Le regole di trasparenza del Regolamento IA sono in vigore: cosa cambia sul vostro sito

Il 2 agosto 2026 sono diventati applicabili gli obblighi di trasparenza dell'articolo 50 del Regolamento europeo sull'intelligenza artificiale. A differenza delle disposizioni sull'alto rischio, che sono state rinviate, questa tranche è arrivata puntuale.

Riguarda molte più aziende di quanto suggerisca l'espressione «regolamentazione dell'IA». Non serve costruire modelli. Se mettete un chatbot sulla pagina di assistenza, generate descrizioni di prodotto con un modello linguistico o usate uno strumento di IA per produrre immagini per le campagne, l'articolo 50 fa ormai parte della vostra superficie di conformità.

Ecco cosa si applica, cosa no e come si presenta come lavoro.

Il calendario rivisto, perché si è mosso

Nel 2026 c'è stata confusione reale su quali scadenze del Regolamento IA fossero sopravvissute. Il Digital Omnibus sull'IA, proposto il 19 novembre 2025 e concordato nel corso del 2026, ha rinviato parti del regime. Il quadro attuale:

• 2 febbraio 2025: divieti delle pratiche inaccettabili, inclusi punteggio sociale, manipolazione subliminale e certe identificazioni biometriche. Già in vigore, invariati.
• 2 agosto 2025: obblighi per i fornitori di modelli di IA per finalità generali. In vigore.
• 2 agosto 2026: obblighi di trasparenza dell'articolo 50. In vigore ora.
• 2 dicembre 2026: divieto delle applicazioni di denudamento e fine del periodo di tolleranza per la marcatura leggibile da macchina dei sistemi generativi già sul mercato prima del 2 agosto 2026. I sistemi immessi sul mercato da allora devono marcare i propri output fin dal primo giorno.
• 2 dicembre 2027: scadenza di conformità per i sistemi autonomi ad alto rischio dell'allegato III, rinviata dal 2 agosto 2026.
• 2 agosto 2028: scadenza di conformità per l'IA ad alto rischio integrata in prodotti regolamentati.

Il rinvio riguarda il livello ad alto rischio. Se avete dato per scontato che tutto il Regolamento fosse slittato, vi siete persi la parte che colpisce più duramente i team di prodotto ordinari.

Cosa richiede l'articolo 50

Quattro obblighi, rivolti a situazioni diverse.

1. Dire alle persone che stanno parlando con una macchina

Se un sistema di IA è destinato a interagire direttamente con le persone, deve essere progettato in modo che quelle persone siano informate che stanno interagendo con un'IA, salvo che ciò sia ovvio per una persona ragionevolmente informata e attenta.

Questo copre chatbot di assistenza, assistenti vocali, sistemi telefonici guidati da IA e agenti commerciali conversazionali. L'obbligo è del fornitore in fase di progettazione, ma se ne installate uno sul vostro sito con il vostro marchio, sono i vostri utenti a dover essere informati.

L'asticella dell'«ovvio» è più bassa di quanto si supponga. Un widget chiamato «Assistente IA» con un'icona di robot probabilmente la supera. Una finestra di chat che si apre con «Ciao, sono Anna dell'assistenza, come posso aiutarti?» e non dice mai altro, no.

2. Marcare i contenuti sintetici in modo leggibile da macchina

I fornitori di sistemi di IA che generano audio, immagini, video o testo sintetici devono marcare gli output in un formato leggibile da macchina in modo che siano rilevabili come generati o manipolati artificialmente. La marcatura deve essere efficace, interoperabile, robusta e affidabile per quanto tecnicamente possibile.

In pratica ciò rimanda alle content credentials e ai metadati di provenienza, con C2PA come approccio più maturo, e alla filigrana per i modelli che la supportano. L'obbligo di marcatura si applica dal 2 agosto 2026; i sistemi generativi già sul mercato prima di quella data hanno tempo fino al 2 dicembre 2026.

Se usate un fornitore di modelli commerciale, gran parte di questo obbligo è suo. La vostra esposizione è in ciò che la vostra pipeline fa dopo con l'output. Rimuovere i metadati durante l'elaborazione delle immagini, ricodificare o passare per una trasformazione CDN può cancellare proprio la marcatura che la norma chiede di preservare. È un rischio reale in una normale pipeline di asset e vale la pena verificarlo.

3. Divulgare deepfake e testi IA di interesse pubblico

I deployer di sistemi che generano o manipolano contenuti immagine, audio o video costituenti un deepfake devono dichiarare che il contenuto è stato generato o manipolato artificialmente. C'è un'eccezione per opere manifestamente artistiche, creative, satiriche o di finzione, dove la dichiarazione può essere più leggera e non deve rovinare l'opera.

Separatamente, chi pubblica testi generati o assistiti da IA su questioni di interesse pubblico deve dichiararlo, a meno che il contenuto non sia passato per una revisione umana e una persona fisica o un'organizzazione ne assuma la responsabilità editoriale.

Quella seconda eccezione è importante per i team di marketing. Un testo assistito da IA rivisto e approvato da un redattore umano di norma non necessita di etichetta. Vi serve però la prova che la revisione sia avvenuta. Uno stato di workflow, un registro di approvazione, un responsabile con nome e cognome.

4. Riconoscimento delle emozioni e categorizzazione biometrica

I deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica devono informare le persone esposte e trattare i dati personali in linea con il GDPR. È più stretto, ma se il vostro prodotto fa analisi del sentiment su videochiamate o deduce attributi dalle immagini, guardatelo con attenzione.

Il codice di buone pratiche e le linee guida della Commissione

Due documenti ora entrano nel dettaglio. Il codice di buone pratiche definitivo sulla marcatura e l'etichettatura dei contenuti generati da IA è stato pubblicato il 10 giugno 2026. Ha una sezione per i fornitori, su marcatura e rilevamento, e una per i deployer, sull'etichettatura di deepfake e testi generati da IA; la Commissione e il comitato per l'IA hanno confermato che è uno strumento volontario adeguato per dimostrare la conformità. A fine luglio 2026 lo avevano firmato circa 190 aziende e organizzazioni. Firmarlo è facoltativo, ma chi non lo firma deve dimostrare che le proprie misure sono adeguate.

Il 20 luglio 2026 la Commissione ha pubblicato le sue linee guida sull'articolo 50. Non sono vincolanti, e solo la Corte di giustizia può interpretare il Regolamento in modo autorevole. Per i team web contano alcuni punti. Correzione grammaticale, piccoli ritocchi stilistici e traduzioni generate da IA rientrano nell'editing standard e non richiedono marcatura leggibile da macchina; i riassunti generati da IA e le riscritture che cambiano il significato sì. Gli output brevi, come singole parole, didascalie, testi alternativi ed etichette dell'interfaccia, restano fuori dall'obbligo di marcatura, così come il codice sorgente.

Come deve essere presentata l'informazione

L'articolo 50 dice che l'informazione deve essere fornita in modo chiaro e distinguibile al più tardi al momento della prima interazione o esposizione, e deve essere conforme ai requisiti di accessibilità applicabili.

Quest'ultima clausola si collega direttamente all'Atto europeo sull'accessibilità. Una dichiarazione che compare solo come tooltip al passaggio del mouse, o come testo grigio a basso contrasto, o come immagine senza testo alternativo, fallisce due volte.

Implicazioni pratiche:

• La dichiarazione compare prima o al momento della prima interazione, non nei termini di servizio.
• È testo leggibile nel DOM accessibile, non impresso in un'immagine.
• Sopravvive alla navigazione da tastiera e all'accesso da screen reader.
• È tradotta. Su un sito multilingue, una dichiarazione IA solo in inglese non è chiara per un utente polacco.

Come si presenta come ticket

Per la maggior parte dei team il lavoro effettivo è piccolo, che è un buon motivo per non rimandarlo.

Chat e interfacce conversazionali. Aggiungete una dicitura visibile e permanente nell'intestazione del widget e nel messaggio di apertura. Assicuratevi che sia presente in ogni lingua che servite. Se passate a un umano, ditelo al passaggio, perché è esattamente allora che cambia il presupposto dell'utente.

Pipeline di contenuti. Verificate dove gli asset generati da IA entrano nel vostro sistema e cosa succede ai loro metadati. Se l'elaborazione delle immagini rimuove i dati di provenienza, preservateli o riapplicateli. Tenete un campo di provenienza sul record dell'asset.

Flusso editoriale. Se pubblicate contenuti assistiti da IA su argomenti che somigliano all'interesse pubblico, aggiungete un passaggio di revisione con approvatore nominato e conservate l'approvazione. È la vostra eccezione, e un'eccezione che non potete provare non è un'eccezione.

Lavoro sui componenti. Costruite un piccolo componente di dichiarazione e usatelo in modo coerente invece di scrivere l'etichetta a mano in cinque punti. Significa anche un solo posto da cambiare quando le linee guida evolvono.

Inventario. Tenete un elenco di ogni sistema di IA nel prodotto: cos'è, chi lo fornisce, cosa genera, chi è fornitore e chi deployer, e quali obblighi dell'articolo 50 vi si applicano. Quando un'autorità o un cliente chiederà, quella è la risposta.

Chi è fornitore e chi deployer

Il Regolamento divide gli obblighi tra fornitori, che sviluppano e immettono un sistema sul mercato, e deployer, che lo usano sotto la propria autorità.

La maggior parte delle aziende è deployer. È il ruolo più leggero, ma c'è una trappola: se modificate sostanzialmente un sistema, ci mettete il vostro nome o marchio, o ne cambiate la finalità prevista, potete diventare fornitori ed ereditare gli obblighi pesanti.

Incapsulare un modello commerciale nel vostro prodotto, dargli una persona e distribuirlo con il vostro marchio è una fattispecie che vale la pena far esaminare ai vostri legali, perché la risposta dipende da dettagli che solo il vostro team conosce.

Cosa non rientra nell'ambito

Vale la pena dirlo chiaramente, perché l'espansione dei progetti interni di conformità consuma tempo reale.

L'articolo 50 non richiede di etichettare ogni uso di apprendimento automatico. Un motore di raccomandazione che ordina prodotti non genera contenuti sintetici e non interagisce come agente conversazionale. Filtraggio dello spam, scoring antifrode, ranking di ricerca e previsione della domanda restano fuori da queste specifiche regole di trasparenza, anche se possono sollevare questioni GDPR sulle decisioni automatizzate.

Non diventate sistema ad alto rischio solo perché usate l'IA. La classificazione ad alto rischio deriva dagli allegati I e III, legata a casi d'uso specifici come occupazione, credito, istruzione, servizi essenziali e componenti di sicurezza. Se rientrate in uno di questi, la vostra scadenza è il 2 dicembre 2027 o il 2 agosto 2028, ed è un programma molto più grande.

Realtà dell'applicazione

Le sanzioni del Regolamento IA sono significative, fino a 15 milioni di euro o il 3 per cento del fatturato annuo mondiale per molte violazioni. Le autorità nazionali di vigilanza del mercato stanno ancora costruendo capacità, e il primo anno di applicazione difficilmente sarà aggressivo verso piccoli deployer in buona fede.

Detto questo, gli obblighi di trasparenza sono la cosa più facile da verificare dall'esterno in tutto il Regolamento. Un'autorità, un giornalista o un concorrente può aprire il vostro sito e vedere se il chatbot lo dichiara. Non serve alcuna procedura di accesso.

Economico da rispettare, banalmente visibile quando non l'avete fatto. È la combinazione sbagliata su cui scommettere.

Dove si colloca

Il Regolamento IA è un filo dentro una costruzione molto più ampia di regole digitali europee. Se state mappando l'intera superficie, la nostra guida alla conformità digitale UE 2026 copre cosa si applica e quando, e la guida GDPR orientata all'ingegneria copre lo strato di protezione dei dati su cui poggiano i sistemi di IA.

Integriamo funzionalità di IA in prodotti per aziende che operano in Europa, il che significa che trattiamo le questioni di dichiarazione, provenienza e tracciabilità come parte della normale consegna anziché come esercizio di conformità separato. Se volete una revisione di dove compare l'IA nel vostro prodotto e cosa ne chiede l'articolo 50, scrivete a office@c9group.dev.

Siamo ingegneri, non avvocati. Le questioni di classificazione, in particolare il confine tra fornitore e deployer, spettano ai vostri legali. Noi facciamo in modo che il sistema corrisponda alla risposta.