L’art. 50 del Regolamento UE 2024/1689 (AI Act) impone obblighi di trasparenza a provider e deployer di sistemi AI interattivi, contenuti sintetici e tecnologie di riconoscimento emotivo o categorizzazione biometrica. La bozza di linee guida della Commissione europea chiarisce chi è obbligato, in quali casi scatta il duty to disclose e quali sanzioni si applicano in caso di violazione. Gli studi legali che assistono clienti nel settore tech, marketing digitale o HR devono mappare subito l’esposizione dei propri clienti rispetto a questi obblighi.
Punti chiave
- Punto 1 — L’art. 50 AI Act impone disclosure obbligatoria per chatbot, deepfake e sistemi biometrici già applicabili.
- Punto 2 — Provider e deployer sono destinatari distinti con obblighi non sovrapponibili: verificare sempre il ruolo del cliente.
- Punto 3 — Le sanzioni per violazione degli obblighi di trasparenza arrivano fino a 15 milioni di euro o il 3% del fatturato globale.
Se assisti aziende che usano chatbot, generano contenuti con AI o adottano sistemi di riconoscimento emotivo nei processi HR, hai un problema di compliance da affrontare adesso. La bozza di linee guida della Commissione europea sull’art. 50 AI Act non è ancora definitiva, ma traccia già con sufficiente precisione il perimetro degli obblighi di trasparenza e, soprattutto, individua chi ne risponde.
La Commissione europea ha pubblicato una bozza di linee guida attuative dell’art. 50 del Regolamento UE 2024/1689 (AI Act), il testo che disciplina gli obblighi di trasparenza per sistemi AI interattivi, contenuti sintetici, deepfake, riconoscimento emotivo e categorizzazione biometrica. Il documento, ancora in fase di consultazione, è disponibile tramite Agenda Digitale e produce effetti diretti su provider, deployer, cittadini e spazio pubblico digitale.
Il contesto normativo
L’art. 50 del Regolamento UE 2024/1689 (AI Act) è già in vigore dal 1° agosto 2024. Le disposizioni sugli obblighi di trasparenza entreranno in applicazione il 2 agosto 2026, ma il termine non esime dalla pianificazione immediata: i sistemi AI già in uso dovranno essere adeguati entro quella data. L’art. 50, par. 1, impone ai provider di sistemi AI interattivi di assicurare che gli utenti siano informati di interagire con una macchina, salvo che ciò risulti ovvio dal contesto. L’art. 50, par. 4, estende l’obbligo di etichettatura ai contenuti sintetici — audio, immagini, video — generati o manipolati da AI, inclusi i deepfake. Le violazioni ricadono nel regime sanzionatorio dell’art. 99 AI Act: fino a 15 milioni di euro o il 3% del fatturato mondiale annuo per i provider, con tetti ridotti per le PMI.
Sul piano nazionale, il d.lgs. di recepimento non è ancora emanato, ma il Regolamento è direttamente applicabile. Il Garante per la protezione dei dati personali resta autorità di controllo competente per i profili che intersecano il GDPR (Regolamento UE 2016/679), in particolare per i sistemi di categorizzazione biometrica che trattano dati sensibili ex art. 9 GDPR.
Cosa cambia per lo studio
- Mappatura dei ruoli contrattuali. Prima di qualsiasi altra valutazione, identifica se il cliente è provider (sviluppa o immette sul mercato il sistema AI) o deployer (lo usa in un contesto specifico). Gli obblighi dell’art. 50 si distribuiscono in modo asimmetrico: il provider risponde della disclosure tecnica, il deployer della disclosure contestuale verso l’utente finale.
- Contratti con fornitori di AI da rivedere. Le clausole di indennizzo e manleva tra deployer e provider assumono rilievo diretto rispetto alle sanzioni dell’art. 99. Verifica che i contratti in essere attribuiscano chiaramente responsabilità e obblighi di audit.
- Deepfake e contenuti sintetici nel marketing. I clienti che producono video o audio con AI per campagne pubblicitarie devono etichettare il contenuto come sintetico. L’obbligo scatta anche per contenuti che alterano immagini o voci reali in modo non evidente.
- HR e riconoscimento emotivo. I sistemi che analizzano stati emotivi dei lavoratori — durante colloqui, formazione o monitoraggio delle performance — attivano l’art. 50, par. 3. Il lavoratore deve essere informato prima dell’esposizione al sistema. Questo si intreccia con gli obblighi informativi del d.lgs. 196/2003 e dell’art. 13 GDPR.
- Scadenza agosto 2026 come deadline di progetto. Non è una data lontana: per strutture medio-grandi, adeguare processi, contratti e sistemi di notifica richiede almeno 12-18 mesi. Avvia ora la due diligence AI per i clienti esposti.
Attenzione a
Confondere l’esenzione «ovvietà» con una clausola di salvaguardia generale. L’art. 50, par. 1, esonera dall’obbligo di disclosure solo quando sia «manifesto» per una persona ragionevole di interagire con un sistema AI. Le linee guida chiariscono che l’esenzione va interpretata restrittivamente: un chatbot sul sito aziendale, anche se graficamente distinto, non soddisfa automaticamente il requisito. Consigliare al cliente di applicare la disclosure per default è la scelta più sicura.
Trascurare il coordinamento con il GDPR per i sistemi biometrici. La categorizzazione biometrica che tratta dati di categoria speciale ex art. 9 GDPR richiede una base giuridica autonoma rispetto all’AI Act. Una valutazione di impatto (DPIA) ex art. 35 GDPR potrebbe essere obbligatoria prima ancora che scattino le disposizioni dell’art. 50 AI Act. Non sovrapporre i due regimi come se fossero alternativi.
Domande frequenti
Quando entrano in vigore gli obblighi di trasparenza dell’art. 50 AI Act in Italia?
Le disposizioni dell’art. 50 del Regolamento UE 2024/1689 diventano applicabili il 2 agosto 2026. Il Regolamento è già in vigore dal 1° agosto 2024 e non richiede recepimento nazionale: si applica direttamente in tutti gli Stati membri. I sistemi AI già operativi devono essere adeguati entro quella data.
Chi risponde degli obblighi di trasparenza AI Act: il fornitore del software o l’azienda che lo usa?
L’art. 50 AI Act distingue tra provider, responsabile della disclosure tecnica integrata nel sistema, e deployer, responsabile dell’informativa verso l’utente finale nel contesto d’uso specifico. Entrambi possono essere sanzionati autonomamente. La ripartizione contrattuale della responsabilità tra le parti è quindi cruciale e va verificata nei contratti di fornitura esistenti.
Un’azienda che usa AI per analizzare le emozioni dei dipendenti durante i colloqui deve informarli?
Sì. L’art. 50, par. 3 AI Act impone che le persone esposte a sistemi di riconoscimento emotivo siano informate prima dell’esposizione. L’obbligo si affianca a quello di informativa ex art. 13 GDPR. L’uso di tali sistemi nel contesto lavorativo interseca inoltre l’art. 88 GDPR e la normativa nazionale sul controllo dei lavoratori.
Fonte di riferimento: AgendaDigitale