Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’articolo 50 del regolamento (UE) 2024/1689 sull’intelligenza artificiale: chi mette a disposizione un sistema che genera contenuti sintetici deve fare in modo che gli output siano marcati in un formato leggibile dalla macchina e riconoscibili come artificialmente generati o manipolati. L’obbligo è europeo, lo ha scritto un legislatore europeo e vincola chiunque si rivolga al mercato dell’Unione. La sua efficacia, però, poggia su una condizione che il diritto dell’Unione non è in grado di produrre da sé: che la marcatura resti leggibile quando il contenuto esce dal perimetro europeo, attraversa una piattaforma statunitense, viene ricompresso da un servizio di messaggistica asiatico e finisce in un archivio che nessuna autorità di vigilanza europea sorveglia. Una filigrana che nessuno, fuori, sa decifrare non produce trasparenza: produce un file con dentro qualcosa.
Nella stessa settimana in cui la Commissione europea ha chiuso il proprio percorso sul codice di condotta in materia di trasparenza, a Ginevra si è mosso il livello che quella condizione la sta costruendo davvero. Il 9 luglio 2026 l’ITU (International Telecommunication Union, l’agenzia delle Nazioni Unite per le tecnologie digitali) ha annunciato un nuovo gruppo di lavoro sull’identità e sull’affidabilità degli agenti di intelligenza artificiale. Il giorno successivo, chi presiede la collaborazione internazionale sull’autenticità dei contenuti multimediali ha tracciato il bilancio di un anno di lavoro. Sono due notizie che, lette insieme, dicono una cosa sola.
Che cosa chiede l’articolo 50 e che cosa presuppone
Il 10 giugno 2026 la Commissione ha pubblicato il Code of Practice sulla trasparenza dei contenuti generati dall’IA, lo strumento volontario con cui fornitori e deployer possono dimostrare di adempiere agli obblighi dell’articolo 50. L’8 luglio la Commissione ha concluso che il codice copre adeguatamente gli obblighi di cui ai paragrafi 2, 4 e 5 di quell’articolo e ne agevola l’attuazione effettiva; il 9 luglio il Comitato per l’intelligenza artificiale ha adottato la propria valutazione di adeguatezza. È la stessa tecnica regolatoria già impiegata per i modelli di intelligenza artificiale per finalità generali, di cui si è scritto a proposito dei modelli GPAI e del relativo Code of Practice: il legislatore fissa il risultato, un codice volontario descrive le condotte che vi conducono.
Nel documento della Commissione c’è però un passaggio che merita più attenzione di quanta ne abbia ricevuta. L’AI Office valuterà l’opportunità di aggiornamenti formali del codice almeno ogni due anni, anche in ragione dell’emergere di standard o di sviluppi tecnologici rilevanti. Detto altrimenti: l’Unione ha messo nero su bianco che il contenuto tecnico del proprio obbligo di trasparenza è destinato a essere riscritto man mano che gli standard nasceranno. Non è una svista, è un riconoscimento. La marcatura è un problema di formati, di resistenza del segno alle trasformazioni del file, di metadati di provenienza che devono sopravvivere alla catena di distribuzione. Nulla di tutto questo si decide in un regolamento. Si decide in un consesso tecnico, e i consessi tecnici che contano, su questo terreno, non sono europei.
Dove si costruisce l’interoperabilità della marcatura
Il 10 luglio 2026 Alessandra Sala, che presiede la AI and Multimedia Authenticity Standards Collaboration, ha pubblicato sul sito dell’ITU un intervento sulla fiducia nei contenuti generati dall’IA nel quale annuncia due documenti: un policy paper sul panorama giuridico emergente dell’IA generativa nelle diverse aree del mondo e l’aggiornamento del documento tecnico sugli standard di autenticità multimediale. La collaborazione, come spiega la pagina istituzionale del gruppo, opera nell’ambito della World Standards Cooperation, la cooperazione strategica fra IEC (International Electrotechnical Commission), ISO (International Organization for Standardization) e ITU, e riunisce organismi di normazione, imprese tecnologiche, mondo accademico, decisori pubblici, start up e società civile.
Il mandato dichiarato è istruttivo: mappare il panorama degli standard tecnici in materia di autenticità dei contenuti, individuare le lacune in cui occorrono norme nuove, raccomandare e mettere in relazione gli standard esistenti segnalando le occasioni di interoperabilità, e sostenere le esigenze regolatorie e le misure che i governi intendono adottare. Sala condensa il problema in una domanda: come può la fiducia nell’autenticità viaggiare, secondo le sue parole, “across platforms, borders, and legal systems”, cioè attraverso piattaforme, confini e ordinamenti giuridici. È esattamente la domanda alla quale l’articolo 50 non può rispondere da solo, perché un ordinamento può imporre di marcare, ma non può imporre al resto del mondo di saper leggere la marcatura.
Qui si apre un’asimmetria che il giurista riconosce subito. L’Unione ha già sperimentato la distanza fra norma tecnica internazionale ed effetto giuridico interno: uno standard ISO può descrivere un ottimo sistema di gestione e tuttavia non produrre, di per sé, alcuna presunzione di conformità, come si è visto discutendo di ISO/IEC 42001 e AI Act. Nel sistema europeo il ponte fra i due mondi sono le norme armonizzate, come quella destinata al sistema di gestione della qualità dell’articolo 17, la EN 18286. Sul terreno della trasparenza, però, l’asimmetria si rovescia: non è lo standard internazionale a cercare un effetto giuridico europeo, è l’obbligo giuridico europeo a cercare uno standard internazionale che ne renda possibile l’adempimento.
Dal contenuto all’agente: chi ha fatto che cosa
Il 9 luglio 2026, in occasione dell’AI for Good Global Summit, l’ITU ha annunciato l’istituzione del Focus Group on Trust and Identity for Humans and Agentic AI, chiamato a elaborare i quadri di riferimento per l’identità digitale affidabile e per la verificabilità del comportamento degli agenti IA lungo l’intero ciclo di vita. Il gruppo riferirà allo Study Group 17 dell’ITU-T, competente per gli standard di sicurezza, sarà co-presieduto da Debora Comparin e Amir Banifatemi, terrà la prima riunione a Parigi nel novembre 2026 e la seconda a Ginevra nel gennaio 2027. Il programma di lavoro comprende terminologia e definizioni comuni, architetture di riferimento per l’identità, la fiducia, la scoperta degli agenti e l’interoperabilità, modelli di assurance del ciclo di vita, meccanismi di interoperabilità per l’identità e le credenziali digitali, criteri di sicurezza per la valutazione continua degli agenti e una tabella di marcia della standardizzazione. Il comunicato precisa che il gruppo è aperto non soltanto ai tecnici, ma anche agli esperti di policy, di diritto e di regolazione.
Il punto giuridicamente interessante è lo spostamento dell’oggetto. L’articolo 50 chiede al contenuto di dichiarare la propria origine artificiale e risponde dunque alla domanda su che cosa sia una certa immagine o una certa registrazione. Il Focus Group affronta la domanda successiva, e più ardua, su chi abbia compiuto un certo atto, quando a compierlo è un software che negozia, conclude operazioni e decide per conto di qualcuno. Un agente che impersona una persona o un’organizzazione, o che compie atti non autorizzati attraversando sistemi interconnessi, non pone un problema di etichettatura del prodotto: pone un problema di imputazione. E l’imputazione, senza un’infrastruttura di identità e di credenziali verificabili che funzioni oltre i confini di un singolo ordinamento e di una singola piattaforma, resta un esercizio retorico. Il comunicato dell’ITU lo dice con parole che un giurista sottoscriverebbe: i sistemi di identità stabiliscono chi stia agendo, l’affidabilità stabilisce se quell’attore meriti fiducia.
Un obbligo regionale, uno standard che l’Unione non controlla
Messe in fila, le due vicende raccontano la stessa struttura. L’Unione europea possiede la forza normativa: ha scritto l’obbligo, lo ha corredato di un codice di condotta dichiarato adeguato, lo applica dal 2 agosto 2026 a chiunque si rivolga al suo mercato, a prescindere dal luogo di stabilimento. Non possiede, però, il monopolio della grammatica tecnica che rende quell’obbligo eseguibile fuori casa. Quella grammatica si scrive dove siedono insieme IEC, ISO e ITU, dove siedono le piattaforme che distribuiscono i contenuti e i produttori dei modelli che li generano, e dove l’Unione è un partecipante fra gli altri, autorevole ma non sovrano.
Non è una debolezza in sé: è la condizione ordinaria di qualunque regolazione che abbia per oggetto un fenomeno globale. Diventa un problema se il legislatore la ignora, cioè se costruisce un obbligo e ne affida tacitamente l’effettività a un tavolo sul quale non ha voce decisiva, senza presidiarlo. La scelta di aggiornare il codice al ritmo degli standard che emergeranno è, in fondo, un’ammissione di dipendenza. Ed è una dipendenza destinata ad allargarsi: quando gli agenti autonomi cominceranno a firmare, ordinare e disporre, la domanda non sarà più soltanto se un’immagine sia sintetica, ma se una certa operazione sia stata compiuta da chi dichiara di averla compiuta.
In ragione di quanto precede, ci si chiede se l’Unione europea, avendo scelto di imporre per prima l’obbligo di marcare i contenuti generati dall’intelligenza artificiale, non debba ora presidiare con pari determinazione i tavoli internazionali nei quali si decide se quella marcatura sarà leggibile, e se non sia giunto il momento di riconoscere che la sovranità normativa, priva di una corrispondente presenza tecnica, produce norme impeccabili sulla carta e mute nel resto del mondo.
