Cosa devono fare le aziende per adeguarsi all’AI Act
L’AI Act è il Regolamento Europeo sull’Intelligenza Artificiale che introduce nuovi obblighi e responsabilità che coinvolgono tutte le aziende: sviluppatori, fornitori e utilizzatori di sistemi di IA in Europa.
L’intelligenza artificiale è un cambiamento radicale del tessuto sociale ed economico: i sistemi di IA sono diventati di uso comune e offrono strumenti di gestione dei dati estremamente potenti ma, per questo, anche potenzialmente pericolosi: aspetto sul quale è intervenuta la Comunità Europea proprio con l’AI Act.
Gli adempimenti non sono uguali per tutte le imprese, e l’adeguamento parte dal conoscere come e dove viene utilizzata l’intelligenza artificiale. In questo articolo, proponiamo una sintesi delle principali attività per essere conformi all’AI Act.
Argomenti trattati
Cosa devono fare le aziende per adeguarsi all’AI Act
L’AI Act introduce una serie di nuove regole cui tutte le aziende devono conformarsi.
Gli adempimenti coinvolgono, in misura diversa, sia i provider di sistemi di IA – ovvero tutti coloro che forniscono sistemi con il proprio nome o marchio – sia i deployer di sistemi di IA, ovvero tutte le aziende che li utilizzano.
Gli adempimenti non sono uguali per tutte le imprese, ma dipendono dal ruolo dell’azienda, dalle caratteristiche dei sistemi e dal modo in cui l’IA viene effettivamente utilizzata.
Possiamo sintetizzare gli adempimenti in 4 macro aree d’intervento:
- AI Literacy
- Trasparenza
- Sistemi di IA ad alto rischio
- Modelli GPAI
Adempimenti AI ACT in breve: sintesi degli adempimenti, per area d’intervento
Introduciamo brevemente queste 4 aree d’intervento.
AI Literacy: formazione per chi utilizza l’IA
L’articolo 4 dell’AI Act introduce il principio di alfabetizzazione in materia di IA (AI Literacy): l’obbligo è in vigore dal 2 febbraio 2025.
Provider e deployer devono adottare misure affinché il personale interno e tutte le persone che utilizzano sistemi di IA per loro conto dispongano di competenze adeguate, tenendo conto delle conoscenze tecniche, dell’esperienza e del contesto in cui l’IA viene utilizzata.
La formazione è lo strumento principale attraverso cui le aziende possono adempiere a questo obbligo: deve essere proporzionata all’utilizzo effettivo dell’IA per fornire le competenze necessarie per comprenderne funzionamento, limiti e rischi.
Obblighi di trasparenza: informare quando è l’IA a interagire
L’articolo 50 impone a tutte le aziende obblighi di trasparenza, volti a rendere sempre riconoscibile l’utilizzo dell’IA e i contenuti da essa generati o manipolati. Le responsabilità sono distinte in base al tipo di sistema e di soggetto (provider o deployer).
Ogni sistema di IA destinato a interagire direttamente con le persone fisiche deve essere progettato affinché queste siano informate del fatto che stanno interagendo con un sistema di IA, salvo quando ciò sia già evidente considerando il contesto.
Per i sistemi che generano testi, immagini, audio o video sintetici, i provider di sistemi IA devono rendere gli output marcati in formato leggibile meccanicamente e rilevabili come generati o manipolati dall’IA, nella misura in cui ciò sia tecnicamente possibile. I deployer hanno invece l’obbligo di utilizzare apposite etichette immediatamente visibili in casi specifici, come ad esempio nei deepfake o in alcuni contenuti testuali per i quali deve essere resa nota la natura artificiale o manipolata del contenuto (fatte salve le eccezioni previste dal Regolamento).
Sistemi di IA ad alto rischio: obblighi per provider e deployer
Il Capo III dell’AI Act disciplina i sistemi classificabili come ad alto rischio, prevedendo requisiti particolarmente stringenti e obblighi differenti per questa categoria di sistemi, a seconda del ruolo ricoperto dall’organizzazione (provider o deployer).
I sistemi di IA ad alto rischio sono sistemi che possono avere un impatto significativo sulla salute, la sicurezza o i diritti fondamentali delle persone fisiche. I criteri per classificare i sistemi ad alto rischio sono definiti nell’articolo 6 e negli allegati I e III dell’AI Act.
I provider hanno obblighi di conformità del sistema proposto: la compliance deve essere integrata fin dalla progettazione e dallo sviluppo del sistema. Tra gli elementi previsti dal Regolamento rientrano, a seconda dei casi, sistema di gestione del rischio, governance dei dati, documentazione tecnica, registrazione automatica degli eventi (log), trasparenza e istruzioni d’uso, sorveglianza umana, accuratezza, robustezza e cybersicurezza. Prima dell’immissione sul mercato o della messa in servizio devono inoltre essere rispettati gli adempimenti relativi alla valutazione della conformità, dichiarazione UE di conformità, marcatura CE e, quando prevista, registrazione.
I deployer hanno invece obblighi di utilizzo conforme dei sistemi di IA ad alto rischio: devono adottare misure tecniche e organizzative adeguate per utilizzarlo secondo le istruzioni fornite, assicurare la sorveglianza umana, monitorarne il funzionamento e, quando previsto, conservare i log sotto il proprio controllo. In determinate situazioni può inoltre essere necessaria una valutazione d’impatto sui diritti fondamentali (FRIA).
GPAI: obblighi specifici per i provider dei modelli
I modelli di IA per finalità generali (GPAI) sono soggetti a una disciplina specifica: il Capo V introduce obblighi in materia di trasparenza, documentazione e rispetto del diritto d’autore per chi sviluppa e immette sul mercato modelli GPAI. Per i modelli classificati a rischio sistemico, il Regolamento prevede inoltre requisiti rafforzati per la valutazione e la mitigazione dei rischi.
L’acronimo GPAI (General Purpose AI) fa riferimento quindi a modelli e sistemi di intelligenza artificiale per finalità generali, ovvero caratterizzati dalla capacità di operare su un’ampia gamma di compiti, anziché essere progettati esclusivamente per una funzionalità specifica.
I provider di modelli GPAI devono, tra l’altro, predisporre e mantenere aggiornata la documentazione tecnica, fornire determinate informazioni agli altri provider che integrano il modello nei propri sistemi, adottare una policy per il rispetto del diritto d’autore e pubblicare una sintesi sufficientemente dettagliata dei contenuti utilizzati per l’addestramento.
Per i GPAI con rischio sistemico sono previsti obblighi ulteriori, tra cui valutazioni del modello, adversarial testing, individuazione e mitigazione dei rischi sistemici, segnalazione degli incidenti gravi e adeguati livelli di cybersicurezza. La qualificazione come GPAI con rischio sistemico segue i criteri dell’articolo 51.
L’adeguamento all’AI Act: da dove iniziare?
Per adeguarsi all’AI Act serve innanzitutto mappare i sistemi di IA utilizzati in azienda, comprenderne le finalità e il livello di rischio in base al ruolo dell’organizzazione, individuando se opera in qualità di provider (fornitore) o deployer (utilizzatore) del sistema AI. Partendo da quattro domande-chiave:
Chi utilizza l’IA e con quali competenze?
Esistono obblighi di trasparenza verso utenti o destinatari dei contenuti?
Il sistema rientra tra quelli ad alto rischio?
L’azienda sviluppa o immette sul mercato un modello GPAI?
La mappatura dei sistemi utilizzati (in Italia richiesta anche dalla Legge 132/2025) permette di individuare gli obblighi applicabili e definire una governance adeguata.
Prima di approfondire il tema della mappatura dei sistemi IA, introduciamo il concetto di Shadow AI.
Shadow AI: quando l’intelligenza artificiale sfugge al controllo aziendale
L’AI Act, nell’articolo 3 (13) contempla espressamente un concetto molto importante: quello di “uso improprio ragionevolmente prevedibile” di sistemi IA, ovvero di un utilizzo diverso dalla finalità prevista ma prevedibile sulla base del comportamento umano o dell’integrazione con altri sistemi aziendali.
Si parla di shadow AI (intelligenza artificiale ombra) in riferimento all’uso non autorizzato da parte dei dipendenti o collaboratori di strumenti o applicazioni di intelligenza artificiale, senza la supervisione del dipartimento IT aziendale, ad esempio impiegando account personali di chatbot generativi per attività lavorative o collegandoli a sistemi aziendali, o ancora attivando un account aziendale su un sistema IA non autorizzato.
Viceversa, un dipendente potrebbe anche usare in modo improprio uno strumento di IA regolarmente adottato dall’azienda per finalità personali o comunque diverse da quelle autorizzate, inserendo, ad esempio, dati personali, documenti riservati o contenuti di terzi protetti da copyright.
Entrambe queste pratiche rappresentano esempi di utilizzo di strumenti di intelligenza artificiale svolti senza l’approvazione o senza controllo aziendale, che espongono l’impresa a potenziali rischi legati a dati personali, informazioni riservate, copyright e cybersicurezza.
Questi utilizzi vanno previsti e disciplinati con una corretta governance dell’IA, che deve intervenire su entrambi i fronti: contrastare l’utilizzo lavorativo di strumenti non autorizzati, e prevenire l’uso non autorizzato degli strumenti AI aziendali.
La mappatura dei sistemi IA aziendali
Per una corretta gestione aziendale, è necessario capire chi utilizza strumenti di IA, per quali attività e in che modo deve utilizzare correttamente questi strumenti, individuando eventuali rischi connessi all’attività specifica, considerando anche gli utilizzi dell’IA diversi da quelli previsti ma ragionevolmente prevedibili sulla base del comportamento umano.
Questo richiede una mappatura dei sistemi di IA aziendali, censendo strumenti, finalità, dati trattati e criticità, per classificare i diversi casi d’uso e individuare gli obblighi applicabili.
Ad esempio: il reparto di Marketing utilizza ChatGPT per creare copy, contenuti e immagini. Questo implica che, in questa fase, possono essere trattati testi, materiali aziendali, immagini e dati di diverso tipo, che possono presentare delle criticità in termini di copyright e riservatezza, le quali richiedono una attenzione specifica. Il personale ne deve essere edotto.
Tabella di esempio di mappatura iniziale dei sistemi IA
| Reparto | Sistema | Utilizzo | Dati trattati | Criticità | Obbligo |
|---|---|---|---|---|---|
| Marketing | Chatbot AI generativo (ChatGPT) | Creazione di copy e contenuti | • Brief • Testi • Materiali aziendali | ☑ Copyright ☐ Dati personali ☑ Riservatezza ☐ Cybersicurezza | ☐ Alto rischio ☐ Trasparenza ☑ Da valutare |
| Marketing | Generatore di immagini AI (Adobe Firefly) | Creazione di immagini per campagne | • Prompt • Immagini • Asset di brand | ☑ Copyright ☐ Dati personali ☐ Riservatezza ☐ Cybersicurezza | ☐ Alto rischio ☐ Trasparenza ☑ Da valutare |
| HR | Sistema AI per recruiting (Workday Recruiting) | Screening e selezione dei candidati | • CV • Dati dei candidati | ☐ Copyright ☑ Dati personali ☑ Riservatezza ☐ Cybersicurezza | ☑ Alto rischio ☐ Trasparenza ☐ Da valutare |
| Customer Care | Chatbot AI (Intercom Fin) | Assistenza automatizzata ai clienti | • Richieste degli utenti • Dati dei clienti | ☐ Copyright ☑ Dati personali ☑ Riservatezza ☐ Cybersicurezza | ☐ Alto rischio ☑ Trasparenza ☐ Da valutare |
| Legale | Assistente AI generativo (Microsoft 365 Copilot) | Analisi e sintesi di contratti | • Contratti • Dati personali • Informazioni riservate | ☑ Copyright ☑ Dati personali ☑ Riservatezza ☐ Cybersicurezza | ☐ Alto rischio ☐ Trasparenza ☑ Da valutare |
| IT | Assistente AI per coding (GitHub Copilot) | Generazione e revisione del codice | • Codice sorgente • Documentazione tecnica | ☑ Copyright ☐ Dati personali ☑ Riservatezza ☑ Cybersicurezza | ☐ Alto rischio ☐ Trasparenza ☐ Da valutare |
La mappatura iniziale va ampliata e approfondita, per definire un piano di formazione e una governance adeguata basata su procedure interne, responsabilità, documentazione e controlli.
Governance AI: policy e procedure
L’adeguamento all’AI Act richiede la creazione di una governance interna capace di tradurre gli obblighi normativi e i rischi individuati in regole operative, responsabilità e controlli.
Le misure adottate dovrebbero essere proporzionate ai sistemi utilizzati, alle finalità e ai dati trattati.
Un primo strumento è rappresentato dalle policy interne sulla privacy e sull’utilizzo dell’IA, attraverso cui l’azienda può stabilire strumenti di IA autorizzati, chi può utilizzarli e per quali attività, indicando anche eventuali utilizzi vietati o soggetti ad autorizzazione preventiva.
Le policy possono disciplinare quali informazioni possono essere inserite nei sistemi, con particolare attenzione a dati personali, documenti riservati, segreti commerciali e contenuti protetti da copyright, oltre a prevedere modalità di verifica degli output e regole per il loro utilizzo e la loro pubblicazione.
La governance deve estendersi anche ai rapporti con soggetti esterni. Gli accordi di riservatezza (NDA) rappresentano una misura contrattuale utile per disciplinare la condivisione e la protezione delle informazioni quando fornitori, consulenti, collaboratori o partner utilizzano sistemi di IA nell’ambito delle attività svolte per l’azienda.
Gli NDA possono, ad esempio, stabilire quali informazioni possono essere elaborate attraverso strumenti di IA, quali sistemi sono ammessi, eventuali divieti di utilizzo per l’addestramento dei modelli e gli obblighi di protezione e cancellazione dei dati.
Policy e procedure dovrebbero infine essere accompagnate da formazione, documentazione e controlli periodici, diventando così il collegamento tra protezione dei dati, riservatezza, copyright e cybersicurezza, integrando l’utilizzo dell’intelligenza artificiale nei normali processi di compliance aziendale.
Gli obblighi di formazione per chi utilizza l’IA
La formazione è lo strumento principale attraverso cui le aziende possono adempiere agli obblighi di AI Literacy previsti dall’articolo 4: deve essere proporzionata all’utilizzo effettivo dell’IA affinché tutte le persone che la utilizzano possano comprenderne funzionamento, limiti e rischi.
Non tutti devono ricevere la stessa formazione: chi utilizza un chatbot generativo per preparare testi commerciali ha esigenze differenti rispetto a chi impiega un sistema per analizzare candidature, elaborare dati dei clienti o supportare decisioni aziendali. Il percorso di adempimento va quindi modellato sulla base dei rischi di utilizzo, mappando gli utilizzatori, individuando i rischi e definendo dei percorsi di AI Literacy adeguati ai diversi casi d’uso.
La formazione del personale deve garantire l’acquisizione di competenze adeguate sui requisiti normativi, sulle migliori pratiche di utilizzo dell’IA e sullo sviluppo di una maggiore consapevolezza dei rischi e delle opportunità legati al suo impiego, e deve essere accompagnata da policy interne e istruzioni documentate per trasformare la formazione teorica in una competenza quotidiana.
Gli elementi più critici riguardano non tanto gli aspetti funzionali, ma la modalità d’uso del sistema rispettando il diritto d’autore, il GDPR e informazioni riservate. Vediamo più nel dettaglio.
Come gestire diritti d’autore, dati personali e informazioni riservate
Utilizzare un sistema di IA generativa significa fornirgli informazioni: un documento da riassumere, un contratto da analizzare, una fotografia da modificare, un database da elaborare o un testo da riscrivere. Prima di effettuare un upload o inserire queste informazioni in un prompt, però, è necessario chiedersi se abbiamo il diritto di utilizzarle in quel modo e che cosa farà il provider dell’IA con i dati trasmessi.
La regola aziendale non dovrebbe quindi essere semplicemente “posso caricare questo file nell’IA?”, ma:
- Ho il diritto di utilizzare questi contenuti?
- Contengono dati personali o informazioni riservate?
- Il sistema di IA che sto utilizzando offre garanzie adeguate per trattarli?
Una discriminante fondamentale, per un uso corretto dei sistemi IA, riguarda i dati personali, i documenti protetti da copyright e i documenti aziendali riservati.
Durante la formazione, è fondamentale sensibilizzare le persone a verificare il titolo giuridico e la finalità dell’utilizzo prima di inserire in sistemi IA informazioni di questo tipo, verificando la natura delle informazioni, le policy aziendali e le caratteristiche contrattuali e tecniche dello specifico servizio AI.
La formazione dovrebbe quindi insegnare ai dipendenti a effettuare un rapido controllo prima di ogni upload o prompt: il dipendente deve conoscere i principi di base dell’AI Act e del GDPR, per essere in grado di riconoscere quando un prompt diventa critico e può creare un problema, sapendo prima quando fermarsi per chiedere una verifica a Legal, DPO o IT/Security.
| Contenuto | Prima di inserirlo nell’IA verifica… |
|---|---|
| Documento, immagine o video di terzi | Copyright: possiedo i diritti, una licenza/autorizzazione adeguata o esiste un’altra base giuridica che consente questo utilizzo? |
| CV, e-mail, database clienti, documenti con nominativi | Dati personali: è necessario inserire questi dati? Esiste una base giuridica? Posso eliminarli o anonimizzarli? Il sistema è autorizzato per questo trattamento? |
| Dati sanitari, biometrici o altre categorie particolari | Categorie particolari di dati personali il cui trattamento richiede verifiche ulteriori ai sensi del GDPR: non andrebbero mai inseriti se non in strumenti IA espressamente autorizzati dall’azienda. |
| Contratti, listini, offerte, strategie, codice proprietario | Riservatezza: il provider può conservare o riutilizzare gli input? Il servizio è stato autorizzato dall’azienda per informazioni confidenziali? |
| Documento interno non riservato | Policy aziendale: lo strumento è tra quelli approvati e l’utilizzo è consentito dalle regole interne? |
La policy interna è lo strumento chiave, che può adottare principi prudenziali chiari e condivisi, citando ad esempio: “documenti riservati, dati personali e contenuti di terzi non devono essere caricati in strumenti di IA generativa non preventivamente autorizzati dall’azienda.” Per gli strumenti autorizzati, l’organizzazione dovrebbe stabilire quali categorie di informazioni possono essere utilizzate e a quali condizioni.
Domande frequenti sul corretto uso di documenti, immagini e video
Vediamo alcune risposte alle domande più frequenti.
Le informazioni e le risposte di seguito fornite hanno carattere puramente indicativo e riflettono un’interpretazione della normativa, che non costituisce né può sostituirsi ad una consulenza legale personalizzata. Considerata la complessità della materia e la necessità di valutare ogni specifico caso, si raccomanda di verificarne l’applicabilità con il proprio legale di fiducia.
Posso inserire un documento coperto da diritto d’autore in un sistema di IA generativa?
Dipende. Il fatto di avere legittimamente accesso a un documento non significa automaticamente poterlo utilizzare attraverso qualsiasi sistema di IA.
Un documento protetto dal diritto d’autore può essere utilizzato quando si dispone dei diritti o dell'autorizzazione necessari, quando la licenza ne consente quello specifico utilizzo oppure quando l'utilizzo rientra in un'eccezione o limitazione prevista dalla normativa sul diritto d'autore. Il principio generale resta infatti che l'utilizzo di opere protette richiede l'autorizzazione del titolare, salvo che trovi applicazione una specifica eccezione.
Esempio: un dipendente può ragionevolmente utilizzare nell'ambiente IA aziendale autorizzato una relazione scritta internamente dall'impresa, se l'azienda dispone dei relativi diritti e le proprie policy consentono quell'utilizzo. Diverso è caricare integralmente un libro, un report commerciale acquistato da terzi o un articolo riservato agli abbonati: l'accesso legittimo al contenuto non equivale necessariamente al diritto di riprodurlo o trasmetterlo a un servizio di IA.
Occorre inoltre controllare le condizioni d'uso del servizio AI, verificando quali diritti vengono concessi al provider sui contenuti caricati e come vengono utilizzati gli input. È una cautela espressamente raccomandata anche dall'European IP Helpdesk della Commissione, un servizio della Commissione Europea che offre informazioni e supporto gratuito sulla proprietà intellettuale a imprese, PMI e ricercatori.
Posso inserire immagini o video protetti da copyright?
Dipende. Vale sostanzialmente lo stesso principio visto in precedenza: essere in possesso del file non significa possedere i diritti sull'opera. Se un'azienda possiede i diritti sull'immagine o sul video, ha ottenuto una licenza che consente l'utilizzo previsto oppure ricorre un'eccezione applicabile, il contenuto può essere utilizzato nei limiti consentiti.
Se invece, ad esempio, il reparto marketing scarica la fotografia di un fotografo dal web e la carica in un generatore di immagini chiedendo di modificarla, rielaborarla o produrne una variante, il fatto che l'immagine fosse pubblicamente accessibile online non rende automaticamente lecito quell'utilizzo.
Particolare attenzione va quindi riservata a fotografie stock, immagini acquistate da banche dati, video di terzi, illustrazioni, fotografie di prodotti e materiale proveniente dai social network: bisogna verificare la licenza applicabile e i diritti effettivamente acquisiti.
In questo caso, una buona regola può essere quella di, prima di caricare nell’IA un contenuto creato da terzi, verifica di avere il diritto di utilizzarlo per quella finalità.
Posso inserire dati personali in un sistema di IA generativa?
Dipende. Anche in questo caso la risposta non è un semplice sì o no. Inserire dati personali in un sistema di IA costituisce un trattamento di dati personali quando ricorrono i presupposti del GDPR e deve quindi rispettarne principi e requisiti che ne legittimano il trattamento.
L'azienda deve valutare, tra le altre cose, finalità del trattamento, base giuridica, minimizzazione dei dati, trasparenza, sicurezza, eventuali destinatari e trasferimenti internazionali, oltre al ruolo assunto dal fornitore del servizio. Il trattamento deve avere una base giuridica ai sensi del GDPR; per categorie particolari di dati personali possono essere richieste anche le condizioni ulteriori previste dall'art. 9 del GDPR.
Esempio pratico: un responsabile HR non dovrebbe copiare automaticamente in un chatbot pubblico il CV completo di un candidato contenente nome, indirizzo, telefono, fotografia e altre informazioni personali per chiedere di riassumerlo.
Potrebbe invece essere possibile utilizzare un sistema aziendale preventivamente valutato e autorizzato, configurato con adeguate garanzie e utilizzato nell'ambito di un trattamento lecito. Quando possibile, inoltre, i dati non necessari dovrebbero essere eliminati o sufficientemente anonimizzati (ricordando che una semplice pseudonimizzazione può ridurre i rischi, a condizione che il sistema di IA non abbia le informazioni per ricostruire il dato e identificare il soggetto).
Un altro esempio: per chiedere all'IA di migliorare una mail non è normalmente necessario inserire nome, cognome, numero di telefono, indirizzo e-mail e altri dati del cliente. Se tali informazioni non sono necessarie allo scopo, è preferibile rimuoverle prima di utilizzare il sistema.
Posso caricare un contratto o un documento aziendale riservato?
Qui bisogna distinguere protezione dei dati personali e riservatezza aziendale. Un contratto può contenere dati personali, ma anche informazioni commercialmente sensibili che non sono necessariamente dati personali: prezzi, condizioni negoziate, strategie, margini, know-how, clausole riservate, informazioni sui clienti o segreti commerciali.
Anche in assenza di dati personali, non è prudente caricare documenti confidenziali in un sistema IA non autorizzato dall'azienda. La stessa Commissione europea, nelle proprie indicazioni rivolte agli utilizzatori dell'IA, raccomanda di evitare la condivisione di informazioni personali o sensibili, includendo espressamente i documenti confidenziali.
Ciò non significa che un contratto non possa mai essere analizzato con l'IA. Può essere possibile, ad esempio, se l'azienda utilizza una soluzione enterprise preventivamente approvata, dopo aver verificato aspetti quali condizioni contrattuali del provider, utilizzo degli input, conservazione dei dati, accessi, sicurezza, localizzazione e trasferimenti dei dati e possibilità che le informazioni vengano utilizzate per addestrare o migliorare i modelli.
Esempio: chiedere a un sistema aziendale autorizzato di confrontare 50 contratti con un modello standard può essere un caso d'uso perfettamente ragionevole. Copiare lo stesso contratto, contenente prezzi riservati e dati del cliente, nel proprio account personale di un chatbot pubblico è una situazione completamente diversa.
Vediamo ora come segnalare correttamente l’utilizzo dell’IA per la generazione dei contenuti e per le interazioni con gli utenti.
Come informare quando l’IA interagisce o genera contenuti
Aspetto fondamentale della normativa sono gli obblighi di trasparenza previsti dall’articolo 50, che impone a tutte le aziende di rendere immediatamente riconoscibile l’utilizzo di assistenti IA e di contenuti generati o manipolati.
Ogni sistema di IA destinato a interagire direttamente con persone fisiche deve essere impostato affinché queste siano informate del fatto che stanno interagendo con un sistema di IA e non con un essere umano, salvo quando ciò sia già evidente considerando il contesto.
Un esempio è rappresentato dai chatbot, dove gli utenti devono essere consapevoli di non interagire con un essere umano.
Anche tutti i contenuti generati o manipolati dall’IA devono essere chiaramente marcati e rilevabili come generati artificialmente, per evitare che gli utenti siano ingannati o inconsapevoli: nella pratica, questo consiste nell’etichettare i contenuti generati o manipolati da IA come i deepfake.
Queste informative devono essere fornite in maniera chiara, distinguibile e accessibile.
Agli obblighi di trasparenza si applicano altre eccezioni specifiche: una deroga a questi obblighi di trasparenza si applica quando i sistemi sono autorizzati dalla legge per accertare, prevenire, indagare o perseguire reati.
Contenuti generati dall’intelligenza artificiale
La trasparenza (articolo 50) si applica anche a contenuti quali testi, immagini, audio o video generati o modificati con l'intelligenza artificiale, con obblighi distinti tra fornitori e utilizzatori di strumenti di IA.
I provider (fornitori) devono rendere tecnicamente possibile - per quanto consentito dallo stato dell'arte - il riconoscimento dei contenuti generati o manipolati artificialmente, attraverso soluzioni machine-readable non necessariamente visibili all'utente. In particolare, devono garantire che tutti gli output siano marcati in formato leggibile meccanicamente e rilevabili come generati o manipolati dall'IA, nella misura in cui ciò sia tecnicamente possibile.
La marcatura dei contenuti generati dall’IA può essere realizzata attraverso diverse tecniche, anche combinate: metadati incorporati nel file, watermark digitali visibili o invisibili, fingerprint o pattern tecnici riconoscibili, sistemi crittografici che certificano provenienza e autenticità del contenuto e sistemi di logging che ne consentono la tracciabilità.
L’AI Act non impone quindi un’unica tecnologia: la soluzione deve essere, per quanto tecnicamente possibile, efficace, interoperabile, robusta e affidabile, tenendo conto anche del tipo di contenuto e dello stato dell’arte. Queste soluzioni possono quindi essere utilizzate singolarmente o in combinazione per rendere i contenuti generati o manipolati dall’IA riconoscibili anche automaticamente dai sistemi informatici.
I deployer (utilizzatori) devono invece adempiere agli obblighi di trasparenza nella comunicazione del contenuto, indicando chiaramente alle persone che lo visualizzano se è stato creato o modificato con sistemi IA. Nella pratica, questo significa etichettare in modo opportuno ogni contenuto diffuso in rete (ad esempio, tramite il proprio sito o tramite canali social) affinché sia immediatamente riconoscibile come contenuto generato o manipolato.
Dal punto di vista aziendale è quindi utile definire una vera e propria AI Content Policy: individuare quali contenuti vengono prodotti con IA, come vengono revisionati, quando devono essere accompagnati da un’informativa e chi è responsabile della loro approvazione. Documentare il processo creativo e di revisione può inoltre essere una buona pratica per ricostruire il contributo umano, gli strumenti utilizzati e le verifiche effettuate, anche in relazione a copyright, reputazione e responsabilità aziendale.
Quando informare gli utenti che stanno interagendo con un sistema di IA?
La ratio della normativa è evitare che un contenuto generato o manipolato tramite IA possa ingannare o fuorviare l’utente, facendogli percepire come autentico qualcosa che non lo è. In questi casi, è necessario quindi informare gli utenti che stanno interagendo con un sistema di IA.
L'obbligo interessa tutti i contenuti realistici creati o modificati con AI e pubblicati online su sito web, social media o in campagne di advertising devono essere chiaramente identificati come AI.
Il focus è sui contenuti artificiali che sembrano reali, e come tale potenzialmente "ingannevoli": nella valutazione conta non solo se l'IA ha generato o modificato il contenuto, ma quanto il risultato appaia realistico, quale informazione comunica e se può alterare la percezione dell'utente.
La distinzione centrale è quella tra contenuto palesemente irreale e contenuto realistico, potenzialmente capace di essere scambiato per reale. Per stabilire se un contenuto possa risultare ingannevole, possiamo richiamare alcuni elementi di valutazione:
- livello di somiglianza con la realtà;
- esistenza o plausibilità delle persone, degli oggetti o dei luoghi rappresentati;
- messaggio sostanziale trasmesso dal contenuto;
- capacità del contenuto di creare una falsa percezione di autenticità o veridicità;
- caratteristiche del pubblico previsto o ragionevolmente prevedibile.
I casi più delicati - applicati alla comunicazione digitale e al mondo e-commerce - sono quelli in cui l'IA modifica o costruisce elementi che incidono sulla percezione reale di prodotto, dimensioni, caratteristiche, ambientazione, persone o circostanze rappresentate
Come etichettare i contenuti generati con IA?
Quando ricorrono le condizioni che richiedono trasparenza, il contenuto deve essere chiaramente identificato come generato o manipolato mediante IA.
La Commissione Europea presenta degli esempi di etichetta grafica per fornire questa informazione, che potrebbe tuttavia essere fornita anche attraverso un testo, purché in una posizione chiaramente visibile e percepibile dall'utente.
| ICONA | QUANDO SI USA | ESEMPIO |
 | AI Icona di base per i contenuti AI Etichetta generale, da usare quando l'IA è stata coinvolta nella creazione di contenuti deepfake (immagini, audio, video) o testo pubblicato o quando viene implementata un'etichetta di testo personalizzata o un secondo livello interattivo. | Video deepfake con l'etichetta testuale "voci generate con" seguita dall'icona di base |
 | AI Generated Contenuto generato attraverso l’IA Quando l'intero contenuto deepfake (immagine, audio, video) o testo è completamente generato dall'IA senza elementi creati dall'uomo o controllo editoriale umano. | Sintesi delle notizie generate dall'IA Scena o personaggio completamente creati tramite IA Video deepfake completamente generati dall'IA (anche se successivamente montati da una persona) Musica o arte completamente composta dall'IA (salvo diritti di autore) |
 | AI Modified Contenuto modificato mediante IA Quando contenuti creati dall'uomo sono stati parzialmente modificati con l'IA, trasformandoli in un deepfake o in un testo su questioni di interesse pubblico | Un volto in una fotografia autentica viene scambiato con un volto di un politico che utilizza l'IA Fotografia reale sulla quale vengono aggiunti o modificati elementi mediante IA (come foto autentiche di un appartamento vuoto, arredate utilizzando l'IA) |
| Fonte: Commissione Europea | ||
La qualificazione tra "creato" o "modificato" dovrebbe essere valutata sulla base del contenuto nel suo complesso e della rilevanza della componente generata o modificata.
Le etichette devono essere poste in un punto immediatamente visibile. L'icona di esempio fornita può essere modificata in base al contesto, al fine di mantenere un contrasto tale da fornire l'informazione in modo chiaro e accessibile.
Esempio: l'icona nera ha un evidente contrasto su un'immagine chiara. Tuttavia, apponendo la stessa icona su un'immagine molto scura, potrebbe venire meno il contrasto utile a rendere l'icona chiaramente percepibile. Il colore dell'icona va quindi modulato di conseguenza.
Alcune piattaforme, come Meta e Google, dispongono di strumenti automatici per segnalare contenuti realizzati con IA, anche nell'advertising: tuttavia, la semplice etichetta fornita dalla piattaforma potrebbe non essere sufficiente, da sola, ad adempiere a tutti gli obblighi dell'AI Act.
Testi generati con IA e revisione umana: vanno etichettati?
Vi è l'obbligo di etichettatura anche alcuni tipi di contenuti testuali: "I deployer di un sistema di IA che genera o manipola testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico rendono noto che il testo è stato generato o manipolato artificialmente" (articolo 50 comma 4).
L'etichettatura del testo è richiesta se ricorono insieme 3 elementi: il testo deve essere pubblicato, avere lo scopo di informare il pubblico e riguardare una questione di interesse pubblico (chiarito nelle Linee guida e FAQ della Commissione sull’art. 50).
Tuttavia, anche nel caso di contenuti di questo tipo generati tramite IA, la presenza di una revisione umana o di un controllo editoriale cui segue l'approvazione del contenuto, può incidere sull'obbligo di dichiararne la generazione mediante IA.
Ciò che conta in questo caso è la validazione umana del contenuto, dove con "revisione" s'intende non necessariamente la modifica del testo, ma anche il solo esame da parte di una persona competente che lo valuti e lo approvi; una semplice correzione superficiale, invece, non rappresenterebbe una vera revisione.
Per “questioni di interesse pubblico” si intendono temi rilevanti per la società e meritevoli di dibattito o controllo pubblico, come politica, pubblica amministrazione, giustizia, diritti fondamentali, sicurezza, salute, ambiente e sviluppi economici, scientifici o culturali di significativa rilevanza pubblica. La valutazione deve essere effettuata caso per caso, poiché l’elenco non è esaustivo (chiarito nelle Linee guida e FAQ della Commissione sull’art. 50).
Per esempio, un articolo generato con IA su una nuova legge, un'emergenza sanitaria o una decisione politica può rientrare nella previsione; una normale scheda prodotto commerciale o una comunicazione interna aziendale, in linea generale, no.
Domande frequenti sui contenuti generati con l’IA
Vediamo alcune risposte alle domande più frequenti.
Le informazioni e le risposte di seguito fornite hanno carattere puramente indicativo e riflettono un’interpretazione della normativa, che non costituisce né può sostituirsi ad una consulenza legale personalizzata. Considerata la complessità della materia e la necessità di valutare ogni specifico caso, si raccomanda di verificarne l’applicabilità con il proprio legale di fiducia.
Tutte le immagini create con IA devono essere etichettate?
Non necessariamente. Occorre considerare la natura del contenuto e, in particolare, se rappresenta persone, oggetti, luoghi, entità o eventi esistenti in modo tale da apparire autentico o veritiero. Un contenuto chiaramente artificiale o irreale potrebbe non richiedere la stessa informativa prevista per un contenuto realistico o un deepfake.
Un’immagine palesemente irreale è un deepfake?
Non necessariamente. Il concetto di deepfake presuppone un contenuto generato o manipolato dall’IA che assomigli a persone, oggetti, luoghi, entità o eventi esistenti e che possa apparire falsamente autentico o veritiero. Un’immagine manifestamente fantastica o irreale potrebbe quindi non rientrare in questa definizione.
Qual è la differenza tra “AI Generated” e “AI Modified”?
In termini descrittivi, AI Generated può essere utilizzato quando il contenuto è stato sostanzialmente creato attraverso l’IA; AI Modified quando si parte invece da un contenuto reale successivamente modificato o integrato mediante IA. La qualificazione dovrebbe essere effettuata considerando il contenuto nel suo complesso e la rilevanza dell’intervento dell’IA.
Un’immagine con sfondo generato con IA deve essere etichettata?
Dipende dal ruolo che lo sfondo assume nel contenuto. Uno sfondo generato con IA puramente decorativo, che non altera il significato dell’immagine né la percezione del prodotto rappresentato, potrebbe non richiedere una specifica indicazione. Se, invece, introduce elementi realistici rilevanti o modifica la percezione di dimensioni, proporzioni, ambientazione o caratteristiche del prodotto, potrebbe essere necessario segnalarne la natura artificiale.
È possibile indicare “sfondo generato con IA” nella caption di un post?
Potrebbe essere una soluzione, a condizione che l’indicazione risulti chiaramente visibile, comprensibile e percepibile dall’utente nel contesto in cui il contenuto viene fruito.
Se una persona, un’ambientazione o una scena sono interamente generate con IA, ma il prodotto rappresentato è reale, va indicato?
Sì. Se la scena nel suo complesso è stata creata artificialmente e presenta persone, luoghi o situazioni realistici che non esistono realmente, il contenuto dovrebbe essere identificato come generato con IA (AI Generated), anche quando al suo interno viene inserita la fotografia di un prodotto reale.
Se aggiungo persone generate con IA alla fotografia reale di un hotel o di un prodotto?
Se le persone generate artificialmente vengono rappresentate in maniera realistica all’interno della scena, potrebbe essere necessario rendere riconoscibile la natura artificiale del contenuto o della sua modifica, soprattutto quando l’intervento può far apparire autentica una situazione che in realtà non si è verificata.
Se utilizzo l’IA solo per migliorare luci o colori di una fotografia devo indicarlo?
Non necessariamente. Occorre distinguere i normali interventi di editing dalle manipolazioni tramite IA che modificano in modo sostanziale il contenuto o introducono elementi capaci di alterarne il significato o l’apparente autenticità. Nei casi di confine, la valutazione dipende dalla natura e dall’entità della modifica.
L’indicazione deve comparire necessariamente sull’immagine?
Non necessariamente. L’informazione dovrebbe essere presentata in modo chiaro e distinguibile, tenendo conto delle caratteristiche del mezzo utilizzato. La modalità pratica può quindi variare in funzione del formato e del canale di pubblicazione.
È obbligatorio utilizzare le etichette grafiche “AI Generated” o “AI Modified”?
Non necessariamente. L’obiettivo è rendere comprensibile all’utente la natura artificiale del contenuto; la forma concreta dell’indicazione può dipendere dal tipo di contenuto e dal mezzo attraverso cui viene pubblicato.
Un’infografica realizzata con l’aiuto dell’IA deve essere etichettata?
Non necessariamente. Se l’IA viene utilizzata come strumento di supporto alla realizzazione grafica e il contenuto non presenta elementi realistici suscettibili di essere scambiati per autentici, l’obbligo potrebbe non trovare applicazione. Occorre comunque valutare concretamente come è stata utilizzata l’IA e quale tipo di contenuto è stato prodotto.
Se un video è generato interamente con IA ma successivamente viene montato da una persona?
Il successivo intervento umano non modifica di per sé l’origine artificiale del contenuto. Un video le cui immagini o scene sono state generate dall’IA rimane un contenuto generato artificialmente anche quando viene successivamente montato, tagliato o rielaborato manualmente.
Un testo generato dall’IA ma revisionato da una persona deve essere etichettato?
Non sempre. Per i testi generati o manipolati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, l’AI Act prevede una specifica eccezione quando il contenuto è stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione.
“Revisionare” significa necessariamente modificare il testo?
Non necessariamente. Una revisione può consistere nell’esame e nella validazione effettiva del contenuto da parte di una persona competente, anche quando tale verifica non determina modifiche sostanziali al testo.
Correggere una virgola è sufficiente per considerare un testo revisionato?
Non necessariamente. Una semplice modifica formale non equivale automaticamente a un’effettiva revisione del contenuto. Ciò che rileva è l’esistenza di un reale processo di controllo e validazione umana.
I sottotitoli generati automaticamente dall’IA devono essere dichiarati?
Dipende dal contenuto e dall’utilizzo. Quando i sottotitoli costituiscono contenuto informativo generato automaticamente, sarebbe opportuno prevedere una revisione umana. La necessità di una specifica indicazione deve essere valutata in relazione alla fattispecie concreta.
Un’AI Transparency Policy pubblicata sul sito sostituisce l’indicazione sui singoli contenuti?
No. Una policy generale può solo rappresentare una buona pratica di trasparenza aziendale.
È opportuno documentare il processo creativo dei contenuti generati con IA?
Sì, come buona pratica. Conservare informazioni sul processo creativo, sugli strumenti utilizzati e sull’intervento umano può essere utile per ricostruire le modalità con cui il contenuto è stato prodotto e documentare l’apporto creativo umano.
Il flag “AI” messo a disposizione da Meta, Google o altre piattaforme è sufficiente?
Non necessariamente. L’azienda dovrebbe verificare che le modalità con cui la piattaforma presenta l’indicazione soddisfino effettivamente gli obblighi di trasparenza applicabili al caso concreto.
Contenuti già online prima dell’applicazione degli obblighi devono essere etichettati?
Salvo diversa indicazione del proprio legale di fiducia, non vi è retroattività per i contenuti già immessi prima dell'applicabilità della disposizione (2 agosto 2026). Nuove pubblicazioni o successive modifiche dei contenuti dovrebbero invece essere valutate alla luce degli obblighi applicabili al momento della loro diffusione.
L’etichetta AI può danneggiare la percezione del brand?
L’indicazione dell’utilizzo dell’IA diventerà progressivamente uno standard di comunicazione, analogamente ad altre informazioni già presenti nella pubblicità digitale, pertanto come tale non danneggerà l'immagine del brand. Dal punto di vista reputazionale, un rischio maggiore può derivare dall’utilizzo dell’IA per rappresentare in modo fuorviante caratteristiche sostanziali di un prodotto, servizio o situazione, piuttosto che dalla semplice dichiarazione dell’impiego dell’IA.
Fonti
Unione Europea: Regolamento (UE) 2024/1689
Commissione Europea: Legge sull’AI Act
Commissione Europea: Linee guida e FAQ sulla Trasparenza art. 50
Commissione Europea: Linee guida e FAQ sull’ AI Literacy
Parere EBPB: modelli di IA e principi del GDPR supportano l’IA responsabile
Garante Privacy: AI – Intelligenza Artificiale
Garante Privacy: Comunicato del 28 maggio 2026 – IA e lavoro
Contattaci per saperne di più
Vuoi un consiglio esperto?
Contattaci e parla con un nostro consulente
𝐀𝐠𝐞𝐧𝐳𝐢𝐚 𝐝𝐢 𝐃𝐢𝐠𝐢𝐭𝐚𝐥 𝐌𝐚𝐫𝐤𝐞𝐭𝐢𝐧𝐠 per impese, brand ed ecommerce. Posizionamento online di siti web e comunicazione digitale. SEO, Social e campagne digitali multicanale con approccio data-driven.
