Gli obblighi di trasparenza dell'AI Act

Quando un'azienda usa l'IA in modo che la persona potrebbe non accorgersene, scatta un obbligo preciso: dire chiaramente che c'è un sistema artificiale dietro l'interazione. È l'articolo 50 dell'AI Act.

Il principio: la persona deve sapere

L'AI Act si fonda su un'idea semplice: le persone hanno il diritto di sapere quando interagiscono con un sistema di intelligenza artificiale invece che con un essere umano, e di sapere quando un contenuto che vedono o ascoltano è stato generato o manipolato artificialmente. Questo diritto si traduce in una serie di obblighi specifici, raccolti nell'articolo 50 del Regolamento, che si applicano a tutti — fornitori e utilizzatori — indipendentemente dal livello di rischio del sistema. È, insieme all'AI Literacy, uno degli obblighi più trasversali del Regolamento.

Gli obblighi di trasparenza ex art. 50 non riguardano solo i sistemi ad alto rischio: si applicano anche ai sistemi a rischio limitato e, in alcuni casi, anche a quelli a rischio minimo. La logica è che la trasparenza è un presidio minimo di tutela della persona, indipendentemente dalla pericolosità tecnica del sistema. Per le aziende italiane questo significa che molti adempimenti di trasparenza sono già esigibili e devono essere implementati a prescindere da una valutazione del rischio.

I quattro casi tipici

L'articolo 50 individua quattro situazioni principali in cui scattano obblighi di trasparenza, ciascuna con le proprie regole specifiche.

Sistemi che interagiscono direttamente con persone (chatbot)

I fornitori di sistemi di IA destinati a interagire direttamente con persone fisiche — il caso tipico è quello del chatbot di assistenza clienti sul sito web — devono progettare e sviluppare il sistema in modo che la persona venga informata di stare interagendo con un'IA. L'informazione deve essere data in modo chiaro e distinguibile, al più tardi al momento del primo contatto. L'obbligo non si applica quando l'uso dell'IA è ovvio dal contesto, o quando il sistema è impiegato per finalità di indagine penale (con le opportune garanzie). Per le aziende che gestiscono un sito web con chatbot, questo significa una cosa pratica: nella prima schermata del chatbot deve comparire chiaramente l'avviso che si tratta di un sistema automatizzato, non di un operatore umano.

Sistemi che generano contenuti sintetici

I fornitori di sistemi che generano contenuti sintetici — immagini, audio, video, testi — devono assicurarsi che l'output sia marcato in formato leggibile dalla macchina come generato o manipolato artificialmente. È l'obbligo che si applica ai grandi sistemi di IA generativa (ChatGPT, DALL-E, Midjourney, Sora) e che si traduce tecnicamente nell'uso di tecnologie come il watermarking e i metadata. Gli utilizzatori di questi sistemi che generano contenuti destinati al pubblico devono inoltre dichiarare che il contenuto è generato o manipolato artificialmente. Un'azienda che pubblica sui social un'illustrazione creata con un sistema di IA generativa dovrebbe quindi indicarlo.

Deepfake

Quando si crea un deepfake — cioè un contenuto che genera o manipola immagini, audio o video di persone reali in modo da farle apparire come avessero detto o fatto qualcosa che in realtà non hanno detto o fatto — l'utilizzatore deve dichiarare chiaramente che il contenuto è stato manipolato artificialmente. L'obbligo è temperato da eccezioni per usi artistici, satirici o di analoga natura, ma resta un punto fermo: il pubblico ha diritto di sapere se quello che sta vedendo è autentico o manipolato.

Sistemi di riconoscimento delle emozioni e categorizzazione biometrica

Chi utilizza sistemi di riconoscimento delle emozioni o sistemi di categorizzazione biometrica deve informare le persone interessate del funzionamento del sistema. Va ricordato che il riconoscimento delle emozioni in ambito lavorativo e scolastico è vietato dall'art. 5; l'obbligo informativo dell'art. 50 si applica negli ambiti in cui l'uso è ammesso (per esempio in determinati contesti di ricerca o di sicurezza, con tutte le altre garanzie).

Trasparenza e GDPR: due piani diversi

Gli obblighi di trasparenza dell'art. 50 AI Act sono distinti, ma cumulabili, con gli obblighi informativi del GDPR (artt. 13 e 14). Quando un sistema di IA tratta dati personali, l'azienda deve fornire sia l'informativa privacy ai sensi del GDPR — comprese, ai sensi dell'art. 14, par. 2, lett. g) GDPR, le informazioni significative sulla logica utilizzata nel caso di processi decisionali automatizzati — sia l'avviso sulla natura artificiale del sistema ai sensi dell'AI Act. I due adempimenti hanno contenuti e tempistiche diversi: l'informativa GDPR è completa e va data prima del trattamento, l'avviso art. 50 è essenziale e va dato al momento dell'interazione. Nella pratica, conviene integrare i due elementi in un unico testo informativo strutturato, per evitare di disorientare l'utente con troppi messaggi separati.

I rischi di un'informativa mal costruita

Sembrano obblighi semplici, ma nella pratica costruire un'informativa efficace sull'IA richiede attenzione. Un avviso troppo tecnico non viene letto. Un avviso troppo generico non assolve l'obbligo. Un avviso nascosto in fondo a una pagina di condizioni d'uso non è valido. Le autorità — sia il Garante per i profili GDPR sia AgID e ACN per i profili AI Act — stanno costruendo le prime linee guida e i primi orientamenti, e già emerge che il rigore richiesto è alto. Errori che potevano sembrare tollerabili nel primo anno di applicazione del Regolamento, nel 2026 non lo sono più.

Come iusprivacy ti aiuta a costruire la trasparenza

Iusprivacy.eu ha sviluppato negli anni una specifica competenza sulla redazione di informative privacy conformi al GDPR, e dispone di strumenti dedicati come il Generatore Privacy Policy presente sul portale. Questa competenza viene oggi estesa all'AI Act: per ciascun sistema di IA presente in azienda, e per ciascun caso d'uso, lo staff costruisce le informazioni di trasparenza richieste, integrandole con le informative GDPR esistenti in un testo unico, chiaro per l'utente e completo sul piano normativo.

Il servizio comprende anche la revisione dei chatbot esistenti (con suggerimenti di modifica al primo messaggio), la predisposizione di etichette per contenuti generati artificialmente, la definizione di template per la marcatura dei deepfake, l'aggiornamento delle policy aziendali sull'uso dell'IA generativa per produrre contenuti destinati al pubblico.