Chi usa l'intelligenza artificiale verso l'esterno deve ora dichiararla: i chatbot devono presentarsi come IA e i contenuti generati o manipolati con l'IA (immagini, video, audio, deepfake) devono essere etichettati. Le sanzioni sono pienamente operative e in Italia vigila l'Agenzia per la Cybersicurezza Nazionale. Questa pagina traduce gli obblighi in situazioni concrete, testi pronti all'uso, un piano d'azione e cinque check list da compilare.
Due movimenti opposti nella stessa settimana: gli obblighi di trasparenza entrano in vigore con l'apparato sanzionatorio al completo, mentre quelli sui sistemi ad alto rischio arretrano di oltre un anno. Sapere in quale dei due gruppi ricade ciascun sistema è la prima decisione da prendere.
Dal 2 agosto 2026 l'intelligenza artificiale va dichiarata. I chatbot e gli assistenti virtuali devono presentarsi come tali fin dall'inizio della conversazione, e i contenuti generati o manipolati con l'IA (immagini, video, audio, deepfake) devono essere etichettati come artificiali. È l'art. 50 del Regolamento (UE) 2024/1689 a imporlo, e da questa data l'obbligo viaggia insieme al proprio apparato sanzionatorio: fino a 15 milioni di euro o al 3% del fatturato mondiale per le violazioni degli obblighi di trasparenza, con applicazione dell'importo minore per PMI e start-up. In Italia la vigilanza è affidata all'Agenzia per la Cybersicurezza Nazionale, che da questa data può esercitare ispezioni e poteri correttivi.
Gli obblighi più pesanti sono invece stati rinviati. Quelli sui sistemi cosiddetti ad alto rischio, cioè l'IA usata per selezionare il personale o per valutare il merito creditizio, sono stati spostati al 2 dicembre 2027 e al 2 agosto 2028 dal Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus pubblicato in Gazzetta Ufficiale dell'Unione europea il 24 luglio 2026. Rinviati, però, non cancellati: il differimento sposta le date, non il contenuto degli obblighi.
Il quadro operativo che ne esce è quindi asimmetrico. Sul fronte della trasparenza serve un intervento immediato, spesso di poche ore di lavoro, su chatbot, contenuti pubblicati e rapporti con i fornitori. Sul fronte dell'alto rischio serve invece una pianificazione, perché l'adeguamento richiede in media da otto a quattordici mesi e va avviato non oltre l'inizio del 2027. Nel mezzo restano gli obblighi già in vigore da tempo, che nessun rinvio ha toccato: i divieti dell'art. 5, la formazione del personale dell'art. 4 e, in Italia, le informative a lavoratori e clienti introdotte dalla legge 23 settembre 2025, n. 132.
Il rinvio non è una pausa. Chi usa l'IA per lo screening dei curriculum, per la valutazione dei dipendenti o per il merito creditizio deve arrivare pronto al 2 dicembre 2027 con gestione del rischio, documentazione tecnica, log e sorveglianza umana. Considerati i tempi medi di adeguamento, partire a inizio 2027 è già il limite prudente: nel frattempo, in Italia, l'informativa ai lavoratori e ai candidati è dovuta oggi.
La tabella traduce gli obblighi nelle situazioni che si incontrano più spesso presso le aziende clienti. Se vi riconoscete in una delle righe, l'ultima colonna indica che cosa fare, e in quale ordine.
| La situazione | Cosa prevede la norma | Cosa fare in pratica |
|---|---|---|
| Chatbot o assistente virtuale sul sito, su WhatsApp o nel servizio clienti | In vigore L'utente deve sapere fin dall'inizio che sta parlando con un'IA (art. 50). | Inserire un messaggio di benvenuto che dichiara la natura artificiale, con il testo pronto qui sotto, e se possibile un canale verso un operatore umano. |
| Immagini, video o audio generati con l'IA per social, pubblicità, presentazioni | In vigore I contenuti sintetici che appaiono reali (deepfake) vanno dichiarati, con marcatura tecnica leggibile da macchina; per i sistemi preesistenti dal 2 dicembre 2026. | Aggiungere l'etichetta di contenuto generato con IA; usare strumenti che applicano il watermarking e verificarlo con il fornitore. |
| Uso interno di ChatGPT, Copilot, Gemini per email, bozze, analisi | In vigore Nessun obbligo di etichetta per l'uso interno; resta l'obbligo di formazione del personale (art. 4, in vigore dal 2025). | Adottare una policy interna sull'uso dell'IA, che copra dati riservati e verifica dei risultati, e documentare la formazione svolta. |
| Testi generati con l'IA pubblicati su blog, newsletter o siti informativi | In vigore Va indicata l'origine artificiale se il testo informa il pubblico su temi di interesse pubblico, salvo revisione umana con responsabilità editoriale. | Far revisionare i testi da una persona prima della pubblicazione, conservandone evidenza, oppure indicare che il testo è generato con IA. |
| Software di selezione del personale o scoring che usa l'IA (screening CV, valutazioni) | Rinviato al 2027 È alto rischio: obblighi pieni rinviati al 2 dicembre 2027. In Italia è però già dovuta l'informativa ai lavoratori (legge 132/2025). | Consegnare subito l'informativa a lavoratori e candidati; nessuna decisione automatizzata senza revisione umana documentata; pianificare l'adeguamento 2027, che richiede da otto a quattordici mesi. |
| Studio professionale che usa l'IA nei servizi ai clienti | In vigore I professionisti devono comunicare al cliente l'utilizzo di sistemi di IA (art. 13, legge 132/2025). | Inserire l'informativa nel mandato o nella lettera di incarico, e inviarla ai clienti già in essere. |
Sono formule di partenza, non modelli definitivi: vanno adattate al caso concreto. Coprono però le tre situazioni che si presentano per prime, e permettono di mettersi in regola sulla parte più visibile degli obblighi nel giro di poche ore.
Da mostrare all'avvio della conversazione, prima che l'utente scriva il primo messaggio.
Stai parlando con un assistente virtuale basato sull'intelligenza artificiale. Le risposte sono generate automaticamente e potrebbero contenere imprecisioni. In qualsiasi momento puoi chiedere di essere messo in contatto con un operatore.
Per immagini, video, audio e post diffusi all'esterno, in particolare per i contenuti che appaiono autentici.
Contenuto generato con intelligenza artificiale
Immagine/video modificati con strumenti di intelligenza artificiale
Per ogni software con funzioni di IA: chatbot, gestionale HR, CRM, generatori di contenuti.
Con riferimento al software [nome], comprensivo di funzionalità di intelligenza artificiale, vi chiediamo di confermare la conformità al Regolamento (UE) 2024/1689 (AI Act), come modificato dal Regolamento (UE) 2026/1744, e di trasmetterci: (i) la classificazione di rischio del sistema; (ii) la descrizione delle funzioni di trasparenza verso gli utenti e di marcatura dei contenuti generati; (iii) il piano e i tempi di adeguamento agli obblighi applicabili, incluse le scadenze del 2 dicembre 2026 e del 2 dicembre 2027.
Formule di partenza, non modelli definitivi. Vanno adattate al caso concreto: lo Studio può predisporre le versioni definitive, comprese l'informativa ai lavoratori e quella ai clienti previste dalla legge 132/2025, che hanno contenuti minimi propri e non si esauriscono in una frase.
Tre orizzonti temporali, dalla priorità immediata alla pianificazione. Il primo blocco si chiude in poche giornate di lavoro, il secondo entro l'anno, il terzo va messo a budget: l'errore più comune è affrontarli nell'ordine sbagliato.
L'elenco di tutti gli strumenti di IA usati in azienda, compresi quelli nascosti dentro software di terzi: gestionale, CRM, HR, marketing. Senza censimento non è possibile alcuna verifica, e ogni adempimento successivo si regge su un perimetro incerto.
Attivare l'avviso di natura artificiale su tutti i chatbot rivolti a clienti o dipendenti, e verificare che sia visibile prima del primo scambio, non nascosto in una pagina di note legali.
Etichettare da subito deepfake e contenuti sintetici pubblicati su social, campagne pubblicitarie e presentazioni. L'obbligo riguarda ciò che esce dall'azienda, non le bozze interne.
Inviare a ogni fornitore di software con IA la richiesta scritta di conformità. Serve a ottenere la classificazione di rischio e le funzioni di marcatura, ma anche a documentare la diligenza dell'azienda.
Adottare una policy interna sull'uso dell'IA e completare la formazione del personale, conservando registri e attestazioni: l'obbligo dell'art. 4 è già in vigore dal febbraio 2025.
Verificare che gli strumenti già in uso prima del 2 agosto 2026 applichino la marcatura leggibile da macchina entro il 2 dicembre 2026: è una verifica da fare con il fornitore, non in autonomia.
Allineare le informative privacy e, dove serve, le valutazioni d'impatto GDPR all'uso dell'IA. I due piani normativi convivono: la conformità all'AI Act non assorbe quella al Regolamento 2016/679.
Sistemi ad alto rischio. Chi usa l'IA per la selezione del personale, per la valutazione dei dipendenti o per il merito creditizio deve arrivare pronto al 2 dicembre 2027: gestione del rischio, documentazione tecnica, log e sorveglianza umana. L'adeguamento richiede in media da otto a quattordici mesi, e partire a inizio 2027 è il limite prudente. È l'unica voce del piano che va messa a budget, non risolta in una riunione.
Il calendario dell'AI Act come risulta dopo il Digital Omnibus: due scadenze già passate, una in arrivo a dicembre e due che riguardano l'alto rischio e i prodotti regolamentati.
I divieti dell'art. 5 e la formazione del personale dell'art. 4 si applicano dal 2 febbraio 2025. In Italia, dal 10 ottobre 2025, sono dovute anche l'informativa ai lavoratori e quella ai clienti previste dalla legge 132/2025.
Trasparenza: avviso sui chatbot, etichette su deepfake e contenuti sintetici, informative sui sistemi biometrici. Le sanzioni diventano pienamente operative e la vigilanza è affidata ad ACN e AgID.
Watermarking obbligatorio anche per i sistemi già sul mercato prima del 2 agosto 2026. Entrano inoltre in vigore i nuovi divieti in materia di nudificazione e di materiale CSAM sintetico.
Obblighi pieni per i sistemi ad alto rischio dell'Allegato III: selezione del personale, credito, istruzione e gli altri ambiti elencati dal regolamento.
Obblighi per l'IA integrata in prodotti regolamentati: dispositivi medici, macchinari e le altre categorie soggette alla legislazione settoriale di armonizzazione.
Una per ciascuna area del piano, per un totale di trenta punti di controllo. Si compilano direttamente qui: le caselle barrate e le note restano salvate su questo dispositivo, e la versione compilata si stampa o si salva in PDF per l'archivio. I punti contrassegnati come condizionati si applicano solo se ricorre la situazione indicata.
Obblighi di trasparenza e adempimenti collegati · Next Generation Business, a cura di Revilaw S.p.A.
La compilazione resta sul dispositivo di chi la esegue, dentro il browser: nessun dato viene inviato al sito o a terzi. Chi compila da postazioni diverse, o cancella i dati di navigazione, riparte da zero: conviene stampare o salvare in PDF la versione definitiva.
La base di tutto, da fare subito
Gli obblighi in vigore dal 2 agosto 2026
Policy, referente, evidenze e informative
Richieste, evidenze, contratti e scadenze
Solo se usate l'IA in selezione del personale, valutazione dei dipendenti o credito
Le obiezioni ricorrenti di imprenditori, direttori del personale e responsabili marketing davanti agli obblighi appena entrati in vigore.
Gli obblighi di trasparenza sono la parte visibile di un tema più ampio: chi governa l'IA in azienda deve saperla mappare, classificare e presidiare. Questi approfondimenti completano il quadro sul rapporto tra intelligenza artificiale e assetti organizzativi.
Due strumenti online per la fase più difficile del censimento: capire in quale classe di rischio ricade ciascun sistema e a che punto è l'organizzazione su assetti, comitati, FRIA, fornitori e agenti.
Classifica i tuoi sistemi di IA GovernanceIntrodurre sistemi di IA in processi rilevanti senza policy, inventario e responsabilità definite rende inadeguato l'assetto stesso: l'esposizione degli amministratori nasce prima e a prescindere dalle sanzioni regolamentari.
Approfondisci gli assettiPolicy, formazione e flussi informativi: la struttura in cui la governance dell'IA si innesta senza duplicazioni.
Leggi la guida ComplianceIl modello di rilevazione e presidio dei rischi che rende dimostrabile il controllo, anche sui processi automatizzati.
Esplora il tema GovernanceDal dato al segnale operativo: il metodo con cui un obbligo diventa un controllo che qualcuno esegue davvero.
Vedi il metodoLe prime azioni del piano si avviano in autonomia, con i testi e le check list di questa pagina. Dove serve un intervento strutturato, lo Studio è a disposizione per il censimento e la classificazione dei sistemi di IA, per la predisposizione di informative, policy e testi definitivi, per l'interlocuzione con i fornitori e per la pianificazione dell'adeguamento dei sistemi ad alto rischio alla scadenza del 2 dicembre 2027. Un primo incontro serve a capire quali righe della tabella vi riguardano davvero e quali no.