Dal 2 agosto il tuo chatbot deve dichiarare di non essere una persona

1. Dal 2 agosto, la chat deve dichiararsi

Dal 2 agosto 2026, un chatbot che dialoga con clienti o dipendenti deve far capire, senza ambiguità, di essere un sistema di intelligenza artificiale e non una persona, a meno che non sia già evidente dal contesto. Non è una cortesia verso l'utente né una buona prassi consigliata: è un obbligo di legge, e da quella data la sua violazione è sanzionabile.

L'obbligo, però, non grava su tutti allo stesso modo. Per i chatbot l'AI Act lo pone in capo al fornitore, cioè a chi sviluppa il sistema, o se lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome. Fornitore non è solo il grande laboratorio: lo è anche la piccola impresa che si fa costruire un assistente virtuale e lo usa sul proprio sito con il proprio marchio. Chi invece si abbona a un servizio già pronto di un terzo è, di regola, un deployer: non risponde di questo obbligo, ma ha tutto l'interesse a verificare che l'avviso ci sia.

2. La norma: l'articolo 50 dell'AI Act

La regola sta nell'articolo 50 del Reg. UE 2024/1689, l'AI Act (il regolamento europeo sull'intelligenza artificiale). Il regolamento si applica in modo scaglionato: per l'art. 113 la data generale di applicazione è il 2 agosto 2026, e da quel giorno valgono gli obblighi di trasparenza dell'art. 50. Le norme sulle sanzioni (capo XII) si applicano già dal 2 agosto 2025: dal 2 agosto 2026 coprono anche queste violazioni.

Art. 50, par. 1, Reg. UE 2024/1689 (AI Act)

«I fornitori garantiscono che i sistemi di IA destinati a interagire direttamente con le persone fisiche sono progettati e sviluppati in modo tale che le persone fisiche interessate siano informate del fatto di stare interagendo con un sistema di IA, a meno che ciò non risulti evidente dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto di utilizzo.»

La distinzione dei ruoli conta. L'avviso del chatbot è un obbligo del fornitore (par. 1), che deve progettare il sistema in modo che l'informazione arrivi alle persone. Il deployer, cioè chi usa un sistema di IA sotto la propria autorità in un'attività professionale, ha obblighi propri ai paragrafi 3 e 4: informare chi è esposto a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica e dichiarare i deepfake e i testi generati dall'IA pubblicati per informare il pubblico su questioni di interesse pubblico. In ogni caso l'informazione va data in modo chiaro e distinguibile, al più tardi alla prima interazione o esposizione (par. 5).

3. Tre obblighi, tre situazioni diverse

L'articolo 50 si traduce in tre situazioni molto ordinarie, con destinatari diversi.

Sistemi interattivi (fornitore). Chi si trova davanti un chatbot o un assistente vocale deve poter capire di parlare con un sistema di IA e non con una persona, a meno che non sia già evidente dal contesto. È il fornitore che deve progettare il sistema perché questo avvenga (par. 1).
Riconoscimento delle emozioni e categorizzazione biometrica (deployer). Chi usa sistemi che analizzano il volto, la voce o altri dati biometrici per dedurne emozioni o caratteristiche deve informare le persone esposte sul funzionamento del sistema e trattare i dati nel rispetto del GDPR (par. 3).
Contenuti artificiali (fornitore e deployer). Il fornitore di sistemi che generano audio, immagini, video o testi sintetici deve marcarli in un formato leggibile dalle macchine (par. 2). Chi usa l'IA per creare un deepfake deve dichiarare che il contenuto è artificiale; per le opere manifestamente artistiche, creative, satiriche o di finzione basta rivelarne l'esistenza in modo adeguato, senza ostacolare la fruizione dell'opera. Anche i testi generati dall'IA e pubblicati per informare il pubblico su questioni di interesse pubblico vanno dichiarati, salvo revisione umana e responsabilità editoriale (par. 4).

4. Il Digital Omnibus e le date che contano

Nelle settimane precedenti si è parlato di un possibile rinvio. Va chiarito, perché la confusione qui costa cara. Il Digital Omnibus sull'IA, il Reg. (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell'Unione il 24 luglio e in vigore dal 27 luglio 2026, ha ritoccato il calendario senza spostare il cuore di questi obblighi: dell'art. 50 ha riscritto solo il paragrafo 7, sui codici di buone pratiche.

La proroga esiste ma è circoscritta: i fornitori di sistemi che generano contenuti sintetici immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per adeguarsi alla marcatura leggibile dalle macchine dell'art. 50, paragrafo 2 (nuovo art. 111, par. 4). L'avviso alle persone, quello che rende riconoscibili chatbot e contenuti artificiali, vale invece dal 2 agosto 2026. Lo slittamento più ampio riguarda altro: gli obblighi per i sistemi ad alto rischio, spostati al 2 dicembre 2027 e al 2 agosto 2028.

5. Le sanzioni e chi vigila in Italia

Il regime sanzionatorio non è simbolico. Per la violazione degli obblighi di trasparenza dell'art. 50, l'art. 99 prevede sanzioni fino a 15 milioni di euro o, per le imprese, fino al 3% del fatturato mondiale annuo dell'esercizio precedente, se superiore. Per le PMI, comprese le start-up, vale invece il più basso dei due importi (art. 99, par. 6), e l'Omnibus ha esteso la stessa regola alle piccole imprese a media capitalizzazione (par. 6-bis). Per le pratiche vietate dall'art. 5 la soglia sale fino a 35 milioni di euro o al 7% del fatturato.

In Italia la legge 132/2025 (art. 20) ha designato l'Agenzia per la cybersicurezza nazionale (ACN) come autorità di vigilanza del mercato, con poteri ispettivi e sanzionatori, e l'Agenzia per l'Italia digitale (AgID) come autorità di notifica; restano ferme le competenze di Banca d'Italia, CONSOB e IVASS previste dall'art. 74, par. 6, del regolamento.

6. La domanda che decide tutto: fornitore o deployer?

Davanti a questi obblighi, la prima cosa da capire non è "cosa devo scrivere nell'avviso", ma "che ruolo ho". Le definizioni sono all'art. 3 del regolamento.

Sei fornitore se sviluppi un sistema di IA, o lo fai sviluppare, e lo immetti sul mercato o lo metti in servizio con il tuo nome o marchio, anche gratis (art. 3, n. 3). La messa in servizio comprende la fornitura del sistema per uso proprio (art. 3, n. 11): la PMI che si fa realizzare un chatbot su misura e lo pubblica sul proprio sito con il proprio marchio è fornitore. Se costruisci il tuo assistente integrando un modello di terzi, per esempio tramite API, sei il fornitore del sistema che ne risulta: il regolamento parla di fornitore a valle (art. 3, n. 68).
Sei deployer se usi un sistema di IA sotto la tua autorità, salvo che per un'attività personale non professionale (art. 3, n. 4). Il caso tipico è lo studio o l'impresa che si abbona a un servizio di chat già pronto, sviluppato e immesso sul mercato da altri, e lo configura per il proprio sito: l'obbligo dell'art. 50, par. 1, resta in capo al fornitore del servizio.
L'art. 25 fa diventare fornitore il distributore, l'importatore o il deployer che appone il proprio nome o marchio su un sistema, lo modifica in modo sostanziale o ne cambia la finalità, ma solo per i sistemi ad alto rischio. Un chatbot di assistenza clienti di norma non lo è; può diventarlo se viene usato per uno degli scopi dell'allegato III, per esempio per selezionare candidati a un posto di lavoro.

Il ruolo non lo decide il contratto, ma ciò che si fa con il sistema. Il contratto con il fornitore serve però a stabilire in concreto chi configura, mostra e aggiorna l'avviso, e a verificare che il servizio acquistato sia già progettato per rispettare l'art. 50. È qui che molte imprese si trovano scoperte: hanno dato per scontato che la conformità fosse "compresa nel prodotto", senza controllare.

7. Cosa fare adesso

Non serve riscrivere un'infrastruttura tecnologica. Serve una mappatura ordinata: quali sistemi di IA sono già in uso in azienda, in quale ruolo, e cosa prevedono i contratti con i fornitori. Poi, qualunque sia il ruolo, conviene:

controllare che il chatbot dichiari di essere un sistema di IA alla prima interazione, in modo chiaro, e non disattivare né nascondere l'avviso previsto dal fornitore;
se l'avviso manca o non è chiaro, aggiungerlo nell'interfaccia del sito, per esempio nel primo messaggio o accanto alla finestra di chat: costa poco e toglie ogni dubbio, anche sul ruolo che si riveste;
chiedere al fornitore, per iscritto, come il servizio rispetta l'art. 50 e chi si occupa di configurare e aggiornare l'avviso;
dichiarare come artificiali le immagini, gli audio e i video generati con l'IA che possono sembrare autentici, e i testi generati con l'IA e pubblicati per informare il pubblico su questioni di interesse pubblico, se non sono passati da una revisione umana con responsabilità editoriale: qui l'obbligo è del deployer (par. 4);
ricordare che l'avviso dell'AI Act non sostituisce gli altri obblighi di trasparenza (par. 6): se la chat raccoglie dati personali, serve anche l'informativa privacy prevista dal GDPR.

Non esistono soluzioni valide per ogni caso, e chi promette conformità automatica va guardato con diffidenza. Se stai valutando la posizione della tua impresa rispetto agli obblighi dell'AI Act, lo Studio Legale BCS offre una valutazione e una strategia operativa su misura. Puoi prenotare un primo confronto su cal.com/bcslegal/consulenza.

8. Fonti

Testo aggiornato al 7 ottobre 2026.