pianificazione interna dovrebbe partire subito, a partire dai contenuti e dalle interazioni più esposte al pubblico.
Alcune letture di approfondimento
- Guidelines on transparency obligations for providers and deployers of AI systems: Link ufficiale alle Linee guida art. 50;
- Il testo ufficiale del Regolamento (UE) 2024/1689 (AI Act) è pubblicato su EUR-Lex, il portale del diritto dell’Unione Europea, in tutte le lingue ufficiali, incluso l’italiano: Link ufficiale AI ACT;
- Intelligenza artificiale. Quali regole? — Giusella Finocchiaro — 2024 — Il Mulino — Hoepli.it;
- La disciplina dell’Intelligenza Artificiale — AA.VV. — 2025 — Giuffrè Francis Lefebvre — Hoepli.it;
- AI Act. Il regolamento europeo sull’intelligenza artificiale — Massimo Borgobello — 2024 — Key Editore — Hoepli.it;
- Intelligenza artificiale. Commentario (Regolamento UE 2024/1689 – AI Act) — a cura di Alessandro Mantelero, Giorgio Resta, Giovanni Maria Riccio — 2025 — Wolters Kluwer Italia / IPSOA — ShopWKI;
- AI Act e legge nazionale sull’Intelligenza Artificiale (Commentario al Reg. UE 2024/1689 e alla L. 132/2025) — AA.VV. — 2026 — Giuffrè Francis Lefebvre — Libraccio.it;
- The EU AI Act: Answers to Frequently Asked Questions — Paul Voigt, Nils Hullen — 2024 — Springer — IBS.it.
Per avere maggiori informazioni su questo argomento vi invitiamo a contattarci.
Fisseremo un incontro per parlarne e approfondire il tema.
Contattaci via mail scrivendo a info@dev4u.it, non perdere altre opportunità!
Autore/i dell’articolo:
Maurizio Patitucci – BIO – Linkedin – Email
Business Analyst | Project Manager | Account Manager
