Dal 2 agosto 2026 l'articolo 50 dell'AI Act prevede specifici obblighi di trasparenza per chi fornisce o utilizza determinati sistemi di AI, tra cui chatbot e sistemi generativi. Pensa a un'azienda di arredamento della Brianza che a primavera ha messo sul sito un assistente virtuale per rispondere alle domande sui tempi di consegna. Funziona bene, i clienti lo usano, il customer care respira. Poi a luglio qualcuno in riunione chiede: "Dobbiamo scrivere da qualche parte che è un'intelligenza artificiale?". La risposta è sì, ed è proprio l'articolo 50 a chiederlo.
Tra tutti gli obblighi di trasparenza dell'AI Act, il Regolamento (UE) 2024/1689, quelli dell'articolo 50 sono i più vicini alla vita di tutti i giorni delle aziende. Riguardano chatbot, immagini e testi generati, deepfake, sistemi che leggono le emozioni. Riguarda cioè gli strumenti che marketing, customer care e comunicazione hanno adottato negli ultimi due anni, spesso senza passare dall'ufficio legale.
Nell'estate 2026 sono arrivati tre tasselli che rendono il quadro finalmente leggibile: il Digital Omnibus, che ha spostato alcune scadenze, il Codice di buone pratiche sulla marcatura e l'etichettatura dei contenuti generati, pubblicato dalla Commissione il 10 giugno, e le linee guida sull'articolo 50 approvate il 20 luglio. Qui sotto trovi cosa dice la norma, come la stanno leggendo gli operatori, dove restano zone grigie e da dove partire se sei una PMI.
Cosa prevede l'articolo 50 dell'AI Act, in parole semplici
Cos'è l'articolo 50 dell'AI Act? È la disposizione del regolamento europeo sull'intelligenza artificiale che impone obblighi di trasparenza a chi fornisce o usa chatbot, sistemi generativi, deepfake e sistemi di riconoscimento delle emozioni. Si applica dal 2 agosto 2026 e riguarda sia chi sviluppa i sistemi sia chi li utilizza per lavoro.
L'idea di fondo è facile da afferrare: le persone hanno diritto di sapere quando dall'altra parte c'è una macchina, e quando un contenuto che sembra reale è stato fabbricato o ritoccato da un algoritmo. Il regolamento traduce questo principio in quattro obblighi distinti, ognuno con un destinatario preciso.
Il paragrafo 1 riguarda i sistemi che interagiscono con le persone. Chatbot, assistenti vocali, agenti che rispondono alle email: chi li fornisce deve progettarli in modo che l'utente sappia di parlare con un'AI, salvo che sia evidente dal contesto a una persona ragionevolmente attenta.
Il paragrafo 2 riguarda i sistemi che generano contenuti sintetici, cioè testi, immagini, audio e video. Chi li fornisce deve fare in modo che l'output porti una marcatura leggibile dalle macchine, che permetta di riconoscerlo come artificiale.
Il paragrafo 3 riguarda chi usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica: le persone esposte vanno informate.
Il paragrafo 4 riguarda chi pubblica deepfake e chi pubblica testi generati o manipolati dall'AI per informare il pubblico su questioni di interesse pubblico: va dichiarato.
A chiudere c'è il paragrafo 5, che vale per tutti: le informazioni vanno date in modo chiaro, al più tardi alla prima interazione o alla prima esposizione al contenuto, e devono essere accessibili anche a persone con disabilità.
Fornitore o deployer: capire in quale ruolo si trova la tua azienda
Tutto l'articolo 50 si regge su una distinzione che conviene chiarire subito, perché da lì dipende cosa tocca fare. Il fornitore (provider) è chi sviluppa un sistema di AI e lo mette sul mercato con il proprio nome o marchio. Il deployer è chi lo usa sotto la propria autorità, per scopi professionali.
La gran parte delle PMI che usa strumenti come ChatGPT, Gemini, Copilot o un generatore di immagini è deployer. Le cose cambiano quando l'azienda costruisce qualcosa di suo sopra un modello di terzi e lo offre ai clienti: una software house che integra un assistente conversazionale nel proprio gestionale e lo vende con il proprio marchio diventa fornitore di quel sistema, con tutti gli obblighi di progettazione che ne derivano. Per un'agenzia che sviluppa un chatbot per un cliente, il ruolo va verificato nel caso concreto: conta chi immette il sistema sul mercato o lo mette in servizio con il proprio nome o marchio. La sola consegna «chiavi in mano» non chiarisce, da sé, chi sia il fornitore. Capita spesso che la stessa azienda sia deployer per alcuni strumenti e fornitore per altri, quindi il ruolo va valutato strumento per strumento.
Da quando si applica l'articolo 50 dell'AI Act e cosa ha cambiato il Digital Omnibus
Il 2 agosto 2026 era la data cerchiata in rosso sul calendario dell'AI Act: applicazione generale del regolamento, avvio del regime sui sistemi ad alto rischio, obblighi di trasparenza. A fine giugno il calendario è stato riscritto, ma soltanto in parte.
Il Digital Omnibus sull'AI è stato proposto dalla Commissione il 19 novembre 2025, adottato dal Parlamento europeo il 16 giugno 2026 e approvato in via definitiva dal Consiglio il 29 giugno. La firma è arrivata l'8 luglio. Il rinvio più consistente riguarda i sistemi ad alto rischio: quelli dell'Allegato III, usati per esempio per selezionare il personale, valutare il merito creditizio o nell'istruzione, passano al 2 dicembre 2027. Quelli integrati nei prodotti regolati dall'Allegato I, come macchine e dispositivi medici, al 2 agosto 2028.
Sull'articolo 50 invece il legislatore è stato molto più prudente. L'unico alleggerimento riguarda il paragrafo 2, la marcatura tecnica dei contenuti: chi fornisce sistemi generativi già sul mercato prima del 2 agosto 2026 ha tempo fino al 2 dicembre 2026 per adeguarsi. Per i sistemi immessi sul mercato da agosto in poi, la marcatura è dovuta subito. Tutto il resto, cioè avvisi nei chatbot, etichette sui deepfake, dichiarazione dei testi di interesse pubblico e informativa sul riconoscimento delle emozioni, si applica dal 2 agosto.
Nelle ultime settimane circola parecchio l'idea che "l'AI Act è stato rinviato". È una lettura sbagliata e anche un po' pericolosa, perché porta a rimandare proprio gli obblighi più semplici da rispettare. Va ricordato inoltre che l'articolo 4, applicabile dal 2 febbraio 2025 e modificato dal Digital Omnibus, richiede a fornitori e deployer di adottare misure a sostegno dello sviluppo delle competenze in materia di AI del personale e di chi usa i sistemi per loro conto. Non impone di garantire a ogni persona uno specifico livello di competenza. La vigilanza su questo obbligo è iniziata nell'agosto 2026.
Chatbot e AI Act: l'obbligo di dire che si sta parlando con un'intelligenza artificiale
Qui l'obbligo formale ricade sul fornitore del chatbot, che deve progettarlo in modo trasparente. Nella pratica però la questione arriva dritta sulla scrivania di chi il chatbot lo installa sul proprio sito, perché è l'azienda a metterci la faccia davanti al cliente.
L'eccezione dell'"evidenza" va maneggiata con cura. Un assistente con un nome di fantasia, un avatar sorridente e un tono molto naturale può facilmente essere scambiato per un operatore umano, e in quel caso l'eccezione cade. Anche un bot palesemente robotico può sembrare evidente a te che lo hai configurato, meno a un cliente di 70 anni che scrive dal telefono. La scelta che la maggior parte dei consulenti suggerisce è la più semplice: mettere sempre un avviso, e toglierselo dalla lista delle preoccupazioni.
Come si scrive un avviso fatto bene? Deve comparire all'apertura della conversazione, prima che l'utente inserisca informazioni, in una posizione visibile e con parole comprensibili. Qualcosa come "Ciao, sono l'assistente virtuale di [nome azienda], un sistema basato su intelligenza artificiale. Se preferisci parlare con una persona, scrivi 'operatore'". Nascondere l'informazione nelle condizioni d'uso o in un link a piè di pagina va contro lo spirito della norma. Sui canali telefonici, l'avviso va dato all'inizio della chiamata.
Un consiglio pratico per chi acquista il chatbot da un fornitore: prima di firmare, chiedi per iscritto come il prodotto gestisce l'avviso previsto dall'articolo 50, se il testo è personalizzabile e in quali lingue. Già che ci sei, fai lo stesso per il trattamento dei dati personali raccolti nelle conversazioni, che resta soggetto al GDPR.
Contenuti generati dall'AI e articolo 50: la marcatura leggibile dalle macchine
La marcatura prevista dal paragrafo 2 è un obbligo tecnico per chi sviluppa sistemi generativi. In sostanza, ogni immagine, video, audio o testo prodotto deve portare con sé un segnale che strumenti automatici possono leggere per risalire alla sua origine artificiale.
Il Codice di buone pratiche descrive un approccio a strati. Da una parte i metadati incorporati nel file, dall'altra le filigrane digitali (watermarking) inserite nel contenuto stesso, più resistenti alla rimozione. A supporto, tecniche come il fingerprinting e la registrazione degli output. Il regolamento chiede soluzioni efficaci, interoperabili, solide e affidabili per quanto consentito dallo stato della tecnica, tenendo conto anche delle differenze tra tipi di contenuto e dei costi. È un modo per ammettere che la tecnologia perfetta ancora manca, soprattutto per i testi, dove la filigrana è molto più fragile che su un'immagine.
Esiste poi un'esenzione che interessa molte aziende: la marcatura è esclusa per i sistemi che svolgono una funzione di assistenza all'editing standard o che lasciano sostanzialmente invariati i dati forniti dall'utente. Un correttore grammaticale può rientrare nell'esenzione; per uno strumento che riformula il testo occorre valutare quanto cambia il contenuto e se svolge ancora una funzione di editing standard.
Per una PMI che usa strumenti generativi commerciali, sono utili due verifiche. La prima è scegliere fornitori che dichiarano la conformità all'articolo 50. La seconda è evitare di eliminare i metadati durante la post produzione: succede più spesso di quanto si pensi, per esempio quando un'immagine viene esportata e compressa per il web con impostazioni che ripuliscono il file. Chi invece sviluppa un proprio strumento generativo e lo distribuisce, anche basandosi su un modello di terzi, deve implementare la marcatura in prima persona.
Deepfake e testi di interesse pubblico: le etichette previste dall'AI Act
Questa è la parte che interessa di più chi fa comunicazione. L'obbligo di dichiarazione previsto dal paragrafo 4 spetta al deployer del sistema che genera o manipola il contenuto. Il Codice di buone pratiche dedica a questo obbligo un'intera sezione.
Quando un contenuto è un deepfake
L'AI Act definisce deepfake un'immagine o un contenuto audio o video generato o manipolato dall'AI che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che a una persona sembrerebbe falsamente autentico. La parola chiave è "falsamente autentico". Un'illustrazione stilizzata di un ufficio immaginario difficilmente inganna qualcuno. La foto realistica del tuo stabilimento con una linea produttiva ancora da costruire, il video del CEO che legge un messaggio mai registrato, la voce clonata di un testimonial: tutti casi che vanno etichettati.
Il Codice indica come e dove collocare l'etichetta, prevede la possibilità di usare un'icona UE comune o un'etichetta equivalente e suggerisce alternative come un disclaimer audio per i contenuti solo sonori, dove un'etichetta visiva è impossibile. Nelle campagne social il punto delicato è la permanenza: l'etichetta deve accompagnare il contenuto anche quando viene condiviso o ripubblicato.
Se un contenuto che costituisce deepfake fa parte di un'opera evidentemente artistica, creativa, satirica o di finzione, la dichiarazione può essere resa in modo da non ostacolarne la fruizione. Un contenuto chiaramente fantastico potrebbe invece non essere un deepfake: occorre valutare se, nel contesto in cui viene mostrato, possa apparire falsamente autentico.
Testi generati e il ruolo della revisione umana
I testi generati o manipolati dall'AI e pubblicati per informare il pubblico su questioni di interesse pubblico vanno dichiarati. Il regolamento però prevede un'uscita importante: l'obbligo decade se il testo è stato sottoposto a revisione umana o a controllo editoriale e se una persona fisica o giuridica ne ha assunto la responsabilità editoriale.
Per un'azienda che pubblica articoli di blog, newsletter o comunicati scritti con il supporto dell'AI, la domanda da farsi è duplice. Il contenuto informa su una questione di interesse pubblico? Una guida normativa, un commento su una nuova legge, un articolo su un tema sanitario probabilmente sì. Una persona competente ha verificato il contenuto nel merito, controllando fatti e fonti, e un soggetto ne assume la responsabilità editoriale? In questo caso l'etichetta può essere omessa. Una semplice correzione grammaticale o un'approvazione formale non bastano. È utile conservare la versione esaminata, le correzioni e il nominativo di chi ha approvato la pubblicazione.
Codice di buone pratiche e linee guida della Commissione sull'articolo 50
Il testo dell'articolo 50 è breve e lascia molti margini di interpretazione. Per questo la Commissione ha affiancato al regolamento due strumenti pensati per chi deve applicarlo nella pratica.
Il Codice di buone pratiche sulla marcatura e l'etichettatura dei contenuti generati dall'AI, pubblicato in versione finale il 10 giugno 2026, è frutto di un lavoro partito a novembre 2025 con esperti indipendenti e centinaia di partecipanti tra industria, università e società civile. Ha due sezioni: la prima, su marcatura e rilevamento, si rivolge ai fornitori di sistemi generativi; la seconda, sull'etichettatura di deepfake e testi di interesse pubblico, ai deployer. È volontario. Il Codice è stato valutato positivamente dalla Commissione e dal Comitato europeo per l'intelligenza artificiale. Chi lo sottoscrive può fare riferimento alle sue misure per dimostrare la conformità agli obblighi di marcatura ed etichettatura. Chi sceglie strade diverse dovrà dimostrare da sé che le proprie misure sono adeguate.
Le linee guida della Commissione sull'articolo 50, adottate il 20 luglio 2026, chiariscono l'ambito di applicazione degli obblighi di trasparenza. Si rivolgono a fornitori, deployer e autorità di vigilanza e affrontano i casi che nel testo del regolamento restano sfumati: cosa conta come interazione, quando un contenuto è un deepfake, come funziona l'eccezione editoriale, come si coordina la trasparenza con altre norme. Per chi deve prendere decisioni su casi concreti, le linee guida offrono esempi e chiarimenti pratici da leggere insieme al regolamento.
Sanzioni AI Act per chi viola l'articolo 50 e autorità di controllo in Italia
L'articolo 99 dell'AI Act prevede per la violazione degli obblighi di trasparenza dell'articolo 50 sanzioni fino a 15 milioni di euro o fino al 3% del fatturato mondiale annuo, se superiore. Per PMI e start up vale la regola opposta: si applica il più basso dei due importi. È una differenza che conta, e che il legislatore ha voluto proprio per evitare sanzioni sproporzionate sulle imprese piccole.
In Italia la legge 132 del 2025, in vigore dal 10 ottobre 2025, ha indicato l'Agenzia per l'Italia Digitale e l'Agenzia per la Cybersicurezza Nazionale come autorità nazionali per l'intelligenza artificiale. Il Garante per la protezione dei dati personali resta competente su tutto ciò che riguarda i dati personali, ed è facile prevedere che molte segnalazioni sulla trasparenza passeranno anche da lì, visto che chatbot e riconoscimento delle emozioni trattano dati.
Nel quantificare una sanzione le autorità guardano alla gravità e alla durata della violazione, al comportamento dell'impresa, alla collaborazione e alle misure prese per limitare il danno. Tradotto: un'azienda che ha fatto un inventario, scritto una procedura e formato le persone parte da una posizione molto diversa rispetto a chi arriva alla verifica a mani vuote.
Come adeguarsi all'articolo 50 dell'AI Act: il piano di lavoro per una PMI
La buona notizia è che adeguarsi all'articolo 50 dell'AI Act è soprattutto un lavoro di organizzazione. Servono ordine e un po' di metodo, più che investimenti tecnologici.
Il punto di partenza è sapere quali strumenti di AI si usano davvero in azienda, compresi quelli che i dipendenti hanno adottato per conto loro. Chi fa questo esercizio per la prima volta di solito scopre il doppio degli strumenti che immaginava: l'estensione del browser che riassume le email, il generatore di immagini usato dal commerciale per le presentazioni, la trascrizione automatica delle riunioni. Per ognuno conviene annotare chi lo usa, per cosa, quali dati ci finiscono dentro e che tipo di contenuto produce.
Con l'inventario in mano, si assegna a ogni strumento il ruolo dell'azienda (fornitore o deployer) e gli obblighi dell'articolo 50 che ne derivano. Qui emergono le azioni concrete: configurare l'avviso nel chatbot, definire quando le immagini vanno etichettate, stabilire chi rivede i testi prima della pubblicazione, chiedere ai fornitori le dichiarazioni di conformità.
Serve poi una persona che tenga le fila, aggiorni l'inventario e approvi l'arrivo di nuovi strumenti. In una PMI può essere una persona che c'è già: spesso è il responsabile IT, il referente privacy o chi segue già i sistemi di gestione. A questa persona conviene affiancare una policy interna sull'uso dell'AI, due o tre pagine scritte in modo comprensibile, che dica ai colleghi cosa si può usare, con quali dati e con quali regole di trasparenza.
L'ultimo tassello è la formazione, che copre insieme l'articolo 50 e l'obbligo di alfabetizzazione dell'articolo 4. Chi scrive contenuti deve sapere quando serve un'etichetta, chi gestisce il servizio clienti deve conoscere gli avvisi, chi acquista software deve saper leggere le dichiarazioni dei fornitori. Registri di formazione, versioni della policy, approvazioni dei contenuti e contratti diventano le evidenze da mostrare se qualcuno chiede.
ISO 42001 e AI Act: perché un sistema di gestione rende la trasparenza dimostrabile
Tutto quello che l'articolo 50 richiede funziona finché qualcuno se ne occupa. Il rischio vero, per molte aziende, è che l'inventario venga fatto una volta e poi resti fermo mentre gli strumenti cambiano ogni mese.
La ISO/IEC 42001, lo standard internazionale sui sistemi di gestione dell'intelligenza artificiale, serve esattamente a questo: trasformare la conformità da progetto una tantum in processo che si aggiorna da solo. Chiede di mappare i sistemi di AI, valutarne rischi e impatti, definire ruoli e responsabilità, controllare i fornitori, garantire trasparenza verso le parti interessate e verificare il tutto con audit periodici. Sono gli stessi ingredienti che servono per l'articolo 50, organizzati in una struttura che regge nel tempo.
La certificazione ISO 42001 attesta la qualità del sistema di gestione, mentre la conformità legale all'AI Act va valutata obbligo per obbligo. Detto questo, un'azienda certificata ha già inventario, procedure ed evidenze in ordine, e davanti a un cliente enterprise o a un'autorità questo fa una differenza enorme. Per chi ha già la ISO 27001 il passo è breve, perché le due norme condividono la stessa struttura armonizzata e molti processi, dalla gestione dei fornitori agli audit interni.
Come ti accompagniamo verso la conformità all'AI Act e alla ISO 42001
Di solito partiamo proprio dall'inventario degli strumenti di AI che usi ogni giorno e dalla definizione del ruolo che la tua azienda ricopre per ciascuno. Da lì costruiamo insieme le procedure che servono davvero per l'articolo 50: avvisi per i chatbot, regole di etichettatura dei contenuti, flusso di revisione editoriale, controllo dei fornitori. La nostra piattaforma raccoglie documenti ed evidenze in un unico posto e tiene d'occhio le scadenze, così l'inventario resta aggiornato anche quando arrivano strumenti nuovi. Se vuoi fare un passo in più, ti accompagniamo fino alla certificazione ISO 42001 con l'audit dell'ente. E se i tuoi sistemi di AI trattano dati personali, il nostro servizio di DPO esterno segue anche il lato GDPR, con lo stesso interlocutore.
Vuoi capire quali obblighi dell'articolo 50 dell'AI Act riguardano la tua azienda? Scrivici e ti mettiamo in contatto con uno dei nostri Lead Auditor.
Domande frequenti sull'articolo 50 dell'AI Act
Devo scrivere che un articolo del blog è stato scritto con l'AI?
Dipende dal tema e dal processo editoriale. L'obbligo riguarda i testi generati o manipolati dall'AI e pubblicati per informare il pubblico su questioni di interesse pubblico. L'etichetta può essere omessa se il contenuto è stato verificato nel merito da una persona competente oppure sottoposto a un effettivo controllo editoriale, e qualcuno ne assume la responsabilità editoriale. È utile conservare traccia della revisione e dell'approvazione: una semplice correzione grammaticale non basta.
Il chatbot che usiamo solo con i dipendenti deve avere l'avviso?
In linea di principio sì, perché l'obbligo del paragrafo 1 riguarda qualsiasi sistema che interagisce con persone fisiche, dipendenti compresi. L'eccezione vale quando la natura artificiale è evidente dal contesto, e per uno strumento interno presentato a tutti come assistente AI spesso lo è. Una riga di avviso all'apertura toglie comunque ogni dubbio e costa pochissimo.
Il Digital Omnibus ha rinviato l'articolo 50?
Quasi per niente. Gli obblighi di trasparenza si applicano dal 2 agosto 2026. L'unica proroga riguarda la marcatura tecnica dei contenuti generati prevista dal paragrafo 2, e solo per i sistemi già sul mercato prima di quella data, che hanno tempo fino al 2 dicembre 2026. Il rinvio ampio riguarda i sistemi ad alto rischio, spostati al 2027 e al 2028.
Usiamo ChatGPT per scrivere i post: siamo fornitori o deployer?
Deployer, ai fini dell'articolo 50. Usate un sistema sviluppato da altri nell'ambito della vostra attività professionale. Diventereste fornitori se integraste il modello in un prodotto o servizio distribuito con il vostro marchio, per esempio un assistente venduto ai clienti. Per i post, gli obblighi rilevanti sono quelli sui deepfake e sui testi di interesse pubblico, con l'eccezione della revisione umana.
Le immagini generate con l'AI per una campagna vanno sempre etichettate?
Non sempre. L'obbligo di dichiarazione dell'articolo 50, paragrafo 4, riguarda le immagini che costituiscono deepfake: contenuti capaci di apparire falsamente autentici o veritieri rispetto a persone, oggetti, luoghi, entità o eventi reali o plausibili. Un'illustrazione chiaramente fantastica, che non può essere scambiata per una rappresentazione autentica, normalmente non è un deepfake. Se invece un deepfake compare in un'opera evidentemente artistica, creativa, satirica o di finzione, la dichiarazione può essere resa in modo da non ostacolare la fruizione dell'opera. La marcatura tecnica leggibile dalle macchine è un obbligo distinto, posto a carico del fornitore del sistema.
Chi controlla in Italia il rispetto dell'articolo 50?
La legge 132 del 2025 ha designato AgID e ACN come autorità nazionali per l'intelligenza artificiale. Il Garante per la protezione dei dati personali resta competente sugli aspetti legati ai dati personali, che nel caso di chatbot e riconoscimento delle emozioni sono quasi sempre presenti.
Quanto rischia una PMI che viola gli obblighi di trasparenza?
Per le violazioni dell'articolo 50 il tetto previsto dall'AI Act è di 15 milioni di euro o del 3% del fatturato mondiale annuo. Per le PMI si applica il più basso dei due valori. L'importo reale dipende da gravità, durata, comportamento dell'azienda e misure adottate, ed è qui che una procedura documentata fa la differenza.
La ISO 42001 basta per essere in regola con l'AI Act?
La certificazione attesta che l'azienda ha un sistema di gestione dell'AI solido e verificato. La conformità all'AI Act resta un requisito di legge da controllare obbligo per obbligo. Nella pratica, però, chi ha un sistema ISO 42001 funzionante ha già quasi tutto il materiale che serve per dimostrarla.
