Le nuove regole europee e le sfide per imprese e pubbliche amministrazioni, dopo la riscrittura del calendario degli obblighi in materia di intelligenza artificiale operata dal Digital Omnibus.
Di Gianluca Sivieri
Il primo vero banco di prova dell’AI Act
Il 2 agosto 2026 segna una data destinata a incidere concretamente sull’impiego dell’intelligenza artificiale in Europa. Se molta dell’attenzione si è concentrata sul rinvio di numerosi obblighi operato dal Regolamento (UE) 2026/1744 – il cosiddetto Digital Omnibus sull’IA, pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio – è passato quasi inosservato un dato fondamentale: gli obblighi di trasparenza previsti dall’art. 50 del Regolamento (UE) 2024/1689 (AI Act) entrano regolarmente in applicazione, accompagnati dal relativo regime sanzionatorio.
La circostanza assume particolare rilievo anche alla luce della pubblicazione, il 20 luglio 2026, delle Linee guida della Commissione europea sull’art. 50, documento che, pur non avendo natura giuridicamente vincolante, costituisce oggi il principale riferimento interpretativo per gli operatori economici e per le autorità nazionali di vigilanza.
È probabilmente la prima disposizione dell’AI Act destinata a incidere quotidianamente sul rapporto tra cittadini, imprese e pubbliche amministrazioni. Se il GDPR ha imposto la trasparenza sul trattamento dei dati personali, l’AI Act introduce un diverso paradigma: la trasparenza sull’utilizzo dell’intelligenza artificiale.
Non si tratta di una mera formalità informativa, ma dell’affermazione di un principio destinato a permeare l’intero ecosistema europeo dell’IA: il cittadino deve essere posto nelle condizioni di sapere quando interagisce con una macchina, quando osserva un contenuto artificiale e quando determinate tecnologie incidono sulla sua sfera personale.
L’architettura dell’art. 50: quattro obblighi, un unico principio
Contrariamente a quanto spesso si ritiene, l’art. 50 non disciplina un unico obbligo di trasparenza, ma quattro fattispecie autonome, accomunate dalla finalità di evitare che l’intelligenza artificiale operi in modo occulto o ingannevole.
La prima riguarda i sistemi destinati a interagire direttamente con le persone. Chatbot, assistenti virtuali e agenti conversazionali dovranno informare chiaramente l’utente che sta dialogando con un sistema di IA, salvo che ciò sia già evidente per una persona ragionevolmente informata, attenta e avveduta. La regola, apparentemente semplice, pone interrogativi significativi per tutte le organizzazioni che stanno progressivamente sostituendo il primo livello di contatto con assistenti automatizzati.
La seconda fattispecie interessa i contenuti sintetici. I provider dovranno garantire che immagini, audio, video e altri contenuti generati artificialmente siano contrassegnati mediante marcature tecniche machine-readable, consentendone il riconoscimento automatico. È una misura che guarda al futuro: non tanto all’utente umano, quanto agli ecosistemi digitali e agli strumenti che dovranno riconoscere in modo affidabile i contenuti generati dall’intelligenza artificiale.
Il terzo obbligo riguarda l’utilizzo di sistemi di riconoscimento delle emozioni e di categorizzazione biometrica. In tali ipotesi le persone interessate dovranno essere informate dell’impiego della tecnologia, salvo le specifiche eccezioni previste per gli utilizzi autorizzati dalla legge nell’ambito delle attività di prevenzione, accertamento, indagine o perseguimento dei reati.
Infine, l’art. 50 disciplina la diffusione di deepfake e contenuti di interesse pubblico, imponendo specifici obblighi di dichiarazione, temperati dalla possibilità di beneficiare di un’esenzione quando ricorrano revisione umana e responsabilità editoriale chiaramente individuabile.
Il regime transitorio: attenzione a una falsa convinzione
Uno degli equivoci più diffusi riguarda l’effettiva portata della scadenza del 2 agosto.
Le Linee guida della Commissione chiariscono infatti che solo l’obbligo di marcatura tecnica previsto dall’art. 50, paragrafo 2, beneficia di un regime transitorio per i sistemi già immessi sul mercato, con applicazione differita al 2 dicembre 2026. Si tratta oggi di un termine di diritto positivo, e non di una semplice indicazione interpretativa: il nuovo art. 111, paragrafo 4, dell’AI Act – come riscritto dall’art. 1, punto 40, del Regolamento (UE) 2026/1744 – fissa espressamente questa data per i provider di sistemi generativi, inclusi i sistemi di IA per finalità generale, già immessi sul mercato prima del 2 agosto 2026.
Non subiscono invece alcun rinvio gli obblighi relativi all’interazione uomo-macchina, ai sistemi di riconoscimento delle emozioni, alla categorizzazione biometrica e ai deepfake, che diventano applicabili già dal 2 agosto 2026.
È una distinzione destinata ad avere importanti ricadute operative, soprattutto per le organizzazioni che ritengono erroneamente di poter rinviare qualsiasi adeguamento alla fine dell’anno.
Pubbliche amministrazioni: la trasparenza dell’IA incontra la trasparenza amministrativa
È probabilmente nelle pubbliche amministrazioni che l’art. 50 produrrà gli effetti più interessanti sotto il profilo interpretativo.
L’introduzione di chatbot per gli sportelli digitali, l’automazione dei servizi al cittadino e la progressiva diffusione di assistenti virtuali rendono ormai imprescindibile l’adozione di meccanismi di disclosure conformi all’AI Act.
Ma è proprio qui che emerge una questione destinata ad alimentare il dibattito giuridico nei prossimi anni.
Se il cittadino ha diritto di sapere che sta dialogando con un sistema di intelligenza artificiale, può anche pretendere di conoscere le istruzioni che l’amministrazione ha impartito a quel sistema?
Il cosiddetto system prompt rappresenta, sotto il profilo tecnico, l’insieme delle regole che orientano il comportamento dell’assistente virtuale. Esso determina quali informazioni privilegiare, quali limiti rispettare, quali modalità comunicative adottare e, in molti casi, quali richieste rifiutare.
Non è difficile immaginare che tali istruzioni possano assumere rilevanza anche nell’ambito della trasparenza amministrativa, soprattutto quando il chatbot costituisce il primo punto di contatto tra amministrazione e cittadino.
Naturalmente non si tratta di affermare un diritto generalizzato di accesso ai prompt di sistema. Entrano infatti in gioco ulteriori interessi giuridicamente rilevanti, quali la sicurezza informatica, la tutela da possibili manipolazioni (prompt injection), la protezione del knowhow e, in alcuni casi, la proprietà intellettuale. Tuttavia, è difficile negare che, almeno per le istruzioni che incidono sull’esercizio dell’attività amministrativa o sull’erogazione di servizi pubblici, possano emergere esigenze di conoscibilità, sia nell’ambito dell’accesso documentale sia, soprattutto, dell’accesso civico generalizzato.
È un terreno ancora inesplorato, ma destinato con ogni probabilità a rappresentare uno dei primi punti di contatto tra AI Act, Legge n. 241/1990 e disciplina della trasparenza amministrativa.
Videosorveglianza intelligente: nessun automatismo nelle esenzioni
Un’altra questione particolarmente rilevante riguarda i sistemi di videosorveglianza dotati di funzionalità di riconoscimento delle emozioni o di categorizzazione biometrica.
Le Linee guida precisano che l’esenzione prevista dall’art. 50, paragrafo 3, opera esclusivamente nei casi espressamente autorizzati dal diritto dell’Unione o nazionale per finalità di prevenzione, accertamento, indagine o perseguimento dei reati.
Ne consegue che non ogni utilizzo in ambito di sicurezza pubblica è automaticamente sottratto agli obblighi di trasparenza. Sarà invece necessario verificare, caso per caso, la concreta finalità perseguita, la base giuridica applicabile e le specifiche caratteristiche del sistema impiegato.
Per le Polizie Locali e, più in generale, per le amministrazioni che stanno introducendo sistemi di analisi video assistiti da algoritmi di intelligenza artificiale, questa valutazione dovrà necessariamente coordinarsi con il GDPR, con la disciplina nazionale sulla videosorveglianza e con le future disposizioni attuative dell’AI Act.
Un approccio integrato alla governance dell’IA
L’errore che molte organizzazioni rischiano di commettere consiste nel considerare l’art. 50 come un semplice obbligo di etichettatura.
In realtà, gli obblighi di trasparenza costituiscono soltanto il punto di arrivo di un processo organizzativo molto più ampio, che richiede la mappatura dei sistemi di IA, la corretta individuazione dei ruoli lungo la filiera, l’aggiornamento della documentazione privacy, la revisione dei contratti con i fornitori, l’adeguamento delle informative e la definizione di procedure interne di governance.
Per le pubbliche amministrazioni ciò significa integrare AI Act, GDPR, disciplina sulla trasparenza amministrativa, accessibilità digitale, sicurezza informatica e gestione documentale all’interno di un unico modello organizzativo.
È questa, probabilmente, la vera sfida posta dal regolamento europeo.
Trasparenza: un nuovo rapporto tra uomo e macchina
Il 2 agosto 2026 non rappresenta soltanto una nuova scadenza normativa. Segna l’inizio di una diversa concezione del rapporto tra esseri umani e sistemi di intelligenza artificiale.
L’Europa sceglie di fondare la fiducia nell’innovazione non sull’opacità degli algoritmi, ma sulla loro riconoscibilità. Sapere quando si dialoga con una macchina, quando si osserva un contenuto artificiale o quando determinate tecnologie influenzano la realtà costituisce il presupposto minimo per un utilizzo consapevole dell’intelligenza artificiale.
Per imprese e pubbliche amministrazioni il messaggio è altrettanto chiaro: la trasparenza non è più soltanto un principio etico o un requisito di buona amministrazione, ma un preciso obbligo giuridico destinato a diventare uno degli elementi centrali della governance dell’IA nei prossimi anni.
