L'AI Act dal 2 agosto - sito web, contenuti, chatbot

Se scrive il blog della Sua azienda con l'aiuto dell'IA, da agosto deve etichettarlo?

È la domanda che mi sento fare più spesso in questo periodo. La risposta è: molto probabilmente no, ma ci sono tre situazioni che richiedono un intervento, e una di queste riguarda praticamente ogni azienda con un chatbot sul proprio sito web.

Il 2 agosto 2026 è entrato in applicazione il livello successivo dell'AI Act europeo. Invece di riassumere il regolamento, l'ho letto con una sola domanda in mente: che cosa deve fare concretamente il titolare di una piccola o media impresa che ha un sito web, pubblica contenuti con regolarità e usa l'IA dietro le quinte del lavoro quotidiano.

Prima una premessa onesta: non sono un avvocato. Sono uno sviluppatore che integra l'IA nei sistemi gestionali e ho dovuto leggere tutto questo per sapere che cosa costruire. Per una situazione insolita o con una posta in gioco elevata, si rivolga a un avvocato.

Anzitutto le proporzioni: ciò che arriva ora è leggero

Attorno all'AI Act è cresciuta parecchia paura, quindi partiamo dalle proporzioni. Gli obblighi in vigore dal 2 agosto si riducono alla trasparenza: dire alle persone quando parlano con una macchina e quando guardano contenuti prodotti da una macchina. Certificazioni, audit e sistemi di gestione della qualità stanno su tutt'altro scaffale: riguardano i sistemi ad alto rischio.

Quegli obblighi più pesanti, cioè l'IA nella selezione del personale, nella valutazione dei dipendenti, nel credit scoring o nell'istruzione, dovevano arrivare nello stesso momento, ma sono stati rinviati. Il regolamento (UE) 2026/1744, il cosiddetto omnibus digitale, pubblicato il 24 luglio e in vigore dal 27 luglio 2026, li ha spostati dal 2 agosto 2026 al 2 dicembre 2027. L'IA integrata nei prodotti regolamentati (dispositivi medici, giocattoli, aviazione) ha tempo fino al 2 agosto 2028.

Quindi, se il Suo sistema ha un modulo che valuta i candidati o dà un giudizio sui dipendenti, c'è tempo fino al 2 dicembre 2027 per adeguarlo. Vale la pena dedicarlo a una preparazione tranquilla.

L'articolo 50 in sé è rimasto invariato. L'unico alleggerimento riguarda il lato tecnico per i fornitori di strumenti: la marcatura dei contenuti in un formato leggibile meccanicamente (articolo 50, paragrafo 2) si applica ai sistemi già immessi sul mercato prima del 2 agosto 2026 soltanto dal 2 dicembre 2026. Per un'azienda che usa l'IA, gli obblighi valgono dal 2 agosto.

Prima domanda: devo etichettare i testi del mio sito web

È il cuore della questione, ed è qui che la risposta sbagliata compare più spesso.

La norma (articolo 50, paragrafo 4, dell'AI Act) impone di dichiarare un testo generato dall'IA solo quando è pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico. Quella formulazione mira al giornalismo e al commento, a un portale che inonda i lettori di notizie generate automaticamente. Il resoconto dell'avviamento di un sistema di produzione, una guida per i clienti o la descrizione di un servizio restano fuori da questo ambito.

Anche se qualcuno provasse a forzare l'interpretazione, la norma prevede una seconda esenzione, ed è quella che conta di più per le aziende. L'obbligo non si applica quando il contenuto è stato sottoposto a revisione umana o a controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione.

Lei legge il testo prima di pubblicarlo. Lo corregge. Decide che cosa va sul sito. Pubblica con il proprio marchio e se ne assume la responsabilità. Questo è controllo editoriale, un atto giuridicamente rilevante e con un peso reale. L'esenzione funziona.

Un'avvertenza: la Commissione europea interpreta questa esenzione in modo restrittivo. Conta una revisione sostanziale da parte di una persona che conosce la materia, più una responsabilità editoriale chiaramente assegnata. Un controllo ortografico o un rapido cenno di approvazione non bastano.

Conclusione: un blog aziendale, una newsletter, la descrizione di un servizio o il resoconto di un progetto per cui l'IA ha scritto la prima bozza e Lei l'ha letta, corretta e approvata non richiedono alcuna etichetta.

Seconda domanda: e le immagini

Qui la faccenda si fa più seria, perché l'esenzione per controllo editoriale copre solo i testi. Immagini, video e audio ne restano fuori. Il fatto che Lei abbia guardato una grafica e l'abbia approvata non cambia nulla.

Inoltre, la definizione di deepfake arriva più lontano di quanto molti pensino. La lettera della norma (articolo 3, punto 60) parla di contenuti che assomigliano a persone, oggetti, luoghi o eventi esistenti e che apparirebbero falsamente autentici. Gli orientamenti della Commissione estendono questo criterio a tutto ciò che esiste o potrebbe plausibilmente esistere nella realtà. La foto realistica di una persona mai esistita rientra quindi nella definizione. Una foto di prodotto generata dall'IA in una pubblicità, una voce fuori campo sintetica in un video, una fotografia pesantemente rielaborata: tutto questo va dichiarato.

Ne resta fuori il materiale apertamente fantastico, che non potrebbe esistere nella realtà, insieme alle piccole correzioni tecniche come il bilanciamento del colore o la nitidezza.

È utile anche sapere che cosa la norma lascia da parte: un grafico ricavato da un foglio di calcolo, un diagramma, una slide, un'infografica costruita con tipografia e forme. È il risultato deterministico di uno strumento, anche quando l'IA ha aiutato con l'impaginazione. Il confine passa là dove un modello generativo produce un'immagine realistica. Entrambe le grafiche di questo articolo sono esattamente questo caso: costruite con tipografia, colore e forme, quindi l'obbligo di etichettatura non le riguarda.

Terza domanda: il chatbot sul Suo sito web

È l'unico dei tre obblighi che arriva senza esenzioni, ed è per questo che conta di più.

Se sul Suo sito web funziona un chatbot, un voicebot o un assistente che gestisce i clienti, dal 2 agosto deve dichiarare di essere un'IA. In modo chiaro, visibile, al più tardi al momento della prima interazione. Una menzione nei termini di servizio o nell'informativa sulla privacy non basta. Non cambia nulla nemmeno il fatto che una persona legga le conversazioni in seguito.

Esiste un'unica eccezione, molto circoscritta: quando il contatto con l'IA è evidente per una persona ragionevolmente informata. La Commissione la interpreta in modo restrittivo, quindi contarci è una scommessa rischiosa. Aggiungere «assistente IA» nell'intestazione della finestra della chat chiude la questione in cinque minuti.

La tabella decisionale

Una pagina da scorrere, e l'argomento sparisce dalla Sua scrivania.

Ciò che quasi tutti dimenticano: l'alfabetizzazione in materia di IA

C'è un altro obbligo, in vigore da febbraio 2025, di cui la maggior parte delle aziende non ha mai sentito parlare. L'articolo 4 dell'AI Act chiede ai fornitori e ai deployer di curare l'alfabetizzazione in materia di IA delle persone che lavorano con l'IA per loro conto. L'omnibus digitale ne ha ammorbidito la formulazione: oggi è un obbligo di adottare misure adeguate a sostegno di tale alfabetizzazione, un obbligo di mezzi più che di risultato.

In una piccola azienda è un progetto modesto. In pratica basta una sola pagina: quali strumenti di IA usiamo, per che cosa si possono usare, che cosa non va mai incollato al loro interno (dati personali, dati dei clienti, segreti commerciali), chi controlla il risultato prima che venga pubblicato o inviato a un cliente. Un'ora di lavoro, e in un audit, in una gara d'appalto o in un colloquio con un partner più grande fa un'ottima impressione.

Chi fa rispettare queste regole, e dove

L'AI Act si applica direttamente in tutta l'UE, mentre la vigilanza spetta agli Stati membri. Ciascuno designa la propria autorità di vigilanza del mercato, e i nomi cambiano. In Germania l'autorità generale è la Bundesnetzagentur, in base alla legge di attuazione in vigore dal 29 luglio 2026. In Polonia questo ruolo spetta alla nuova Commissione per lo sviluppo e la sicurezza dell'intelligenza artificiale (KRiBSI): la legge è stata firmata il 24 luglio 2026 e l'organismo dovrebbe entrare in funzione intorno a novembre 2026. Se opera su più mercati, conviene verificare l'autorità competente per ciascuno di essi.

C'è un elemento che vale la pena conoscere ovunque Lei si trovi: gli spazi di sperimentazione normativa (sandbox). Ogni Stato membro deve gestirne almeno uno per l'IA, un ambiente sorvegliato in cui testare le soluzioni prima che arrivino sul mercato, e le piccole e medie imprese vi accedono in via prioritaria e gratuitamente. Se sta costruendo qualcosa di insolito e la classificazione non è chiara, è una strada concreta.

Le sanzioni per la violazione degli obblighi di trasparenza arrivano a 15 milioni di euro o al 3 % del fatturato mondiale annuo, se superiore. Per le piccole e medie imprese si applica il minore dei due importi, quindi la sanzione resta proporzionata alle dimensioni. Vale comunque la pena notare che la vigilanza dispone di strumenti incisivi.

Che cosa farei questa settimana

Tre cose, ciascuna da una sola giornata di lavoro. Primo: verifichi se sul Suo sito web funziona un bot o un assistente e, in caso affermativo, aggiunga un'indicazione visibile che si tratta di un'IA. Secondo: passi in rassegna le grafiche del sito e dei materiali di marketing per vedere se qualcuna è un'immagine realistica prodotta da un modello generativo, ed etichetti quelle. Terzo: metta per iscritto, in una pagina, le regole sull'uso dell'IA nella Sua azienda e le consegni al team.

E una cosa che la legge non richiede, ma che vale comunque la pena considerare: una nota in fondo all'articolo che dica che il testo è stato prodotto con il supporto di strumenti di IA e che una persona indicata per nome risponde del suo contenuto. Giuridicamente non necessaria. Eppure, in un momento in cui i clienti chiedono sempre più spesso se un testo l'abbia scritto una persona, la trasparenza ripaga.

Infine: lo stesso vale per i sistemi che ha costruito

Se inserisce l'IA nel proprio sistema, in un CRM, in un ERP o in un flusso documentale, gli stessi principi si traducono in architettura. La strada più semplice verso la conformità è costruire in modo che l'IA proponga mentre la decisione resta a una persona: analisi in sola lettura, una soglia di confidenza visibile, una persona che approva la scrittura e una traccia di audit di chi ha deciso che cosa e quando. Un sistema così rispetta lo spirito del regolamento strada facendo.

È esattamente così che di recente ho costruito l'inserimento automatico degli ordini nel sistema di produzione di un cliente. L'IA legge le e-mail e i disegni tecnici e prepara le proposte, mentre il record compare solo dopo il clic di una persona.

Usa l'IA nel Suo sistema e non sa da che parte del confine si trova? Mi scriva e lo verifichiamo insieme.

Situazione giuridica al 29 luglio 2026. Questo articolo ha carattere informativo e non costituisce consulenza legale.