Obblighi di Trasparenza del Regolamento UE sull'IA (Art. 50) — Chatbot, Deepfake e Contenuti Sintetici

La maggior parte dei sistemi AI non sono ad alto rischio — rientrano negli obblighi di trasparenza dell'Art. 50. Se dispieghete un chatbot, generate immagini sintetiche o utilizzate il riconoscimento delle emozioni, ecco esattamente cosa dovete comunicare e contrassegnare.

Chi rientra nell'Art. 50 (non ad alto rischio)

Il Regolamento UE sull'IA stabilisce un quadro di rischio stratificato. La maggior parte dei sistemi AI dispiegati oggi non si qualifica come ad alto rischio ai sensi dell'Allegato III o dell'Allegato I — rientrano in una delle due categorie più leggere:

• Solo obblighi di trasparenza (Art. 50): chatbot, generatori di deepfake, sistemi di contenuto sintetico, sistemi di riconoscimento delle emozioni e strumenti di categorizzazione biometrica
• Rischio minimo: filtri antispam, IA nei giochi, sistemi di raccomandazione — soggetti solo a codici di condotta volontari

La distinzione critica dai sistemi ad alto rischio dell'Allegato III è che i sistemi solo per la trasparenza richiedono la comunicazione, non la valutazione della conformità, la documentazione tecnica o la marcatura CE. L'onere è sostanzialmente inferiore, ma la non conformità è comunque un reato sanzionabile con sanzioni fino a €7,5 milioni.

Capire quale livello occupa il vostro sistema è il primo passo di conformità. Lo strumento classificatore di rischio AI può aiutarvi a determinare quali obblighi si applicano.

Art. 50(1) — IA conversazionale e Chatbot

Qualsiasi sistema AI progettato per interagire direttamente con persone fisiche deve notificare all'utente che sta interagendo con un sistema AI. La comunicazione deve essere:

• Tempestiva — effettuata all'inizio dell'interazione, prima che inizi uno scambio significativo
• Chiara e distinguibile — non sepolta nelle condizioni di servizio o nei piè di pagina in piccolo
• Intelligibile — adattata al contesto in modo che la persona la comprenda effettivamente

Ambito: Bot per il servizio clienti, assistenti virtuali, agenti telefonici AI, IA conversazionale integrata nei social media e chat di supporto AI sui siti web. Se un'interfaccia rivolta agli esseri umani utilizza un modello linguistico per condurre dialoghi, si applica l'Art. 50(1).

Esenzione 1: Quando la natura artificiale è ovvia dal contesto — ad esempio, un assistente AI chiaramente marchiato con un avatar robotico in un'interfaccia di prodotto — l'obbligo di comunicazione può essere considerato soddisfatto. Ma "ovvio" è un requisito elevato; i soli indizi impliciti dell'interfaccia utente difficilmente saranno sufficienti quando gli utenti potrebbero ragionevolmente credere di stare parlando con un essere umano.

Esenzione 2: Sistemi autorizzati dalla legge nazionale per scopi di contrasto (ad es. strumenti di indagine sotto copertura utilizzati dalle autorità competenti).

Scadenza di conformità: 2 agosto 2026 (prorogata dal Digital Omnibus 2026 rispetto alla data originale del 2 agosto 2025). I sistemi dispiegati prima di questa scadenza devono essere portati in conformità — non sono previste deroghe.

Art. 50(2) — Comunicazione del Riconoscimento delle Emozioni

I fornitori e i deployer di sistemi di riconoscimento delle emozioni devono informare le persone fisiche il cui stato emotivo o psicologico viene dedotto. Ciò include i sistemi che rilevano, classificano o valutano emozioni come felicità, rabbia, disagio, coinvolgimento o inganno da espressioni facciali, tono vocale, segnali fisiologici o indicatori comportamentali.

Ambito: Strumenti di analisi dei colloqui HR che valutano il coinvolgimento o lo stress del candidato; sistemi di sentiment dei clienti che monitorano le interazioni dei call center; strumenti di screening della sicurezza che affermano di rilevare l'intento ingannevole; sistemi retail che tracciano la risposta emotiva ai prodotti.

Non coperto: Sistemi AI che rilevano stati fisiologici esclusivamente per scopi di sicurezza — ad esempio, i sistemi di rilevamento del conducente assonnato che monitorano i movimenti degli occhi e attivano un avviso ma non deducono o registrano stati emotivi per altri usi. L'esenzione per scopo di sicurezza è ristretta; i sistemi ridestinati alla profilazione perdono l'esenzione.

Dove il sistema di riconoscimento delle emozioni è anche un sistema ad alto rischio ai sensi dell'Allegato III (ad es. screening per l'occupazione), si applicano tutti gli obblighi ad alto rischio in aggiunta alla comunicazione dell'Art. 50(2).

Art. 50(3) — Comunicazione della Categorizzazione Biometrica

I sistemi AI che deducono attributi personali sensibili — tra cui l'origine etnica o razziale, le opinioni politiche, l'appartenenza sindacale, le credenze religiose o filosofiche, o l'orientamento sessuale — dai dati biometrici devono informare le persone esposte al sistema.

Questo obbligo si applica ai sistemi che categorizzano le persone fisiche basandosi su input biometrici, indipendentemente dal fatto che la categorizzazione sia lo scopo principale o un'inferenza a valle. Un sistema che utilizza il riconoscimento facciale per dedurre probabili attributi demografici attiva l'Art. 50(3) anche se il suo scopo dichiarato è altro.

Confine importante con l'Art. 5: L'identificazione biometrica remota in tempo reale in spazi accessibili al pubblico da parte delle forze dell'ordine è assolutamente vietata ai sensi dell'Art. 5, non semplicemente soggetta a comunicazione. Dove un sistema è vietato, gli obblighi di trasparenza sono irrilevanti — non può essere legalmente dispiegato. Consultate le pratiche vietate ai sensi dell'Art. 5 per l'elenco completo dei sistemi vietati.

Art. 50(4) — Marcatura dei Contenuti Generati dall'IA e Sintetici

I fornitori di sistemi AI che generano o manipolano contenuti audio, immagini, video o testo sintetici su scala devono contrassegnare tecnicamente l'output in un formato leggibile da macchina. Il contrassegno deve:

• Essere rilevabile e interoperabile tra piattaforme e strumenti di verifica
• Persistere quando il contenuto viene condiviso, ricodificato o ridistribuito
• Rispettare lo standard tecnico sviluppato dall'Ufficio AI europeo (lo standard di provenienza dei contenuti generati dall'IA, talvolta denominato ATMF)

Ambito: Generatori di immagini da testo (equivalenti di Midjourney, Stable Diffusion, DALL-E); strumenti di sintesi video e deepfake; sistemi di clonazione vocale; assistenti di scrittura AI che producono output su larga scala (ad es. generazione automatica di notizie, testi di marketing su scala senza revisione editoriale).

Esenzione: Sistemi AI che generano contenuti che hanno subito revisione editoriale umana per cui un essere umano si assume la responsabilità editoriale. Un giornalista che utilizza uno strumento di bozza AI, esamina e modifica sostanzialmente l'output prima della pubblicazione, esulano dall'obbligo di marcatura per quell'uso specifico. Lo stesso sistema dispiegato senza supervisione editoriale non è esente.

I fornitori dovrebbero implementare la marcatura tecnica a livello infrastrutturale — watermarking, metadati di provenienza crittografica o credenziali di contenuto conformi agli standard — non come funzionalità opzionale, ma come comportamento di output predefinito.

Art. 50(5) — Obbligo del Deployer per la Comunicazione dei Deepfake

Quando un deployer utilizza un sistema AI per produrre contenuti deepfake — immagini, audio o video sintetici o manipolati di persone reali — il deployer deve chiaramente etichettare il contenuto come generato o manipolato dall'IA. L'etichetta deve essere:

• Visibile nel caso di contenuti di immagini o video
• Udibile nel caso di contenuti audio
• Posizionata in modo da essere evidente per il pubblico, non solo incorporata nei metadati

Esenzioni: Contenuti prodotti per satira, parodia o espressione artistica dove la natura generata dall'IA è ovvia per il pubblico. I creatori che lavorano in formati chiaramente parodistici o satirici dovrebbero comunque documentare la propria intenzione, poiché le autorità di applicazione valuteranno se la natura artificiale fosse genuinamente ovvia nel contesto.

Questo obbligo ricade sul deployer — l'organizzazione o la persona fisica che mette in uso il contenuto — non solo sul fornitore del sistema. Un'agenzia di marketing che utilizza uno strumento video deepfake di terze parti è il deployer e porta l'obbligo di etichettatura.

Fasi pratiche di conformità per tipo di sistema

I deployer che utilizzano sistemi AI di terze parti hanno obblighi di trasparenza indipendentemente dal fatto che il fornitore li abbia rispettati. Un deployer non può fare affidamento sulla comunicazione del fornitore come sostituto della propria.

Rapporto con il GDPR

Gli obblighi di trasparenza dell'Art. 50 sono giuridicamente indipendenti dall'Art. 22 del GDPR (processo decisionale individuale automatizzato). Lo stesso sistema può generare entrambi i quadri simultaneamente.

Esempio: Un chatbot utilizzato come prima fase di un processo di richiesta di prestito deve:

1. Comunicare che è un sistema AI all'inizio della conversazione (Art. 50(1))
2. Se il chatbot prende o contribuisce in modo significativo a una decisione esclusivamente automatizzata con effetti giuridici o analogamente significativi, il deployer deve anche fornire i diritti dell'Art. 22 del GDPR — il diritto di non essere soggetti alla decisione automatizzata, il diritto alla revisione umana e il diritto a una spiegazione

Le organizzazioni che dispiegano AI nei settori regolamentati (servizi finanziari, assicurazioni, HR) dovrebbero mappare sia gli obblighi dell'Art. 50 che l'applicabilità dell'Art. 22 del GDPR come parte della stessa revisione di conformità. I quadri sono complementari, non si escludono a vicenda.

Sanzioni per la Non Conformità

Le violazioni degli obblighi di trasparenza dell'Art. 50 comportano sanzioni fino a €7,5 milioni o 1,5% del fatturato annuo mondiale totale dell'esercizio precedente, a seconda di quale sia il maggiore. Per le PMI e le start-up, il massimale percentuale produce generalmente un importo inferiore; per le grandi imprese, è più probabile che si applichi il massimale assoluto.

Il potere di applicazione spetta alle autorità nazionali di vigilanza del mercato designate ai sensi dell'Art. 74, e all'Ufficio AI dell'UE per i fornitori di modelli GPAI. Le azioni di vigilanza possono includere indagini formali, misure provvisorie, ordini di sospensione del dispiegamento e comunicazione pubblica dei risultati.

La non conformità con gli obblighi di etichettatura e marcatura dovrebbe essere tra le prime priorità di applicazione data l'elevata rilevanza pubblica dei media sintetici e dei deepfake — i regolatori in diversi Stati membri hanno già segnalato l'intenzione di agire sui contenuti generati dall'IA non etichettati prima che l'applicazione più ampia per i sistemi ad alto rischio sia operativa.

Passi Successivi

• Utilizzate il classificatore di rischio AI per determinare se il vostro sistema è solo per la trasparenza o ad alto rischio
• Esaminate le pratiche vietate ai sensi dell'Art. 5 per confermare che il vostro sistema non rientri in una categoria vietata prima di valutare gli obblighi di trasparenza
• Monitorare la pubblicazione da parte dell'Ufficio AI europeo dello standard di provenienza dei contenuti generati dall'IA per i requisiti di marcatura tecnica dell'Art. 50(4)