Art. 50 AI Act: gli obblighi di trasparenza sull’intelligenza artificiale

L’articolo 50 del Regolamento (UE) 2024/1689, il cosiddetto AI Act, è la norma con cui il legislatore europeo disciplina la trasparenza nell’uso dell’intelligenza artificiale. Non vieta l’impiego di questi sistemi: impone di rendere riconoscibili l’interazione con una macchina e i contenuti generati o manipolati artificialmente, in modo che le persone possano valutarli con consapevolezza. È l’unico articolo del Capo IV del Regolamento e si rivolge sia ai fornitori sia a chi utilizza i sistemi.

Ai sensi dell’articolo 113, il Regolamento si applica in via generale dal 2 agosto 2026, ed è questa la data da cui operano gli obblighi dell’articolo 50. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026, ha rinviato le scadenze dei sistemi ad alto rischio ma non quelle dell’articolo 50. Ha previsto soltanto una proroga limitata: per i sistemi soggetti alla marcatura dell’articolo 50, paragrafo 2, immessi sul mercato prima del 2 agosto 2026, l’obbligo si applica dal 2 dicembre 2026.

Il Regolamento distingue il fornitore, che sviluppa un sistema di IA o lo fa sviluppare e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio, dal deployer, che utilizza un sistema sotto la propria autorità, escluso l’uso nell’ambito di un’attività personale non professionale (articolo 3). Il professionista, lo studio e l’impresa che adoperano strumenti di IA nella propria attività sono di regola deployer. Il paragrafo 1 e il paragrafo 2 sono rivolti ai fornitori; i paragrafi 3 e 4 ai deployer.

Secondo il paragrafo 1, il fornitore deve assicurare che i sistemi destinati a interagire direttamente con persone fisiche siano progettati e sviluppati in modo che gli interessati siano informati di stare interagendo con un sistema di IA, a meno che ciò risulti evidente dal punto di vista di una persona ragionevolmente informata, attenta e avveduta. L’obbligo non si applica ai sistemi autorizzati dalla legge per accertare, prevenire, indagare o perseguire reati, con adeguate garanzie, salvo che siano a disposizione del pubblico per segnalare reati. I chatbot rivolti a clienti o utenti ne sono l’esempio tipico.

Il paragrafo 2 impone ai fornitori di sistemi, anche di uso generale, che generano contenuti sintetici audio, immagini, video o testuali di assicurare che gli output siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente. Le soluzioni tecniche devono essere efficaci, interoperabili, solide e affidabili nei limiti della fattibilità tecnica, tenendo conto delle specificità dei contenuti, dei costi di attuazione e dello stato dell’arte. L’obbligo non si applica ai sistemi che svolgono una funzione di assistenza per l’editing standard o che non modificano in modo sostanziale i dati di input forniti dal deployer.

Il paragrafo 3 prevede che i deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica informino le persone fisiche esposte al funzionamento del sistema e trattino i dati personali conformemente alla normativa dell’Unione sulla protezione dei dati. Anche qui è prevista un’esenzione per i sistemi autorizzati dalla legge a fini di accertamento e perseguimento di reati, con adeguate garanzie. Le nozioni sono definite dall’articolo 3 del Regolamento.

Il paragrafo 4 impone ai deployer di un sistema che genera o manipola immagini, contenuti audio o video che costituiscono un deepfake di rendere noto che il contenuto è stato generato o manipolato artificialmente. L’articolo 3 definisce il deepfake come un contenuto di immagini, audio o video generato o manipolato dall’IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero a una persona.

Quando il contenuto fa parte di un’opera manifestamente artistica, creativa, satirica, fittizia o analoga, l’obbligo è limitato alla divulgazione dell’esistenza del contenuto generato o manipolato in modo appropriato, che non ostacoli la fruizione dell’opera. Per i testi generati o manipolati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, il deployer deve dichiararne l’origine artificiale, salvo che il contenuto abbia subito un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica ne abbia la responsabilità editoriale.

Secondo il paragrafo 5 le informazioni devono essere fornite in modo chiaro e distinguibile al più tardi al momento della prima interazione o esposizione e devono rispettare i requisiti di accessibilità applicabili. Il paragrafo 6 precisa che l’articolo 50 non pregiudica i requisiti del Capo III né altri obblighi di trasparenza previsti dal diritto dell’Unione o nazionale per i deployer. Il paragrafo 7 incoraggia l’elaborazione di codici di buone pratiche a livello di Unione per agevolare l’efficace attuazione degli obblighi di rilevazione e di etichettatura dei contenuti, e consente alla Commissione di adottare atti di esecuzione per approvarli o per stabilire norme comuni di attuazione.

La violazione degli obblighi di trasparenza dei fornitori e dei deployer ai sensi dell’articolo 50 è sanzionata dall’articolo 99, paragrafo 4, con sanzioni amministrative pecuniarie fino a 15 milioni di euro o, per le imprese, fino al 3 per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. L’irrogazione è affidata alle autorità designate dagli Stati membri.

In Italia la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, integra il Regolamento europeo con disposizioni nazionali. L’articolo 13 stabilisce che nelle professioni intellettuali l’IA può essere utilizzata solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale, e che le informazioni sui sistemi utilizzati sono comunicate al destinatario della prestazione con linguaggio chiaro, semplice ed esaustivo. La stessa legge ha introdotto nel Codice penale l’articolo 612-quater, che punisce l’illecita diffusione, senza consenso e con danno ingiusto, di immagini, video o voci falsificati o alterati mediante sistemi di IA.

Per studi professionali e imprese occorre mappare gli strumenti di IA in uso, qualificare il proprio ruolo di fornitore o di deployer, definire formule informative chiare per chatbot e contenuti pubblicati, stabilire procedure di revisione umana dei testi destinati al pubblico e conservare evidenza dei controlli effettuati. Per i fornitori rileva inoltre la marcatura tecnica degli output.