AI Act e trasparenza: cosa devi dichiarare (e cosa no) sul tuo sito

Dal 2 agosto 2026 è in vigore l’articolo 50 dell’AI Act, il Regolamento UE 2024/1689, che impone obblighi di trasparenza sui contenuti creati con l’intelligenza artificiale. Ma attenzione: non ti obbliga a scrivere “Fatto con AI” sotto ogni immagine o ogni testo del tuo sito. L’etichetta visibile è obbligatoria solo in casi precisi, chatbot non evidenti, deepfake e testi che informano il pubblico senza revisione umana.

Il resto, la maggior parte del marketing e delle immagini generate con l’AI, non richiede una dicitura pubblica. In questa guida ti spiego, da sviluppatore, quando sei davvero obbligato, quando no, e cosa fare in pratica sul tuo sito. Con un esempio reale preso da un mio prodotto pubblicato.

Una precisazione utile fin da subito: si parla spesso di “direttiva”, ma l’AI Act è un Regolamento. Vuol dire che si applica direttamente in tutti i Paesi UE, senza bisogno di una legge nazionale che lo recepisca. L’Italia ha comunque aggiunto una sua legge, la legge 132 2025, che vedremo più avanti.

Ogni data, cifra e obbligo che leggi qui sotto è collegato alla fonte ufficiale da cui l’ho preso. Se una cosa non ha un link a una fonte primaria, non l’ho scritta.

Articolo in breve

• L’obbligo di trasparenza dell’AI Act (art. 50) è in vigore dal 2 agosto 2026.
• Non devi etichettare ogni immagine o testo AI. L’etichetta visibile serve solo per chatbot non evidenti, deepfake e testi di interesse pubblico non revisionati da una persona.
• La marcatura tecnica (watermarking) la mette chi produce lo strumento, non tu. Sui sistemi già sul mercato prima del 2 agosto 2026 l’obbligo scatta dal 2 dicembre 2026.
• Sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale (art. 99).
• Il Codice di buone pratiche è ora valutato adeguato: a fine luglio 2026 lo avevano firmato circa 190 organizzazioni, tra cui Bulgari e Fastweb.

Cos’è l’obbligo di trasparenza dell’AI Act e da quando si applica?

L’obbligo di trasparenza è la regola dell’AI Act che impone di rendere riconoscibile quando un contenuto o un’interazione arrivano dall’intelligenza artificiale, così che una persona non venga tratta in inganno. È contenuto nell’articolo 50 del Regolamento UE 2024/1689 ed è applicabile dal 2 agosto 2026.

L’idea di fondo è semplice: l’AI può creare testi, immagini, audio e video quasi indistinguibili da quelli reali. La legge non vieta di usarli, chiede solo che, nei casi in cui potrebbero ingannare, sia chiaro che dietro c’è una macchina.

Non è una regola isolata. Fa parte di un impianto più ampio che classifica i sistemi di AI per livello di rischio, dai divieti assoluti fino agli usi liberi. La trasparenza riguarda il livello a rischio limitato, quello in cui rientrano gli usi più comuni: chatbot e contenuti generativi.

Devo davvero dichiarare ogni contenuto generato con l’AI? (No, ecco quando serve e quando no)

No. E qui casca l’asino di quasi tutti gli articoli che leggi in giro. L’AI Act non ti chiede di etichettare ogni immagine, ogni descrizione prodotto o ogni articolo scritto con l’AI. L’obbligo di dichiarazione visibile scatta solo quando il contenuto può ingannare chi lo guarda, o quando l’interazione con la macchina non è evidente.

Il principio è questo: conta il rischio di inganno, non lo strumento. Se è chiaro che stai vedendo un contenuto di marketing, o se un umano ha rivisto e si assume la responsabilità di quel testo, la legge non pretende un bollino.

Ecco la mappa pratica, situazione per situazione:

Tieni questa tabella come bussola. Nelle sezioni che seguono TI spiego il perché di ogni riga, così puoi decidere anche nei casi non elencati.

Fornitore o deployer: di cosa sei responsabile tu?

L’AI Act divide i ruoli in modo netto, e capire il tuo è il primo passo. Il fornitore è chi crea il sistema di AI (per esempio OpenAI con ChatGPT, o Google con Gemini). Il deployer è chi lo usa per scopi professionali, cioè quasi certamente tu.

Questa distinzione cambia tutto, perché gli obblighi dell’articolo 50 sono divisi tra i due:

• Il fornitore deve fare in modo che gli output del suo sistema siano marcati in un formato leggibile dalle macchine e riconoscibili come generati dall’AI. È una marcatura tecnica invisibile (metadati, watermark digitale), non un bollino sotto l’immagine. Non è compito tuo: è responsabilità di chi ti fornisce lo strumento.
• Il deployer (tu) ha obblighi di dichiarazione visibile solo in casi specifici: i deepfake, i testi di interesse pubblico non revisionati, e i sistemi di riconoscimento emozioni o biometria.

Morale: gran parte del lavoro tecnico ricade sul fornitore. A te resta la responsabilità di essere trasparente nelle poche situazioni in cui il tuo pubblico potrebbe essere ingannato. Vale la pena, quando scegli uno strumento AI, verificare che il fornitore applichi davvero la marcatura tecnica: è una cosa che puoi chiedere e mettere nero su bianco.

I casi in cui la dichiarazione è davvero obbligatoria

Sono quattro le situazioni previste dall’articolo 50. Vediamole con l’occhio di chi gestisce un sito.

1. Chatbot e assistenti AI non evidenti

Se hai un chatbot che risponde ai clienti e non è ovvio che sia una macchina, devi informare l’utente che sta interagendo con un’AI. Basta una frase chiara all’inizio della conversazione, del tipo “Ciao, sono l’assistente virtuale di [azienda]”. L’obbligo cade solo se è già palese (per esempio un avatar dichiaratamente robotico).

2. Deepfake

Un deepfake è un’immagine, un video o un audio che imita in modo realistico persone, luoghi o eventi reali. Se pubblichi contenuti di questo tipo, devi dichiarare in modo chiaro che sono stati creati o manipolati con l’AI. Il testo ufficiale dice che i deployer “rendono noto che il contenuto è stato generato o manipolato artificialmente”. È il caso più delicato, perché è quello in cui l’inganno è più probabile.

L’eccezione per opere artistiche, creative o satiriche

C’è una deroga che quasi nessuno racconta, e che invece serve a chi fa comunicazione. Quando il contenuto fa parte di un’opera manifestamente artistica, creativa, satirica o di finzione, l’articolo 50 non pretende un’etichetta invadente: chiede solo di rendere nota l’origine artificiale in modo adeguato, senza rovinare la fruizione dell’opera.

In pratica: una vignetta satirica generata con l’AI, una campagna dichiaratamente surreale o un corto di finzione non vanno tappezzati di avvisi. Basta una menzione nei titoli di coda, nella didascalia o nella scheda del contenuto. Attenzione però al confine: l’eccezione vale se il carattere artistico o satirico è manifesto, cioè evidente a chi guarda. Se il contenuto può essere scambiato per una scena reale, sei di nuovo nel territorio dei deepfake e l’eccezione non ti copre.

3. Testi di interesse pubblico senza revisione umana

Se pubblichi testi generati dall’AI per informare il pubblico su temi di interesse generale (attualità, salute, temi sociali) devi dichiararlo. Ma c’è un’esenzione importante: se una persona rivede il testo e se ne assume la responsabilità editoriale, l’obbligo non scatta. È esattamente il motivo per cui un blog aziendale scritto con l’AI e poi revisionato da te non richiede alcun bollino.

Due precisazioni che cambiano la portata di questa regola. La prima: riguarda i testi pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, non ogni testo che scrivi. Una scheda prodotto, una newsletter commerciale o una pagina di servizi non rientrano. La seconda: la revisione umana deve essere reale, con una responsabilità editoriale attribuita a qualcuno. Non basta rileggere di sfuggita; serve che una persona identificabile risponda di quel contenuto.

4. Riconoscimento delle emozioni e categorizzazione biometrica

Se usi sistemi che riconoscono emozioni o categorizzano le persone su base biometrica, devi informare chi vi è esposto sul funzionamento del sistema (è il paragrafo 3 dell’articolo 50). Qui si sovrappongono anche gli obblighi del GDPR, quindi serve particolare attenzione.

Immagini AI nel marketing e nell’e-commerce: obbligo o buona prassi?

È la domanda che mi fanno più spesso, e la risposta breve è: quasi sempre buona prassi, non obbligo. Se generi con l’AI un’immagine di prodotto, un banner, un’illustrazione o un’icona per il tuo sito, non sei tenuto ad apporre un’etichetta visibile “Immagine generata con l’AI”. La marcatura tecnica la inserisce il fornitore dello strumento.

Il confine si sposta quando l’immagine è fotorealistica e potrebbe far credere che rappresenti una situazione reale. Lì entri nel territorio del deepfake, e la dichiarazione diventa opportuna o necessaria. Da tenere a mente, anche quando l’AI Act non impone nulla, resta valido il Codice del Consumo: un’immagine che inganna il cliente sulle caratteristiche di un prodotto è pubblicità ingannevole, a prescindere.

Un esempio concreto ce l’hai in cima a questa pagina. La copertina l’ho generata con l’AI. Non è un deepfake, quindi la legge non mi obbliga a etichettarla, ma l’ho dichiarata lo stesso nella didascalia. È la scelta che consiglio sempre: dichiarare non è mai sbagliato, nasconderlo sì. L’infografica qui sopra, invece, l’ho costruita io partendo dai testi ufficiali, così le date e le cifre sono verificate una per una.

Come si dichiara, in pratica: watermarking AI ed etichetta visibile

La trasparenza dell’AI Act funziona su due livelli, ed è utile distinguerli per non fare confusione.

Livello tecnico: la marcatura leggibile dalle macchine, cioè il watermarking AI. Sono metadati e watermark digitali invisibili all’occhio ma leggibili da software e piattaforme. Servono a far riconoscere l’origine artificiale di un file anche fuori dal suo contesto. È un obbligo del fornitore previsto dall’articolo 50(2): si applica dal 2 agosto 2026, ma il Digital Omnibus prevede un periodo di transizione, così sui sistemi di AI già presenti sul mercato prima di quella data l’obbligo scatta dal 2 dicembre 2026.

Tradotto per chi lavora su un sito: il watermarking AI non lo devi implementare tu. Quando generi un’immagine con Firefly, Midjourney o gpt-image, la marcatura viaggia già dentro il file. Il tuo compito è non rimuoverla, e scegliere fornitori che la applichino davvero.

Livello visibile: l’etichetta per le persone. È l’avviso che vede l’utente: un badge sul chatbot, una dicitura su un deepfake, un avviso sonoro per un audio sintetico. È l’obbligo del deployer, nei casi che abbiamo visto.

Sul fronte visibile, la Commissione europea ha adottato le linee guida sugli obblighi di trasparenza per fornitori e deployer, con indicazioni pratiche su come etichettare i contenuti e diciture standard che puoi riutilizzare. In alternativa vanno bene formule testuali chiare. Alcune che uso e consiglio:

• Per un’immagine: “Immagine realizzata con l’AI e revisionata dalla redazione.”
• Per un chatbot: “Stai parlando con un assistente virtuale basato su intelligenza artificiale.”
• Per un contenuto informativo: “Contenuto elaborato con strumenti di AI e verificato dal nostro team.”

La regola d’oro la scrive l’articolo 50(5): l’informazione va data “in maniera chiara e distinguibile al più tardi al momento della prima interazione o esposizione”. Non nascosta a fondo pagina, non in un carattere illeggibile, non dopo tre scambi di messaggi.

Il Codice di buone pratiche sulla trasparenza (e chi dovrebbe firmarlo)

C’è anche uno strumento volontario per mettersi in regola con meno incertezze: il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’AI, pubblicato dalla Commissione (versione del 10 giugno 2026). Traduce in pratica gli obblighi di marcatura ed etichettatura dell’articolo 50, con regole comuni a tutta l’UE.

Non è più una bozza in attesa di giudizio: il Codice è stato valutato adeguato dalla Commissione e dal Comitato europeo per l’intelligenza artificiale, quindi una firma inviata oggi produce effetti subito.

E non è rimasto sulla carta. Al 31 luglio 2026 lo avevano firmato circa 190 organizzazioni. Nella Sezione 1 (marcatura) ci sono OpenAI, Google, Meta, Microsoft, Anthropic, Mistral. Nella Sezione 2, quella che riguarda i deployer come te, compaiono Bulgari e Fastweb, con Getty Images, Lenovo, Lufthansa e Iberdrola.

Guarda chi c’è nella Sezione 2: non aziende di intelligenza artificiale, ma un marchio del lusso, un operatore telefonico, una compagnia aerea. Aziende che usano l’AI per comunicare, esattamente come te.

Firmare ti dà più certezza giuridica, perché la vigilanza guarda l’aderenza al Codice invece di fare controlli caso per caso. Da deployer ha senso se pubblichi deepfake o testi sintetici di interesse pubblico, o se vuoi dimostrare buona fede.

Da compilare e inviare a cnect-aioffice-code-of-practice-transparency@ec.europa.eu
Istruzioni ufficiali: come firmare il Codice e FAQ sulla firma.

Il quadro completo: i 4 livelli di rischio dell’AI Act

L’articolo 50 è un pezzo di un impianto più grande. L’AI Act classifica ogni sistema in quattro livelli di rischio, e a ciascuno corrispondono obblighi diversi.

Quando è entrata in vigore l’AI Act? Tutte le scadenze

Qui si fa la confusione più grossa, perché l’AI Act non è entrato in vigore tutto insieme. Il Regolamento è in vigore dal 1° agosto 2024, ma le sue regole diventano applicabili a scaglioni. Per questo c’è chi dice “si applica già” e chi dice “non ancora”: hanno ragione entrambi, parlano di pezzi diversi.

Le date che contano, aggiornate dopo il Digital Omnibus (adottato in via definitiva dal Consiglio UE il 29 giugno 2026):

• 2 febbraio 2025: divieti sulle pratiche a rischio inaccettabile e obbligo di AI literacy per il personale.
• 2 agosto 2025: regole per i modelli di uso generale (GPAI).
• 10 ottobre 2025: entra in vigore la legge italiana 132/2025.
• 2 agosto 2026: obblighi di trasparenza dell’articolo 50. È la data che riguarda il tuo sito.
• 2 dicembre 2026: scade la transizione per il watermarking sui sistemi già sul mercato, e scattano due nuovi divieti (sistemi che generano materiale pedopornografico e app “nudifier”).
• 2 dicembre 2027 e 2 agosto 2028: sistemi ad alto rischio.

Il messaggio pratico: le regole sulla trasparenza non sono più in arrivo, sono qui. E le proroghe sull’alto rischio non ti riguardano se usi l’AI per contenuti e assistenza clienti.

Dove leggere il testo ufficiale dell’AI Act in italiano

Se vuoi verificare invece di fidarti di me (ed è la cosa giusta da fare), il testo è pubblico e gratuito. Non serve comprare nessuna guida.

• Regolamento UE 2024/1689, testo integrale su EUR-Lex, in italiano, anche in PDF.
• Articolo 50 sul portale ufficiale UE, più leggibile se ti serve una singola norma.
• Linee guida della Commissione e FAQ ufficiali sull’articolo 50: come la Commissione interpreta la norma in pratica.

E in Italia? La legge 132/2025 in due minuti

L’Italia è stata tra i primi Paesi europei a dotarsi di una legge nazionale sull’intelligenza artificiale. La Legge 23 settembre 2025, n. 132 è in vigore dal 10 ottobre 2025 e non sostituisce l’AI Act: gli si affianca. Il Regolamento europeo si applica direttamente in Italia; la legge italiana definisce la governance nazionale e interviene sulle materie lasciate agli Stati.

Per quello che riguarda questa guida, il messaggio è semplice: sul fronte trasparenza la legge 132/2025 ribadisce lo stesso principio dell’articolo 50, quindi se metti a posto il chatbot e le dichiarazioni sui contenuti sei a posto anche lato italiano. La vigilanza spetta ad AgID e ad ACN, che ha i poteri ispettivi e sanzionatori.

Ma la legge italiana contiene anche cose che l’AI Act non tocca affatto, e che possono riguardarti da vicino: il diritto d’autore sui contenuti generati con l’AI, l’obbligo per i professionisti di dirlo ai clienti, il nuovo reato di deepfake e le regole sull’uso dell’AI da parte dei minori.

Cosa rischi: le sanzioni

Le sanzioni dell’AI Act sono fissate dall’articolo 99, sono pensate per essere dissuasive e sono proporzionate alla gravità della violazione:

• Fino a 35 milioni di euro o il 7% del fatturato mondiale annuo, per l’uso di pratiche vietate (rischio inaccettabile).
• Fino a 15 milioni di euro o il 3% del fatturato, per la violazione degli obblighi di trasparenza dell’articolo 50.
• Fino a 7,5 milioni di euro o l’1% del fatturato, per informazioni inesatte o fuorvianti fornite alle autorità.

Per le imprese si applica l’importo più alto tra la cifra fissa e la percentuale. Per le PMI e le startup vale invece il criterio opposto, una tutela pensata apposta per le realtà piccole: si applica l’importo più basso dei due. Le cifre massime restano pensate per i grandi, ma il segnale è chiaro per tutti: la trasparenza non è un dettaglio.

La mia esperienza: come ho reso conforme il chatbot AI di Hostar

Fin qui la teoria. Adesso ti mostro un caso vero, su un prodotto pubblicato, che puoi aprire e verificare mentre leggi.

Ho da poco messo online il sito di documentazione di Hostar, il mio SaaS per gli affitti brevi: documentazione pubblica e changelog delle release. Dentro c’è un assistente AI che ho costruito e addestrato io su Jotform AI Agents, in regione europea, e integrato nel sito. Aiuta gli host a trovare in pochi secondi la risposta che altrimenti richiederebbe di leggere pagine di manuale.

È il caso da manuale dell’articolo 50: un chatbot con cui parlano persone reali deve essere riconoscibile come AI. Ecco come l’ho risolto, e perché ho fatto queste scelte.

Tre livelli di dichiarazione, prima ancora che l’utente scriva

1. Il fumetto, prima di aprire la chat. Accanto all’avatar in basso a destra compare un messaggio che dice, testualmente:

Ciao, sono l’assistente virtuale IA di Hostar :) come posso aiutarti?

La parola “IA” è lì di proposito, nella primissima frase che l’utente vede. Non in fondo, non in un tooltip da cercare.

2. Il primo messaggio in chat. Quando la conversazione si apre, l’assistente si presenta di nuovo:

Ciao! Sono Hostar, un AI Agent qui per aiutarti. Come posso assisterti oggi?

Ripetere non è ridondanza. Chi arriva alla chat da un link diretto salta il fumetto, e la dichiarazione deve reggere anche in quel percorso.

3. L’avviso permanente sotto il campo di scrittura. Resta visibile per tutta la conversazione:

La conversazione viene registrata. Chattando, accetti i Termini IA.

Questo copre un pezzo che l’articolo 50 non chiede ma il GDPR sì: la registrazione della conversazione. Trasparenza AI e trasparenza sui dati sono due obblighi distinti, e conviene soddisfarli nello stesso punto dell’interfaccia.

C’è poi un quarto livello, invisibile ma non meno importante: l’etichetta accessibile del widget è Hostar AI assistant. Chi naviga con uno screen reader sente “AI assistant” prima ancora di interagire. Una dichiarazione che non arriva a chi non vede lo schermo è una dichiarazione a metà.

Perché questa implementazione supera quello che chiede la legge

L’articolo 50(5) dice che l’informazione va data “al più tardi al momento della prima interazione o esposizione”. La formula chiave è al più tardi: è una scadenza, non un obiettivo.

Qui la dichiarazione arriva prima della prima interazione. L’utente sa di avere davanti un’AI mentre sta ancora decidendo se cliccare. È un passo oltre la scadenza, e costa zero: sono venti parole scritte bene.

La scelta sui dati: regione europea

L’agente gira su infrastruttura in regione UE. È una decisione che l’AI Act non impone, ma che semplifica tutto il capitolo GDPR: le conversazioni con i clienti sono dati personali, e tenerli nell’Unione europea evita il tema dei trasferimenti extra UE.

Quando scegli uno strumento di AI conversazionale, questa è la domanda da fare al fornitore prima di firmare, non dopo.

Se ti interessa il prodotto dietro l’esempio, l’ho raccontato qui: Hostar, guida digitale per affitti brevi.

La checklist che applico su ogni sito

Ecco la checklist che applico su ogni sito quando entra in gioco l’AI:

1. Mappo dove uso l’AI: chatbot, immagini, testi, automazioni. Non puoi essere trasparente su ciò che non sai di avere.
2. Verifico il fornitore: lo strumento applica la marcatura tecnica? Con che account (i piani gratuiti spesso usano i tuoi dati per l’addestramento).
3. Metto l’avviso sul chatbot, con una frase chiara al primo messaggio.
4. Dichiaro i contenuti a rischio inganno (deepfake, immagini fotorealistiche di situazioni finte).
5. Tengo la responsabilità editoriale umana sui testi informativi, così l’esenzione dell’articolo 50 si applica davvero.