Articolo 50 — Obblighi di trasparenza per i fornitori e i deployer di determinati sistemi di IA (Regolamento IA UE)

Articolo 50 del Regolamento (UE) 2024/1689 — Obblighi di trasparenza per i fornitori e i deployer di determinati sistemi di IA. Testo ufficiale, interpretazione pratica, obblighi principali e implicazioni per la conformità.

Sintesi del testo ufficiale

L'Articolo 50 del Regolamento (UE) 2024/1689 (il Regolamento IA UE) stabilisce obblighi di trasparenza per i fornitori e i deployer di specifiche categorie di sistemi di IA. È la disposizione cardine del Titolo IV e affronta il rischio che gli individui possano essere ingannati circa il fatto di stare interagendo con un essere umano o con un sistema di IA, oppure se il contenuto che consumano sia stato generato artificialmente.

Ai sensi dell'Articolo 50(1), i fornitori di sistemi di IA progettati per interagire direttamente con persone fisiche devono garantire che tali sistemi siano progettati in modo da consentire agli utenti di essere informati, chiaramente e senza ambiguità, che stanno interagendo con un sistema di IA. Tale obbligo grava sul fornitore nella fase di progettazione.

L'Articolo 50(2) estende gli obblighi ai deployer: qualsiasi deployer che utilizzi un sistema di riconoscimento delle emozioni o un sistema di categorizzazione biometrica deve informare le persone fisiche esposte ad esso del suo funzionamento.

L'Articolo 50(3) richiede ai deployer che utilizzano sistemi di IA per generare o manipolare contenuti di immagini, audio o video che costituiscono un deepfake di divulgare che il contenuto è stato generato o manipolato artificialmente. Si applica una deroga limitata quando tale utilizzo è evidentemente legittimo o creativamente necessario.

L'Articolo 50(4) riguarda il testo generato dall'IA pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico: i deployer devono divulgare che il testo è stato prodotto da un sistema di IA, a meno che non sia avvenuta una revisione editoriale umana e l'output sia stato sostanzialmente modificato.

L'Articolo 50(5) impone obblighi ai fornitori di modelli di IA di uso generale (GPAI) di garantire che gli output siano leggibili automaticamente e possano essere identificati come generati dall'IA, in particolare per contenuti audio, immagini, video o testo sintetici.

Cosa significa nella pratica

L'Articolo 50 riguarda direttamente qualsiasi organizzazione che costruisce o distribuisce sistemi di IA che interagiscono con le persone o generano contenuti presentati alle persone.

Per i fornitori di tecnologia, l'obbligo principale sorge nella fase di progettazione e sviluppo. Un'azienda che costruisce un chatbot per il servizio clienti deve progettare un meccanismo di divulgazione — una notifica chiara e anticipata che informa l'utente di stare interagendo con un sistema di IA — prima che il prodotto venga immesso sul mercato o messo in servizio. Questo non può essere un ripensamento o una nota a piè di pagina nei termini di servizio.

Per i deployer — le aziende che integrano strumenti di IA di terze parti nelle loro operazioni — l'obbligo è operativo. Una banca che distribuisce un assistente virtuale basato sull'IA deve garantire che i clienti vengano informati di stare parlando con un'IA all'inizio di ogni interazione. Un'organizzazione mediatica che utilizza l'IA per redigere articoli deve etichettare quel contenuto come generato dall'IA, a meno che un redattore umano qualificato non lo abbia sostanzialmente rivisto e rielaborato.

Per i contenuti sintetici e i deepfake, l'obbligo è particolarmente stringente. I team di marketing che utilizzano immagini di persone generate dall'IA, o i produttori di media che creano audio con voci generate dall'IA, devono allegare una divulgazione — idealmente leggibile automaticamente — a tale contenuto. Le piattaforme che distribuiscono tali contenuti sono incoraggiate, e in alcune interpretazioni obbligate, a rendere visibili queste etichette agli utenti finali.

In termini pratici, le organizzazioni dovrebbero effettuare un inventario dei propri sistemi di IA per identificare quali rientrano nell'ambito dell'Articolo 50, definire un modello di divulgazione allineato ai requisiti dell'Articolo e implementare controlli tecnici — filigranatura, incorporamento di metadati o banner a livello di interfaccia utente — per garantire che la conformità sia sistematica piuttosto che manuale. È consigliabile una formazione interna per i team che distribuiscono strumenti di IA, in modo che gli obblighi di divulgazione siano trattati come un requisito del flusso di lavoro piuttosto che come un'astrazione giuridica.

Obblighi principali

• Obbligo di progettazione per il fornitore: I fornitori devono progettare i sistemi di IA destinati a interagire con persone fisiche in modo che tali sistemi possano divulgare la loro natura di IA chiaramente e senza ambiguità prima o all'inizio dell'interazione.
• Divulgazione da parte del deployer — IA conversazionale: I deployer che utilizzano sistemi di IA per interagire direttamente con gli utenti finali devono informare tali utenti in modo tempestivo e comprensibile che stanno interagendo con un sistema di IA, a meno che ciò non sia evidente dal contesto.
• Divulgazione da parte del deployer — riconoscimento delle emozioni e categorizzazione biometrica: I deployer che gestiscono sistemi di riconoscimento delle emozioni o di categorizzazione biometrica devono notificare gli individui soggetti a tali sistemi del loro utilizzo e funzionamento.
• Etichettatura dei deepfake: I deployer che utilizzano l'IA per generare o manipolare contenuti deepfake (immagini, audio, video che assomigliano a persone, luoghi o eventi reali) devono divulgare chiaramente la natura sintetica o manipolata di tale contenuto.
• Testo generato dall'IA per l'informazione pubblica: I deployer che pubblicano testo generato dall'IA finalizzato a informare il pubblico su questioni di interesse pubblico devono etichettarlo come generato dall'IA, tranne nei casi in cui la revisione editoriale umana abbia portato a una modifica sostanziale.
• Filigranatura leggibile automaticamente per i GPAI: I fornitori di modelli di IA di uso generale che generano contenuti sintetici devono implementare soluzioni tecniche — come la filigranatura o l'assegnazione di tag ai metadati — per garantire che gli output siano identificabili come generati dall'IA e rilevabili automaticamente dai sistemi downstream.

Relazione con altri articoli

L'Articolo 50 opera all'interno dell'architettura di trasparenza più ampia del Regolamento IA UE e deve essere letto insieme ad altre disposizioni.

L'Articolo 13 (Trasparenza e fornitura di informazioni per i sistemi di IA ad alto rischio) stabilisce requisiti di trasparenza paralleli per i sistemi ad alto rischio, concentrandosi sulla documentazione e sulla spiegabilità dirette ai deployer piuttosto che agli utenti finali. Quando un sistema ad alto rischio interagisce anche con persone fisiche, gli Articoli 13 e 50 si applicano contemporaneamente.

L'Articolo 26 (Obblighi dei deployer di sistemi di IA ad alto rischio) integra l'Articolo 50 delineando le più ampie responsabilità operative dei deployer, inclusi il monitoraggio e la supervisione umana, nell'ambito dei quali si inserisce l'obbligo di divulgazione dell'Articolo 50.

Gli Articoli 53 e 54 (Obblighi per i fornitori di modelli GPAI) sono direttamente collegati all'Articolo 50(5), che pone requisiti di filigranatura e leggibilità automatica sui fornitori di GPAI — requisiti che devono essere rispecchiati nella documentazione tecnica e nelle misure di conformità del modello ai sensi degli Articoli 53–54.

I Considerando 132–134 forniscono orientamenti interpretativi sull'intento alla base del Titolo IV, chiarendo l'ambito delle disposizioni sui deepfake e sul riconoscimento delle emozioni e il significato di "evidente dal contesto" nelle disposizioni sulle esenzioni.

Calendario di conformità

Il Regolamento IA UE è entrato in vigore il 1° agosto 2024 (20 giorni dopo la pubblicazione nella Gazzetta ufficiale il 12 luglio 2024). Il Regolamento si applica in modo graduale:

• 2 febbraio 2025 — Le pratiche di IA vietate ai sensi dell'Articolo 5 sono diventate applicabili.
• 2 agosto 2025 — Gli obblighi relativi ai modelli di IA di uso generale (Titolo VIII, Articoli 51–56) e le strutture di governance sono diventati applicabili.
• 2 agosto 2026 — Il Titolo IV, incluso l'Articolo 50, è diventato pienamente applicabile. Fornitori e deployer di IA conversazionale, sistemi di contenuti sintetici, sistemi di riconoscimento delle emozioni e sistemi di categorizzazione biometrica erano tenuti ad avere meccanismi di divulgazione conformi in vigore entro tale data.
• 2 dicembre 2026 — I sistemi di IA ad alto rischio elencati nell'Annex I (normativa sulla sicurezza dei prodotti) devono conformarsi agli obblighi completi per i sistemi ad alto rischio.
• 2 agosto 2027 — I sistemi di IA ad alto rischio elencati nell'Annex III già in servizio (sistemi esistenti immessi sul mercato prima dell'agosto 2024) devono conformarsi.

Le organizzazioni che non avevano ancora implementato meccanismi di divulgazione conformi all'Articolo 50 entro il 2 agosto 2026 sono già in violazione del Regolamento e dovrebbero trattare la remediation come una priorità immediata.