Obblighi di Trasparenza del Regolamento UE sull'IA: Cosa Dovete Comunicare

Il Regolamento UE sull'IA (Regolamento 2024/1689) introduce il quadro di trasparenza più completo mai emanato per l'intelligenza artificiale. A differenza delle normative precedenti incentrate principalmente sulla protezione dei dati, il Regolamento sull'IA stabilisce regole chiare su ciò che deve essere comunicato quando i sistemi di IA interagiscono con le persone, generano contenuti o prendono decisioni che le riguardano.

La trasparenza non è limitata ai sistemi di IA ad alto rischio. Anche i sistemi di IA classificati a rischio limitato — compresi chatbot, generatori di deepfake e strumenti di riconoscimento delle emozioni — sono soggetti a specifici obblighi di divulgazione. La mancata osservanza di questi requisiti può comportare ammende fino a 15 milioni di EUR o il 3% del fatturato annuo globale.

La presente guida illustra gli obblighi di trasparenza ai sensi degli Articoli da 50 a 52 del Regolamento UE sull'IA, spiega chi deve conformarsi e delinea le misure pratiche per l'implementazione.

Cosa è cambiato a luglio 2026

Il 27 luglio 2026 è entrato in vigore il Regolamento (UE) 2026/1744 ("Digital Omnibus sull'IA"), primo atto di modifica del Regolamento sull'IA. Il suo effetto principale riguarda il regime dei sistemi ad alto rischio del Capo III, Sezioni 1, 2 e 3: i sistemi ad alto rischio ai sensi dell'Articolo 6, paragrafo 2, e dell'Allegato III (casi d'uso autonomi) si applicano ora dal 2 dicembre 2027, anziché dal 2 agosto 2026; quelli ai sensi dell'Articolo 6, paragrafo 1, e dell'Allegato I (componenti di sicurezza di prodotti) dal 2 agosto 2028, anziché dal 2 agosto 2027. Il termine dell'Articolo 57 per rendere operativi gli spazi di sperimentazione normativa nazionali passa dal 2 agosto 2026 al 2 agosto 2027.

Il differimento riguarda soltanto il regime dei sistemi ad alto rischio. Gli obblighi di trasparenza dell'Articolo 50 non sono stati differiti: si applicano dal 2 agosto 2026 e sono pienamente esigibili oggi. Il 2 agosto 2026 è rimasto la data di applicazione generale del regolamento e da tale data l'Ufficio per l'IA e le autorità nazionali hanno avviato l'attività di applicazione. Il Regolamento sull'IA non è stato rinviato nel suo complesso.

Il differimento è inoltre incondizionato. Il meccanismo di "stop-the-clock" contenuto nella proposta della Commissione, che avrebbe legato le nuove date a una decisione sulla disponibilità delle norme armonizzate, è stato eliminato dai colegislatori: nel testo adottato non figura alcun criterio di attivazione basato sullo stato della normazione, né alcun ulteriore rinvio automatico.

Per chi si occupa di trasparenza rilevano due ulteriori novità, entrambe con effetto dal 2 dicembre 2026: due nuovi divieti all'Articolo 5 — sui sistemi che generano o manipolano immagini intime realistiche di persone identificabili senza il loro consenso e su quelli che generano o manipolano materiale pedopornografico — e il periodo transitorio del nuovo Articolo 111, paragrafo 4, entro il quale i sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026 devono soddisfare l'obbligo di marcatura leggibile da dispositivo automatico dell'Articolo 50, paragrafo 2.

Perché la trasparenza è importante nel Regolamento UE sull'IA

Il Regolamento UE sull'IA è fondato sul principio che le persone hanno il diritto di sapere quando interagiscono con l'IA. Non si tratta solo di una posizione filosofica — è un requisito giuridicamente vincolante. Il regolamento riconosce che senza trasparenza le persone non possono esercitare un consenso informato, contestare decisioni automatizzate o comprendere le basi degli esiti che le riguardano.

Gli obblighi di trasparenza si applicano a tutta la piramide del rischio. Mentre i sistemi ad alto rischio sono soggetti ai requisiti più stringenti (inclusi documentazione tecnica, valutazioni della conformità e marcatura CE), anche i sistemi classificati a rischio limitato devono rispettare specifiche regole di divulgazione.

Limited Risk

La maggior parte degli obblighi di trasparenza rientra nella categoria a rischio limitato. Ciò significa che si applicano ampiamente a un'ampia gamma di sistemi di IA che molte organizzazioni già impiegano, inclusi chatbot di assistenza clienti, strumenti di generazione di contenuti e piattaforme di comunicazione assistita dall'IA.

Articolo 50: Requisiti fondamentali di trasparenza

L'Articolo 50 è la disposizione centrale che disciplina la trasparenza per i sistemi di IA che interagiscono direttamente con le persone fisiche. Stabilisce quattro principali categorie di obblighi di divulgazione.

1. Divulgazione dell'interazione con il sistema di IA

Quando un sistema di IA è progettato per interagire direttamente con le persone fisiche, il fornitore deve garantire che il sistema sia progettato e sviluppato in modo che la persona sia informata di interagire con un sistema di IA. Questo obbligo si applica a meno che la natura IA del sistema non sia evidente dalle circostanze e dal contesto di utilizzo.

In pratica, ciò significa:

I chatbot devono identificarsi chiaramente come alimentati dall'IA prima o all'inizio di qualsiasi conversazione
Gli assistenti virtuali che gestiscono le richieste dei clienti devono rivelare la loro natura non umana
I sistemi telefonici basati sull'IA (compresi i cloni vocali) devono informare i chiamanti che stanno parlando con un'IA

L'eccezione "evidente dal contesto" è circoscritta. Non date per scontato che gli utenti sappiano di parlare con un'IA. In caso di dubbio, divulgate. È probabile che le autorità di vigilanza interpretino questa eccezione in modo restrittivo, tanto più ora che l'Articolo 50 è pienamente applicabile.

2. Riconoscimento delle emozioni e categorizzazione biometrica

I deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica devono informare le persone fisiche esposte a tali sistemi circa il funzionamento del sistema. Ciò include informarle sulle categorie di dati personali trattati e, se del caso, sulla finalità del trattamento.

I requisiti principali comprendono:

Informare le persone prima che il sistema tratti i loro dati
Spiegare quali categorie di dati vengono raccolti (espressioni facciali, pattern vocali, segnali fisiologici)
Indicare la finalità della categorizzazione o del riconoscimento
Fornire queste informazioni in modo chiaro e distinguibile

3. Etichettatura dei contenuti generati dall'IA

I fornitori di sistemi di IA che generano contenuti sintetici audio, immagini, video o testuali devono garantire che gli output siano contrassegnati in un formato leggibile da dispositivo automatico e siano rilevabili come generati o manipolati artificialmente. Questo è uno degli obblighi di trasparenza tecnicamente più impegnativi.

Il requisito ha due componenti:

Contrassegno leggibile da dispositivo automatico: gli output devono contenere metadati o filigrane che consentano il rilevamento automatico della loro natura di contenuti generati dall'IA
Divulgazione rivolta alle persone: quando i contenuti generati dall'IA vengono pubblicati, i deployer devono rendere noto che il contenuto è stato generato o manipolato dall'IA

Per i sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026, l'Articolo 111, paragrafo 4, introdotto dal Regolamento (UE) 2026/1744, concede tempo fino al 2 dicembre 2026 per soddisfare l'obbligo di marcatura leggibile da dispositivo automatico dell'Articolo 50, paragrafo 2. Si tratta dell'unico margine transitorio previsto in materia di trasparenza: tutti gli altri obblighi dell'Articolo 50 si applicano dal 2 agosto 2026.

Il requisito di contrassegno leggibile da dispositivo automatico si applica ai fornitori (coloro che sviluppano il sistema di IA), mentre il requisito di divulgazione rivolta alle persone si applica ai deployer (coloro che utilizzano il sistema per generare e pubblicare contenuti).

4. Divulgazione dei deepfake

Il regolamento presta particolare attenzione ai deepfake. Chiunque impieghi un sistema di IA che genera o manipola contenuti di immagini, audio o video che costituiscono un deepfake deve rendere noto che il contenuto è stato generato o manipolato artificialmente. Tale divulgazione deve essere effettuata in modo chiaro e distinguibile al più tardi al momento della prima pubblicazione del contenuto.

Vi sono eccezioni limitate per:

Contenuti utilizzati per finalità artistiche, satiriche o di finzione legittime, a condizione che vi siano salvaguardie per i diritti dei terzi
Attività di contrasto in cui la divulgazione comprometterebbe la sicurezza pubblica

Per alcune categorie di contenuti sintetici la divulgazione non è comunque sufficiente. Dal 2 dicembre 2026 i due nuovi divieti introdotti all'Articolo 5 dal Regolamento (UE) 2026/1744 rendono vietati in quanto tali i sistemi di IA che generano o manipolano immagini intime realistiche di una persona identificabile senza il suo consenso e quelli che generano o manipolano materiale pedopornografico. In questi casi non esiste un'etichetta che renda l'uso lecito: si veda la guida alle pratiche di IA vietate.

Articolo 50 nella pratica: Chi deve fare cosa

Comprendere gli obblighi di trasparenza richiede di distinguere tra fornitori e deployer:

Ruolo	Obbligo	Esempio
Fornitore	Progettare sistemi che consentano la trasparenza	Integrare meccanismi di divulgazione nell'interfaccia del chatbot
Fornitore	Implementare il contrassegno dei contenuti leggibile da dispositivo automatico	Aggiungere metadati C2PA o filigrane alle immagini generate
Deployer	Informare gli utenti dell'interazione con l'IA	Visualizzare "State conversando con un assistente IA"
Deployer	Rendere noti i contenuti generati dall'IA	Etichettare articoli o immagini generati dall'IA come tali
Deployer	Notificare i soggetti del riconoscimento delle emozioni	Esporre avvisi sull'analisi facciale negli spazi commerciali

Avete bisogno di supporto per il monitoraggio della conformità alla trasparenza?

Ctrl AI fornisce tracce di esecuzione verificabili per ogni interazione IA — rendendo semplice dimostrare la conformità alla trasparenza alle autorità di regolamentazione.

Learn About Ctrl AI

Articolo 52: Trasparenza per i sistemi di IA ad alto rischio

I sistemi di IA ad alto rischio sono soggetti a requisiti di trasparenza aggiuntivi rispetto a quelli dell'Articolo 50. Questi sono dettagliati principalmente negli Articoli 13 e 14, ma l'Articolo 52 estende gli obblighi di trasparenza a specifici casi d'uso ad alto rischio.

A differenza dell'Articolo 50, questi requisiti rientrano nel Capo III, Sezioni 1, 2 e 3, e sono stati differiti dal Regolamento (UE) 2026/1744: si applicano dal 2 dicembre 2027 ai sistemi ad alto rischio dell'Allegato III e dal 2 agosto 2028 a quelli dell'Allegato I. Restano invece applicabili dal 2 agosto 2026 sia l'Articolo 50 sia la registrazione prevista dall'Articolo 49, che si colloca nella Sezione 5 del Capo III ed è estranea al differimento. Per il quadro completo si veda la guida ai requisiti per i sistemi di IA ad alto rischio.

Istruzioni per l'uso

I fornitori di sistemi di IA ad alto rischio devono fornire ai deployer istruzioni per l'uso chiare e complete. Queste devono includere:

L'identità e i dati di contatto del fornitore
Le caratteristiche, le capacità e i limiti del sistema di IA
Il livello di prestazioni in termini di accuratezza, robustezza e cybersicurezza
Qualsiasi circostanza nota o ragionevolmente prevedibile che possa comportare rischi per la salute, la sicurezza o i diritti fondamentali
Le misure di sorveglianza umana e le modalità per implementarle
La durata di vita prevista del sistema e i requisiti di manutenzione

Registrazione e tracciabilità

I sistemi di IA ad alto rischio devono generare automaticamente dei log. Questi log devono essere sufficientemente dettagliati da consentire il monitoraggio del funzionamento del sistema e facilitare la sorveglianza post-commercializzazione. I deployer devono conservare tali log per un periodo adeguato alla finalità prevista del sistema di IA ad alto rischio, e per almeno sei mesi salvo diversa previsione della normativa applicabile.

I requisiti di conservazione dei log interagiscono con i principi di minimizzazione dei dati del GDPR. Le organizzazioni devono bilanciare gli obblighi di registrazione del Regolamento sull'IA con il requisito del GDPR di non conservare i dati personali più a lungo del necessario. Ciò richiede un'attenta pianificazione della governance dei dati.

Misure pratiche per la conformità alla trasparenza

Fase 1: Inventariate i vostri sistemi di IA

Prima di poter adempiere agli obblighi di trasparenza, dovete sapere quali sistemi di IA utilizza la vostra organizzazione. Conducete un audit approfondito che copra:

Chatbot e assistenti virtuali rivolti ai clienti
Strumenti di generazione di contenuti (testo, immagini, video, audio)
Sistemi di riconoscimento delle emozioni o di categorizzazione biometrica
Qualsiasi sistema di IA che interagisca direttamente con le persone fisiche

Fase 2: Classificate i requisiti di divulgazione

Per ciascun sistema identificato, determinate quali obblighi di trasparenza si applicano. Mappate ciascun sistema sulle disposizioni pertinenti dell'Articolo 50 e, se del caso, dell'Articolo 52.

Fase 3: Implementate misure tecniche

Per i contenuti generati dall'IA, implementate il contrassegno leggibile da dispositivo automatico. Lo standard C2PA (Coalition for Content Provenance and Authenticity) sta emergendo come approccio di riferimento. Per chatbot e sistemi interattivi, integrate meccanismi di divulgazione direttamente nell'interfaccia utente.

Fase 4: Redigete le comunicazioni rivolte agli utenti

Create avvisi chiari e in linguaggio semplice per ciascun obbligo di trasparenza. Evitate di nascondere le divulgazioni in termini di servizio prolissi. Il regolamento richiede che le divulgazioni siano "chiare e distinguibili" — ovvero devono essere evidenti e facili da comprendere.

Fase 5: Documentate tutto

Conservate registrazioni delle vostre misure di trasparenza. Questa documentazione sarà essenziale se le autorità di regolamentazione vi chiederanno di dimostrare la conformità. Conservate registrazioni di:

Quali divulgazioni vengono effettuate, dove e quando
Come è implementato il contrassegno leggibile da dispositivo automatico
Materiali di formazione per il personale sugli obblighi di trasparenza
Eventuali decisioni di non divulgare (con giustificazione in base a un'esenzione)

Calendario per la conformità alla trasparenza

Errori comuni da evitare

Presumere che la trasparenza dei chatbot sia facoltativa. Se il vostro sistema interagisce con le persone e la natura IA non è evidente, dovete divulgarla. La soglia per "evidente" è elevata.

Ignorare il requisito del formato leggibile da dispositivo automatico. Aggiungere semplicemente un'etichetta testuale ai contenuti generati dall'IA non è sufficiente. I fornitori devono implementare un contrassegno tecnico che consenta il rilevamento automatico.

Confondere la trasparenza GDPR con la trasparenza del Regolamento sull'IA. Sebbene entrambi i regolamenti richiedano trasparenza, i requisiti del Regolamento sull'IA sono distinti. La trasparenza GDPR si concentra sul trattamento dei dati; la trasparenza del Regolamento sull'IA si concentra sulla natura IA del sistema e dei suoi output. Dovete conformarvi a entrambi.

Trattare la trasparenza come un adempimento una tantum. Gli obblighi di trasparenza sono continui. Man mano che i sistemi di IA vengono aggiornati, le divulgazioni devono essere riviste e aggiornate per rimanere accurate.

Sanzioni per la non conformità

La mancata osservanza degli obblighi di trasparenza può comportare sanzioni amministrative pecuniarie fino a 15 milioni di EUR o il 3% del fatturato mondiale totale annuo dell'esercizio finanziario precedente, se superiore. Le violazioni dei divieti dell'Articolo 5 — compresi i due nuovi divieti applicabili dal 2 dicembre 2026 — ricadono nella fascia più elevata e possono raggiungere 35 milioni di EUR o il 7% del fatturato. Il Regolamento (UE) 2026/1744 non ha modificato l'impianto sanzionatorio dell'Articolo 99.

Le autorità nazionali di vigilanza del mercato hanno il potere di indagare sulla conformità alla trasparenza e di imporre ammende, e l'attività di applicazione è iniziata il 2 agosto 2026. Poiché l'Articolo 50 non è stato differito, il rischio sanzionatorio in materia di trasparenza è attuale, non prospettico.

Conclusione

La trasparenza è l'area del Regolamento UE sull'IA con cui le organizzazioni devono fare i conti oggi. A differenza dei requisiti per i sistemi ad alto rischio, che richiedono estese valutazioni della conformità e sono stati differiti al 2 dicembre 2027 e al 2 agosto 2028, molti obblighi di trasparenza possono essere soddisfatti attraverso una progettazione comunicativa chiara, il contrassegno tecnico dei contenuti e una documentazione approfondita.

Il differimento di luglio 2026 non ha spostato queste scadenze: l'Articolo 50 si applica dal 2 agosto 2026 e le autorità hanno avviato l'attività di applicazione. L'unico margine residuo è il 2 dicembre 2026 per la marcatura leggibile da dispositivo automatico dei sistemi di IA generativa già sul mercato. Chi non ha ancora completato il lavoro dovrebbe procedere per priorità: inventariare i sistemi di IA, mappare gli obblighi applicabili e implementare per primi i meccanismi di divulgazione rivolti agli utenti, che sono i più visibili in caso di controllo. Per una visione d'insieme delle scadenze si veda il calendario di attuazione del Regolamento sull'IA.