AI Act: dal 2 agosto 2026 il chatbot deve dichiarare di essere un'AI
Dal 2 agosto 2026 si applica l'articolo 50 del Regolamento (UE) 2024/1689, l'AI Act. È la norma sulla trasparenza: impone di dichiarare quando una persona sta parlando con un sistema di intelligenza artificiale, quando un contenuto è un deepfake e quando si usano sistemi di riconoscimento delle emozioni.
Non è la parte pesante del regolamento — quella sull'alto rischio, con documentazione tecnica, sistema di gestione dei rischi e marcatura CE, è stata rinviata pochi giorni fa. L'articolo 50 no. E riguarda molte più aziende di quante se ne rendano conto, perché il chatbot in basso a destra, l'assistente che risponde sui social e il centralino con la voce sintetica sono tutti sistemi di AI che interagiscono con persone.
Questo articolo spiega cosa scatta davvero, chi ha l'obbligo, cosa non serve fare, e la lista di controlli da fare prima della scadenza.
Nota. Non siamo uno studio legale. Quello che segue è il quadro ricostruito sulle fonti ufficiali, con i riferimenti normativi in chiaro. Sui casi dubbi — prodotti AI proprietari, white label, settori regolati — serve un parere legale.
Cosa scatta il 2 agosto e cosa è stato rinviato
Il 24 luglio 2026 è stato pubblicato in Gazzetta Ufficiale europea il Regolamento (UE) 2026/1744, l'Omnibus digitale sull'IA, che ha spostato in avanti le scadenze più onerose dell'AI Act.
| Obbligo | Data di applicazione |
|---|---|
| Trasparenza — articolo 50 | 2 agosto 2026 (invariata) |
| Sistemi ad alto rischio, Allegato III (autonomi) | 2 dicembre 2027 (rinviata) |
| Sistemi ad alto rischio, Allegato I (integrati in prodotti) | 2 agosto 2028 (rinviata) |
| Marcatura machine-readable per sistemi già sul mercato | 2 dicembre 2026 (periodo transitorio) |
L'unica deroga che tocca l'articolo 50 è tecnica: la marcatura leggibile automaticamente dei contenuti generati — quella che sta dentro il file, non davanti agli occhi di chi guarda — per i sistemi generativi già immessi sul mercato prima del 2 agosto si applica dal 2 dicembre 2026. È un obbligo di chi fabbrica il sistema, non di chi lo usa.
Il 20 luglio la Commissione europea ha pubblicato le linee guida ufficiali sull'articolo 50 e un codice di buone pratiche sulla trasparenza dei contenuti generati, volontario, utilizzabile per dimostrare la conformità. Non sono vincolanti, ma sono il primo strumento interpretativo su tutto il perimetro dell'articolo.
Ti riguarda? Quasi certamente sì
Non serve avere un modello proprietario. Basta avere acceso uno di questi:
- il chatbot di assistenza sul sito;
- l'assistente che risponde ai commenti e ai messaggi diretti su Instagram o Facebook;
- le risposte automatiche su WhatsApp Business;
- il centralino che risponde con voce sintetica e prende appuntamenti;
- video con avatar generati;
- immagini, banner o sfondi generati con l'AI;
- doppiaggi con voce clonata.
Il punto è che quasi nessuno pensa di essere dentro. Secondo l'Osservatorio Innovazione Digitale nelle PMI del Politecnico di Milano, il 76% delle PMI italiane non ha investito in AI e non prevede di farlo. Ma l'AI oggi arriva dentro un plugin, dentro il gestionale, dentro l'abbonamento del centralino: nessuno la chiama intelligenza artificiale mentre te la vende, e nessuno avvisa che esiste una scadenza.
Provider o deployer: la distinzione che decide chi paga
L'AI Act divide il mondo in due ruoli.
- Provider — chi sviluppa un sistema di AI, o se lo fa sviluppare, e lo immette sul mercato con il proprio nome o marchio.
- Deployer — chi usa un sistema di AI sotto la propria autorità, escluso l'uso personale non professionale.
Tradotto: chi lo fabbrica e chi lo accende. L'articolo 50 assegna gli obblighi in modo diverso a seconda del caso.
| Situazione | Chi ha l'obbligo | Cosa richiede |
|---|---|---|
| Chatbot e sistemi che interagiscono con persone | Provider | Progettare il sistema perché la persona sappia di parlare con un'AI |
| Contenuti sintetici (testo, immagini, audio, video) | Provider | Marcatura leggibile automaticamente degli output |
| Deepfake | Deployer | Dichiarare che il contenuto è generato o manipolato |
| Testo pubblicato per informare su questioni di interesse pubblico | Deployer | Dichiararlo, salvo revisione umana sostanziale o controllo editoriale |
| Riconoscimento emozioni e categorizzazione biometrica | Deployer | Informare le persone esposte, nel rispetto del GDPR |
L'obbligo di dichiarare il chatbot è formalmente del provider. Ma se il provider non l'ha previsto e tu quel chatbot ce l'hai online sotto il tuo dominio, il problema pratico è tuo: sei tu che parli con i tuoi clienti senza dire cosa c'è dall'altra parte.
Un chiarimento utile a chi lavora con agenzie e fornitori: secondo le FAQ della Commissione, un'azienda che integra sul proprio sito un chatbot sviluppato da terzi resta deployer, e provider è chi ha sviluppato il chatbot. Resta deployer anche se nell'operatività sono coinvolti fornitori esterni o freelance. Cambia se ci metti sopra il tuo marchio: chi immette sul mercato un sistema con il proprio nome diventa provider, anche se il codice l'ha scritto qualcun altro. È il punto scomodo per chiunque rivenda un assistente white label.
I sette controlli da fare prima della scadenza
Con un pomeriggio si chiude. Nell'ordine.
1. Apri il tuo sito da anonimo e parla con il chatbot. Non guardare il pannello di amministrazione: guarda quello che vede un cliente. Deve risultare chiaro che dall'altra parte c'è un sistema automatico, prima o al massimo durante il primo scambio. Se non c'è, tre punti da sistemare: titolo della finestra, primo messaggio, testo sotto il campo di scrittura.
2. Fai la stessa cosa sui social e su WhatsApp. L'assistente che risponde in automatico ai messaggi diretti è un sistema che interagisce con persone. Sul primo messaggio automatico serve una riga che lo dichiari. Una riga, non un disclaimer legale.
3. Chiama il tuo numero. Se risponde una voce sintetica, la prima frase deve dire che è un assistente automatico.
4. Guarda i video con avatar. Se l'avatar assomiglia a una persona reale, o potrebbe plausibilmente esserlo, e il video potrebbe sembrare autentico, sei nel territorio del deepfake: l'obbligo di dichiararlo è di chi pubblica. Un avatar dichiaratamente di sintesi è un altro caso. Nel dubbio, dichiara.
5. Verifica se usi riconoscimento delle emozioni o categorizzazione biometrica. Nella maggior parte delle aziende la risposta è no. Se invece analizzi volti nei video o classifichi persone su base biometrica, l'obbligo di informare chi è esposto è pieno ed è tuo.
6. Scrivi il registro. Un foglio, cinque colonne: dove c'è l'AI, quale strumento, chi è il provider, cosa dichiariamo, chi ha controllato e quando. In questa forma non lo chiede nessuno. Ma quando arriva la domanda di un cliente o di un'autorità, la differenza tra chi ha il foglio e chi non ce l'ha è enorme.
7. Scrivi ai fornitori. Due domande secche: il vostro sistema marca gli output in formato leggibile automaticamente ai sensi dell'articolo 50, paragrafo 2? L'informativa che si sta parlando con un'AI è prevista nel prodotto o la devo aggiungere io? La risposta scritta è il tuo paracadute.
E poi una decisione, non un controllo: stabilisci chi risponde. Una persona con nome e cognome che sa dove sta l'AI in azienda. Se sono tutti, non è nessuno.
Cosa non serve fare
In queste settimane girano parecchie letture gonfiate. Quattro paletti.
Non serve scrivere "generato con AI" sotto ogni immagine. L'obbligo dell'articolo 50, paragrafo 2 è una marcatura tecnica dentro il file, in capo a chi fornisce il sistema. L'etichetta visibile è prevista per i deepfake. Uno sfondo generato per un banner o un pattern grafico non è un deepfake. Attenzione però: la pubblicità ingannevole resta una materia separata e vive nel codice del consumo.
Non serve dichiarare che le email o i post sono scritti con l'AI. L'obbligo sul testo riguarda i contenuti pubblicati per informare il pubblico su questioni di interesse pubblico, e non scatta se c'è stata una revisione umana sostanziale o un controllo editoriale con qualcuno che se ne assume la responsabilità. Una newsletter commerciale che scrivi e rileggi tu non è quel caso.
Non serve la valutazione di conformità da alto rischio. È quella che spaventa tutti ed è stata rinviata: Allegato III al 2 dicembre 2027, Allegato I al 2 agosto 2028. Se qualcuno ti propone oggi un progetto di adeguamento all'alto rischio usando la scadenza del 2 agosto, sta usando una data che non esiste più.
Non serve registrarsi da nessuna parte. Non c'è un portale, non c'è una notifica da mandare, non c'è un adempimento generalizzato per un'azienda privata che ha un chatbot sul sito.
Sanzioni: quanto rischi davvero
L'articolo 99 del regolamento fissa tre livelli. Per le PMI, comprese le start-up, si applica il minore tra importo fisso e percentuale — il contrario di quanto vale per le grandi imprese.
| Violazione | Massimale |
|---|---|
| Pratiche vietate (art. 5) | 35 milioni € o 7% del fatturato mondiale |
| Obblighi degli operatori, incluso l'art. 50 | 15 milioni € o 3% del fatturato |
| Informazioni inesatte o fuorvianti alle autorità | 7,5 milioni € o 1% del fatturato |
La trasparenza sta nella fascia da 15 milioni o 3%, non in quella da 35 milioni: chi scrive che un chatbot non dichiarato vale 35 milioni sta facendo di ogni erba un fascio. Per un'azienda italiana media il tetto reale è il 3% del fatturato.
Il quadro italiano
In Italia la cornice esiste già. La Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, all'articolo 20 designa le autorità nazionali: AgID promuove l'innovazione e definisce le procedure di notifica e monitoraggio, ACN si occupa della vigilanza, comprese le attività ispettive e sanzionatorie. Il soggetto che bussa alla porta è l'ACN.
Due norme italiane che vale la pena conoscere:
- Articolo 13 — chi esercita una professione intellettuale deve comunicare al cliente, in modo chiaro e completo, le informazioni sui sistemi di AI che utilizza. Riguarda direttamente studi professionali e consulenti.
- Articolo 26 — ha introdotto nel codice penale l'articolo 612-quater: chi diffonde senza consenso immagini, video o voci falsificati con l'AI causando un danno ingiusto rischia la reclusione da uno a cinque anni. Non è un massimale amministrativo, è un reato.
Dichiarare l'AI è una funzione, non un costo
La reazione più comune davanti a questa scadenza è difensiva: quanto ci costa, come lo scriviamo il meno possibile. È l'inquadramento sbagliato.
Dire che risponde un assistente automatico, che risponde in due secondi a qualsiasi ora e che se serve una persona basta chiederlo, non è un disclaimer: è la spiegazione del perché il servizio funziona anche alle undici di sera. Il testo giusto non è "questo servizio utilizza sistemi di intelligenza artificiale ai sensi del Regolamento", che è una frase scritta da chi ha paura. È una frase normale, che dice cosa c'è e cosa se ne ottiene.
Dichiarare l'AI è un problema solo per chi la stava nascondendo. Se quello che hai costruito funziona, dichiararlo è una funzione in più. Se regge solo finché le persone credono di parlare con un essere umano, il problema non è l'articolo 50 — e non lo era nemmeno prima.
In We Coode costruiamo AI agents e automazioni che entrano nei processi reali delle aziende: la trasparenza verso l'utente finale fa parte del progetto, non è una toppa da mettere alla scadenza. Se hai un assistente in produzione e vuoi capire come sistemarlo, o stai valutando di costruirne uno, parliamone.