Il 2 agosto 2026 è tra pochi giorni, e con quella data diventano applicabili gli obblighi di trasparenza dell’AI Act (art. 50). È l’unica parte dell’AI Act che tocca davvero la PMI media, ora che gli obblighi sui sistemi ad alto rischio sono stati rinviati al 2027-2028.
Il problema è che intorno a questa scadenza sta circolando un consiglio sbagliato: «da agosto mettete in fondo a ogni documento la scritta “generato con l’assistenza di AI”». Non è così, e seguirlo alla lettera significa riempire di disclaimer inutili email e documenti che non ne hanno alcun bisogno — mentre magari resta scoperto ciò che va davvero dichiarato.
Questa guida separa le due cose: cosa ricade su di te e cosa ricade sul fornitore del software.
In sintesi
- L’obbligo di far sapere che si sta parlando con un’AI (art. 50, par. 1) è del fornitore del sistema, non tuo.
- L’obbligo che ricade davvero sulla PMI è l’art. 50, par. 4: dichiarare deepfake e testi pubblicati su temi di interesse pubblico senza revisione umana.
- Usare Copilot per scrivere un’email o un preventivo non fa scattare nulla, se una persona rilegge e approva.
- Le sanzioni arrivano a 15 milioni di euro o il 3% del fatturato mondiale; per le PMI si applica il minore dei due importi.
- Attenzione a un caso che riqualifica tutto: se pubblichi un bot con il tuo marchio, il fornitore diventi tu.
Chi è il “fornitore” e chi il “deployer”
È la distinzione da cui dipende tutto il resto, e quasi tutti gli articoli in circolazione la saltano.
- Fornitore (provider): chi sviluppa il sistema di AI e lo immette sul mercato. Microsoft per Copilot, OpenAI per ChatGPT, il produttore del chatbot che hai installato.
- Deployer: chi lo usa nella propria attività. La tua azienda.
L’art. 50 assegna obblighi diversi ai due, e la maggior parte ricade sul fornitore. Come deployer il tuo perimetro è più stretto di quanto la stampa faccia sembrare — ma quello che c’è va fatto.
Cosa ricade sul fornitore (e non su di te)
Dichiarare che si sta interagendo con un’AI (par. 1). Un chatbot deve essere progettato in modo che l’utente capisca di non parlare con una persona. È un obbligo di progettazione, quindi del fornitore.
Il tuo dovere è di diligenza, non di adempimento: verifica che la dichiarazione ci sia e sia visibile all’inizio della conversazione, non disattivarla, e — se stai firmando ora un contratto — chiedila per iscritto.
Marcare i contenuti in formato leggibile dalle macchine (par. 2): watermark e metadati che permettono ai sistemi automatici di riconoscere un contenuto come generato dall’AI. Anche questo è del fornitore.
C’è una norma transitoria che vale la pena conoscere: per i sistemi generativi già sul mercato prima del 2 agosto 2026, l’obbligo della sola marcatura machine-readable è differito al 2 dicembre 2026. Attenzione: la proroga copre solo quella, non gli altri obblighi dell’articolo. E i sistemi immessi sul mercato dal 2 agosto in poi devono marcare fin dal primo giorno.
Cosa ricade davvero su di te
Deepfake: immagini, audio e video (par. 4)
Se pubblichi contenuti generati o manipolati con AI che raffigurano in modo fotorealistico persone, luoghi o eventi reali, devi dichiarare che sono artificiali.
Il caso concreto per una PMI: la foto di prodotto ricreata con l’AI, l’ambientazione realistica generata per una campagna, il volto di una persona in un materiale promozionale. Se sembra una fotografia ma non lo è, va detto.
Non rientrano le illustrazioni, le icone o le immagini palesemente stilizzate: non c’è nulla che possa essere scambiato per reale.
Testi su temi di interesse pubblico (par. 4)
Se pubblichi testi generati con AI per informare il pubblico su questioni di interesse pubblico, vanno dichiarati — salvo che ci sia stata revisione umana con assunzione di responsabilità editoriale.
Ed è proprio l’eccezione a togliere dall’obbligo la maggior parte dei casi aziendali: se una persona rilegge, corregge e approva prima della pubblicazione, e l’azienda si assume la responsabilità di quel contenuto, l’obbligo di dichiarazione non scatta.
Riconoscimento delle emozioni e biometria (par. 3)
Se usi sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, devi informare le persone esposte. Raro nelle PMI — ma se stai valutando strumenti di sentiment analysis sui dipendenti, fermati: quell’ambito tocca anche i divieti dell’art. 5, in vigore dal 2025, ed è terreno su cui il Garante è già intervenuto.
Gli scenari concreti
| Cosa fai | Scatta un obbligo per te? |
|---|---|
| Scrivi un’email con Copilot, la rileggi e la invii | No. Il mittente è umano |
| Prepari un preventivo o un documento interno con l’AI | No. Uso interno, nessuna pubblicazione |
| Chatbot di terzi sul sito, a marchio del fornitore | No (è del fornitore) — ma verifica che dichiari di essere un’AI |
| Chatbot pubblicato con il tuo nome/marchio | ⚠️ Sì: puoi essere qualificato come fornitore |
| Foto di prodotto fotorealistica generata con AI | Sì, va dichiarata |
| Illustrazione o icona stilizzata generata con AI | No |
| Articolo di blog su un tema di interesse pubblico, pubblicato senza rilettura | Sì |
| Stesso articolo, riletto e approvato da una persona | No (revisione editoriale) |
| Email inviate da un agente AI in autonomia, senza supervisione | ⚠️ Valutare: manca il controllo umano |
Il caso che riqualifica tutto: il bot con il tuo nome
Merita un paragrafo a sé, perché è il più frequente e il meno compreso.
Se prendi un chatbot di terze parti e lo pubblichi con il tuo marchio — un agente Copilot Studio chiamato “Assistente Rossi Srl” — non sei più solo l’azienda che lo usa. Secondo le definizioni dell’AI Act, chi immette un sistema sul mercato sotto il proprio nome o marchio ne diventa ragionevolmente il fornitore.
Conseguenza pratica: gli obblighi del par. 1, che pensavi fossero di Microsoft, diventano tuoi. In concreto significa assicurarsi che il bot dichiari di essere un assistente automatico all’inizio della conversazione. Nella maggior parte delle piattaforme è un messaggio di benvenuto da configurare: dieci minuti di lavoro, se sai che va fatto.
Le sanzioni (con la precisazione che riguarda le PMI)
Le violazioni degli obblighi di trasparenza sono sanzionabili fino a 15 milioni di euro o il 3% del fatturato mondiale annuo.
La cifra fa impressione, ma c’è una precisazione che vale per voi: per PMI e startup l’AI Act prevede che si applichi il minore tra i due importi, non il maggiore. Resta un ordine di grandezza serio, ma la lettura “15 milioni a tutti” che gira in questi giorni è imprecisa.
Cosa fare entro il 2 agosto: quattro passaggi
- Elenca dove l’AI esce verso l’esterno. Non serve un inventario completo: bastano i punti in cui un contenuto generato con AI arriva a un cliente o al pubblico. Sito, social, blog, chatbot, email automatiche.
- Per ciascuno, chiediti: è un deepfake fotorealistico? è un testo di interesse pubblico senza revisione? Se no, non devi fare nulla.
- Verifica i chatbot. Dichiarano di essere un’AI? Sono pubblicati a tuo marchio? Se sì, l’obbligo è tuo.
- Scrivi due righe di regola interna. Chi pubblica contenuti generati con AI deve sapere quando dichiararlo. Una riga nella policy aziendale evita l’improvvisazione — e vale come evidenza se qualcuno chiede.
Se hai già una policy sull’uso dell’AI in azienda, è il momento di aggiungerci questo paragrafo.
Domande frequenti
Devo mettere “generato con AI” in fondo alle email? No. Se una persona scrive o rilegge e approva il messaggio prima di inviarlo, il contenuto è umano e l’obbligo non scatta. Il disclaimer generalizzato è un adempimento inventato.
E i documenti interni scritti con Copilot? Nessun obbligo: l’art. 50 riguarda l’interazione con le persone e i contenuti pubblicati, non l’uso interno.
Il chatbot sul mio sito è a norma? Se è di un fornitore terzo e mostra chiaramente di essere un assistente automatico, sì — l’obbligo è suo. Se lo hai pubblicato con il tuo marchio, la responsabilità si sposta su di te: verifica che la dichiarazione ci sia.
I contenuti generati prima del 2 agosto vanno etichettati a posteriori? Secondo le indicazioni pubblicate dalla Commissione non è previsto un obbligo retroattivo di etichettatura: è incoraggiata, non imposta.
L’AI Act è stato rinviato, quindi posso aspettare? No, ed è l’equivoco più diffuso. Il rinvio del Regolamento (UE) 2026/1744 riguarda solo i sistemi ad alto rischio (2 dicembre 2027 e 2 agosto 2028). La trasparenza dell’art. 50 e le sanzioni restano al 2 agosto 2026. Il quadro completo è in cosa scatta davvero il 2 agosto.
Come ti aiutiamo
Il lavoro utile qui non è la compliance formale: è capire, nel concreto della tua azienda, dove l’AI arriva a un cliente e cosa serve dichiarare. Per la maggior parte delle PMI sono due o tre punti, non venti.
SynSphere affianca le aziende Microsoft-centriche su questo: mappatura degli usi AI, regole interne, formazione del personale (che è anche l’obbligo di alfabetizzazione dell’art. 4), coordinato con NIS2 e GDPR nell’hub compliance 2026.
Parla con un nostro consulente: mezz’ora per capire cosa ti riguarda davvero, senza impegno.
Nota: articolo informativo aggiornato al 27 luglio 2026, non costituisce consulenza legale. Il quadro descritto tiene conto del Regolamento (UE) 2026/1744, pubblicato in Gazzetta Ufficiale UE il 24 luglio 2026 e in vigore dal 27 luglio. Gli obblighi vanno verificati sul testo del Reg. UE 2024/1689 come modificato, e la qualificazione del proprio ruolo (fornitore o deployer) va valutata caso per caso con il proprio consulente legale.