Obblighi di trasparenza dell’EU AI Act per l’IA generativa nell’ottobre 2026

Il regolamento (UE) 2024/1689, noto come EU AI Act, è il primo quadro giuridico completo al mondo sull’intelligenza artificiale. Il suo obiettivo principale è gestire i rischi per la salute, la sicurezza e i diritti fondamentali, tutelando al tempo stesso l’innovazione e il mercato interno europeo. La piena applicazione delle disposizioni rimanenti si è consolidata il 2 agosto 2026, data a partire dalla quale la maggior parte degli obblighi vincolanti per fornitori e operatori è diventata esigibile.

È fondamentale distinguere i divieti immediati dagli obblighi di trasparenza che si applicano gradualmente. Mentre le pratiche a rischio inaccettabile sono vietate fin dall’inizio, le norme specifiche per i modelli di IA per finalità generali (GPAI) e la trasparenza dei contenuti sintetici sono state recentemente modificate dal Digital Omnibus on AI (regolamento (UE) 2026/1744), pubblicato nella Gazzetta ufficiale dell’UE il 24 luglio 2026, per semplificare l’attuazione senza ridurre il livello di protezione.

L’articolo 50 è la disposizione centrale del titolo IV del regolamento e stabilisce obblighi specifici per i sistemi di IA che interagiscono con le persone o generano contenuti. In base al paragrafo 1, i fornitori di sistemi progettati per interagire direttamente con persone fisiche devono garantire che gli utenti siano informati in modo chiaro e inequivocabile del fatto che stanno interagendo con un sistema di IA. Tale obbligo si applica già nella fase di progettazione del sistema.

Il paragrafo 2 impone ai fornitori di sistemi di IA, compresi quelli per finalità generali, che generano audio, immagini, video o testo un obbligo di marcatura dei contenuti sintetici. I risultati devono essere contrassegnati in un formato leggibile da una macchina ed essere rilevabili come generati o manipolati artificialmente. La misura mira a mitigare i rischi di disinformazione, manipolazione e frode su larga scala, promuovendo la fiducia nell’ecosistema dell’informazione digitale.

L’attuazione di queste norme richiede un coordinamento tra il fornitore del modello (upstream) e l’operatore o il deployer (downstream). Aziende come OpenAI, Google e Anthropic operano come fornitori ai sensi del regolamento e assumono obblighi indipendenti da quelli dei loro clienti aziendali. Per le imprese che utilizzano questi sistemi, la sfida principale riguarda la catena di fornitura: molti obblighi di conformità dipendono da documentazione tecnica che solo il fornitore del modello può mettere a disposizione.

Nel luglio 2025 la Commissione europea ha pubblicato il Codice di buone pratiche per l’IA per finalità generali, suddiviso in tre capitoli: Trasparenza, Diritto d’autore e Sicurezza. Insieme ai successivi documenti di orientamento, il codice definisce le aspettative normative per i fornitori di modelli GPAI. La sua adozione è un modo per dimostrare il rispetto degli obblighi di trasparenza e diritto d’autore, ma non esonera dalla responsabilità giuridica diretta nei confronti delle autorità nazionali di vigilanza.

Per i professionisti IT e i responsabili della conformità, l’impatto si traduce nella necessità di verificare gli strumenti di produttività che utilizzano l’IA generativa, come assistenti di scrittura, strumenti di analisi dei dati o sistemi di automazione dei flussi di lavoro. Gli utenti finali inizieranno a notare cambiamenti pratici nelle interfacce, tra cui etichette visibili per i contenuti generati dall’IA e metadati nei file esportati che ne indicano l’origine sintetica.

L’integrazione di questi contrassegni non è soltanto un requisito legale, ma anche un’opportunità per migliorare la governance delle informazioni. Le organizzazioni dovrebbero verificare che i fornitori offrano soluzioni tecniche per la marcatura leggibile da una macchina, ad esempio mediante standard emergenti per le credenziali dei contenuti, così da garantire la conformità normativa dei prodotti finali quando vengono distribuiti sul mercato europeo.

È fondamentale distinguere ciò che la legge impone obbligatoriamente dalle pratiche volontarie delle imprese. Il Digital Omnibus on AI ha introdotto modifiche per affrontare le difficoltà di attuazione, lasciando tuttavia intatti i principi di un’IA affidabile, sicura e trasparente. La vigilanza è affidata alle autorità nazionali designate da ciascuno Stato membro, coordinate dall’Ufficio per l’IA della Commissione europea.

Le imprese devono essere pronte a dimostrare la propria conformità mediante documentazione tecnica dettagliata. In base all’articolo 11, per i sistemi ad alto rischio il fornitore deve mantenere aggiornata la documentazione tecnica, che comprende l’architettura del sistema, i dati di addestramento e i risultati dei test. Sebbene l’articolo 50 si concentri sulla trasparenza, la possibilità di verificare l’origine e il processo di generazione è fondamentale per difendere la posizione dell’impresa in caso di reclami o ispezioni normative.

Per adeguarsi a queste nuove norme, le organizzazioni dovrebbero censire i sistemi di IA utilizzati e verificare se i fornitori hanno implementato le misure di etichettatura richieste. Si raccomanda di chiedere ai fornitori di API documentazione specifica sul rispetto dell’articolo 50, compresi i dettagli sul formato di marcatura leggibile da una macchina e sulle misure di divulgazione dei dati di addestramento.

Gli utenti esperti dovrebbero acquisire familiarità con le nuove indicazioni di trasparenza presenti nelle interfacce dei loro strumenti di IA. Un approccio proattivo alla governance dell’IA non solo mitiga i rischi giuridici, ma posiziona anche l’impresa come soggetto responsabile nell’ecosistema digitale europeo, favorendo la fiducia di clienti e partner commerciali nell’integrità dei contenuti generati.