Le 6 cose che cambiano dopo l'entrata in vigore delle regole sulla trasparenza dell'AI Act

Cos’è successo

Da domenica, chatbot e altri sistemi di AI che interagiscono direttamente con le persone devono dichiararsi per quello che sono, a meno che non sia già evidente, e i fornitori devono inoltre incorporare negli output una traccia tecnica che altri software possano rilevare. Chi pubblica un deepfake è tenuto a mostrarne l'origine; lo stesso vale per un testo di interesse pubblico generato dall'AI, a meno che non sia stato sottoposto a revisione umana o controllo editoriale, sotto la responsabilità di una persona o un'organizzazione. E chi usa strumenti che stimano le emozioni o classificano le persone attraverso dati biometrici deve avvertire i soggetti esposti.

Bruxelles ha poi dato anche il via all'enforcement sui modelli general-purpose (GPAI, ossia quelli capaci di svolgere molti compiti diversi), per i quali gli obblighi — se messi sul mercato dopo il 2 agosto 2025 — erano già in vigore. All'AI Office — l'ufficio della Commissione dedicato all'AI — spetta ora il potere di chiedere documenti, valutare i modelli e imporre correzioni, arrivando fino al ritiro dal mercato e multe che possono raggiungere il valore più alto fra €15 milioni e il 3% del fatturato globale. Le aziende che costruiscono servizi usando sotto al cofano quei modelli, invece, hanno in più un canale per presentare un reclamo formale alla Commissione qualora il fornitore violi gli obblighi sui GPAI, a partire dalla mancata consegna delle informazioni necessarie.

Perché conta

Da questa settimana, una parte del regolamento apparirà direttamente davanti all'utente — come avviso sullo schermo — e un'altra raggiungerà i lab sotto forma di richieste della Commissione. Le responsabilità cambiano lungo la catena, motivo per cui l'AI Act non considera deepfake qualunque testo ritoccato con un modello.

• La marcatura automatica viaggia con l'output e spetta a chi fornisce il sistema. L'avviso visibile ricade invece su chi pubblica un deepfake. Nei testi destinati a informare il pubblico, l'obbligo non scatta quando il contenuto è passato attraverso una revisione umana o un controllo editoriale e una persona o un'organizzazione ne assume la responsabilità. In concreto, serve un controllo sul merito: una persona competente o una redazione deve poter decidere se e come pubblicare il testo e assumersene la responsabilità legale; una semplice correzione ortografica non è sufficiente. La regola esclude anche le normali funzioni di editing che non alterano sostanzialmente l'input; per le opere artistiche o satiriche basta invece un'indicazione che non ne comprometta la fruizione. In ogni caso, il segnale certifica l'origine del contenuto — non la sua verità;
• Un'azienda che incorpora Claude o GPT non eredita automaticamente la conformità del modello sottostante, e per assolvere i propri obblighi deve conoscerne capacità e limiti. Regola che vale anche all’opposto: qualora sia il lab a violare le regole sui GPAI — per esempio, negando la documentazione prevista — il nuovo canale consente all’azienda di presentare un reclamo formale a Bruxelles. Chi sviluppa il modello deve insomma documentarlo affinché chi lo integra possa rispondere anche del prodotto finale.
• L'AI Office vigilerà sui modelli general-purpose e sui sistemi offerti dagli stessi fornitori; per gli altri prodotti interverranno le autorità nazionali, mentre sulle istituzioni europee è competente il Garante europeo della protezione dei dati. Secondo The Next Web, l'unità dedicata ai modelli general-purpose conta però appena 36 persone, chiamate a confrontarsi soprattutto con laboratori americani dalle risorse enormemente superiori.

Adesso

• Chi aveva già messo sul mercato un sistema generativo prima del 2 agosto 2026 avrà fino al 2 dicembre per incorporare le marcature automatiche. Sui contenuti pubblicati in precedenza non esiste invece un obbligo retroattivo — la rete non verrà rietichettata a ritroso, e per qualche mese continueranno a circolare output prodotti sotto regimi diversi;
• Oltre 180 organizzazioni hanno aderito al codice volontario sulla trasparenza, che offre un percorso comune per dimostrare la conformità. Chi rimane fuori può adottare soluzioni equivalenti, preparandosi però a documentarle davanti alle autorità. I modelli già sul mercato prima del 2 agosto 2025 avranno invece fino al 2 agosto 2027 per adeguarsi; su quelli più recenti, le prime mosse dell'AI Office passeranno verosimilmente da richieste di informazioni e valutazioni tecniche (le multe sono il punto d'arrivo dell'enforcement, non il suo esordio automatico).
• Il calendario si allunga ben oltre questa settimana, perché l'AI Omnibus ha rinviato al dicembre 2027 le regole sui sistemi ad alto rischio e all'agosto 2028 quelle incorporate nei prodotti regolamentati. Le etichette precedono così l'impianto del regolamento basato sul rischio. Sapere quando l'AI c'è viene prima; stabilire che cosa possa fare nei contesti più delicati arriverà più tardi. Per una legge entrata in vigore nel 2024, il cantiere durerà ancora un po'.