AI Act, cosa cambia per le direzioni IT dal 2 agosto 2026

Dal 2 agosto 2026 entrano in vigore gli obblighi di trasparenza previsti dall’AI Act. L’articolo 50 del regolamento europeo impone a provider e deployer di rendere chiaramente riconoscibili specifici impieghi dell’intelligenza artificiale, tra cui chatbot, contenuti generati o manipolati, deepfake, testi relativi a temi di interesse pubblico, strumenti di categorizzazione biometrica.

La trasparenza richiesta dal regolamento prende forma dentro processi già esistenti: customer care, marketing, comunicazione, HR, portali per clienti e cittadini, servizi finanziari, assicurativi e sanitari. Per i CIO la scadenza riguarda l’architettura dei servizi digitali, i contratti con i fornitori, la gestione delle piattaforme SaaS, la produzione dei contenuti e il controllo della shadow AI.

AI Act, cosa entra in vigore dal 2 agosto 2026

La timeline ufficiale dell’AI Act Service Desk indica il 2 agosto 2026 come data di applicazione delle transparency rules dell’articolo 50 e dell’avvio dell’enforcement per le regole applicabili. La stessa timeline tiene conto delle modifiche introdotte dal Digital Omnibus on AI, che ha ridisegnato alcune scadenze successive, in particolare per i sistemi ad alto rischio.

La Commissione europea ha pubblicato il 20 luglio 2026 le linee guida sugli obblighi di trasparenza per provider e deployer. Il documento serve a chiarire perimetro, casi d’uso, eccezioni e modalità applicative dell’articolo 50.

Per le aziende il punto discriminante è la distinzione tra chi sviluppa o immette sul mercato il sistema (il provider) e chi lo utilizza sotto la propria responsabilità (il deployer)

Le FAQ della Commissione europea sull’articolo 50 definiscono provider le persone fisiche o giuridiche, autorità o organismi che sviluppano un sistema AI, o lo fanno sviluppare, e lo immettono sul mercato o lo mettono in servizio con il proprio nome o marchio.

Il deployer è invece il soggetto che usa un sistema AI sotto la propria autorità, esclusi gli usi personali non professionali. Nelle filiere aziendali questa distinzione può coinvolgere software vendor, system integrator, agenzie, piattaforme cloud, funzioni interne e società del gruppo.

Dove la trasparenza AI Act incide sui sistemi aziendali

Il primo caso riguarda i sistemi che interagiscono direttamente con le persone. Chatbot, agenti conversazionali, avatar e assistenti virtuali devono essere progettati in modo che l’utente sappia di parlare con un sistema IA, salvo i casi in cui la circostanza sia già evidente. La Commissione chiede che l’informazione sia disponibile dall’inizio della prima interazione, in modo chiaro, distinguibile e accessibile.

Il secondo ambito riguarda i contenuti sintetici. I provider di sistemi che generano testo, audio, immagini o video devono garantire marcature machine-readable che consentano di rilevare l’origine artificiale o la manipolazione del contenuto. Per i sistemi già immessi sul mercato prima del 2 agosto 2026 è previsto un periodo transitorio limitato: gli obblighi relativi alla marcatura e alla rilevabilità dell’articolo 50, paragrafo 2, si applicano dal 2 dicembre 2026.

In sintesi, il provider ha obblighi più legati alla progettazione del sistema. Deve fare in modo che:

• gli output sintetici di testo, audio, immagini o video siano marcati in formato machine-readable e rilevabili come generati o manipolati artificialmente
• i sistemi IA destinati a interagire direttamente con persone informino l’utente che sta interagendo con IA, salvo quando è già ovvio.

Il deployer ha obblighi più legati all’uso concreto del sistema.

Deve informare le persone quando usa:

• sistemi di riconoscimento delle emozioni
• sistemi di categorizzazione biometrica
• deepfake
• testi generati o manipolati dall’IA pubblicati per informare il pubblico su temi di interesse pubblico, salvo revisione umana o controllo editoriale sostanziale

Per le direzioni IT questo significa verificare le interfacce dei servizi digitali, i workflow di assistenza e i canali in cui l’IA è integrata in modo invisibile. Un assistente nel portale clienti, un chatbot HR per i dipendenti o un agente in un contact center non possono essere trattati come semplici componenti applicativi. Serve sapere dove sono esposti, chi li configura, quali messaggi mostrano e come vengono aggiornati.

Deepfake, testi pubblici e controllo editoriale

L’articolo 50 incide anche sulla pubblicazione di deepfake e testi generati o manipolati dall’AI su materie di interesse pubblico. Le FAQ della Commissione includono tra questi ambiti servizi pubblici, giustizia, diritti fondamentali, sicurezza pubblica, salute, ambiente, tutela dei consumatori e sviluppi economici, finanziari, scientifici o culturali rilevanti per il dibattito pubblico.

Il testo generato o manipolato dall’AI non richiede etichettatura quando è stato sottoposto a revisione umana o controllo editoriale sostanziale. La Commissione precisa però che correzioni superficiali, controlli grammaticali o passaggi formali non equivalgono a una revisione del contenuto. Per media company, uffici comunicazione, PA, banche, assicurazioni, utilities e grandi imprese questa distinzione tocca processi editoriali, responsabilità legale e approvazioni interne.

Nel caso dei deepfake, l’informativa deve essere chiaramente percepibile da chi fruisce del contenuto. Il deployer non può fare affidamento esclusivamente sulla marcatura tecnica applicata dal provider. Video, audio e immagini manipolati richiedono quindi misure di disclosure visibili lungo l’intera filiera di pubblicazione, distribuzione e riutilizzo.

Costruire una mappa dell’AI già in uso

La scadenza del 2 agosto impone alle organizzazioni di disporre di un inventario aggiornato dei sistemi di AI utilizzati, compresi quelli integrati in applicazioni già acquistate e spesso adottati senza una piena visibilità da parte dell’IT. L’esigenza è tutt’altro che teorica: la State of AI: Global Survey 2025 di McKinsey rileva che l’88% dei rispondenti utilizza regolarmente l’AI in almeno una funzione aziendale e che metà delle organizzazioni la impiega in tre o più funzioni. Molti dei casi d’uso più diffusi, dalle interfacce conversazionali all’automazione del customer service fino al supporto alla produzione di contenuti di marketing, rientrano proprio tra gli ambiti che l’articolo 50 sottopone a specifici obblighi di trasparenza.

La governance deve includere strumenti ufficiali, account personali usati al lavoro, piattaforme SaaS con funzionalità IA integrate, generatori di contenuti, sistemi di sintesi vocale, strumenti per immagini e video, soluzioni biometriche e applicazioni verticali. L’inventario deve indicare, per ogni sistema il ruolo, la funzione proprietaria, i dati trattati, il vendor coinvolto, il canale di esposizione verso persone e le misure di trasparenza già disponibili.

La preparazione alla scadenza del 2 agosto dovrebbe partire da una sequenza essenziale: censimento dei sistemi AI, classificazione dei casi articolo 50, verifica dei ruoli provider/deployer, controllo delle interfacce e delle label, test sulla marcatura dei contenuti sintetici, revisione dei contratti, definizione delle responsabilità interne, raccolta delle evidenze di controllo. Le aziende che hanno già un governo maturo di dati, identità, vendor e processi digitali potranno innestare la trasparenza dell’AI su controlli esistenti. Le altre dovranno prima recuperare visibilità su ciò che è già in produzione, spesso oltre il perimetro formale dell’IT

Contratti, accessibilità e prove di conformità

La trasparenza prevista dall’AI Act deve entrare nei contratti con vendor, system integrator e partner esterni. Le clausole dovrebbero coprire marcatura dei contenuti sintetici, documentazione tecnica, aggiornamenti del sistema, log, auditing, responsabilità sui canali di pubblicazione, gestione delle eccezioni e requisiti di accessibilità. Nei rapporti B2B serve anche chiarire se l’azienda riceve un sistema già conforme o se deve integrare avvisi, label e controlli nel proprio ambiente.

Un altro fronte riguarda le evidenze. La conformità non si esaurisce nella presenza di una dicitura sull’interfaccia. Occorrono decisioni documentate, test periodici, ownership interna, registri degli strumenti, procedure di approvazione dei contenuti e verifiche sui canali in cui l’output viene pubblicato o riutilizzato. Le funzioni IT, legal, compliance, security, marketing, HR e business owner devono lavorare su una base informativa comune.

Le sanzioni richiamate dalla Commissione per le violazioni dell’articolo 50 possono arrivare fino a 15 milioni di euro o al 3% del fatturato annuo dell’esercizio precedente, con criteri di proporzionalità per PMI e small mid-cap. L’enforcement sarà affidato soprattutto alle autorità nazionali di sorveglianza del mercato, mentre l’AI Office interviene in casi specifici legati a sistemi costruiti su modelli di IA per finalità generali o integrati in piattaforme e motori di ricerca di grandi dimensioni.

Il quadro italiano e la responsabilità organizzativa

In Italia la legge nazionale sull’intelligenza artificiale ha individuato ACN e AgID come autorità nazionali competenti, con un assetto che coinvolge anche autorità settoriali e organismi chiamati a presidiare diritti fondamentali, non discriminazione e protezione dei dati. Per le imprese regolamentate il presidio potrà quindi intrecciare AI Act, cybersicurezza, privacy, normativa finanziaria, disciplina dei media e regole di settore.