Sul menu di una trattoria l’asterisco accanto alla frittura di calamari rimanda a una riga in fondo alla pagina: «prodotto surgelato». È scritto per chi mangia, e si legge a occhio nudo. Sulla cassetta in cui i calamari sono arrivati in cucina c’è invece un codice di lotto, che nessun cliente guarderà mai e che serve a ricostruire, con un lettore, da dove viene il pesce. Due segni, due destinatari, due persone diverse che devono metterli.
L’articolo 50 dell’AI Act funziona allo stesso modo, e le linee guida pubblicate dalla Commissione europea il 20 luglio lo rendono esplicito. C’è un segno per le macchine, che mette chi costruisce il sistema generativo: una marcatura «leggibile meccanicamente» in ogni immagine, audio, video o testo prodotto. E c’è un’etichetta per le persone, che mette chi usa il sistema per pubblicare un deepfake o un testo d’informazione, e che deve vedersi o sentirsi. La prima non sostituisce la seconda.
Gli obblighi si applicano dal 2 agosto 2026; le linee guida, 51 pagine, dicono a chi, quando e con quali eccezioni. Due avvertenze. Non sono vincolanti: l’ultima parola spetta alla Corte di giustizia dell’Unione. E il testo è l’allegato di una comunicazione che ne approva il contenuto: l’adozione formale arriverà con tutte le versioni linguistiche, e solo allora, scrive la comunicazione, le linee guida saranno applicabili. Al 24 settembre la pagina ufficiale offre solo la versione inglese; le citazioni sono nostre traduzioni, tranne quelle del regolamento.
Quattro obblighi, due destinatari
L’articolo ha quattro paragrafi di obblighi e un quinto che dice come vanno date le informazioni. Due obblighi toccano ai fornitori (provider): chi sviluppa un sistema e lo mette sul mercato o in servizio con il proprio nome o marchio, gratis o a pagamento, dentro o fuori dall’Unione. Due toccano ai deployer: chi usa un sistema «sotto la propria autorità» per un’attività professionale.
Qualche caso dalle linee guida. Chi modifica il sistema generativo di un altro, per esempio con nuovi dati di addestramento, e lo mette in servizio con il proprio nome diventa fornitore del sistema nuovo. Un’azienda che si fa in casa un chatbot per uso proprio è fornitore anche se non lo vende. Si possono avere i due ruoli insieme: chi sviluppa un generatore e lo usa per produrre deepfake deve marcarli ed etichettarli. I dipendenti non sono deployer a sé, lo è l’azienda, anche quando si fa aiutare da un freelance. Piattaforme, hosting ed emittenti che diffondono contenuti altrui non lo sono: per l’AI Act sono solo «fortemente incoraggiati» a conservare marcature ed etichette, fermi gli obblighi che hanno per altre norme, come il Digital Services Act.
Tre esclusioni contano più delle altre. L’uso puramente personale toglie gli obblighi al deployer, non al fornitore: chi fabbrica un deepfake della propria famiglia per il biglietto di Natale non deve etichettarlo, ma il sistema che ha usato doveva marcarlo. La ricerca è esclusa finché resta ricerca, la prova in condizioni reali no. E l’open source non è un lasciapassare: i sistemi con licenza libera restano soggetti all’articolo 50, mentre i componenti che da soli non sono un sistema, come un modello, ne sono fuori. La Commissione incoraggia però chi sviluppa modelli a marcare già lì.
Chatbot e agenti: dirlo prima di cominciare
Il primo paragrafo riguarda i sistemi destinati a «interagire direttamente» con le persone: uno scambio a due vie, diretto, con persone fisiche, e un sistema che sia davvero di AI (la risposta automatica «fuori sede» non lo è). Dentro ci sono chatbot, assistenti vocali, avatar, robot da compagnia, bot sui social e, citati per nome, gli agenti di programmazione. Fuori restano raccomandazione, filtri antispam, traduzione e trascrizione, completamento automatico di testo e codice, chiamate fra macchine che non arrivano a una persona.
Sugli agenti le linee guida vanno oltre la lettera dell’articolo. Un agente che prenota, gestisce la posta, negozia o compra deve dichiarare che è un’AI e per conto di chi agisce. Se il fornitore non sa in anticipo se incontrerà persone, l’agente va progettato «a livello di architettura» per dichiararsi ogni volta che è ragionevolmente probabile, e deve farsi riconoscere anche da chi lo ha incaricato, nei passaggi chiave come l’autorizzazione o il resoconto.
Il modo è libero, i minimi no. Vanno bene un messaggio al primo turno, un’etichetta vicino al campo di testo, una frase a inizio telefonata; un segnale sonoro da solo no. Non bastano un avviso nei termini d’uso, un watermark invisibile, un nome ambiguo come «assistente», un generico «i servizi di questo sito usano l’AI», un tecnico «questo sistema usa un LLM». Di solito basta un avviso ben visibile all’inizio; con minori, anziani, compagni virtuali o consulenze finanziarie, legali e sanitarie è probabile che servano promemoria periodici. E il sistema deve dichiararsi ogni volta che gli si chiede che cosa è.
L’eccezione per quando la natura artificiale è «evidente» va letta in senso restrittivo. Il metro è la persona «ragionevolmente informata, attenta e avveduta» del regolamento, presa dal pubblico che il sistema può incontrare davvero. Sono evidenti un assistente di codice per soli sviluppatori professionisti, uno strumento interno per personale formato, i personaggi di un videogioco per giocatore singolo. Non lo sono il chatbot del servizio clienti né l’animale robot da compagnia che sembra vero. Sapere che i chatbot esistono, notano le linee guida, non vuol dire riconoscerli quando ci si parla.
Marcare: che cosa vuol dire «leggibile meccanicamente»
Il secondo paragrafo è ingegneria. I fornitori di sistemi che generano audio, immagini, video o testo sintetici, compresi i sistemi per finalità generali, garantiscono che gli output siano «marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente». Leggibile meccanicamente, per le linee guida, vuol dire che un software identifica, riconosce ed estrae il segno senza intervento umano. E gli elementi sono due: marcare senza offrire un modo di rilevare il segno non basta.
La tecnica non è imposta. L’elenco viene dal considerando 133: filigrane (watermark), metadati, metodi crittografici che attestano provenienza e autenticità, registrazione degli output, impronte (fingerprint), o una combinazione. Una catena di provenienza completa non è obbligatoria. Si può marcare dopo la generazione, durante l’inferenza o già nel modello, e ci si può appoggiare al fornitore del modello o a un servizio terzo: dimostrare che funziona resta compito di chi mette sul mercato il sistema.
Le linee guida definiscono i quattro requisiti del regolamento. Efficace: il sistema ritrova i propri segni. Affidabile: distingue correttamente in condizioni normali. Solida: continua a distinguere dopo alterazioni comuni e attacchi deliberati. Interoperabile: la rilevazione funziona fra fornitori diversi, qualunque tecnica abbiano scelto. Il rilevatore deve dare un risultato comprensibile a una persona e, per l’interoperabilità, poggiare su standard pubblici che chiunque possa implementare, idealmente eseguibili in locale; dove quegli standard mancano, «in particolare nella fase iniziale» e per le filigrane, dice il punto 76, il fornitore può usare un rilevatore proprio, di terzi o condiviso, purché interoperabile con quelli degli altri. Tutto «nella misura in cui ciò sia tecnicamente possibile», dice il regolamento; ma la fattibilità, precisano le linee guida, è oggettiva, non dipende dalle risorse del singolo fornitore e segue lo stato dell’arte.
Come funziona una filigrana statistica su un testo, perché una foto dello schermo porta via i metadati ma non la filigrana nei pixel, e perché nessun segno resiste a chi ha tempo di cancellarlo: nel libro, alla sezione «Marchiare il sintetico».
Per chi scrive software la parte più utile è l’elenco di ciò che non va marcato: gli output brevi (una parola, una didascalia, un testo alternativo, un’etichetta d’interfaccia); il codice sorgente in qualunque linguaggio, commenti compresi, e con lui SQL, YAML, configurazioni JSON e schemi; gli output che restano fra macchine, come i messaggi da agente ad agente; i passaggi intermedi delle pipeline chiuse di produzione, dove si marca solo il risultato finale. Per un agente, il ragionamento intermedio e una richiesta web non sono contenuto sintetico; il testo o l’immagine che produce per una persona sì.
Poi le eccezioni del regolamento, l’«editing standard» e le modifiche non sostanziali. Correzione ortografica, piccoli ritocchi di stile, conversioni di formato, compressione, riduzione del rumore, volti sfocati, e anche traduzione e trascrizione: niente marcatura. Un riassunto, una riscrittura che cambia stile e struttura, una persona tolta o aggiunta a una foto, un volto sostituito, la voce sintetica di una persona precisa: marcatura sì. Il criterio è se cambiano significato, stile o intento.
In tre casi la proporzionalità abbassa l’asticella. Il navigatore di un’auto, chiuso nel prodotto, può usare i soli metadati. Fra imprese o in ambito industriale la marcatura può mancare, a tre condizioni insieme: output strettamente tecnico, per poche persone predefinite dentro le organizzazioni coinvolte, con misure che gli impediscano di uscire. E i contenuti generati in tempo reale e consumati subito, in un videogioco o in realtà virtuale, possono restarne privi se marcarli non è fattibile e chi li vede è avvisato. Un limite, infine, dal lato della privacy: il segno dice come è nato un contenuto, non chi l’ha creato.
Deepfake e testi d’informazione: l’etichetta che si vede
Il quarto paragrafo passa ai deployer, e qui l’etichetta è per occhi e orecchie: visibile o udibile, comprensibile senza strumenti. Per questo, scrivono le linee guida, il deployer non può affidarsi alla marcatura del fornitore.
Deepfake, per il regolamento, è un contenuto visivo o sonoro generato o manipolato che «assomiglia a persone, oggetti, luoghi, entità o eventi esistenti» e che «apparirebbe falsamente autentico o veritiero». Le linee guida allargano «esistenti» a ciò che potrebbe esistere: una persona inventata ma realistica conta, una sfinge in volo sopra la Torre Eiffel no. Il fotorealismo è un indizio, non una prova: conta se il contenuto può ingannare il pubblico prevedibile, bambini e anziani compresi, e l’intenzione di ingannare non serve. Sono deepfake la voce clonata dei conduttori di un podcast, l’avatar realistico dell’amministratore delegato, la foto di un prodotto più bella del prodotto vero. Per le opere «manifestamente» artistiche, satiriche o di finzione basta una segnalazione che non rovini l’opera; se un contenuto è insieme informativo e creativo, prevale l’informativo.
Il secondo comma riguarda i testi pubblicati per informare su questioni di interesse pubblico: politica, amministrazione, giustizia, salute, ambiente, economia, scienza. Il riassunto generato dall’AI di un articolo su una delibera comunale va etichettato, se nessuno lo rivede; un romanzo fantasy, una scheda prodotto, il riassunto che un chatbot fa solo per chi l’ha chiesto no. L’eccezione interessa le redazioni: niente etichetta se il testo è passato da una revisione umana o da un controllo editoriale e qualcuno ne ha la responsabilità editoriale. Ed è esigente. La verifica dei fatti è il minimo; un controllo solo ortografico, una policy che esiste sulla carta, una revisione automatica o un visto frettoloso non contano; se dopo il visto l’AI interviene sulla sostanza del testo, l’eccezione decade; e chi ha la responsabilità editoriale dev’essere indicato in un posto facile da trovare.
Il terzo paragrafo riguarda riconoscimento delle emozioni e categorizzazione biometrica, per esempio per età o genere: chi usa questi sistemi deve informare le persone esposte, bambini compresi, che sono in funzione, anche se l’analisi avviene a posteriori. Non deve dire perché. Informare, però, non rende lecito un uso vietato: il riconoscimento delle emozioni sul lavoro e a scuola resta proibito dall’articolo 5.
Per tutti vale il quinto paragrafo: informazione chiara, distinguibile, accessibile, data al più tardi alla prima interazione o esposizione. Un manuale o un menu nascosto non bastano; per i contenuti l’obbligo vale per ogni output e ogni persona: se qualcuno può prevedibilmente entrare in un video a metà, l’avviso solo all’inizio non basta.
Le date: il 2 agosto, e il 2 dicembre per chi c’era già
Per l’articolo 113 del regolamento, l’articolo 50 si applica dal 2 agosto 2026 a tutti i sistemi sul mercato, dicono le linee guida, qualunque sia la data in cui ci sono arrivati; anche a quelli ad alto rischio, il cui regime transitorio non vale per la trasparenza. L’unica proroga l’ha introdotta il regolamento 2026/1744, l’Omnibus digitale sull’AI, in vigore dal 27 luglio. Il nuovo paragrafo 4 dell’articolo 111 stabilisce che i fornitori di sistemi che generano contenuti sintetici «immessi sul mercato prima del 2 agosto 2026» si conformano all’articolo 50, paragrafo 2, «entro il 2 dicembre 2026»: quattro mesi, spiega il considerando 38, per adeguarsi «senza perturbare il mercato», come anticipava il comunicato sulle linee guida.
La proroga copre solo la marcatura. Un assistente che conversa e genera immagini, uscito prima di agosto, ha tempo fino a dicembre per marcare le immagini, ma doveva dichiararsi un’AI dal 2 agosto. I contenuti generati prima del 2 agosto non vanno marcati né etichettati a posteriori; un testo d’interesse pubblico generato prima ma pubblicato dopo, invece, va etichettato.
Chi controlla, e quanto costa sbagliare
A vigilare sono soprattutto le autorità nazionali. L’AI Office ha competenza esclusiva, per l’articolo 75 come riscritto dall’Omnibus, solo su due gruppi di sistemi: quelli basati su un modello per finalità generali dello stesso fornitore, o di un fornitore della stessa impresa, e quelli che sono o sono integrati in piattaforme e motori di ricerca molto grandi designati dal Digital Services Act. Sugli obblighi dei deployer interviene solo quando il deployer è il fornitore stesso o fa parte della stessa impresa (lo riassumono anche le domande e risposte della Commissione; le linee guida, alla nota 47, citano solo il primo gruppo). Il Garante europeo della protezione dei dati vigila sulle istituzioni dell’Unione. In Italia la vigilanza spetta all’Agenzia per la cybersicurezza nazionale, già designata dalla legge 132/2025; il decreto legislativo che ne definisce i poteri di autorità di vigilanza del mercato, e le sanzioni con massimi inferiori a quelli europei, è stato approvato in via definitiva dal Consiglio dei ministri il 4 agosto, ma fino alla Gazzetta Ufficiale del 23 settembre non risulta pubblicato. Il tetto europeo è di 15 milioni di euro o del 3 per cento del fatturato mondiale, se superiore; per le piccole e medie imprese e, dopo l’Omnibus, per le piccole imprese a media capitalizzazione, il minore dei due.
Per marcature ed etichette la via più semplice per dimostrare di essere in regola è il codice di buone pratiche sulla trasparenza dei contenuti generati dall’AI, pubblicato il 10 giugno e giudicato adeguato da Commissione e AI Board, con oltre 180 firmatari nel primo elenco del 31 luglio. Chi non firma deve dimostrare con altri mezzi di essere in regola, e aspettarsi più richieste di informazioni. Ci sono anche tre icone UE per etichettare i contenuti generati: facoltative le icone, non l’etichetta.
Che cosa resta aperto
Tre cose. La prima è tecnica: si chiede una rilevazione interoperabile su standard pubblici, e il punto 76 mette in conto che per le filigrane, almeno all’inizio, quegli standard manchino; i rilevatori propri valgono finché non emergeranno standard armonizzati, cioè senza una data. La seconda è di metodo: «evidente», «sostanziale», «interesse pubblico», «solida» sono valutazioni caso per caso, che fornitori e deployer fanno da soli e un’autorità potrà contestare. La terza è di forma: le linee guida non vincolano, non sono ancora adottate in tutte le lingue, e la Commissione le chiama una «prima interpretazione», da rivedere.
La direzione, però, si legge già: la trasparenza non è un avviso in fondo ai termini d’uso, ma una scelta di progetto, nel primo messaggio del chatbot, nel formato dei file, nel flusso di chi pubblica. La posta è una domanda che chiunque, davanti a una voce al telefono o a un video, farà sempre più spesso: l’ha fatto una macchina? L’articolo 50 non garantisce la risposta, perché chi vuole cancellare un segno prima o poi ci riesce. Obbliga chi costruisce e chi pubblica a darla. Il codice di lotto si stampa prima che la cassetta parta; per chi aveva già un generatore sul mercato, il termine è il 2 dicembre.
I commenti sono riservati agli iscritti.
Accedi per commentare