AI Act: gli obblighi di trasparenza che valgono già per le imprese comuni

Il nuovo campo di applicazione degli obblighi di trasparenza

I requisiti di trasparenza dell'articolo 50 si applicano ora sia ai fornitori che ai cosiddetti "utilizzatori" di sistemi di IA. Le linee guida della Commissione del luglio 2026 elencano i sistemi di IA e le interazioni utente che richiedono disclosure secondo il Regolamento.

Le linee guida specificano che dal 2 agosto, gli obblighi si applicano a tutti i sistemi di IA già in uso e a tutti quelli messi in funzione dopo quella data.

Dalle norme in vigore, la Commissione indica come particolarmente soggetti agli obblighi di trasparenza:

• Qualsiasi sistema di IA che espone gli utenti al riconoscimento delle emozioni o alla categorizzazione biometrica
• Qualsiasi sistema di IA che finga di essere una persona reale, o che violi altre disposizioni sull'inganno
• Qualsiasi sistema di IA che generi o manipoli testi di interesse pubblico, o che crei i cosiddetti "deepfake"
• In generale, qualsiasi sistema di IA che consenta a un utente di interagire o controllare un modello di IA

La data di partenza del 2 agosto 2026 ha effetto immediato. Le norme non richiedono l'etichettatura retroattiva di contenuti precedenti al 2026, ma impongono la disclosure per qualsiasi pubblicazione di quei contenuti dopo il 2 agosto 2026, secondo il parere dello studio legale Cooley. Per una PMI che pubblica testi pre-2026, ciò significa un permalink o qualsiasi altro modo per consentire all'utente di identificare il contenuto come generato o manipolato dall'IA.

La Commissione giustifica gli obblighi di trasparenza come "misure di minimizzazione del danno" per supportare gli utenti e prevenire danni a ogni livello da sistemi di IA che effettuano previsioni o decisioni su informazioni di interesse pubblico.

Le linee guida fanno anche esplicito riferimento agli obblighi di trasparenza dell'articolo 50 come "aggiuntivi rispetto a qualsiasi altro obbligo di trasparenza che si applica a un fornitore, utilizzatore o importatore di un sistema di IA ai sensi del presente Regolamento"

Cosa un'azienda deve comunicare agli utenti

La Commissione individua strumenti specifici di IA e scenari utente per i quali si applicano gli obblighi di trasparenza. Questi rischi di danno, come descritti dall'AI Act e dalle sue linee guida, attivano obblighi diretti di informare l'utente, con ogni tipo di interazione dannosa che richiede un diverso tipo di disclosure.

In termini generali, i fornitori sono soggetti a doveri di disclosure quando un utente interagisce in qualsiasi modo con un sistema di IA.

• Disclosure diretta
• Quando semplicemente interagisce con un sistema di IA, un utente deve essere informato "esplicitamente" in anticipo, secondo la Commissione. Le persone dovrebbero ricevere l'avviso "all'inizio della comunicazione, in un momento o contesto appropriato, chiaro e distinto da altre informazioni, e in linguaggio semplice e accessibile", dicono le linee guida.

Ampie categorie di sistemi di IA menzionate come soggette a disclosure includono sistemi generativi, chatbot, modelli deepfake e qualsiasi strumento predittivo o decisionale.

Le disclosure dei fornitori generalmente richiedono che ogni sistema di IA sia nominato, descritto ed etichettato.

Gli utilizzatori, invece, hanno obblighi di disclosure più limitati che dipendono dall'esposizione a specifiche funzionalità di IA.

• Deepfake

Se un utilizzatore divulga o pubblica testi di interesse pubblico generati dall'IA, c'è una sola cosa che deve fare: aggiungere una dichiarazione che identifichi chiaramente lo status di contenuto generato o manipolato dall'IA, in quello che la Commissione chiama "linguaggio semplice e accessibile, chiaro e inequivocabile, nella lingua della comunicazione".

Lo stesso requisito si applica ai "deepfake" - contenuti audio, video o immagini che integrano somiglianze umane generate dall'IA.

Quindi, dire "Questa non è una persona reale: questo avatar simile e la sua voce sono generati dall'intelligenza artificiale" sarà considerato disclosure valida.

• Lettura di emozioni o biometrica

Quando un utilizzatore ha processi per visitatori o utenti che impiegano riconoscimento delle emozioni o categorizzazione biometrica, l'utente deve essere informato - sia prima dell'interazione, sia come segnale continuativo. Qui, un messaggio in tempo reale o un simbolo persistente sullo schermo dell'interfaccia soddisfa il requisito.

Formazione del personale e alfabetizzazione all'IA

L'AI Act dell'UE prevede obblighi autonomi per qualsiasi fornitore o utilizzatore che sviluppi o utilizzi IA regolamentata. Uno di questi riguarda le competenze sull'IA.

Il Regolamento specifica che tutti i team che sviluppano, utilizzano o mantengono sistemi di IA devono avere competenze sull'IA. Per fornitori, utilizzatori e qualsiasi avvocato o risk manager che si occupi di utilizzo di IA, il Regolamento 2024/1689 definisce "alfabetizzazione all'IA" come comprensione di concetti, rischi e possibili danni legati ai sistemi di IA.

Non viene fornito un curriculum specifico o un termine implicito. Ma l'idea è che un'azienda debba formare il proprio personale o procurare esperti con competenze sull'IA. La Commissione lo dice senza mezzi termini nelle linee guida del luglio 2026 per i fornitori: "I fornitori garantiranno un livello sufficiente di alfabetizzazione all'IA del loro personale e dei loro fornitori di servizi, [...] per un utilizzo informato dei sistemi di IA e per comprendere opportunità, limiti, rischi e possibili danni."

Gli organi di controllo italiani, finora

L'AI Act europeo delega parte della supervisione alle autorità nazionali. La Commissione stessa supervisiona alcuni sistemi ad alto rischio.

[TO VERIFY: Contesto italiano specifico dalla supervisione nazionale, non fonti secondarie.

Finora, le autorità non hanno pubblicato una suddivisione dettagliata dei ruoli o delineato diritti formali di ACN, AgID o altre istituzioni nazionali nell'Act.

Ma le prime indicazioni dello studio legale DLA Piper specificano che le entità legali sono soggette a ispezioni dirette dell'ACN, o a ispezioni in cui l'ACN ritiene che il rischio rilevante non sia sufficientemente affrontato da altri supervisori.

Cosa non è coperto dai requisiti di trasparenza

Quando l'AI Act è entrato in vigore, la sua copertura non era ancora completa. A differenza di alcuni obblighi per l'IA ad alto rischio, ad esempio, i requisiti di trasparenza dell'articolo 50 sono stati prioritari e sono entrati in vigore nella data anticipata del 2026.

Ma questo significa che gli obblighi di trasparenza sono ora separati dagli obblighi differiti. Questa confusione significa che informare gli utenti ai sensi dell'articolo 50 non converte automaticamente le operazioni di IA di un'azienda, se ha un sistema di IA più complesso ad alto rischio, in un utilizzo di alto livello coperto dai successivi obblighi per l'IA ad alto rischio.

Sulle sanzioni, l'articolo non copre un limite confermato per PMI. Ai sensi dell'articolo 99, la dimensione aziendale modera la sanzione finanziaria prevista dall'AI Act, ma come funzioni in Italia non è verificato nelle linee guida pubbliche finora.

Cosa dovrebbe fare ora una PMI

Nel complesso, gli obblighi di trasparenza dell'AI Act dell'UE si applicano a qualsiasi azienda che utilizzi un sistema di IA, anche se non è un fornitore. Sono un obbligo continuo finché quel sistema di IA è in uso. E non sono più fissati per una data specifica, essendo già operativi.

In altre parole, ciò che è cambiato è che l'era in cui gli obblighi di trasparenza non erano ancora in vigore è già finita. E gli obblighi sono gli stessi, non diversi, per le PMI e per i mega-corporation globali.

Ciò che serve è comprendere i punti di attivazione per le disclosure dell'articolo 50, e mantenere questi obblighi facilmente comprensibili in tutta l'organizzazione.

Una PMI dovrebbe tenere un registro di quali sistemi di IA ha in funzione, in forma attiva, trascurata o semplicemente considerata, con input di alto livello e descrizioni il più semplici possibile.

In secondo luogo, quella società dovrebbe aggiornare qualsiasi politica sull'uso dell'IA e sulle comunicazioni con i fornitori per essere consapevole degli obblighi dell'articolo 50.

Questi passi molto pratici sono insoliti per la maggior parte delle PMI - la determinazione di quali sistemi di IA un'azienda ha in uso, l'aggiornamento della politica interna sull'IA e l'aggiornamento della formazione del personale sulle interazioni con l'IA.

Ma è proprio questo documentare, formare e mantenere la consapevolezza in tutta un'organizzazione che la Commissione considera costituisca l'evoluzione verso un utilizzo trasparente dell'IA, e che le autorità si aspettano negli anni a venire.