Dal 2 agosto 2026 gli obblighi di trasparenza dell’articolo 50 dell’AI Act sono esigibili. Due giorni prima, il 31 luglio, la Commissione europea ha pubblicato l’elenco dei firmatari del codice di condotta sulla trasparenza dei contenuti generati dall’intelligenza artificiale: circa centonovanta organizzazioni, di cui ottantatré per la sezione dedicata ai fornitori e centocinquantadue per quella dedicata ai deployer. I due numeri non si equivalgono, e la distanza fra loro dice qualcosa su come reggerà, nei prossimi mesi, la catena della trasparenza.
Che cosa è diventato esigibile
L’articolo 50 del regolamento (UE) 2024/1689 distribuisce gli obblighi lungo la catena del valore. Il paragrafo 1 chiede ai fornitori di sistemi destinati a interagire direttamente con le persone fisiche di progettarli in modo che l’interlocutore sappia di avere davanti una macchina, salvo che la circostanza risulti evidente. Il paragrafo 2 chiede ai fornitori di sistemi che generano contenuti audio, immagine, video o testuali sintetici, compresi i sistemi per finalità generali, di garantire che gli output siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente, con soluzioni tecniche efficaci, interoperabili, solide e affidabili nella misura in cui ciò sia tecnicamente possibile. Il paragrafo 3 impone ai deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica di informare le persone che vi sono esposte. Il paragrafo 4 impone ai deployer di rendere noto che un deep fake è stato generato o manipolato artificialmente, e di fare altrettanto per i testi generati o manipolati pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, salvo che il testo abbia subito una revisione umana e sia sottoposto a responsabilità editoriale.
Sono obblighi assistiti da sanzione. L’articolo 99, paragrafo 4, lettera g), colloca la loro violazione nella fascia fino a 15.000.000 di euro o, se l’autore è un’impresa, fino al 3 per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore; per le PMI, comprese le start-up, il paragrafo 6 fissa il tetto sull’importo minore fra i due. Il capo sulle sanzioni si applica dal 2 agosto 2025: quello che mancava, fino a pochi giorni fa, era la condotta da sanzionare.
Centonovanta firme, e come si distribuiscono
Il codice di condotta è stato redatto da esperti indipendenti in un processo facilitato dall’ufficio per l’IA e si articola in due sezioni: la prima riguarda i fornitori, la marcatura e la rilevazione dei contenuti; la seconda riguarda i deployer e l’etichettatura dei deep fake e dei testi generati. Alla fine di luglio avevano firmato circa centonovanta organizzazioni di settori diversi, dall’informatica alle telecomunicazioni, dall’istruzione al commercio al dettaglio. Fra i firmatari della prima sezione la Commissione cita Aleph Alpha, Anthropic, Black Forest Labs, Cohere, Google, Meta, Microsoft, Mistral, OpenAI e Synthesia; fra quelli della seconda Bulgari, Fastweb, Getty Images, Iberdrola, Lenovo e Lufthansa. Circa la metà dei firmatari, precisa la Commissione, sono imprese piccole e di recente costituzione.
Il dettaglio da leggere con attenzione è un altro. La prima sezione conta ottantatré firmatari, la seconda centocinquantadue, e la prima può essere firmata anche da chi non è destinatario di alcun obbligo: la stessa Commissione precisa che, pur applicandosi l’obbligo giuridico ai soli fornitori di sistemi di IA, la sezione 1 è aperta anche ai fornitori di soluzioni di marcatura e rilevazione e ai fornitori di modelli che possono aiutare i fornitori di sistemi generativi ad attuare le misure obbligatorie. Ottantatré firme, quindi, non sono ottantatré fornitori obbligati. L’estremo della catena su cui poggia tutto il resto, la marcatura a monte, è il meno rappresentato.
L’elenco resta aperto e viene aggiornato via via che arrivano nuove adesioni. Ai firmatari sarà chiesto di partecipare a due gruppi di lavoro che l’ufficio per l’IA conta di avviare a settembre 2026, dedicati alla condivisione delle prassi, al riscontro sull’attuazione delle misure di trasparenza e all’avanzamento dello stato dell’arte.
Nessuna presunzione di conformità, e ora lo scrive il legislatore
Che l’adesione al codice non fosse prova conclusiva della conformità era già stato scritto nell’opinione con cui la Commissione ne ha valutato l’adeguatezza. Da pochi giorni la stessa affermazione ha una fonte più solida. Il considerando 41 del regolamento (UE) 2026/1744, il Digital Omnibus on AI entrato in vigore il 27 luglio, afferma che i codici di buone pratiche di cui all’articolo 50, paragrafo 7, e all’articolo 56, paragrafo 6, hanno effetti giuridici limitati e, in particolare, non conferiscono una presunzione di conformità. È la ragione per cui il legislatore ha ritenuto non strettamente necessario che tali codici siano approvati con un atto di esecuzione, sopprimendo il relativo potere della Commissione.
Il nuovo articolo 50, paragrafo 7, conserva però il resto dell’impianto: la Commissione incoraggia e agevola l’elaborazione dei codici, valuta se l’adesione sia adeguata a garantire il rispetto degli obblighi dei paragrafi 2 e 4 tenendo nella massima considerazione il parere del consiglio per l’IA e, se ritiene il codice inadeguato, può adottare un atto di esecuzione che specifichi norme comuni per l’attuazione di quegli obblighi. La distinzione rispetto alle norme armonizzate resta netta: il riferimento a una norma armonizzata pubblicato in Gazzetta ufficiale produce la presunzione di conformità dell’articolo 40, la firma di un codice produce prevedibilità e un percorso riconosciuto in tutta l’Unione, non uno spostamento dell’onere della prova.
Quattro mesi in più per marcare, non per etichettare
Il Digital Omnibus on AI ha aggiunto all’articolo 111 un paragrafo 4, secondo cui i fornitori di sistemi di IA, compresi i sistemi per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici e sono stati immessi sul mercato prima del 2 agosto 2026, adottano le misure necessarie per conformarsi all’articolo 50, paragrafo 2, entro il 2 dicembre 2026. Il considerando 38 lo chiama periodo transitorio di quattro mesi e lo motiva con l’esigenza di concedere ai fornitori un tempo ragionevole per adeguare le proprie pratiche senza perturbare il mercato.
Il differimento è preciso e stretto: riguarda soltanto il paragrafo 2, soltanto i fornitori e soltanto i sistemi già sul mercato. Non tocca il paragrafo 4, che grava sui deployer ed è pienamente applicabile dal 2 agosto. Ne discende un’asimmetria che vale la pena mettere a verbale: per quattro mesi chi utilizza un sistema generativo può dover rendere noto che un’immagine o un video sono artificiali mentre il sistema che li ha prodotti non è ancora tenuto a marcarne gli output in formato leggibile meccanicamente. Sul piano giuridico le due posizioni restano distinte, perché l’obbligo del deployer è di rendere noto, non di apporre un marcatore, e il ritardo a monte non lo scusa. Sul piano operativo, però, per qualche mese chi dichiara la natura sintetica di un contenuto lo farà senza poter contare su un segnale tecnico che lo confermi, e il problema di che cosa attesti davvero un marcatore resta quello di sempre.
Chi non firma, e chi verifica
Non firmare non è un inadempimento. Chi sceglie di conformarsi con altri mezzi dovrà però dimostrare che quei mezzi sono adeguati, e la valutazione, avverte la Commissione, sarà fatta individualmente dalle diverse autorità di vigilanza del mercato. È qui che la firma produce il suo effetto pratico: non una presunzione, ma un riferimento comune che riduce il rischio di letture divergenti da uno Stato membro all’altro. Chi non firma quel riferimento non ce l’ha, e affronta le autorità di ciascuno Stato membro in cui opera.
In Italia il quadro istituzionale non è ancora chiuso. Gli schemi di decreto legislativo di adeguamento all’AI Act hanno ricevuto il 14 luglio 2026 i pareri del Garante per la protezione dei dati personali, che ha chiesto fra l’altro di chiarire il proprio ruolo nelle procedure di valutazione della conformità dei sistemi ad alto rischio. Finché il decreto non è pubblicato, chi deve decidere oggi come attuare l’articolo 50 lavora su un obbligo europeo pienamente applicabile e su un assetto nazionale di vigilanza ancora in formazione.
Il quadro, alla data in cui si scrive, è questo. L’obbligo di trasparenza vale per tutti dal 2 agosto e la sua violazione è sanzionabile. Il codice di condotta offre a chi lo firma un percorso riconosciuto in tutta l’Unione, ma non una presunzione di conformità, e stavolta a dirlo non è un documento di orientamento: è il considerando di un regolamento. Chi fornisce sistemi generativi già sul mercato ha tempo fino al 2 dicembre per rendere gli output marcati e rilevabili, e farebbe bene a usare quei mesi per scegliere le soluzioni tecniche, non per rinviare la scelta. Chi quei sistemi li utilizza non ha alcun tempo in più: deve rendere noto ciò che pubblica, da adesso, con gli strumenti di cui dispone.
