Cosa prevede l’art. 50 dell’AI Act sui contenuti generati con IA

L’art. 50 del Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 (AI Act) introduce obblighi di trasparenza per chi sviluppa e per chi usa sistemi di intelligenza artificiale che interagiscono con le persone o generano contenuti. Si applica dal 2 agosto 2026 e vale a prescindere dal livello di rischio del sistema: anche un comune strumento di scrittura o di generazione di immagini rientra nel perimetro. L’obiettivo indicato dalla Commissione europea è ridurre i rischi di inganno e manipolazione e permettere alle persone di riconoscere un contenuto artificiale.

La norma divide gli obblighi tra due figure. Il fornitore (provider) sviluppa lo strumento e deve, tra l’altro, inserire nei contenuti generati una marcatura leggibile dalle macchine. L’utilizzatore professionale (deployer) è chi impiega lo strumento sotto la propria autorità: per un’impresa che produce contenuti con l’IA è il ruolo più frequente. Per inquadrare il proprio ruolo è utile l’approfondimento sui soggetti dell’AI Act.

Questo articolo si concentra sui due obblighi che toccano più da vicino imprese, uffici marketing e comunicazione: i deepfake e i testi su temi di interesse pubblico. Sono i due casi approfonditi anche da Daniele Sorgente nel video dedicato al tema.

Chi è obbligato in azienda: il ruolo del deployer

L’obbligo di etichettatura grava sull’impresa che usa lo strumento di IA nella propria attività professionale, non sul singolo dipendente. Secondo le indicazioni della Commissione europea, grafici, content creator, web designer o giornalisti che lavorano sotto le istruzioni dell’azienda non sono deployer autonomi: la responsabilità resta della società. Lo stesso vale quando l’azienda si affida a freelance o collaboratori esterni che operano per suo conto, sotto la sua responsabilità e il suo controllo.

Resta escluso l’uso personale e non professionale. Il libero professionista o il creator che ricava regolarmente un guadagno dai contenuti, invece, è considerato deployer a tutti gli effetti.

Diverso è il caso dell’agenzia a cui l’impresa commissiona un lavoro senza decidere né controllare se e come venga usata l’IA: in quell’ipotesi deployer è l’agenzia. Proprio per questo è il contratto a dover chiarire chi governa l’uso dell’IA e chi applica le etichette. Nella pratica l’impresa deve sapere quali contenuti vengono prodotti con l’IA, anche quando li realizza un soggetto esterno, e governare il processo.

Deepfake: quando un contenuto aziendale va etichettato

Un contenuto aziendale va etichettato come deepfake quando è un’immagine, un audio o un video generato o manipolato con l’IA che somiglia a persone, oggetti, luoghi, entità o eventi esistenti e che potrebbe apparire falsamente autentico. La definizione non riguarda solo i volti di personaggi noti: anche un luogo reale ricreato o un evento mai accaduto possono rientrarvi. I testi sono esclusi da questa categoria e seguono regole proprie.

I tre criteri per riconoscere un deepfake

Le linee guida della Commissione europea richiedono che tre criteri siano presenti insieme. Il contesto pesa molto: se il pubblico a cui il contenuto è destinato non si aspetta che sia autentico, il requisito dell’apparenza ingannevole può mancare. Per questo effetti speciali o scenari di sfondo in una produzione cinematografica, di norma, non sono considerati deepfake.

1. Somiglianza: alto grado di somiglianza con il soggetto simulato.
2. Esistenza: il soggetto esiste, o potrebbe plausibilmente esistere o essere esistito.
3. Apparenza di autenticità: il contenuto può indurre a crederlo vero.

Esempi concreti nel marketing e nella comunicazione

Nel lavoro quotidiano di un’impresa i casi più frequenti sono meno spettacolari di quanto si pensi. Nella pagina dedicata alle icone UE, la stessa Commissione usa come esempio le foto di un appartamento vuoto arredato virtualmente con l’IA, una situazione tipica del settore immobiliare.

• Testimonial sintetico: un cliente generato con l’IA che racconta in modo realistico la propria esperienza.
• Voce clonata: un messaggio audio o video con la voce dell’amministratore generata artificialmente.
• Ambientazioni reali ricreate: un prodotto mostrato in un luogo esistente in cui non è mai stato.
• Foto modificate in modo sostanziale: volti sostituiti o scene alterate in immagini autentiche.

Opere creative e satiriche: un’etichetta più leggera

Quando il deepfake fa parte di un’opera evidentemente artistica, creativa, satirica o di finzione, l’obbligo resta ma si alleggerisce: basta segnalarlo in modo appropriato, senza compromettere la fruizione dell’opera. Uno spot dichiaratamente surreale o una campagna ironica possono rientrare in questo regime.

Le linee guida definitive chiedono però di interpretare queste categorie in modo restrittivo. Se un contenuto unisce carattere informativo e creativo, prevale quello informativo e si applicano gli obblighi ordinari. La valutazione va quindi fatta caso per caso, perché il carattere creativo deve essere evidente al pubblico e non solo nelle intenzioni dell’azienda.

Da ricordare

• Non tutto ciò che nasce con l’IA è un deepfake: un’illustrazione palesemente di fantasia non lo è.
• Il rischio maggiore sta nei contenuti realistici con persone reali: senza consenso entrano in gioco anche privacy, diritto all’immagine e responsabilità penale.
• Il regime alleggerito non vale per i contenuti che hanno anche una finalità informativa, né quando il carattere creativo non è evidente al pubblico.

Testi su temi di interesse pubblico: quando serve l’etichetta

Un testo generato o modificato con l’IA va etichettato quando soddisfa tre condizioni insieme: è pubblicato, ha lo scopo di informare il pubblico e riguarda un tema di interesse pubblico. Se il testo è stato sottoposto a una revisione umana sostanziale e una persona ne assume la responsabilità editoriale, l’etichetta non è necessaria. È su questo punto che la maggior parte delle imprese può costruire la propria compliance.

Quali temi sono di interesse pubblico

Il concetto è volutamente ampio. Le indicazioni della Commissione europea comprendono, tra gli altri, politica e processi democratici, pubblica amministrazione, giustizia, diritti fondamentali, sicurezza pubblica, salute, ambiente, sicurezza dei consumatori e sviluppi economici, finanziari, scientifici o culturali che possono essere oggetto di dibattito pubblico.

Per un’impresa significa che articoli di blog, newsletter informative, comunicati stampa o report di sostenibilità possono rientrare nel perimetro, soprattutto se trattano normative, salute, finanza o ambiente. Il copy pubblicitario di routine, secondo le prime letture, di norma non ha finalità informativa su temi di interesse pubblico. Il confine non è netto e va valutato sul singolo contenuto.

L’esenzione per revisione umana e responsabilità editoriale

L’esenzione funziona solo se la revisione è reale. Serve un esame deliberato del contenuto da parte di una persona con competenze adeguate sul tema, oppure un controllo editoriale con il potere di approvare, modificare o respingere il testo, compresa la verifica di fatti e fonti. Inoltre una persona fisica o giuridica deve assumere la responsabilità legale della pubblicazione.

Correzioni ortografiche, sistemazioni grammaticali o controlli puramente formali non bastano. Un testo generato con l’IA e pubblicato dopo una rilettura veloce resta quindi soggetto all’obbligo di etichetta.

Come etichettare: tempi, modalità e icone UE

L’etichetta deve essere chiara, distinguibile e comparire al più tardi nel momento in cui una persona vede, ascolta o legge per la prima volta il contenuto. Deve essere percepibile senza strumenti tecnici o azioni particolari: per questo la marcatura digitale inserita dal fornitore dello strumento non copre l’obbligo dell’impresa.

Con il Codice di buone pratiche, la Commissione europea ha messo a disposizione un set di icone gratuite che tutte le imprese possono usare. L’uso delle icone è facoltativo, l’etichettatura no. Secondo i test condotti con gli utenti, l’icona funziona meglio se accompagnata da una breve dicitura testuale.

Sulla collocazione valgono alcune regole pratiche. L’icona va integrata direttamente nel contenuto, senza elementi sovrapposti che la nascondano, e deve restare visibile se il contenuto viene condiviso o scaricato. È buona prassi renderla leggibile anche dalle tecnologie assistive tramite testo alternativo.

Da ricordare

• Un avviso inserito solo nelle note legali o nei termini d’uso non soddisfa l’obbligo.
• Nei video l’avviso deve restare visibile abbastanza a lungo da poter essere letto.
• L’icona UE da sola non garantisce la conformità: conta come e dove viene usata.

Il Codice di buone pratiche UE: conviene aderire?

Il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA è uno strumento volontario. È stato pubblicato il 10 giugno 2026, dopo un percorso con i rappresentanti di industria, società civile, mondo accademico e Stati membri. La Commissione europea e il Comitato europeo per l’IA (AI Board) lo hanno valutato adeguato. Chi lo sottoscrive può quindi farvi affidamento per dimostrare il rispetto degli obblighi di marcatura ed etichettatura dell’art. 50, paragrafi 2, 4 e 5. Il paragrafo 3, su riconoscimento delle emozioni e categorizzazione biometrica, resta fuori.

Il Codice ha due sezioni. La prima riguarda i fornitori e disciplina la marcatura tecnica e il rilevamento dei contenuti. La seconda riguarda i deployer, cioè le imprese che usano l’IA: fissa regole di forma e collocazione per etichette e icone e chiede di adottare processi interni proporzionati, misure di formazione e meccanismi di verifica per intercettare etichette mancanti o sbagliate. Prima dell’entrata in applicazione degli obblighi lo avevano sottoscritto circa 190 organizzazioni.

L’adesione non è un’esenzione e non prova da sola la conformità. Offre però un parametro condiviso con le autorità e può pesare favorevolmente nella valutazione di eventuali sanzioni. Chi non aderisce resta pienamente soggetto all’art. 50 e deve dimostrare la conformità con mezzi alternativi adeguati. Secondo la Commissione, potrà anche ricevere più richieste di informazioni, perché il modo in cui rispetta gli obblighi è meno trasparente. Le icone UE restano comunque utilizzabili da tutti.

La scelta dipende dal volume e dal tipo di contenuti. Per un’impresa che pubblica con regolarità contenuti realistici generati con l’IA o testi informativi su temi sensibili, l’adesione dà prevedibilità e un metodo già strutturato. Va però considerato che il firmatario si impegna ad attuare tutte le misure che il Codice qualifica come obbligatorie. Per chi usa l’IA in modo occasionale può bastare una procedura interna documentata che riprenda i criteri del Codice senza sottoscriverlo. In entrambi i casi è una decisione da prendere consapevolmente, dopo aver mappato l’uso effettivo dell’IA nei contenuti.

Scadenze, sanzioni e rischi in Italia

Gli obblighi dell’art. 50 si applicano dal 2 agosto 2026 e per le imprese che usano l’IA non è previsto alcun periodo transitorio. Il Regolamento (UE) 2026/1744 (Digital Omnibus sull’IA), in vigore dal 27 luglio 2026, ha rinviato al 2 dicembre 2026 solo la marcatura tecnica a carico dei fornitori, per i sistemi già sul mercato prima di agosto. I contenuti generati prima del 2 agosto non vanno etichettati retroattivamente, anche se la Commissione incoraggia a farlo quando possibile.

Le sanzioni possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore. Per le PMI si applica l’importo inferiore tra i due. Dopo il Digital Omnibus lo stesso criterio vale anche per le small mid-cap, le imprese che superano le soglie di PMI ma restano sotto i 750 dipendenti. In ogni caso si tiene conto della proporzionalità.

I controlli spettano soprattutto alle autorità nazionali di vigilanza del mercato. In Italia il D.Lgs. 7 ottobre 2026, n. 179 designa a questo scopo l’Agenzia per la cybersicurezza nazionale (ACN), ferme le competenze settoriali di Banca d’Italia, CONSOB e IVASS. Il decreto conferma per le violazioni dell’art. 50 il tetto di 15 milioni di euro o del 3% del fatturato. Per le infrazioni meno gravi consente anche misure non pecuniarie, come l’ordine di cessare la violazione.

In Italia questo quadro si somma alla legge nazionale sull’intelligenza artificiale (legge 23 settembre 2025, n. 132). La legge ha introdotto nel codice penale il reato di illecita diffusione di contenuti generati o alterati con sistemi di IA (art. 612-quater c.p.). La norma punisce con la reclusione da uno a cinque anni chi causa un danno ingiusto a una persona diffondendo senza il suo consenso immagini, video o voci falsificati con l’IA e idonei a ingannare sulla loro genuinità.

Dal 30 settembre 2026 il reato rileva anche per l’impresa. Il D.Lgs. 9 settembre 2026, n. 160 ha introdotto l’art. 25-vicies del D.Lgs. 231/2001, che lo inserisce tra i reati presupposto della responsabilità degli enti, con una sanzione pecuniaria da 200 a 700 quote. Per le imprese che producono contenuti con l’IA, la mappatura dei rischi e i protocolli del modello organizzativo 231 vanno quindi aggiornati, a partire dai processi di marketing e comunicazione.

Checklist operativa: come adeguarsi

Per adeguarsi all’art. 50 un’impresa deve sapere dove usa l’IA nei contenuti, classificare ciò che pubblica e fissare una procedura di revisione ed etichettatura. Non serve un progetto complesso: nella maggior parte dei casi bastano poche regole chiare, applicate con costanza e documentate.

Il percorso può essere impostato in otto passaggi, da adattare alla dimensione e ai canali dell’azienda.

1. Mappare gli strumenti: quali software di IA usano marketing, comunicazione, HR e agenzie esterne.
2. Classificare i contenuti: deepfake, testi di interesse pubblico, contenuti fuori perimetro.
3. Definire il flusso editoriale: chi rivede, con quali verifiche, chi approva la pubblicazione.
4. Adottare un modello di etichetta: icone UE, diciture standard e collocazione per ogni canale.
5. Aggiornare i contratti: clausole con agenzie e freelance su uso dell’IA, ruolo di deployer ed etichettatura.
6. Formare il personale: integrare la procedura nelle misure di alfabetizzazione sull’IA (AI literacy) che l’art. 4 dell’AI Act richiede di adottare.
7. Aggiornare il modello 231: inserire nella mappatura dei rischi il reato di deepfake (art. 612-quater c.p.).
8. Conservare traccia: registro delle revisioni e delle etichette applicate.

FAQ