Nelle ultime settimane nel settore si respira un certo sollievo: «Le regole di trasparenza dell'AI Act europeo sono slittate a dicembre, quindi non c'è fretta». Questa percezione è sbagliata, e l'equivoco si sta trasformando in un serio rischio di responsabilità per ogni agenzia che fornisce output AI al mercato UE. La realtà è questa: gli obblighi generali di trasparenza dell'articolo 50 dell'AI Act (regolamento UE sull'intelligenza artificiale) sono in vigore dal 2 agosto 2026 e non sono stati rinviati.

In questo articolo chiariamo, con il necessario dettaglio tecnico, che cosa è cambiato esattamente, qual è l'unica eccezione reale, perché la questione riguarda direttamente un'agenzia con sede fuori dall'UE e quali passi concreti deve compiere oggi un'azienda che consegna soluzioni AI ai clienti. L'obiettivo non è creare panico, ma colmare il reale divario di conformità aperto dalla narrazione del «tranquilli, è stato rinviato».

Mettere ordine nelle date: che cosa è in vigore e che cosa è in periodo transitorio

La confusione nasce dal fatto che due cose diverse sono state mescolate sotto un unico titolo. Facciamo una distinzione netta:

  • Gli obblighi generali dell'articolo 50 — notifica nei chatbot, marcatura dei contenuti, informativa sul riconoscimento delle emozioni, etichettatura dei deepfake — sono pienamente in vigore dal 2 agosto 2026. Non sono stati rinviati.
  • L'unica eccezione riguarda soltanto il sotto-obbligo di filigrana / marcatura leggibile meccanicamente previsto dall'articolo 50, paragrafo 2, e si applica solo ai sistemi di AI generativa immessi sul mercato prima del 2 agosto 2026. Per questi sistemi è stato concesso un periodo transitorio, fino al 2 dicembre 2026, per completare l'adeguamento alla marcatura.

Attenzione: questo periodo transitorio è stato ridotto da sei a tre mesi. Quindi «c'è un periodo transitorio» non significa «si può stare a guardare»; al contrario, i tempi si sono accorciati. La modifica è stata formalizzata con il pacchetto Digital Omnibus: il Parlamento europeo l'ha approvato il 16 giugno 2026 e il Consiglio dell'UE il 29 giugno 2026.

Il punto critico è questo: per ogni sistema di AI generativa immesso sul mercato dopo il 2 agosto 2026, tutti gli obblighi — filigrana e marcatura compresi — si applicano fin dal primo giorno. Il periodo transitorio copre solo i sistemi preesistenti (legacy). Se oggi sta lanciando un nuovo chatbot, una nuova pipeline di generazione di immagini o un nuovo assistente vocale, nessun «periodo di tolleranza» la protegge.

Che cosa è cambiato esattamente il 2 agosto: quattro aree di obblighi

L'articolo 50 introduce obblighi di trasparenza per quattro scenari distinti. È probabile che i prodotti che consegna ai clienti rientrino in più di una di queste aree.

1. Sistemi AI che interagiscono direttamente con le persone

L'AI che interagisce direttamente con una persona — chatbot, assistenti vocali, sistemi automatici di chiamata e contatto — deve informarla che sta interagendo con un'intelligenza artificiale. L'unica eccezione è il caso in cui ciò risulti evidente dal contesto a una persona ragionevolmente informata; nella pratica, fare affidamento su questa eccezione è rischioso.

2. Contenuti generati o manipolati dall'AI

I contenuti generati o alterati sinteticamente, compresi testi, immagini, audio e video, devono essere marcati in un formato leggibile meccanicamente e risultare rilevabili come generati o manipolati dall'AI. È un obbligo tecnico a carico del fornitore.

3. Riconoscimento delle emozioni e categorizzazione biometrica

Un'organizzazione che utilizza un sistema di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone fisiche che vi sono esposte sul funzionamento del sistema. Gli obblighi del GDPR continuano ad applicarsi in parallelo.

4. Deepfake e testi generati dall'AI pubblicati nell'interesse pubblico

Il deployer che crea un deepfake deve dichiarare chiaramente che il contenuto è stato generato o manipolato artificialmente. Allo stesso modo, i testi generati dall'AI e pubblicati per informare il pubblico su questioni di interesse pubblico devono essere etichettati in modo chiaro (salvo eccezioni limitate, come i contenuti sottoposti a controllo editoriale umano).

Notifica per chatbot e assistenti vocali: dove e come inserirla, e perché i termini e condizioni non bastano

È qui che nasce l'errore più comune delle agenzie. Si lancia un chatbot, si aggiunge ai termini e condizioni (T&C) o all'informativa sulla privacy una riga del tipo «alcuni dei nostri servizi possono essere forniti tramite intelligenza artificiale» e si dà per raggiunta la conformità. È insufficiente.

Lo spirito dell'articolo 50 è che la notifica deve essere percepibile all'interno dell'interazione stessa, nel momento in cui avviene. I criteri concreti:

  • Una clausola sepolta in un contratto o nei T&C non basta. Un'informativa nascosta in un documento che nessuno legge non equivale a «informare l'utente».
  • Un'etichetta generica come «assistente» non basta. La semplice dicitura «Assistente di supporto» nella finestra di chat non dice chiaramente all'interlocutore che sta parlando con un'AI. La formulazione deve indicare in modo esplicito che si tratta di un sistema automatizzato o basato sull'AI.
  • La notifica deve comparire all'inizio dell'interazione, prima del primo messaggio dell'utente o contestualmente a esso; negli assistenti vocali deve essere data a voce all'inizio della chiamata.

Nella pratica, l'architettura corretta prevede un livello di notifica persistente e visibile nell'interfaccia del chatbot: una dicitura come «Questa chat è gestita da un'intelligenza artificiale», fissata nell'intestazione della chat e ripetuta nel messaggio di benvenuto. Questo livello deve essere indipendente dal canale: va applicato separatamente al widget web, a WhatsApp e alla linea vocale.

Per le agenzie che gestiscono su WhatsApp un flusso di assistenza basato su Claude, questo livello di notifica è un componente di conformità piccolo ma obbligatorio, da aggiungere all'infrastruttura esistente. Trattiamo le basi tecniche di questa architettura nel nostro articolo sull'assistenza clienti con WhatsApp Business Cloud API e Claude; aggiungere a quel flusso il livello di notifica richiesto dall'AI Act è un esempio concreto di conformità consegnata in modo invisibile.

Marcatura leggibile meccanicamente dei contenuti generati dall'AI: perché la sola filigrana non basta

Il secondo grande equivoco riguarda la marcatura dei contenuti. Molti team applicano un'etichetta visibile «Generato con AI» nell'angolo di un'immagine, oppure aggiungono al file un tag nei metadati, e considerano concluso il lavoro. Ciò che l'articolo 50, paragrafo 2, richiede davvero va più a fondo.

  • Una filigrana nei soli metadati non è sufficiente. I semplici campi di metadati si perdono facilmente durante la copia, lo screenshot, la ricodifica o il caricamento sulle piattaforme. L'obbligo richiede che la marcatura sia affidabile, interoperabile ed efficace.
  • Il parametro di riferimento dell'obbligo sono la fattibilità tecnica e gli standard di settore. Per questo, nella pratica, si adotta un metodo di marcatura basato su C2PA / provenienza dei contenuti: firmato crittograficamente, legato al file e verificabile.
  • La marcatura deve essere integrata all'interno della pipeline di produzione e non può essere lasciata a un'etichettatura manuale dopo la consegna. Ogni pipeline che produce immagini, video o audio deve aggiungere automaticamente i dati di provenienza nel momento stesso in cui l'output viene generato.

La soluzione corretta è integrare nel suo flusso di produzione dei contenuti una pipeline di marcatura C2PA / leggibile meccanicamente: ogni output sintetico esce con un manifest firmato che registra il modello generatore, il momento di creazione e la cronologia delle modifiche. Così si ottiene la conformità all'AI Act e, rendendo dimostrabile la provenienza dei contenuti, si rafforza anche la credibilità del brand.

Deepfake: etichettatura obbligatoria «anche senza intenzione»

La sottigliezza che le agenzie trascurano nell'obbligo sui deepfake è questa: l'etichettatura non dipende dall'intenzione di ingannare. Anche un'immagine o un video sintetico realistico prodotto per una campagna, con finalità del tutto legittime, umoristiche o creative, rientra nella definizione di deepfake se assomiglia a una persona, un luogo o un evento reale, e la natura artificiale del contenuto deve essere dichiarata chiaramente.

Questo tocca direttamente le agenzie pubblicitarie e di contenuti: immagini pubblicitarie «fotorealistiche» generate dall'AI, presentatori sintetici nelle demo di prodotto, voci fuori campo realizzate con la clonazione vocale — tutto rientra nell'ambito di applicazione. La dichiarazione deve essere resa alla prima esposizione del contenuto e in modo percepibile. Un altro punto da sottolineare: i modelli open source non sono esenti, e il fatto che un sistema non sia ad alto rischio non lo esclude dall'ambito dell'articolo 50. Gli obblighi di trasparenza riguardano quasi chiunque produca contenuti sintetici, indipendentemente dalla classificazione del rischio.

Perché riguarda un'agenzia fuori dall'UE: l'ambito extraterritoriale

L'ipotesi più comune, e la più pericolosa, è: «Abbiamo sede fuori dall'UE, quindi un regolamento europeo non ci vincola». È falso. L'AI Act ha effetto extraterritoriale. Non conta dove ha sede la sua azienda, ma dove viene utilizzato l'output dell'AI.

  • Se produce chatbot, contenuti AI o deepfake per clienti che operano sul mercato UE, rientra nell'ambito di applicazione.
  • Un esempio tipico sono le agenzie con sede fuori dall'UE che servono in particolare il mercato tedesco (DE): il cliente è nell'UE, l'utente finale è nell'UE e l'output viene utilizzato nell'UE. Avere la sede a Istanbul non dà alcuna esenzione.
  • Se l'output — o l'output del sistema — viene utilizzato da persone all'interno dell'UE, produrlo fuori dall'UE non elimina l'obbligo.

In altre parole, «non siamo nell'UE» non è una difesa, ma un indicatore di rischio. Un'agenzia fuori dall'UE che oggi fornisce output AI al mercato UE deve farsi carico della responsabilità di conformità, da sola o condividendola con il cliente.

Fornitore o deployer? La distinzione va chiarita nel contratto

L'AI Act distribuisce gli obblighi tra due ruoli e, nel rapporto tra agenzia e cliente, spesso non è chiaro a chi spettino. Questa ambiguità diventa la lacuna più costosa nel momento in cui arriva un controllo o un reclamo.

  • Fornitore (provider): chi sviluppa il sistema AI o lo immette sul mercato. Gli obblighi tecnici e di produzione, come la marcatura dei contenuti leggibile meccanicamente, ricadono prevalentemente qui.
  • Deployer: chi utilizza il sistema AI sotto la propria autorità. Gli obblighi legati all'uso, come fornire la notifica del chatbot, dichiarare un deepfake e dare l'informativa sul riconoscimento delle emozioni, ricadono prevalentemente qui.

Se un'agenzia sviluppa un chatbot e lo consegna a un cliente, nella maggior parte degli scenari l'agenzia è il fornitore e il cliente è il deployer; se però l'agenzia gestisce il sistema per proprio conto, i ruoli possono cambiare. Per questo ogni contratto tra agenzia e cliente deve indicare chiaramente chi è responsabile di quale obbligo dell'articolo 50. Quando decide che tipo di soluzione consegnare, questa ripartizione dei ruoli determina insieme l'architettura tecnica e i confini della responsabilità: può ragionarci seguendo il quadro decisionale che illustriamo nel nostro confronto tra software su misura e software standard.

Il quadro delle sanzioni: il costo della non conformità

La sanzione amministrativa prevista per le violazioni degli obblighi di trasparenza dell'articolo 50 è rilevante:

  • 15 milioni di euro oppure il 3% del fatturato mondiale annuo — si applica l'importo più elevato.

Questa sanzione ha un effetto deterrente tanto per una piccola agenzia quanto per una grande azienda cliente; inoltre, per le grandi aziende il calcolo basato sul fatturato può superare facilmente i 15 milioni di euro. La conformità non è un «optional»: è un imperativo commerciale.

Checklist urgente di conformità: inventario + gap analysis

I passi concreti da avviare oggi:

  1. Crei un inventario dei prodotti AI. Elenchi tutti i sistemi AI che consegna ai clienti e che usa internamente: chatbot, assistenti vocali, pipeline di generazione di immagini, video e audio, campagne con deepfake, strumenti di riconoscimento delle emozioni e biometrici.
  2. Mappi ogni prodotto sulle quattro aree di obblighi. Quale prodotto interagisce con le persone, quale produce contenuti sintetici, quale contiene deepfake, quale tratta dati biometrici?
  3. Faccia il test della data. Il prodotto è stato immesso sul mercato prima del 2 agosto 2026? Solo i sistemi generativi preesistenti dispongono di un periodo transitorio fino al 2 dicembre 2026 per la marcatura prevista dall'articolo 50, paragrafo 2; tutto il resto si applica già oggi.
  4. Esegua una gap analysis. La notifica del chatbot è visibile nell'interazione o è sepolta nei T&C? La marcatura dei contenuti è basata su C2PA e persistente, oppure si affida a metadati che scompaiono? I deepfake vengono dichiarati?
  5. Aggiorni i contratti. Scriva in ogni contratto con i clienti i ruoli di fornitore e deployer e la ripartizione degli obblighi.
  6. Predisponga un audit trail. Chi ha visto quale notifica e quando; quale contenuto è stato marcato e come: conservi queste informazioni in un audit trail conforme al GDPR.

Nota: questo articolo ha finalità esclusivamente informative e non costituisce consulenza legale. Per la sua situazione specifica dovrebbe richiedere una valutazione individuale a un consulente legale.

Un'architettura per consegnare la conformità in modo invisibile

Il messaggio centrale si riassume in una frase: far funzionare l'AI non basta; dal 2 agosto 2026 bisogna consegnarla in modo conforme alla legge. E deve farlo mentre scala i suoi flussi di lavoro autonomi. Quando lancia un agente AI o un flusso di automazione, rendere il livello di trasparenza una parte naturale dell'architettura è molto più sano che rattopparlo a posteriori; può considerarlo un'estensione della disciplina progettuale di cui parliamo nel nostro articolo su che cos'è un agente AI e i flussi di lavoro autonomi.

Un'architettura che consegna la conformità in modo invisibile comprende questi componenti:

  • Un livello di notifica per chatbot — dichiarazione dell'AI visibile nell'interazione stessa, sui canali web, WhatsApp e voce.
  • Una pipeline di marcatura dei contenuti C2PA / leggibile meccanicamente — un manifest di provenienza firmato e persistente su ogni output sintetico.
  • Un livello di conformità per l'assistenza esistente su WhatsApp + Claude — notifica e registrazione aggiunte senza interrompere i flussi attivi.
  • Un audit trail GDPR — una registrazione verificabile degli eventi di notifica e marcatura.

Partnerfy: AI conforme, con il suo marchio e per suo conto

Partnerfy è il partner tecnologico invisibile di agenzie e grandi aziende. Realizziamo il livello di notifica per chatbot conforme all'AI Act, la pipeline di marcatura dei contenuti basata su C2PA, l'adeguamento dei flussi di assistenza WhatsApp + Claude e l'audit trail GDPR, tutto in white-label: il prodotto resta con il suo marchio, all'interno della sua relazione con il cliente. Lei mantiene il cliente, noi ci facciamo carico della conformità. Far funzionare l'AI non basta; dal 2 agosto bisogna consegnarla in modo conforme alla legge — e noi lo facciamo per suo conto.

Per verificare la conformità all'AI Act dei prodotti AI che consegna, fissi un appuntamento. Costruiamo il suo inventario, eseguiamo insieme la gap analysis e aggiungiamo la conformità al suo brand in modo invisibile.