Dal 2 agosto 2026 molti obblighi dell’AI Act europeo diventano pienamente operativi e, come prevedibile, intorno alla scadenza si è già accumulata una discreta quantità di confusione. Il punto non è dichiarare ChatGPT ovunque, aggiungere un banner sull’intelligenza artificiale o etichettare ogni contenuto pubblicato online. Aziende e professionisti devono capire dove l’IA entra nei processi, quando interagisce con il pubblico, quali contenuti possono sembrare autentici e quali controlli mancano. L’adeguamento reale riguarda sito web, chatbot, contenuti, fornitori e procedure interne, non una collezione di diciture applicate senza criterio.
Quali aziende devono adeguarsi dal 2 agosto 2026
Gli obblighi dell’AI Act non dipendono dalle dimensioni dell’impresa né dal semplice utilizzo di ChatGPT. Conta il modo in cui il sistema viene impiegato, il pubblico coinvolto e il livello di autonomia affidato all’intelligenza artificiale. Un professionista che usa uno strumento generativo per correggere una mail non deve affrontare gli stessi interventi richiesti a un’azienda che installa un chatbot, pubblica contenuti fotorealistici o utilizza software capaci di valutare persone.
La maggior parte delle imprese opera come deployer, cioè utilizza sistemi sviluppati da fornitori esterni. Rimane comunque responsabile della configurazione, delle informazioni mostrate agli utenti e del controllo sugli output. Chi sviluppa o commercializza un sistema con il proprio marchio può invece assumere il ruolo di provider, con obblighi più ampi legati alla progettazione e alla conformità tecnica.
L’adeguamento diventa quindi necessario soprattutto quando l’IA interagisce con clienti o lavoratori, genera materiali che possono sembrare autentici, analizza dati biometrici oppure contribuisce a decisioni rilevanti. Gli impieghi esclusivamente interni e a basso rischio richiedono controlli organizzativi, ma non una dichiarazione pubblica automatica.
Cosa deve controllare il proprietario di un sito web
Chi gestisce un sito deve verificare se l’intelligenza artificiale è visibile all’utente, se produce contenuti destinati al pubblico e se può creare confusione sulla natura di un’interazione o sull’autenticità di un materiale. Non serve aggiungere automaticamente un banner sull’IA, modificare il footer o pubblicare una pagina dedicata. Serve controllare i punti in cui l’utente entra davvero in contatto con sistemi o contenuti artificiali.
La verifica riguarda soprattutto chatbot e assistenti virtuali, testi informativi, immagini fotorealistiche, audio, video e materiali manipolati. Un pulsante WhatsApp, un modulo di contatto o una chat gestita da una persona non richiedono interventi legati all’AI Act. Un sistema che genera risposte autonome o un contenuto capace di sembrare autentico richiedono invece una valutazione più attenta.
Il proprietario del sito deve quindi capire dove viene usata l’IA, se la sua presenza è riconoscibile, chi controlla gli output e se l’informazione viene mostrata nel punto corretto. La trasparenza non si risolve con una dichiarazione generica, ma con avvisi chiari collocati accanto alla funzione o al contenuto che può creare ambiguità.
Chatbot e assistenti virtuali
Se il sito utilizza un chatbot capace di comprendere le richieste e generare risposte autonome, l’utente deve sapere fin dall’inizio che sta interagendo con un sistema di intelligenza artificiale. L’avviso va inserito nella finestra di conversazione, prima del primo scambio oppure nel messaggio di apertura. Una dicitura nascosta nella privacy policy, nelle condizioni d’uso o nel footer non basta, perché la trasparenza deve funzionare nel momento in cui nasce l’interazione.
Il proprietario del sito deve quindi controllare messaggio iniziale, nome del chatbot, immagine associata e modalità di passaggio a un operatore umano. Formule come “Assistente virtuale basato sull’intelligenza artificiale” o “Le risposte sono generate da un sistema di IA” sono chiare e sufficienti. Un nome umano, un volto realistico o un tono costruito per sembrare quello di un dipendente possono invece rendere l’esperienza ambigua, anche in presenza di un avviso poco visibile.
Non ogni strumento di contatto rientra nell’obbligo. Un pulsante WhatsApp, un modulo, una chat gestita da una persona, un menu con risposte predefinite o un messaggio automatico di conferma non richiedono alcuna segnalazione legata all’AI Act.
Prima della pubblicazione o dell’aggiornamento del sito, conviene verificare
- se il sistema genera risposte autonome
- se la natura artificiale è evidente
- se l’avviso compare prima dell’interazione
- se l’utente può richiedere assistenza umana
Il criterio resta semplice. Se una persona può credere di parlare con un essere umano, l’interfaccia va corretta.
Testi, immagini e contenuti creati con IA
L’uso di ChatGPT o di altri strumenti generativi non impone di segnalare ogni articolo, newsletter, scheda prodotto o post pubblicato sul sito. L’obbligo dipende dal tipo di contenuto, dalla finalità informativa e dal rischio che il pubblico lo consideri autentico o interamente umano. Un testo commerciale revisionato da una persona non richiede la stessa gestione di un contenuto su politica, salute, sicurezza o servizi pubblici pubblicato senza controllo editoriale.
Per i testi, il proprietario del sito deve assicurarsi che esista una revisione umana sostanziale. Significa verificare dati, fonti, affermazioni, tono, omissioni e coerenza con il brand. Correggere poche parole non basta. Deve essere chiaro chi ha controllato il contenuto e chi ne assume la responsabilità editoriale.
Per immagini, audio e video conta soprattutto il grado di realismo. Un’infografica o un’illustrazione palesemente artificiale non equivalgono a una fotografia credibile di un evento mai avvenuto, a una voce clonata o a un video manipolato. Nei casi in cui il materiale possa sembrare autentico, conviene inserire una dicitura chiara e vicina al contenuto.
Il controllo deve quindi riguardare
- revisione umana dei testi
- realismo del contenuto
- presenza di persone o fatti reali
- rischio di equivoco per l’utente
- collocazione visibile dell’avviso
La regola utile è semplice. Più il contenuto può essere scambiato per reale, maggiore deve essere il livello di trasparenza.
Quali procedure interne deve introdurre l’azienda
L’adeguamento non si esaurisce nel sito. L’azienda deve sapere quali strumenti di IA vengono usati, da chi, per quali attività e con quale livello di controllo. Senza una procedura minima, i sistemi entrano nei processi attraverso account personali, funzioni attivate senza verifica e fornitori scelti senza conoscere davvero il funzionamento del prodotto.
Per ogni strumento conviene registrare
- finalità d’uso
- responsabile interno
- dati inseriti
- output prodotti
- livello di revisione umana
- eventuale contatto con utenti o lavoratori
La procedura deve anche chiarire quali dati non possono essere caricati, quali contenuti richiedono controlli più approfonditi e chi autorizza la pubblicazione. Una bozza interna non presenta lo stesso rischio di un testo destinato al pubblico o di un sistema usato per valutare persone.
Anche i fornitori devono essere verificati. L’azienda dovrebbe conoscere modalità di trattamento dei dati, possibilità di intervento umano, sistemi di trasparenza già inclusi e aggiornamenti capaci di modificare il comportamento del software.
Non serve una policy infinita. Serve una documentazione semplice, aggiornata e applicabile, capace di dimostrare chi controlla il sistema, quali decisioni sono state prese e come vengono gestiti gli usi più delicati.
Quali usi richiedono una valutazione più rigorosa
Alcuni impieghi dell’intelligenza artificiale non possono essere gestiti con una semplice informativa o con una revisione editoriale ordinaria. Il livello di attenzione aumenta quando il sistema analizza persone, valuta comportamenti, tratta dati biometrici o contribuisce a decisioni capaci di incidere su lavoro, salute, istruzione o accesso a servizi.
Rientrano tra gli usi più delicati
- riconoscimento delle emozioni
- categorizzazione biometrica
- selezione e valutazione del personale
- sistemi usati in ambito sanitario o scolastico
- decisioni che incidono sui diritti delle persone
Il nome commerciale del software conta poco. Espressioni come analisi comportamentale, valutazione predittiva o intelligenza emozionale possono descrivere funzioni molto diverse. L’azienda deve capire quali dati vengono raccolti, quali deduzioni produce il sistema, chi controlla il risultato e quali conseguenze possono ricadere sulle persone coinvolte.
Nei casi più sensibili non basta aggiungere un avviso sul sito. Serve una verifica più ampia, capace di valutare liceità, proporzionalità, controllo umano, GDPR ed eventuale classificazione ad alto rischio. Più un sistema interpreta o valuta una persona, maggiore deve essere il livello di controllo organizzativo e giuridico.
Cosa non devono fare aziende e professionisti
L’AI Act non impone di trasformare ogni uso dell’intelligenza artificiale in una dichiarazione pubblica. Molti adempimenti che circolano online derivano da letture frettolose, non dal regolamento. Aggiungere etichette ovunque può appesantire il sito, confondere gli utenti e far sembrare obbligatorio ciò che non lo è.
In linea generale, aziende e professionisti non devono
- dichiarare ChatGPT in ogni email
- segnalare ogni post social preparato con IA
- etichettare tutte le illustrazioni artificiali
- aggiungere un banner sull’IA in ogni sito
- pubblicare obbligatoriamente una pagina dedicata
- comunicare ai clienti ogni uso interno
- considerare ogni software un sistema ad alto rischio
- modificare retroattivamente tutti i contenuti già pubblicati
Una pagina sulla trasparenza può essere una scelta editoriale utile, ma non sostituisce gli avvisi richiesti nei punti in cui può nascere un equivoco. Allo stesso modo, una dicitura generica nel footer non risolve la gestione di chatbot, deepfake o sistemi biometrici.
La conformità non si misura dalla quantità di bollini inseriti, ma dalla capacità di intervenire nei casi realmente rilevanti. Più etichette non significano più tutela, soprattutto se vengono usate per evitare una valutazione concreta dei processi.
Quali sanzioni sono previste e come ridurre il rischio
La violazione degli obblighi di trasparenza previsti dall’AI Act può comportare sanzioni amministrative fino a 15 milioni di euro oppure al 3% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Si tratta di massimali, non di importi applicati automaticamente a ogni errore formale. La valutazione tiene conto della gravità, della durata, delle conseguenze, delle dimensioni dell’organizzazione, della collaborazione con le autorità e delle misure correttive adottate.
Ridurre il rischio non significa moltiplicare avvisi e diciture. Significa poter dimostrare che l’azienda ha analizzato gli usi reali dell’intelligenza artificiale, individuato i casi più delicati e assegnato responsabilità precise. Una procedura essenziale ma applicata vale più di una policy impeccabile rimasta in una cartella condivisa.
La protezione più solida nasce dalla coerenza tra ciò che l’azienda dichiara e ciò che accade nei processi. Un chatbot segnalato correttamente, contenuti sottoposti a revisione umana, ruoli chiari, fornitori verificati e decisioni tracciabili riducono il rischio molto più di una formula generica inserita nel footer.
Il punto non è dimostrare di avere paura della sanzione massima, ma mostrare di avere adottato criteri proporzionati, controlli reali e misure correttive credibili. È proprio la capacità di ricostruire le scelte compiute a rendere l’adeguamento difendibile.
Adeguarsi all’AI Act senza peggiorare sito e comunicazione
Un adeguamento sensato non parte dai bollini, ma dai punti in cui può nascere un equivoco. Se un utente rischia di non capire che sta parlando con un sistema automatico, oppure può scambiare un contenuto artificiale per autentico, allora serve intervenire. Negli altri casi, aggiungere avvisi generici produce soprattutto rumore, peggiora la user experience e rende meno credibile la comunicazione.
Per aziende e professionisti, il lavoro vero consiste nel collegare trasparenza, controllo umano e responsabilità editoriale. Significa sapere dove viene usata l’IA, chi verifica gli output, quali fornitori entrano nei processi e quali contenuti richiedono maggiore cautela. La conformità non è una formula da inserire nel footer, ma un insieme di scelte coerenti e documentabili.
L’AI Act non obbliga a trasformare ogni uso dell’intelligenza artificiale in una confessione pubblica. Chiede invece di evitare ambiguità nei casi in cui persone, contenuti e decisioni possono essere percepiti in modo errato. Per siti, chatbot e comunicazione digitale, la regola più solida resta una sola. Intervenire dove serve davvero, senza usare la burocrazia come sostituto della strategia.
