L’articolo 50 dell’AI Act, in vigore dal 2 agosto 2026, obbliga a rendere chiaro quando una persona interagisce con un sistema di IA o è esposta a certi contenuti generati o manipolati. Per una PMI non è “tutto l’alto rischio subito”: è soprattutto informativa su chatbot, etichette su deepfake e, in casi specifici, su testi di interesse pubblico.
Informazione generale, non consulenza legale. Le date e gli obblighi vanno verificati sul caso concreto.
Cosa dice l’articolo 50 AI Act
L’articolo 50 del Regolamento (UE) 2024/1689 è il capitolo sulla trasparenza per certi sistemi, non la classificazione ad alto rischio. Si applica dal 2 agosto 2026 (art. 113; FAQ Commissione, aggiornata 24 luglio 2026).
In sintesi, distinta per ruolo:
| Chi | Cosa | Fonte |
|---|---|---|
| Provider | Progettare i sistemi che parlano con le persone in modo che sia chiaro che è un’IA, salvo che sia ovvio | art. 50, par. 1 |
| Provider | Marcare in formato leggibile da macchina i contenuti sintetici (testo, audio, immagine, video) | art. 50, par. 2 |
| Deployer | Informare chi è esposto a riconoscimento delle emozioni o categorizzazione biometrica | art. 50, par. 3 |
| Deployer | Dichiarare deepfake e certi testi di interesse pubblico generati o manipolati da IA | art. 50, par. 4 |
L’informazione va data in modo chiaro e distinguibile, al più tardi al primo contatto, e accessibile (art. 50, par. 5).
La Commissione ha pubblicato linee guida e una FAQ ufficiale e, il 2 agosto 2026, un comunicato sull’entrata in vigore.
Il chatbot deve dichiararsi: quando e come
Se un sistema è pensato per un dialogo diretto con persone (chatbot, agente, avatar, risponditore vocale), il provider deve progettarlo così che l’utente sappia di parlare con un’IA, a meno che non sia già ovvio per una persona ragionevolmente informata e attenta (art. 50, par. 1).
La Commissione indica quattro criteri cumulativi: deve essere un sistema di IA; deve esserci uno scambio bidirezionale vero, non solo raccolta dati o risposte automatiche isolate; l’interazione deve essere diretta (l’IA parla alla persona, non tramite un operatore umano); deve rivolgersi a persone fisiche.
Cosa non entra. Sistemi solo in background, comunicazione macchina-macchina, niente contatto diretto con persone.
Cosa fare in pratica sul vostro sito o in app.
- Una riga visibile prima o all’apertura della chat: ad esempio «Stai parlando con un sistema di intelligenza artificiale, non con una persona».
- Non nasconderla nel footer o nei termini.
- Se usate un SaaS (widget, Copilot sul portale clienti, agente vocale), verificate che il vendor la mostri. Se manca, aggiungetela voi: l’obbligo di progettazione è del provider, ma il cliente vede il vostro canale.
- L’eccezione «è ovvio» va letta in modo restrittivo, scrive la Commissione: un nome tipo “Assistente” non basta se sembra un operatore.
Un Copilot interno, con nome del prodotto e interfaccia evidente, è spesso nello scenario «ovvio» per i dipendenti. Un chatbot sul sito che simula un consulente, no.
Cosa devono fare i deployer (non solo i provider)
Nella maggior parte delle PMI il ruolo è deployer: usate sistemi sotto la vostra autorità (definizioni art. 3). Gli obblighi propri dell’articolo 50 per i deployer sono i paragrafi 3 e 4, non «riscrivere il modello».
Riconoscimento emozioni / categorizzazione biometrica (par. 3). Se li usate, le persone esposte vanno informate che il sistema è in funzione — in tempo reale o a posteriori. Non è lo scenario tipico di una PMI che usa ChatGPT per bozze.
Deepfake (par. 4). Deepfake, per l’art. 3 punto 60, è contenuto immagine/audio/video generato o manipolato che sembra autentico. Se lo pubblicate (spot, video CEO, voice clone), va dichiarato in modo percepibile da una persona, non basta il watermark tecnico del provider. Eccezione ristretta per opere evidentemente artistiche, satiriche o di finzione: la disclosure non deve rovinare l’opera, ma deve esserci.
Testi di interesse pubblico (par. 4). Se pubblicate testo generato o manipolato da IA per informare il pubblico su temi di interesse generale (politica, salute, sicurezza, servizi pubblici, sviluppi economici rilevanti per il dibattito), va dichiarato — salvo revisione umana / controllo editoriale sostanziale, con qualcuno che se ne assume la responsabilità. Controllo ortografico non basta.
Una newsletter interna o una bozza email al cliente, riletta e firmata da una persona, non è lo stesso caso di un comunicato pubblico lasciato «così com’è uscito dal modello».
Cosa non è obbligatorio (e le date da non confondere)
- Non è scattato l’alto rischio Allegato III. Quella scadenza è stata spostata al 2 dicembre 2027 (pacchetto di semplificazione descritto dalla Commissione nella guida deployer). Agosto 2026 è trasparenza ed enforcement, non «tutti gli obblighi HR/credito».
- Niente etichettatura retroattiva dei contenuti generati prima del 2 agosto 2026. La Commissione la incoraggia, non la impone (FAQ).
- Proroga stretta solo sull’art. 50, par. 2 (marca machine-readable): per i sistemi già sul mercato prima del 2 agosto 2026 i provider hanno tempo fino al 2 dicembre 2026. Chatbot che deve dichiararsi e disclosure deployer: dal 2 agosto 2026.
- Non ogni testo AI in azienda va bollato. Serve pubblicazione + informazione al pubblico + interesse generale, oppure un deepfake, oppure un’interazione diretta non ovvia.
La vigilanza è soprattutto delle autorità nazionali di market surveillance. Le sanzioni previste dal regolamento possono arrivare, in astratto, fino a 15 milioni di euro o al 3% del fatturato mondiale; per PMI la Commissione richiama la proporzionalità. Non è un motivo per congelare i progetti: è un motivo per mettere tre informativa al posto giusto.
FAQ
L’articolo 50 AI Act vieta i chatbot aziendali?
No. Chiede che, se il sistema parla con le persone e non è ovvio, lo si dica al primo contatto.
Se uso ChatGPT o Copilot solo internamente, devo etichettare ogni output?
No in modo automatico. L’obbligo deployer sui testi riguarda pubblicazioni di interesse pubblico senza revisione editoriale sostanziale. L’obbligo sul «chatbot si dichiara» riguarda l’interazione diretta con persone, in genere clienti o utenti esterni.
Basta il watermark del fornitore?
Per i deepfake, no: la Commissione dice che i deployer non possono basarsi solo sulla marca machine-readable del provider. Serve una disclosure visibile o udibile.
Vale anche in Italia con la legge 132/2025?
Sì: l’AI Act si applica direttamente. La legge 132/2025 non lo sostituisce.
Fonti
- EUR-Lex: Regolamento (UE) 2024/1689 – AI Act
- AI Act Explorer: articolo 50
- Commissione Europea: FAQ obblighi di trasparenza art. 50 (24 luglio 2026)
- Commissione Europea: regole di trasparenza dal 2 agosto 2026
Approfondisci nella serie
- Deployer AI Act: chi è e cosa fare
- Deployer vs provider: checklist PMI
- Legge 132/2025 in Italia
- AI agents vs chatbot
- AI literacy obbligatoria
Se avete un chatbot, un agente o contenuti generati verso clienti e volete una passata operativa (cosa mostrare al primo messaggio, cosa etichettare, cosa no), lo facciamo sul perimetro reale. Scrivici a info@zendata.it o visita zendata.it.
Pietro Ciattaglia, CEO di Zendata AI, Roma