Indice
- Obblighi e rischi
- Cosa è cambiato davvero dal 2 agosto 2026
- Deepfake, contenuti sintetici e riconoscibilità dell’AI
Il 2 agosto è entrata nella sua fase generale di applicazione una parte molto significativa dell’AI Act. Nel frattempo, però, è intervenuta una modifica europea importante e tutt’altro che marginale: il Regolamento (UE) 2026/1744, noto come Digital Omnibus on AI, è entrato in vigore il 27 luglio 2026 e ha modificato alcuni aspetti dell’AI Act, come il calendario relativo ai sistemi di intelligenza artificiale ad alto rischio. Il risultato è un quadro abbastanza complesso.
Obblighi e rischi
Dal 2 agosto (come abbiamo avuto modo di vedere) una parte fondamentale degli obblighi è effettivamente operativa, mentre alcune delle disposizioni più onerose per i sistemi ad alto rischio sono state spostate in avanti, al 2027 e al 2028. Ed è proprio questa distinzione che oggi interessa maggiormente le organizzazioni che utilizzano, acquistano, sviluppano e integrano sistemi di AI. Il primo punto da chiarire è strutturale. L’AI Act, cioè il Regolamento (UE) 2024/1689, non disciplina l’intelligenza artificiale attraverso una semplice distinzione tra sistemi buoni e sistemi cattivi. La logica è più quella del risk-based approach.
Il legislatore europeo ha costruito un sistema nel quale gli obblighi aumentano in funzione del rischio che un determinato utilizzo dell’intelligenza artificiale può produrre per la salute, la sicurezza ed altro. Da qui deriva una distinzione fondamentale tra pratiche vietate, sistemi ad alto rischio, sistemi soggetti a specifici obblighi di trasparenza e sistemi a rischio minimo o nullo. La Commissione europea chiarisce che la maggior parte dei sistemi AI oggi utilizzati nell’Unione rientra nell’area a rischio minimo e non è quindi soggetta a uno specifico regime di obblighi dell’AI Act, pur restando applicabili le altre normative pertinenti.
Questo significa che non basta sapere che un’azienda utilizza l’intelligenza artificiale per capire quali obblighi debba rispettare. Occorre sapere che cosa fa quel sistema, quale sia la sua finalità prevista, chi lo fornisce, chi lo utilizza, quali dati tratta, quali decisioni supporta e quali conseguenze può produrre. È una differenza sostanziale.
Un sistema generativo utilizzato internamente per proporre una prima bozza di una comunicazione aziendale non ha, dal punto di vista regolatorio, lo stesso peso di un sistema utilizzato per valutare candidati all’assunzione, per determinare l’accesso a determinati servizi o per svolgere funzioni che incidono sulla salute o sui diritti fondamentali. La compliance AI comincia quindi dalla classificazione del caso d’uso, non dalla scelta dello strumento tecnologico. È probabilmente questo uno dei passaggi più importanti da comprendere per le imprese italiane.
Cosa è cambiato davvero dal 2 agosto 2026
Il 2 agosto 2026 è quindi il momento in cui il quadro europeo ha iniziato a produrre effetti operativi molto più estesi. Le regole relative alle pratiche di AI vietate erano già applicabili dal 2 febbraio 2025, mentre le disposizioni sui modelli di intelligenza artificiale per finalità generali, i cosiddetti GPAI, General-Purpose AI models, erano diventate applicabili già un anno fa. Dal 2 agosto 2026 è invece diventata applicabile la parte generale del regolamento, con le modifiche introdotte dal Digital Omnibus.
E una delle novità più visibili riguarda la trasparenza. L’articolo 50 dell’AI Act introduce obblighi specifici per determinati sistemi e contenuti. Da poco più di due settimane. quando una persona interagisce direttamente con un sistema AI in situazioni rientranti nella disciplina, deve essere informata del fatto che stia interagendo con un sistema di intelligenza artificiale. Il principio è semplice, ma le implicazioni operative sono considerevoli.
Un chatbot, un agente AI o un avatar non devono essere presentati all’utente come se fossero persone reali quando ricadono nell’ambito dell’obbligo. La trasparenza riguarda inoltre determinati contenuti generati o manipolati artificialmente, compresi alcuni deepfake e specifici contenuti testuali destinati a informare il pubblico su questioni di interesse generale quando non vi sia stata una revisione o un controllo editoriale umano.
Non si tratta quindi di apporre genericamente la dicitura “contenuto creato dall’AI” a qualsiasi testo prodotto con un modello linguistico. La normativa introduce obblighi di trasparenza differenziati in funzione della tipologia di sistema, del contenuto e della modalità di utilizzo. Per le imprese questo comporta una conseguenza concreta, ossia non basta acquistare un software AI e inserirlo nei processi aziendali. Occorre sapere come quel software comunica la propria natura, quali informazioni fornisce all’utente, come identifica determinati output e quali controlli sono necessari lungo il processo.
Deepfake, contenuti sintetici e riconoscibilità dell’AI
Uno degli aspetti destinati ad avere maggiore impatto sulla comunicazione digitale riguarda la riconoscibilità dei contenuti artificialmente generati e manipolati. Il nuovo regime europeo richiede, nei casi previsti, che determinati contenuti siano chiaramente e visibilmente identificabili come artificiali e che siano inoltre associati a marcature leggibili dalle macchine.
La disciplina riguarda, tra gli altri, determinati contenuti audio, video e immagini che possono sembrare rappresentare persone, oggetti, luoghi, entità ed eventi reali, cioè il territorio dei deepfake. Riguarda inoltre specifiche applicazioni di riconoscimento delle emozioni e categorizzazione biometrica e determinati testi destinati a informare il pubblico su materie di interesse generale. Il Digital Omnibus ha inoltre introdotto una nuova disciplina per i sistemi destinati alla generazione di contenuti sessualmente espliciti o intimi non consensuali e per il materiale di abuso sessuale su minori. Questa nuova fattispecie di divieto entrerà in applicazione nel dicembre 2026.
Il dato interessante è che la regolazione europea non si limita più a chiedere “chi ha utilizzato l’AI”. Comincia a intervenire sul modo in cui l’output AI viene presentato, distribuito e riconosciuto. E questo è un passaggio importante perché sposta la responsabilità dalla sola tecnologia al contesto di utilizzo.
