Studio Cravero Consulting
Cosa impone l'art. 50 e a chi
L'articolo 50 del Regolamento (UE) 2024/1689 disciplina gli obblighi di trasparenza per determinati sistemi di IA. È la norma che caratterizza la classe a rischio limitato, la più diffusa in assoluto tra imprese, studi professionali ed enti. Gli obblighi si distribuiscono tra fornitori e utilizzatori e coprono quattro situazioni.
Interazione diretta con le persone
Chi fornisce sistemi destinati a interagire direttamente con persone fisiche deve fare in modo che le persone siano informate del fatto che stanno interagendo con un sistema di intelligenza artificiale. Riguarda assistenti conversazionali su siti e app, risponditori telefonici automatici, sistemi di assistenza su canali di messaggistica.
L'obbligo non scatta quando la natura artificiale risulta già evidente dal contesto per una persona ragionevolmente informata e attenta. È un'eccezione più stretta di quanto si creda: in caso di contestazione l'evidenza va dimostrata, e un'interfaccia progettata per sembrare umana lavora contro chi la invoca.
Contenuti sintetici
Chi fornisce sistemi che generano contenuti sintetici — testo, immagini, audio, video — deve marcarli in formato leggibile meccanicamente e renderli riconoscibili come generati o manipolati artificialmente.
Riconoscimento delle emozioni e categorizzazione biometrica
Chi utilizza questi sistemi deve informare le persone esposte del loro funzionamento. Va ricordato che il riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione è vietato dall'art. 5, salvo ragioni mediche o di sicurezza: la trasparenza riguarda quindi solo i contesti in cui l'uso resta lecito.
Deepfake e testi di interesse pubblico
Chi utilizza un sistema di IA per generare o manipolare immagini, audio o video che costituiscono deepfake deve dichiarare che il contenuto è stato generato o manipolato artificialmente. Lo stesso vale per i testi generati o manipolati con IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico.
Su questo punto la Commissione europea ha pubblicato il 20 luglio 2026 le linee guida sull'attuazione dell'art. 50, con indicazioni operative per fornitori, utilizzatori e autorità. È il riferimento su cui va calibrato l'adeguamento, ed è recente: soluzioni impostate prima di quella data andrebbero riviste.
Le due date da tenere insieme
- 2 agosto 2026 — obblighi informativi. Diventa esigibile l'informazione alle persone: avvisi sui sistemi conversazionali, dichiarazione dei deepfake e dei testi di interesse pubblico, informativa sui sistemi di riconoscimento delle emozioni. Alla stessa data le autorità nazionali acquisiscono pieni poteri di vigilanza e sanzione.
- 2 dicembre 2026 — marcatura tecnica. Entra in vigore la marcatura leggibile automaticamente dei contenuti generati dall'IA, con una disciplina transitoria per i sistemi immessi sul mercato prima del 2 agosto 2026. Alla stessa data entrano in vigore i nuovi divieti sui sistemi di nudificazione e sulla generazione di materiale di abuso su minori.
Le due scadenze vanno affrontate in un unico progetto. Impostare gli avvisi ad agosto senza prevedere la marcatura significa riaprire il cantiere a dicembre. Il quadro completo delle scadenze è nella guida all'AI Act.
I documenti che ti consegno
Ricognizione dei punti di contatto
Elenco di tutti i punti in cui la tua organizzazione espone al pubblico sistemi di IA o contenuti generati: sito, app, canali di messaggistica, centralino, social, materiali di comunicazione. È la base per sapere dove serve un avviso.
Testi degli avvisi pronti all'uso
Formulazioni per ogni punto di contatto, calibrate sul canale: avviso di apertura del sistema conversazionale, etichetta sui contenuti generati, dichiarazione per i deepfake. Chiari e brevi, perché un avviso illeggibile non soddisfa l'obbligo.
Informativa sull'uso dell'IA
Documento pubblicabile che spiega quali sistemi di IA l'organizzazione utilizza nei rapporti con il pubblico e con quali garanzie. Distinto dall'informativa privacy, con cui si coordina senza sovrapporsi.
Procedura di marcatura dei contenuti
Istruzioni operative su chi marca cosa e in quale momento del flusso di pubblicazione, con la verifica di quali funzionalità di marcatura offrano gli strumenti che già usate, in vista del 2 dicembre 2026.
Verifica delle condizioni del fornitore
Esame delle condizioni contrattuali dei sistemi generativi in uso per stabilire quali obblighi restino in capo al fornitore e quali ricadano su di te come utilizzatore. È la distinzione che determina cosa devi fare in proprio.
Istruzioni per chi pubblica
Documento breve per marketing, comunicazione e assistenza clienti: quando è obbligatorio dichiarare, quando non lo è, come si formula la dichiarazione. È la parte che rende l'adempimento sostenibile nel tempo.
Evidenza documentale della conformità
Registro delle misure adottate con date di attivazione e schermate dei punti di contatto adeguati. Serve a dimostrare la conformità alla data della scadenza, non solo a esserlo.
Raccordo con GDPR e Legge 132/2025
Allineamento con le informative privacy esistenti e con il recepimento italiano, che ha introdotto il reato di deepfake e rafforzato il collegamento con il Modello 231.
Chi è esposto e spesso non lo sa
L'art. 50 non chiede una tecnologia sofisticata: chiede di dichiarare. Per questo tocca organizzazioni che non si considerano affatto «utilizzatori di IA».
- Chiunque abbia un assistente conversazionale sul sito, anche fornito da terzi e installato anni fa, spesso dimenticato.
- Hotel e strutture ricettive con risponditori automatici, chatbot di prenotazione o assistenza sui canali di messaggistica. Vedi AI Act per hotel e strutture ricettive.
- Pubbliche amministrazioni con sportelli virtuali e assistenti per i cittadini: qui la trasparenza si somma agli obblighi amministrativi e la soglia di attenzione è più alta.
- Studi medici e strutture sanitarie con sistemi di prenotazione o triage automatizzati. Vedi AI Act per studi medici e sanità.
- Chi produce comunicazione con strumenti generativi: immagini, voci sintetiche, video promozionali, testi informativi.
- Software house che integrano funzioni conversazionali o generative nei prodotti venduti a clienti: qui gli obblighi sono quelli, più estesi, del fornitore.
L'errore da evitare: trattarlo come un adempimento privacy
La reazione più comune è aggiungere un paragrafo all'informativa privacy e considerare chiusa la questione. Non funziona, per tre ragioni.
Il destinatario è diverso. L'informativa privacy si rivolge all'interessato di un trattamento di dati personali; l'avviso dell'art. 50 si rivolge a chiunque interagisca con il sistema o veda il contenuto, anche in assenza di qualsiasi dato personale.
Il momento è diverso. L'informativa va resa disponibile; l'avviso sulla natura artificiale deve essere percepito al primo contatto, non recuperabile in una pagina collegata a piè di pagina.
L'autorità è diversa. Sul GDPR vigila il Garante; sull'AI Act la Legge 132/2025 ha designato AgID e ACN come autorità nazionali, con AgID competente su valutazione e accreditamento e ACN su vigilanza, ispezione e poteri sanzionatori in materia di cybersicurezza. Sono canali di controllo separati.
Le sanzioni
La violazione degli obblighi di trasparenza rientra nella fascia intermedia del sistema sanzionatorio: fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, se superiore. Non è la fascia più alta — quella, fino a 35 milioni o al 7%, è riservata alle pratiche vietate dall'art. 5 — ma è quella che riguarda il maggior numero di organizzazioni.
Per le PMI e le piccole imprese a media capitalizzazione si applica l'importo inferiore tra i due parametri, non il maggiore. È una mitigazione reale, ma non trasforma l'inadempimento in un rischio trascurabile.
Tempi e costi
È l'intervento più rapido della linea AI Act: per un'organizzazione con pochi punti di contatto si tratta di giorni, non di mesi. Il costo dipende dal numero di canali da adeguare e dalla necessità o meno di intervenire anche sui prodotti venduti a clienti, ipotesi che sposta l'analisi sul ruolo di fornitore.
Se non hai ancora una mappa dei sistemi in uso, conviene combinarlo con l'assessment: la ricognizione dei punti di contatto ne è di fatto un sottoinsieme. Richiedi un preventivo personalizzato.
Domande frequenti sulla trasparenza AI Act
Cosa cambia il 2 agosto 2026 con l'AI Act?
Diventano applicabili gli obblighi di trasparenza dell'art. 50 e le autorità nazionali acquisiscono pieni poteri di vigilanza e sanzione. In concreto: chi mette a disposizione del pubblico un sistema conversazionale deve renderne riconoscibile la natura artificiale, e chi genera o manipola contenuti con IA deve dichiararlo. È la scadenza che riguarda il maggior numero di organizzazioni, perché non dipende dall'avere sistemi ad alto rischio.
Il nostro chatbot sul sito rientra negli obblighi?
Sì, se interagisce direttamente con persone fisiche. L'obbligo è informare l'utente che sta interagendo con un sistema di intelligenza artificiale, in modo chiaro e riconoscibile al primo contatto. L'eccezione vale solo quando la natura artificiale è già evidente dal contesto per una persona ragionevolmente avveduta, e in caso di controversia va dimostrata.
Dobbiamo dichiarare i testi del blog scritti con l'IA?
Dipende dal contenuto. L'obbligo di dichiarazione riguarda i testi generati o manipolati con IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico. Un contenuto commerciale o promozionale non rientra in questa specifica previsione, mentre un articolo di informazione sì. Resta comunque l'obbligo generale di marcatura dei contenuti sintetici in capo a chi fornisce il sistema generativo.
Cosa succede il 2 dicembre 2026?
Entra in vigore la marcatura leggibile automaticamente dei contenuti generati dall'IA, cioè l'obbligo tecnico che i contenuti sintetici siano riconoscibili da sistemi automatici e non solo dall'occhio umano. Alla stessa data entrano in vigore anche i nuovi divieti sui sistemi di nudificazione e sulla generazione di materiale di abuso su minori.
Quali sanzioni si rischiano sulla trasparenza?
La violazione degli obblighi di trasparenza rientra nella fascia intermedia: fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, se superiore. Per le PMI e le piccole imprese a media capitalizzazione si applica l'importo inferiore tra i due parametri, non il maggiore.
Basta aggiornare l'informativa privacy?
No. Sono obblighi distinti e con destinatari diversi. L'informativa privacy risponde agli articoli 13 e 14 del GDPR e riguarda il trattamento dei dati personali; l'art. 50 dell'AI Act richiede un avviso sulla natura artificiale dell'interazione o del contenuto, dovuto anche quando non è trattato alcun dato personale. Una modifica all'informativa non copre l'obbligo di trasparenza sull'IA.
La scadenza è il 2 agosto 2026
Se hai un chatbot, un risponditore automatico o pubblichi contenuti generati con l'IA, l'adeguamento ti riguarda. È l'intervento più rapido: prenota una valutazione gratuita.