L'AI Transparency Act della California diventa operativo il 2 agosto 2026, tra cinque giorni. Approvata come SB 942 nel settembre 2024 e riformata da AB 853, promulgata come Chapter 674 il 13 ottobre 2025, la legge obbliga ogni fornitore di IA generativa con oltre 1.000.000 di visitatori o utenti mensili, accessibile pubblicamente in California, a offrire un tool gratuito di rilevazione dei contenuti IA, a proporre divulgazioni visibili e a incorporare dati latenti di provenienza nei contenuti sintetici. Il Procuratore Generale, i procuratori municipali e i legali di contea possono chiedere sanzioni civili di 5.000 dollari per violazione, e la legge considera ogni giorno di inadempimento come violazione distinta.
Cosa prevede la legge modificata
La Section 22757.6 fissa il momento di attivazione in una frase: “This chapter shall become operative on August 2, 2026.” AB 853 ha spostato la data dal 1° gennaio 2026, concedendo all'industria sette mesi supplementari che ora si esauriscono. Il capitolo, codificato nel Business and Professions Code, Section 22757 e seguenti, definisce nella Section 22757.1 il covered provider come chi crea, programma o produce un sistema di IA generativa con “over 1,000,000 monthly visitors or users”, accessibile pubblicamente entro i confini geografici dello Stato. La stessa sezione definisce i system provenance data come dati privi di collegamento ragionevole con un utente specifico, riguardanti informazioni di dispositivo e sistema o autenticità del contenuto.
Tre obblighi gravano sui covered provider. Primo: la Section 22757.2 di SB 942 impone di rendere disponibile “an AI detection tool at no cost to the user”. Lo strumento deve essere accessibile al pubblico, deve consentire il caricamento di contenuti o l'inserimento di un URL e deve restituire “any system provenance data that is detected in the content”; restano ammesse limitazioni ragionevoli di accesso per prevenire rischi dimostrabili. Secondo: la Section 22757.3 offre agli utenti l'opzione di una divulgazione manifesta che identifichi il contenuto come generato dall'IA, chiara, ben visibile, adeguata al mezzo e comprensibile per una persona ragionevole. Terzo: la stessa sezione impone una divulgazione latente incorporata nel contenuto, con il nome del fornitore, il nome e la versione del sistema GenAI, data e ora di creazione o alterazione e un identificativo univoco. Entrambe le divulgazioni devono risultare “permanent or extraordinarily difficult to remove, to the extent it is technically feasible”.
Le regole sulle licenze meritano l'attenzione del board. In base alla Section 22757.3(c), il fornitore che licenzia il proprio sistema deve imporre per contratto che il licenziatario mantenga la capacità di includere le divulgazioni obbligatorie. Qualora il licenziatario rimuova tale capacità, il fornitore deve revocare la licenza entro 96 ore dalla scoperta, e il terzo deve cessare l'uso del sistema dopo la revoca. La conformità di provenienza attraversa quindi l'intera catena contrattuale: rivenditori, integratori e implementazioni enterprise.
Chi deve agire ed entro quando
AB 853 ha trasformato una legge a soggetto unico in un regime a tre ondate. La prima arriva il 2 agosto 2026 e riguarda i fornitori di IA generativa sopra la soglia di 1.000.000 di utenti mensili. La seconda arriva il 1° gennaio 2027: la Section 22757.3.1 obbliga le large online platform, definite come servizi con oltre “2,000,000 unique monthly users during the preceding 12 months”, a rilevare i dati di provenienza conformi, a segnalarne la disponibilità nell'interfaccia utente e a preservare dati di provenienza e firme digitali dove tecnicamente fattibile; la Section 22757.3.2 vieta alle piattaforme di hosting GenAI di distribuire consapevolmente sistemi privi delle divulgazioni richieste. La terza ondata arriva il 1° gennaio 2028, quando la Section 22757.3.3 raggiunge i produttori di capture device: fotocamere, telefoni e registratori dovranno offrire divulgazioni latenti con nome del produttore, nome e versione del dispositivo, data e ora di creazione o alterazione, incorporate per impostazione predefinita.
La portata giurisdizionale segue l'accessibilità, oltre la sede legale: un fornitore con quartier generale a Londra o Bangalore che supera la soglia di utenti e serve i californiani rientra pienamente nella definizione, secondo lo schema extraterritoriale già tracciato dal CCPA. Il calcolo dell'esposizione è severo. La Section 22757.4 fissa una sanzione civile di “$5,000 per violation”, azionabile dal Procuratore Generale, da un procuratore municipale o dal legale di contea, e stabilisce che ogni giorno di violazione costituisce violazione distinta. Gli attori vittoriosi recuperano le spese legali. Un obbligo lasciato inadempiuto per un trimestre genera circa 450.000 dollari di sanzioni accumulate per singolo flusso di violazione, prima di ogni valutazione discrezionale dell'enforcement.
La decisione a livello di board
L'azione di governance per questa settimana: commissionare un'attestazione di conformità sulla provenienza, da consegnare al board prima del 2 agosto, che risponda con evidenze a tre domande. Qualche linea di prodotto supera la soglia di 1.000.000 di utenti mensili accessibili dalla California, misurata su analytics difendibili? Il tool di rilevazione è attivo, gratuito, compatibile con URL e restituisce i system provenance data? Tutte le licenze GenAI in uscita contengono la clausola di mantenimento delle divulgazioni e il meccanismo di revoca entro 96 ore? Le aziende sotto le soglie attuali dovrebbero formalizzare tale valutazione, perché l'ondata delle piattaforme del gennaio 2027 e l'ondata dei dispositivi del gennaio 2028 catturano soggetti esterni alla prima fase. Il General Counsel dovrebbe inoltre illustrare al consiglio la struttura sanzionatoria ad accumulo giornaliero, che rende la velocità di rimedio il fattore primario dell'esposizione finanziaria appena emerge una lacuna.
Articolo di ATLAS, Governance & Compliance
ATLAS segue la regolamentazione dell'IA dalle fonti legali primarie. Ogni obbligo è citato dal documento ufficiale.