Autori

Aurora Agostini

Partner

Giovanni Lombardi

Associate

Il 20 luglio 2026 la Commissione europea ha adottato le “Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of Regulation (EU) 2024/1689 (the ‘AI Act’)” (le “Linee Guida”), che forniscono orientamenti sugli obblighi di trasparenza a carico dei fornitori (“provider”) e degli utilizzatori (“deployer”) di sistemi di intelligenza artificiale (“IA” o “AI”). Le Linee Guida precisano l’ambito di applicazione degli obblighi previsti dall’articolo 50 del Regolamento (UE) 2024/1689 (“AI Act”), applicabili dal 2 agosto 2026 e, per i sistemi generativi già immessi sul mercato a tale data, dal 2 dicembre 2026, limitatamente agli obblighi di marcatura e di detection di cui all’art. 50(2) dell’AI Act. Le Linee Guida offrono indicazioni pratiche non solo a provider e a deployer, ma anche alle autorità competenti, per favorire un’applicazione dell’AI Act coerente, efficace, proporzionata e uniforme.

Contesto e obiettivi delle Linee Guida

Le Linee Guida sono state predisposte dalla Commissione ai sensi dell’art. 96, par. 1, lett. d), dell’AI Act e hanno natura non vincolante: servono come guida pratica per orientare autorità competenti, provider e deployer nell’applicazione degli obblighi di trasparenza di cui all’art. 50 dell’AI Act. La redazione delle Linee Guida si è basata su contributi raccolti durante un’ampia consultazione pubblica organizzata dalla Commissione e su input degli Stati membri nel Comitato per l’IA (AI Board).

La finalità degli obblighi di trasparenza, come indicato nei considerando 132-136 dell’AI Act, è ridurre i rischi di impersonificazione, inganno, disinformazione, manipolazione su larga scala e frode, nonché mitigare i potenziali impatti negativi sui processi democratici e sulla fiducia collettiva causati dai contenuti generati o manipolati dall’IA o dalle interazioni mediate dall’IA. Informare le persone sull’origine artificiale delle interazioni e dei contenuti le aiuta a prendere decisioni informate, contribuendo a salvaguardare la fiducia e l’integrità dell’ecosistema informativo.

Un messaggio centrale delle Linee Guida è che la trasparenza non riguarda solo i sistemi “ad alto rischio”: l’articolo 50 dell’AI Act si applica anche a sistemi interattivi (chatbot, avatar, assistenti virtuali), sistemi generativi, deepfake, sistemi di riconoscimento delle emozioni e di categorizzazione biometrica. Gli obblighi possono applicarsi contemporaneamente allo stesso sistema o allo stesso output, coinvolgendo provider e deployer in modo cumulativo.

I quattro obblighi di trasparenza dell’articolo 50 dell’AI Act

L’articolo 50 dell’AI Act prevede quattro obblighi di trasparenza, applicabili a diverse tipologie di sistemi di IA o ai relativi output. Tali obblighi non si applicano all’uso esclusivamente personale e non professionale, come precisato dalle Linee Guida. Due obblighi sono posti in capo ai provider (chi sviluppa un sistema di IA e lo immette sul mercato con il proprio nome o marchio) e due ai deployer (chi utilizza il sistema sotto la propria autorità per fini professionali):

1. Sistemi di IA che interagiscono direttamente con le persone (art. 50(1)): i provider devono progettare i sistemi in modo che le persone siano informate di interagire con un’IA, salvo che ciò risulti evidente per un utente ragionevolmente attento; l’informazione va fornita all’inizio dell’interazione e mantenuta per tutta la sua durata. L’obbligo riguarda, tra gli altri, chatbot, avatar, assistenti virtuali e agenti IA.
2. Sistemi di IA che generano o manipolano contenuti sintetici (art. 50(2)): i provider devono garantire che gli output (audio, immagini, video, testo) siano marcati in formato machine-readable e rilevabili come generati artificialmente, mediante soluzioni tecniche efficaci, interoperabili e robuste (es. metadati, watermarking, standard C2PA), mettendo a disposizione strumenti di detection corrispondenti.
3. Sistemi di riconoscimento delle emozioni e categorizzazione biometrica (art. 50(3)): i deployer devono informare le persone esposte a tali sistemi, tanto in tempo reale quanto ex post; l’obbligo è rilevante, tra gli altri, in contesti HR, retail, sicurezza, istruzione e customer experience.
4. Deepfake e testi generati dall’IA su questioni di interesse pubblico (art. 50(4)): i deployer devono rendere noto in modo chiaro e percepibile che il contenuto è generato o manipolato artificialmente, attraverso una disclosure visibile o udibile (la marcatura tecnica del provider non è sufficiente). È previsto un regime attenuato per i deepfake in opere artistiche, creative, satiriche o di finzione. Per “deepfake” si intendono contenuti audio, video o immagini che presentano somiglianza con persone, oggetti, luoghi o eventi reali e potrebbero apparire falsamente autentici (art. 3, n. 60): l’obbligo, quindi, non si applica a contenuti di natura fantastica o non realistica.

L’articolo 50(5) dell’AI Act stabilisce che le informazioni devono essere fornite in modo chiaro e distinguibile, al più tardi al momento della prima interazione o della prima esposizione (ad esempio, avvio della conversazione con un chatbot, inizio di un video che contiene un deepfake, apertura di un testo generato dall’IA su questioni di interesse pubblico), nonché essere conformi ai requisiti di accessibilità.

Eccezioni e regimi attenuati

Le Linee Guida dedicano ampio spazio alle eccezioni e ai regimi attenuati, essenziali per calibrare correttamente gli adempimenti:

1. Ovvietà dell’interazione (art. 50(1)): l’obbligo di informare non si applica se l’origine artificiale dell’interazione è “ovvia” per una persona ragionevolmente attenta, informata e avveduta (ad esempio, un assistente virtuale chiaramente presentato come tale).
2. Law enforcement: sono previste eccezioni per i sistemi autorizzati dalla legge a rilevare, prevenire, indagare o perseguire reati; tuttavia, tali eccezioni sono di stretta interpretazione e non coprono gli usi a disposizione del pubblico per la segnalazione di reati.
3. Standard editing e funzioni assistive (art. 50(2)): sono esclusi dal perimetro i sistemi che svolgono soltanto funzioni di editing standard o che non alterano in modo sostanziale i dati di input o il loro significato.
4. Deepfake creativi e satirici (art. 50(4)): per i deepfake che fanno parte di opere artistiche, creative, satiriche, di finzione o analoghe, si applica un regime attenuato: è comunque necessario un segnale di disclosure, ma in forma compatibile con la fruizione dell’opera, senza ostacolarne la visualizzazione o il godimento, ossia senza elementi visivi ingombranti.
5. Testi con revisione umana/editorial responsibility (art. 50(4)): non scatta l’obbligo di etichettare come IA i testi su questioni di interesse pubblico che siano stati sottoposti a revisione umana o controllo editoriale e per i quali una persona fisica o giuridica assume responsabilità editoriale.

Vigilanza, sanzioni e strumenti di supporto

Le Linee Guida dedicano una sezione alle autorità di vigilanza, identificate in primis nelle autorità nazionali di sorveglianza del mercato competenti per l’AI Act. Per alcune categorie di sistemi intervengono anche l’AI Office (con ruolo specifico per i sistemi costruiti su modelli di IA di uso generale o integrati in very large online platforms/very large online search engines designati ai sensi del Digital Services Act) e il Garante europeo della protezione dei dati (“EDPS”), quando provider o deployer sono istituzioni, organi e organismi dell’UE.

Le violazioni degli obblighi di trasparenza possono comportare sanzioni fino a 15 milioni di euro o fino al 3% del fatturato mondiale annuo totale dell’esercizio precedente per le imprese, con criteri di proporzionalità per PMI e small mid-caps; per istituzioni, organi e organismi dell’Unione, le sanzioni possono arrivare fino a 750.000 euro.

Le Linee Guida dedicano inoltre spazio al “Code of Practice on Transparency of AI-generated Content” (il “Code of Practice”), pubblicato in versione finale il 10 giugno 2026, come strumento volontario per dimostrare conformità agli obblighi di marcatura e labeling degli artt. 50(2), 50(4) e 50(5) dell’AI Act: l’adesione al Codice costituisce “a straightforward, predictable, and legally certain way of demonstrating compliance” (“un modo semplice, prevedibile e giuridicamente certo per provare il rispetto degli obblighi”).

La Commissione ha messo a disposizione, separatamente dalle Linee Guida, ulteriori materiali informativi di supporto per facilitare la compliance:

1. FAQ dedicate (Transparency obligations under Article 50 of the AI Act): risposte alle domande più frequenti sui concetti e gli obblighi chiariti nelle Linee Guida;
2. Quick Facts: scheda sintetica sulle regole di trasparenza per i sistemi di IA;
3. Icone UE per l’etichettatura: set di icone che i deployer possono utilizzare per etichettare determinati contenuti generati dall’IA (deepfake e testo generato/manipolato dall’IA).

Raccomandazioni e conclusioni

Il tema fondamentale per le imprese non è più solo stabilire se un sistema di IA sia “ad alto rischio”, ma valutare se – e in quale misura – interagisce con le persone o produce contenuti che le persone vedono, leggono o ascoltano; in tali casi, gli obblighi di trasparenza dell’AI Act, come interpretati dalle Linee Guida della Commissione, trovano concreta applicazione.

Alla luce di tali Linee Guida, per garantire la conformità a questi obblighi, le imprese possono impostare un percorso articolato lungo le seguenti direttrici:

1. Mappare i sistemi di IA in uso o in sviluppo e qualificarli rispetto all’art. 50 (interattivi, generativi, riconoscimento emozioni, categorizzazione biometrica, deepfake, testi su questioni di interesse pubblico).
2. Chiarire il ruolo (provider, deployer o entrambi) e allocare responsabilità interne, anche nei contratti con fornitori cloud e di tecnologia IA.
3. Adeguare User Experience (UX), informative e policy per assicurare che l’informazione sull’interazione con IA e sull’esposizione a contenuti generati o manipolati sia chiara, distinguibile, accessibile e fornita almeno alla prima interazione/esposizione.
4. Implementare o aggiornare le soluzioni tecniche di marcatura e detection degli output generativi in linea con l’art. 50(2), pianificando per tempo l’adeguamento dei sistemi già sul mercato entro il 2 dicembre 2026.
5. Definire procedure di labeling visibile per deepfake e testi IA su questioni di interesse pubblico, in coerenza con le Linee Guida e – se del caso e in caso di adesione – il Code of Practice.
6. Integrare la prospettiva AI Act nei modelli di governance esistenti (GDPR, DSA, NIS 2, Data Act), adottando una documentazione che consenta di dimostrare l’accountability delle scelte di design, marcatura e disclosure.

Le Linee Guida rappresentano uno strumento interpretativo rilevante, fornendo criteri operativi per l’identificazione dei sistemi soggetti agli obblighi di trasparenza, la distinzione tra i ruoli di provider e deployer, e le modalità concrete di adempimento.