Dal 2 agosto 2026 una parte molto concreta dell'AI Act europeo entrerà nella vita quotidiana di imprese, pubbliche amministrazioni, professionisti, media, agenzie di comunicazione e sviluppatori: la trasparenza sui contenuti generati o manipolati con sistemi di intelligenza artificiale.
Il tema non riguarda solo i grandi provider di modelli generativi. Riguarda anche chi usa strumenti di AI per produrre testi, immagini, video, audio, assistenti conversazionali, materiali informativi, campagne social, contenuti istituzionali o comunicazioni rivolte al pubblico.
La novità più recente è la pubblicazione, il 10 giugno 2026, del Code of Practice on Transparency of AI-Generated Content da parte della Commissione europea, attraverso l'AI Office. Il codice non sostituisce l'AI Act e non trasforma in facoltativi gli obblighi di legge, ma offre un quadro pratico per dimostrare la conformità agli obblighi di trasparenza previsti dall'articolo 50 del Regolamento.
Per le organizzazioni, il messaggio è semplice: non basta "usare bene" l'AI. Bisogna anche rendere riconoscibile quando un contenuto è stato generato o manipolato dall'intelligenza artificiale, soprattutto quando può incidere sulla fiducia, sull'informazione pubblica o sulla percezione della realtà.
Perché la trasparenza diventa un requisito di governance
L'articolo 50 dell'AI Act introduce obblighi di trasparenza per provider e deployer di sistemi AI. In termini pratici, il regolamento distingue tra chi fornisce sistemi capaci di generare contenuti e chi li usa per interagire con persone o pubblicare materiali.
La logica è chiara: ridurre il rischio di inganno, manipolazione e confusione informativa. Se una persona sta parlando con un sistema AI, deve poterlo sapere quando non è ovvio. Se un'immagine, un audio o un video assomiglia a persone, luoghi, oggetti o eventi reali ma è stato creato o alterato artificialmente in modo da apparire autentico, la natura artificiale deve essere dichiarata. Se un testo generato o manipolato dall'AI viene pubblicato per informare il pubblico su temi di interesse pubblico, anche qui entra in gioco un obbligo di disclosure, salvo i casi in cui vi sia revisione umana o controllo editoriale e una responsabilità editoriale identificabile.
Questo punto è importante perché sposta il tema dalla sola tecnologia alla responsabilità organizzativa. La domanda non è più soltanto "quale tool usiamo?", ma "quali contenuti produciamo, per quale pubblico, con quali controlli, con quale tracciabilità e con quale etichettatura?".
Provider e deployer: ruoli diversi, responsabilità diverse
Il Regolamento prevede obblighi diversi per provider e deployer.
I provider di sistemi AI che generano audio, immagini, video o testo sintetico devono assicurare, per quanto tecnicamente possibile, che gli output siano marcati in un formato machine-readable e rilevabili come artificialmente generati o manipolati. Il testo dell'AI Act richiama efficacia, interoperabilità, robustezza e affidabilità delle soluzioni tecniche, tenendo conto dello stato dell'arte, dei costi di implementazione e delle caratteristiche dei diversi tipi di contenuto.
I deployer, cioè le organizzazioni che usano questi sistemi, devono invece occuparsi della disclosure verso le persone esposte al contenuto o all'interazione. Questo significa, per esempio, chiarire quando un chatbot è un sistema AI, etichettare un deepfake, indicare l'origine artificiale di un contenuto multimediale manipolato o dichiarare l'uso di AI per testi pubblicati con finalità informative su temi di interesse pubblico.
Il Code of Practice pubblicato dalla Commissione rispecchia questa distinzione: una sezione è rivolta ai provider, con regole per marcatura e rilevazione; l'altra ai deployer, con regole per l'etichettatura di deepfake e contenuti testuali generati o manipolati dall'AI.
Deepfake, testi informativi e contenuti aziendali
Nel linguaggio dell'AI Act, un deepfake è un contenuto audio, immagine o video generato o manipolato dall'AI che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero.
Il caso più evidente è quello di un video realistico di una persona che pronuncia frasi mai dette. Ma il tema non si ferma ai casi estremi. Può riguardare anche immagini promozionali, simulazioni, testimonial digitali, contenuti social, voice-over sintetici, avatar, video formativi, comunicati o materiali pubblicati online.
Per le imprese, la questione è particolarmente delicata quando il contenuto viene usato per comunicare con clienti, cittadini, stakeholder, dipendenti o comunità professionali. Un'immagine generata può essere lecita e utile, ma deve essere gestita in modo coerente con il contesto. Un conto è un visual illustrativo dichiaratamente creativo; un altro è un contenuto che può far credere a un evento reale, a una dichiarazione reale o a una presenza istituzionale inesistente.
Il regolamento prevede anche un'attenzione specifica ai testi generati o manipolati dall'AI e pubblicati per informare il pubblico su questioni di interesse pubblico. In questo caso, l'obbligo non opera quando il contenuto è stato sottoposto a revisione umana o controllo editoriale e quando una persona fisica o giuridica assume responsabilità editoriale. Per editori, uffici stampa, PA, associazioni e aziende che pubblicano contenuti informativi, questo significa strutturare processi editoriali chiari, non affidarsi solo alla generazione automatica.
Il Code of Practice: volontario, ma utile
La Commissione europea precisa che l'adesione al Code of Practice è volontaria, mentre gli obblighi di trasparenza dell'articolo 50 sono obblighi legali. Questa distinzione è essenziale.
Chi aderisce al codice, dopo una valutazione positiva da parte della Commissione e dell'AI Board, potrà usare le misure previste come strumento per dimostrare la conformità. Chi sceglie strade diverse dovrà invece dimostrare caso per caso che le proprie misure sono adeguate, con una valutazione affidata alle autorità di vigilanza del mercato.
Dal punto di vista operativo, il codice è quindi interessante anche per chi non è un grande provider. Offre un lessico comune e un riferimento europeo per impostare procedure interne, policy di comunicazione, controlli su contenuti generati con AI, rapporti con fornitori e responsabilità nella catena di produzione.
Cosa fare adesso: una checklist operativa
Le organizzazioni non dovrebbero aspettare agosto 2026 per occuparsi del tema. Gli obblighi di trasparenza richiedono inventario, regole, responsabilità e controlli.
1. Mappare gli usi dell'AI generativa
Il primo passo è censire dove l'AI viene già usata: marketing, social media, customer care, help desk, documentazione tecnica, HR, formazione, procurement, produzione video, comunicazione istituzionale, reportistica, traduzioni, immagini e presentazioni.
2. Classificare i contenuti per rischio
Non tutti i contenuti hanno lo stesso impatto. Un'immagine illustrativa interna non ha lo stesso rischio di un video pubblico realistico, di un chatbot rivolto ai clienti o di un testo informativo su un tema sensibile. La classificazione dovrebbe considerare pubblico, finalità, canale, realismo, possibilità di fraintendimento e presenza di persone o eventi riconoscibili.
3. Definire regole di etichettatura
Serve una regola pratica: quando indicare l'uso dell'AI, dove inserire l'etichetta, con quale formulazione, con quale evidenza grafica e con quale livello di accessibilità. La trasparenza deve essere chiara e distinguibile, non nascosta in note generiche o formule ambigue.
4. Introdurre revisione umana e responsabilità editoriale
Per i contenuti pubblicati con finalità informative, la revisione umana non deve essere un passaggio formale. Deve includere controllo dei fatti, coerenza con le fonti, verifica del tono, accuratezza normativa e responsabilità finale. La persona o funzione responsabile deve essere identificabile.
5. Gestire fornitori e tool
Molte organizzazioni usano piattaforme esterne, agenzie creative, tool SaaS o modelli integrati in software aziendali. I contratti e le procedure dovrebbero chiarire chi genera cosa, quali marcature tecniche sono disponibili, quali disclosure vengono applicate e quali evidenze restano documentate.
6. Allineare AI governance, privacy e cybersecurity
La trasparenza AI non vive isolata. Se un sistema tratta dati personali, restano applicabili GDPR, valutazioni privacy, informative, basi giuridiche, minimizzazione e sicurezza. Se il contenuto AI entra in processi critici o canali pubblici, servono controlli anche su accessi, integrità, tracciabilità e gestione degli incidenti.
Una questione di fiducia, non solo di compliance
La trasparenza sui contenuti generati dall'AI non deve essere letta come un freno all'innovazione. Al contrario, può diventare un elemento di fiducia. Dichiarare correttamente l'uso dell'AI aiuta a proteggere il rapporto con clienti, cittadini, utenti e stakeholder.
Per imprese e PA, il lavoro da fare è concreto: policy, inventario degli usi, regole editoriali, formazione, clausole con i fornitori, controlli tecnici e responsabilità chiare. Chi si organizza ora arriverà al 2 agosto 2026 con processi più maturi e con meno rischio di interventi frettolosi.
L'AI Act non chiede di rinunciare ai contenuti generati dall'intelligenza artificiale. Chiede di usarli con responsabilità, rendendo comprensibile quando l'AI interviene nella relazione con le persone e nell'ecosistema informativo.
Per chi guida imprese, enti pubblici o studi professionali, questo è il momento giusto per trasformare la trasparenza AI in una parte ordinaria della governance digitale.