L’8 luglio 2026 la Commissione europea ha concluso che il codice di condotta sulla trasparenza dei contenuti generati dall’intelligenza artificiale copre in modo adeguato gli obblighi previsti dall’articolo 50, paragrafi 2, 4 e 5 dell’AI Act e ne agevola l’attuazione effettiva. Il giorno successivo il consiglio per l’IA (AI Board) ha adottato la propria valutazione di adeguatezza. Nelle stesse settimane, però, il testo definitivo del Digital Omnibus on AI, approvato dal Parlamento europeo il 16 giugno e dal Consiglio il 29 giugno 2026, interviene proprio sull’articolo 50: sposta in avanti l’obbligo di marcatura per i sistemi già sul mercato e sottrae alla Commissione il potere di approvare quel codice con un atto di esecuzione, motivandolo con una constatazione che vale la pena leggere per intero. I codici di buone pratiche, si legge nel considerando 41, hanno effetti giuridici limitati e, in particolare, non conferiscono una presunzione di conformità.
Che cosa si applica dal 2 agosto, e che cosa slitta al 2 dicembre
L’articolo 50 dell’AI Act distingue due categorie di destinatari. Ai fornitori di sistemi di IA generativa è richiesto di marcare gli output, siano essi audio, immagini, video o testo, in un formato leggibile dalla macchina e di renderli riconoscibili come generati o manipolati artificialmente, con soluzioni tecniche efficaci, interoperabili, solide e affidabili nella misura in cui ciò sia tecnicamente fattibile. Ai deployer è richiesto di rendere noto che il contenuto è un deepfake, quando si tratta di immagini, audio o video che riproducono persone, oggetti, luoghi o eventi in modo da apparire falsamente autentici, e di dichiarare che il testo è stato generato o manipolato artificialmente quando esso informa il pubblico su questioni di interesse pubblico, salvo che sia stato sottoposto a revisione umana e ricada sotto responsabilità editoriale. Chi interagisce con un sistema di IA, per esempio un chatbot, deve essere informato di tale circostanza. Tutti questi obblighi, come ricorda la Commissione, si applicano dal 2 agosto 2026. Con una eccezione, introdotta dal Digital Omnibus: il considerando 38 prevede un periodo transitorio di quattro mesi per i fornitori che avevano già immesso i propri sistemi sul mercato prima del 2 agosto 2026, il che significa che per quei sistemi l’obbligo di marcatura di cui all’articolo 50, paragrafo 2, diventa operativo il 2 dicembre 2026. È una distinzione da tenere a mente in sede di gap analysis, perché non riguarda tutti gli obblighi di trasparenza, ma soltanto la marcatura, e non riguarda tutti i fornitori, ma soltanto quelli che erano già sul mercato.
Il codice: due sezioni, un corredo di icone, una valutazione di adeguatezza
Il codice, pubblicato il 10 giugno 2026 all’esito di un processo multi-stakeholder facilitato dall’Ufficio per l’IA e affidato a esperti indipendenti, si articola in due sezioni: la prima dedicata ai fornitori, con le regole di marcatura e di rilevabilità dei contenuti generati o manipolati; la seconda dedicata ai deployer, con le regole di etichettatura dei deepfake e dei testi. A corredo, l’Unione ha reso disponibile un set di icone che i deployer possono utilizzare per segnalare i contenuti generati dall’IA, nella logica, familiare a chi si occupa di protezione dei dati, di una comunicazione visiva immediatamente intelligibile. I firmatari saranno inseriti in un elenco pubblico nel corso di luglio 2026 e parteciperanno alle taskforce dei firmatari, chiamate a condividere le pratiche e a far progredire l’attuazione della marcatura e dell’etichettatura. L’architettura ricalca quella già sperimentata per i modelli di IA per finalità generali, di cui ci siamo occupati parlando dei modelli GPAI e del Code of Practice sul capo V.
Adeguato non significa conforme, e adesso lo dice il legislatore
Il punto giuridicamente più delicato la Commissione lo enuncia con formula asciutta: l’adesione al codice non costituisce prova definitiva della conformità. Chi sceglie di conformarsi con altri mezzi non è per ciò solo inadempiente, ma dovrà dimostrare che le misure adottate sono adeguate, e tale dimostrazione sarà valutata individualmente dalle diverse autorità di vigilanza del mercato. Il beneficio pratico dell’adesione sta altrove, cioè nel fatto che la futura attività di vigilanza si concentrerà sul monitoraggio dell’aderenza al codice, con minori oneri amministrativi e maggiore prevedibilità a prescindere dal luogo di stabilimento e dall’autorità competente. Fin qui, la posizione della Commissione. Il Digital Omnibus aggiunge un tassello che va nella stessa direzione e la rende esplicita: sopprimendo il potere della Commissione di approvare mediante atto di esecuzione i codici di cui all’articolo 50, paragrafo 7, e all’articolo 56, paragrafo 6, il legislatore motiva la scelta osservando che quei codici hanno effetti giuridici limitati e non conferiscono una presunzione di conformità, sicché non è strettamente necessario approvarli con un atto di esecuzione. È esattamente la distinzione che avevamo incontrato ragionando di ISO/IEC 42001 e presunzione di conformità: uno strumento può agevolare la prova senza produrre l’effetto legale tipico della presunzione, che nell’AI Act resta riservato alle norme armonizzate. Il codice, dunque, non è una scorciatoia verso la conformità: è una mappa riconosciuta, e chi la segue dovrà comunque dimostrare di averla seguita.
Perché l’alto rischio slitta e la trasparenza sostanzialmente no
Il contrasto con il resto del regolamento è istruttivo. Sempre il Digital Omnibus, al considerando 40, sposta l’applicazione del capo III, sezioni 1, 2 e 3, al 2 dicembre 2027 per i sistemi ad alto rischio dell’allegato III e al 2 agosto 2028 per quelli integrati nei prodotti dell’allegato I, e lo fa motivando apertamente con il ritardo nella disponibilità di norme tecniche, specifiche comuni e orientamenti, e con il ritardo nella costituzione delle autorità nazionali competenti: circostanze che, si legge, compromettono l’efficace entrata in applicazione degli obblighi e rischiano di aumentarne i costi. Ne avevamo scritto esaminando il nuovo calendario dell’alto rischio. Sulla trasparenza, invece, gli strumenti di supporto ci sono, il codice, le icone, le linee guida sull’ambito applicativo dell’articolo 50 in preparazione, e la data non si è mossa, se non per il breve periodo transitorio concesso ai sistemi preesistenti. Il regolamento che modifica l’AI Act entrerà in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea, che alla data odierna non risulta ancora avvenuta: il testo qui richiamato è quello consolidato dai colegislatori, il documento PE-CONS 30/26.
In ragione di quanto precede, ci si chiede se un codice che il legislatore stesso definisce privo di effetti giuridici pieni, e che proprio per questo non merita più un atto di esecuzione, sia destinato a restare un’opzione fra le altre oppure a trasformarsi, nella pratica delle autorità di vigilanza e nella percezione del mercato, in uno standard di fatto dal quale ci si discosta soltanto assumendosi un onere probatorio che pochi vorranno sostenere.
