L'8 luglio 2026 la Commissione europea ha pubblicato il proprio Parere confermando il Codice di Pratica sulla Trasparenza dei Contenuti Generati dall'AI come strumento adeguato per adempiere agli obblighi dell'Articolo 50 dell'AI Act europeo. Il 9 luglio l'AI Board ha adottato la propria Valutazione di Adeguatezza. I fornitori e i deployer di sistemi AI generativi affrontano la scadenza del 22 luglio 2026 per la firma del Codice — con gli obblighi di enforcement pienamente attivi dal 2 agosto 2026.
Per chi vuole approfondire, Grace Certified offre framework di policy interne sull'uso dell'AI.
Cosa prevede l'Articolo 50
L'Articolo 50 del Regolamento (UE) 2024/1689 impone obblighi di trasparenza sull'intera catena di fornitura dell'AI generativa. Gli obblighi sono giuridicamente vincolanti, tecnicamente specifici e si applicano tanto ai fornitori di sistemi quanto ai deployer di contenuti — un doppio livello di conformità che si estende dalle API dei modelli fondazionali fino alle applicazioni e alle pubblicazioni che tali sistemi alimentano.
In base all'Articolo 50(2), i fornitori di sistemi AI che generano audio, immagini, video o testo sintetico devono garantire che tutti gli output siano marcati in un formato leggibile da macchina e rilevabili come artificialmente generati o manipolati. Quest'obbligo riguarda i sistemi AI di uso generale che operano in modalità generativa: i fornitori di modelli fondazionali le cui API alimentano applicazioni downstream rientrano pienamente nell'ambito di applicazione. Le esenzioni si estendono agli strumenti di editing assistiti dall'AI che lasciano sostanzialmente integro il contenuto di origine umana, e alle applicazioni delle forze dell'ordine autorizzate. Lo standard di leggibilità da macchina si allinea con framework di provenienza come C2PA, che incorpora credenziali crittografiche al momento della generazione.
In base all'Articolo 50(4), i deployer hanno obblighi di divulgazione per i contenuti di immagine, audio e video generati o manipolati dall'AI — ciò che il Regolamento classifica come deepfake. Le opere artistiche e satiriche beneficiano di esenzioni, come le operazioni delle autorità di contrasto. Il testo generato dall'AI pubblicato su questioni di interesse pubblico richiede una divulgazione esplicita, eccetto laddove il contenuto sia sottoposto a revisione editoriale o laddove si applichi un'autorizzazione alla pubblicazione prevista dalla legge applicabile.
In base all'Articolo 50(1), i fornitori di sistemi AI progettati per interagire con persone fisiche devono garantire che tali persone comprendano di interagire con un sistema AI — eccetto laddove la natura artificiale risulti evidente a un utente ragionevolmente informato, o laddove sussistano requisiti di riservatezza operativa delle autorità di contrasto.
L'Articolo 113 dell'AI Act stabilisce il 2 agosto 2026 come data di applicabilità degli obblighi di trasparenza dell'Articolo 50. Le entità che già operano sistemi AI generativi su larga scala entrano in quella data con piena esposizione alle sanzioni, in applicazione immediata e senza periodo transitorio.
Il Codice di Pratica: presunzione, ambito e limiti
Il Parere della Commissione dell'8 luglio e la Valutazione di Adeguatezza dell'AI Board del 9 luglio designano congiuntamente il Codice di Pratica come strumento adeguato a livello UE per dimostrare la conformità agli obblighi dell'Articolo 50. Questa designazione comporta una conseguenza giuridica concreta: i firmatari acquisiscono una presunzione di conformità.
La presunzione di conformità sposta l'onere della prova dall'organizzazione alle autorità di vigilanza. Un firmatario può presentare la propria adesione al Codice come dimostrazione di conformità, indicando il Codice piuttosto che costruire un argomento tecnico o giuridico autonomo a sostegno della propria architettura di marcatura. Le autorità di vigilanza del mercato degli Stati membri dell'UE trattano l'adesione al Codice come presunzione di base, e l'AI Office ha qualificato il Codice come lo strumento privilegiato per adempiere agli obblighi di trasparenza dell'AI Act.
La presunzione presenta una qualificazione cruciale che i board devono comprendere: l'adesione al Codice rimane al di sotto della prova conclusiva di conformità. La Commissione è stata esplicita in merito. Le autorità di regolamentazione conservano piena autorità per accertare violazioni anche laddove un'organizzazione abbia firmato e implementato le misure del Codice — nei casi in cui l'implementazione risulti manifestamente carente, o laddove la marcatura tecnica risulti inadeguata rispetto allo standard di leggibilità da macchina nella pratica. Il Codice offre un percorso strutturato verso la conformità — una presunzione qualificata, distinta dall'immunità da azioni di enforcement.
La scadenza del 22 luglio 2026 (ore 18:00 CEST) disciplina l'inclusione nell'elenco dei firmatari iniziali. Le organizzazioni che aderiscono in seguito possono firmare in qualsiasi momento — il Codice rimane aperto dopo la scadenza iniziale — e rinunciano allo status di firmatario iniziale e ai vantaggi connessi alla tempestività della presunzione. L'AI Office prevede di facilitare aggiornamenti formali al Codice con cadenza minima biennale, via via che si consolidano gli standard tecnici e la prassi regolatoria.
La Sezione 2 del Codice stabilisce un quadro specifico per l'etichettatura dei deepfake e del testo generato o manipolato dall'AI. Per i fornitori, la Sezione 2 traduce l'obbligo di leggibilità da macchina dell'Articolo 50(2) in misure tecniche concrete. Per i deployer, operazionalizza l'obbligo di divulgazione dell'Articolo 50(4) in pratiche a livello di flusso di lavoro che si integrano nelle pipeline di produzione e pubblicazione dei contenuti.
Chi deve agire entro il 22 luglio
La popolazione di entità interessate è ampia e si estende all'intera catena di fornitura dei contenuti AI. Sul versante dei fornitori: le aziende che sviluppano modelli fondazionali, API AI generative e piattaforme AI in grado di produrre audio, immagini, video o testo sintetico. Gli hyperscaler che gestiscono sistemi AI di uso generale ai sensi dell'Articolo 3(63) dell'AI Act rientrano esplicitamente nell'ambito, così come i fornitori di modelli specializzati che offrono servizi di generazione di immagini, sintesi vocale o completamento testuale a deployer con sede nell'UE o a utenti finali europei.
Sul versante dei deployer: qualsiasi organizzazione che utilizza l'AI generativa per produrre e pubblicare contenuti — in particolare contenuti che coinvolgono media sintetici realistici o testo generato dall'AI su questioni di interesse pubblico. Le aziende media, le agenzie pubblicitarie, le società di servizi finanziari che pubblicano ricerche di mercato redatte dall'AI, gli editori legali che utilizzano sintesi di casi generate dall'AI e gli enti pubblici che impiegano comunicazioni istituzionali redatte dall'AI rientrano tutti nell'esposizione all'Articolo 50.
L'esposizione sanzionatoria per le violazioni dell'Articolo 50 raggiunge €15 milioni o il 3% del fatturato annuo mondiale totale, in base alla cifra maggiore. Per un'impresa con ricavi di €10 miliardi, il tetto si attesta a €300 milioni. La struttura sanzionatoria dell'AI Act conferisce alle autorità nazionali di vigilanza del mercato una discrezionalità significativa nella sequenza dell'enforcement, con profili di rischio specifici per giurisdizione tra gli Stati membri dell'UE.
La decisione a livello di board prima del 2 agosto
Il General Counsel e il Chief Risk Officer affrontano una decisione concreta prima del 22 luglio: firmare il Codice di Pratica, oppure documentare un'architettura di conformità autonoma sufficiente a soddisfare gli obblighi dell'Articolo 50 attraverso mezzi alternativi.
La firma richiede una revisione sostanziale. Le misure del Codice rappresentano impegni reali, e l'adesione implica implementazione. I team legali e di compliance devono valutare se l'attuale pipeline di marcatura dei contenuti dell'organizzazione soddisfi il requisito di formato leggibile da macchina dell'Articolo 50(2), e se i flussi di divulgazione per le operazioni sul versante deployer soddisfino lo standard dell'Articolo 50(4). Laddove esistano lacune, il Codice offre un percorso di implementazione strutturato con misure tecniche definite. Laddove l'architettura esistente soddisfi già lo standard, la firma formalizza un obbligo già adempiuto.
Le organizzazioni che optano per la via della conformità autonoma — in particolare quelle le cui architetture tecniche si allineano agli standard di provenienza dei contenuti C2PA o a framework equivalenti di marcatura leggibile da macchina — devono documentare tale allineamento in una forma difendibile davanti alle autorità di vigilanza del mercato. La pubblicazione finale del Codice da parte della Commissione nel giugno 2026 e la Valutazione di Adeguatezza dell'AI Board del 9 luglio costituiscono il framework di riferimento rispetto al quale verranno valutati gli argomenti di conformità autonoma.
L'azione del board prima del 2 agosto è singola: autorizzare il team legale a completare la valutazione relativa alla firma, risolvere eventuali lacune tecniche nell'architettura di marcatura dei contenuti, e fornire una posizione di conformità — firmata o documentata autonomamente — prima che gli obblighi di enforcement si attivino il 2 agosto 2026.
Article by ATLAS — Governance & Compliance
ATLAS covers AI regulation from primary legal sources. Every obligation cited to the official document.