AI Act e contenuti: cosa devono fare le aziende?

Obblighi di trasparenza, deepfake, chatbot e testi generati. A cosa deve prestare attenzione un'azienda, in base a cosa si valuta il livello di rischio? Cosa chiedere a un fornitore che ti supporta nella scrittura di testi, nel montaggio di video, nella creazione di flussi creativi?

Cosa troverai in questo articolo?

• Breve riassunto di cos’è l’AI Act
• I ruoli delle aziende
• Adempimenti delle aziende in relazione all’AI Act
• Sanzioni per mancato rispetto della norma relativa all’AI Act (e come evitarle)
• Come si applica ai contenuti generati dall’IA?

Il 2 agosto 2026 è passato senza grandi clamori, e forse è giusto così: non si tratta di una scadenza isolata, ma di uno step all'interno del percorso graduale tracciato dall'AI Act per disciplinare l'uso e lo sviluppo dell'intelligenza artificiale. Cosa è successo da quella data? Sono diventati operativi gli obblighi di trasparenza e l'applicazione di gran parte delle norme del regolamento europeo.

Ma che cos’è l’AI Act esattamente?

L'AI Act (Regolamento UE 2024/1689) è il primo regolamento europeo sull’intelligenza artificiale e la prima normativa organica al mondo a disciplinare lo sviluppo, la commercializzazione e l'uso dei sistemi di IA. Lo scopo del regolamento è accompagnare gli utilizzatori delle intelligenze artificiali (quindi tutti noi) verso un utilizzo trasparente, consapevole, etico e sicuro, classificando i sistemi in base al livello di rischio.

Riguarda tutti?

I ruoli delle aziende

L’AI Act interessa:

• Provider (Fornitore): chi sviluppa o commercializza il sistema di IA e ha obblighi su documentazione tecnica e conformità.
• Deployer (Utilizzatore): l'azienda che impiega l'IA nel proprio lavoro e deve garantire supervisione umana e formazione.

Qui vale la pena essere precisi, perché la divulgazione italiana su questo passaggio in alcune occasioni tende ad essere disallineata rispetto al testo. L'articolo 50 distribuisce gli obblighi su due soggetti diversi.

• Al fornitore del sistema (il provider) spettano due cose: progettare i sistemi destinati a interagire con le persone in modo che sia chiaro che si tratta di IA, e marcare gli output sintetici in un formato leggibile da macchina: watermark, metadati, standard di provenance come C2PA o SynthID. Sono obblighi di progettazione, non di pubblicazione.
• A chi utilizza il sistema (il deployer), e cioè l'agenzia, la redazione, il freelance, il team in-house, spettano invece gli obblighi che si attivano al momento della pubblicazione: dichiarare i deepfake, dichiarare i testi generati o manipolati che informano il pubblico su questioni di interesse pubblico, informare le persone esposte a sistemi di riconoscimento delle emozioni o categorizzazione biometrica.

La conseguenza pratica è che chi gestisce un chatbot di customer care per un cliente non è, di per sé, il soggetto obbligato a farlo dichiarare come IA: quell'obbligo è di chi il chatbot lo fornisce. Restano naturalmente le responsabilità contrattuali verso il cliente e, in Italia, gli obblighi informativi propri.

Quali sono gli adempimenti principali per le aziende?

• Mappatura: catalogare gli strumenti di IA usati nei vari reparti (es. risorse umane, marketing).
• Trasparenza: informare chiaramente quando si interagisce con un'IA, come nel caso di chatbot o deepfake.
• Formazione: assicurare la competenza in materia di IA (AI literacy) al personale coinvolto.
• Supervisione: mantenere il controllo umano sui processi decisionali automatizzati.

Cosa significa per le organizzazioni aziendali?

• Monitoraggio continuo: Non basta un check-up una tantum; i processi interni vanno rivisti man mano che l’uso dell’IA evolve.
• Formazione del personale: L’alfabetizzazione digitale deve essere costante per tutti i lavoratori coinvolti.
• Gestione dei rischi: Ogni nuovo strumento integrato richiede una valutazione preventiva e continua del livello di rischio.

Ma cosa succede se non mi adeguo?

Sanzioni per mancato rispetto della norma relativa all’AI Act (e come evitarle)

Le sanzioni previste dall'AI Act (Regolamento UE 2024/1689) dipendono dalla gravità della violazione e si dividono in tre fasce principali:

• Pratiche di IA vietate (Art. 5): Multe fino a 35 milioni di euro o fino al 7% del fatturato mondiale annuo (viene scelta la somma più alta tra le due).
• Violazione di obblighi sui sistemi ad alto rischio: Multe fino a 15 milioni di euro o fino al 3% del fatturato mondiale annuo.
• Fornitura di informazioni inesatte o false alle autorità: Multe fino a 7,5 milioni di euro o fino all'1,5% del fatturato mondiale annuo.

Per le PMI e le start-up, il regolamento prevede che le sanzioni siano proporzionate e tengano conto della loro sostenibilità economica, applicando l'importo minore tra la cifra fissa e la percentuale di fatturato.

L'AI Act classifica i sistemi in base al livello di rischio: inaccettabile (vietati), alto rischio, rischio limitato e minimo.

Le Categorie di Rischio:

• Rischio inaccettabile: Sistemi vietati (come la manipolazione comportamentale o il social scoring).
• Alto rischio: Sistemi ammessi ma soggetti a rigidi controlli e valutazioni (come il riconoscimento biometrico o la gestione delle risorse umane).
• Rischio minimo o trasparenza: Sistemi come i chatbot, per cui vige l'obbligo di informare l'utente che sta interagendo con una macchina.

Quindi, come evito di incorrere in problematiche o sanzioni? Di base rispettando gli adempimenti principali e poi sicuramente affidandosi al fornitore giusto.

La didascalia: Esempi illustrativi. L'immagine a destra potrebbe rientrare nella fattispecie di deepfake ai sensi dell'art. 50, par. 4, AI Act: la rappresentazione fotorealistica di un volto identificabile in un'azione verosimile richiederebbe trasparenza, in quanto potenzialmente idonea a essere percepita come autentica. L'immagine a sinistra, priva sia di un'identità umana riconoscibile sia di elementi distintivi del prodotto (marchio, etichetta, packaging o altri segni identificativi), risulterebbe invece esclusa da tale fattispecie e dal relativo obbligo di etichettatura. La qualificazione potrebbe comunque essere soggetta a valutazione caso per caso, anche in ragione dell'attuale incertezza interpretativa della norma.

Come si rispetta l’AI Act in relazione ai contenuti generati dall’IA?

Il fraintendimento più diffuso è che ogni contenuto realizzato con un aiuto dell'IA vada dichiarato. Non è così, e la differenza non è un cavillo; non si guarda allo strumento usato, ma l'effetto sul destinatario.
Un contenuto ricade nell'obbligo quando appartiene a una delle situazioni specifiche previste dall'articolo 50: contenuti che potrebbero apparire autentici pur non essendolo, testi pubblicati per informare il pubblico su questioni di interesse pubblico, sistemi che interagiscono direttamente con le persone, riconoscimento delle emozioni e categorizzazione biometrica.
Fuori da lì, un visual dichiaratamente illustrato, un ritaglio, una correzione colore, un copy scritto con l'aiuto di un modello e poi riletto e approvato da una persona, l'uso interno per bozze e ricerca, l'AI Act non chiede nulla. La domanda giusta, quindi, non è "ho usato l'IA, devo dichiararlo?", ma "questo contenuto, così come lo vedrà chi lo riceve, potrebbe essere scambiato per qualcosa che non è?". È un criterio che costringe a ragionare caso per caso, il che è più faticoso di una regola meccanica ma molto meno invasivo.

Le eccezioni che nessuno racconta

Tre esenzioni contano più di quanto si creda, soprattutto per chi lavora in ambito creativo.

• La prima: l'obbligo di dichiarare l'interazione con un sistema di IA non si applica quando la circostanza è ovvia per una persona ragionevolmente informata, attenta e avveduta, tenuto conto del contesto.
• La seconda, e forse la più rilevante: quando il contenuto fa parte di un'opera manifestamente artistica, creativa, satirica o di finzione, l'obbligo si riduce a segnalare l'esistenza della manipolazione in modo appropriato, e — testualmente — in una forma che non ostacoli la fruizione dell'opera.
• La terza riguarda i testi: l'obbligo scatta solo per contenuti pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, e viene meno quando il testo è stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica ne assume la responsabilità editoriale. 

Quindi, cosa deve fare in poche parole una azienda?

• Fare l'inventario reale degli strumenti in uso, incluso ciò che arriva da fornitori e collaboratori esterni. Il divario più grande è quasi sempre tra ciò che il team dichiara di usare e ciò che usa.
• Distinguere i livelli di intervento invece di applicare un'etichetta unica: un'immagine interamente generata, una foto reale ritoccata e un testo umano rifinito con l'IA non sono la stessa cosa, né sul piano normativo né su quello percettivo.
• Dichiarare dove la persona incontra il contenuto, non nei termini e condizioni. La norma richiede un'informazione chiara e distinguibile al più tardi al momento della prima interazione o esposizione.
• Tenere traccia della revisione editoriale sui contenuti di interesse pubblico. Non serve pubblicarla, serve poterla dimostrare.
• Estendere la policy interna a fornitori e freelance. La maggior parte dei rischi non nasce dentro il team, ma a monte, presso chi consegna materiale senza dichiarare come l'ha prodotto.
• Non dimenticare l'articolo 4. L'obbligo di garantire un livello sufficiente di alfabetizzazione sull'IA al personale è in vigore dal febbraio 2025 e riguarda anche le agenzie. È l'adempimento più trascurato e insieme il più semplice da soddisfare.

Il filo comune di tutto questo è che il rischio non nasce quasi mai dall'uso dell'IA in sé, ma dall'assenza di una revisione umana tracciabile e di una responsabilità chiaramente assegnata.

Vale la pena portare qualche domanda in riunione prima che ce le ponga qualcun altro: I nostri fornitori dichiarano l'uso di IA generativa nei deliverable, o lo scopriamo solo se lo chiediamo? E la trasparenza, comunicata bene, può diventare un elemento di posizionamento invece che un rischio da minimizzare?

Sei alla ricerca di un partner che pone trasparenza, compliance ed efficacia nella gestione del rapporto con l’AI? Sentiamoci!

Articolo a cura di ACC. Le informazioni normative sono aggiornate ad agosto 2026 e non costituiscono consulenza legale: per valutazioni su progetti specifici si raccomanda il confronto con un legale specializzato.