Chatbot e AI Act: cosa scatta davvero il 2 agosto 2026

Risposta diretta: dal 2 agosto 2026 diventano applicabili gli obblighi di trasparenza dell'articolo 50 del Regolamento (UE) 2024/1689 (AI Act). Se hai un chatbot sul sito, su WhatsApp o su Telegram, devi assicurarti che l'utente sappia di parlare con un'AI al più tardi alla prima interazione. Se il sistema genera testo, immagini, audio o video, gli output vanno marcati in formato leggibile dalle macchine. Le sanzioni arrivano fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, se maggiore. Il Digital Omnibus ha rinviato altre parti dell'AI Act, ma non questa.

TL;DR

2 agosto 2026: art. 50 applicabile ed enforcement attivo in tutti i 27 Stati membri.
Art. 50(1) — chi fornisce un sistema che interagisce con le persone deve renderlo riconoscibile come AI, salvo che sia ovvio.
Art. 50(2) — gli output generativi vanno marcati in modo machine-readable. I sistemi già sul mercato hanno tempo fino al 2 dicembre 2026; quelli nuovi devono esserlo da subito.
Art. 50(4) — deepfake e testi su questioni di interesse pubblico vanno dichiarati (salvo revisione umana con responsabilità editoriale).
Cosa NON scatta ora: gli obblighi per i sistemi ad alto rischio dell'Allegato III sono slittati al 2 dicembre 2027.
Per un chatbot e-commerce standard, la compliance è una giornata di lavoro, non un progetto.

Chi riguarda (probabilmente anche te)

Qui casca il primo equivoco. Molti imprenditori pensano che l'AI Act riguardi "chi fa l'intelligenza artificiale", cioè OpenAI, Google, Anthropic. In realtà l'articolo 50 riguarda anche chi la mette in produzione sul proprio sito.

Se hai un e-commerce con un assistente virtuale, un bot di assistenza clienti su WhatsApp, un configuratore conversazionale, o se generi descrizioni prodotto e immagini con l'AI, sei dentro. Non perché tu abbia addestrato un modello, ma perché stai esponendo un sistema AI a delle persone.

Il regolamento distingue due ruoli, e conviene capire quale ti tocca:

Ruolo	Chi è	Obblighi art. 50
Provider	Chi sviluppa il sistema o lo immette sul mercato con il proprio nome/marchio	50(1) disclosure AI · 50(2) marcatura machine-readable degli output
Deployer	Chi usa il sistema sotto la propria autorità (tu, sul tuo sito)	50(3) sistemi biometrici · 50(4) deepfake e testi di interesse pubblico

Attenzione al dettaglio che frega tutti: se prendi un chatbot di terzi e lo rimarchi con il tuo nome, in molti casi diventi provider tu. Non è un cavillo formale — cambia la lista di cose che devi fare.

Cosa devi fare in concreto

1. Il bot deve dichiararsi, alla prima interazione

L'obbligo è semplice: la persona deve sapere che sta parlando con un'AI non oltre la prima interazione. L'eccezione esiste — quando è "ovvio per una persona ragionevolmente informata e attenta" — ma non fidarti dell'ovvietà. Un chatbot moderno, scritto bene, con un nome umano e risposte fluide, per molti utenti ovvio non è per niente.

In pratica: una riga nel messaggio di benvenuto o un'etichetta persistente nell'header della chat. Non serve un pop-up legale che ammazza la conversione. Serve che sia chiaro, visibile e presente prima che l'utente scriva.

Cosa non basta: scriverlo solo nella privacy policy, nascondere la dicitura in un tooltip, o affidarsi al fatto che "si capisce dall'avatar".

2. Marca gli output generati

Se il tuo sistema genera contenuti sintetici — testo, immagini, audio, video — gli output devono essere marcati in formato machine-readable come artificialmente generati o manipolati. Il regolamento chiede soluzioni "efficaci, interoperabili, robuste e affidabili nella misura in cui è tecnicamente fattibile": in pratica metadati firmati (tipo C2PA/Content Credentials) e, dove sensato, watermark impercettibili.

Qui c'è una finestra di respiro: i sistemi di AI generativa già immessi sul mercato hanno tempo fino al 2 dicembre 2026. Quelli nuovi devono nascere conformi dal 2 agosto.

3. Deepfake e contenuti su questioni di interesse pubblico

Se pubblichi immagini o video manipolati che sembrano reali, va dichiarato. Lo stesso vale per il testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico: qui l'esenzione c'è, ma è precisa — serve una revisione umana con responsabilità editoriale su quel contenuto. "Ci passa il tool" non è una revisione.

4. Alfabetizzazione AI del personale (art. 4)

Passa spesso inosservato ma è già applicabile da febbraio 2025: chi impiega sistemi di AI deve garantire un livello sufficiente di AI literacy al personale che li usa. Non serve un master: serve che chi gestisce il bot sappia cosa può e non può fare, come si escalation a un umano, e quali dati non vanno dati in pasto al sistema.

Cosa NON scatta il 2 agosto (e perché confonde tutti)

Il Digital Omnibus ha rimescolato il calendario e la confusione è tanta. Chiariamo:

Rinviato: gli obblighi per i sistemi ad alto rischio dell'Allegato III slittano al 2 dicembre 2027.
Non rinviato: l'articolo 50. Trasparenza dei chatbot, marcatura dei contenuti sintetici, deepfake. È applicabile il 2 agosto 2026 e da quel giorno le autorità nazionali di vigilanza possono agire.
Codice di condotta sulla trasparenza: pubblicato il 10 giugno 2026, volontario, offre una presunzione di conformità a chi lo firma. La finestra per la firma con il massimo beneficio si è chiusa il 22 luglio 2026 — ma il codice resta la mappa più concreta di cosa significhi, tecnicamente, "marcare bene".

Un chatbot di assistenza e-commerce, di suo, non è un sistema ad alto rischio. Ma non farti trarre in inganno: non essere ad alto rischio non ti esenta dalla trasparenza. Sono due binari diversi.

La checklist operativa (una giornata di lavoro)

Inventario. Elenca ogni punto in cui l'AI parla con un essere umano o produce contenuto pubblicato: sito, WhatsApp, Telegram, email automatiche, descrizioni prodotto, immagini generate.
Ruolo. Per ognuno, stabilisci se sei provider o deployer. Se hai rimarchiato un prodotto di terzi, verifica il contratto.
Disclosure. Aggiungi la dichiarazione "assistente AI" nel primo messaggio e come etichetta persistente. In tutte le lingue in cui operi.
Escalation umana. Non è formalmente richiesta dall'art. 50, ma è il complemento naturale della trasparenza: dichiarare di essere un'AI e non offrire una via d'uscita verso una persona è una compliance che irrita il cliente. Ne ho scritto qui.
Marcatura. Verifica con il tuo fornitore di AI generativa cosa marca già (metadati, Content Credentials) e cosa devi aggiungere tu.
Documenta. Se ti appoggi all'eccezione dell'"ovvio", mettilo per iscritto con la motivazione. In caso di controllo, la differenza la fa la traccia scritta.
Forma il team. Mezza giornata di istruzioni scritte su cosa fa il bot, quando interviene un umano, quali dati non si inseriscono.

La mia opinione, da chi i chatbot li costruisce

Ho passato l'ultimo anno a costruire assistenti AI per e-commerce, e la trasparenza non mi è mai costata una conversione. Anzi: nei progetti dove il bot dice apertamente "sono un assistente virtuale, se preferisci ti passo una persona", l'utente si fida di più, non di meno. Il danno alla fiducia arriva quando qualcuno scopre da solo di aver parlato con una macchina credendo il contrario.

L'AI Act, su questo punto specifico, sta scrivendo in legge una cosa che era già buona pratica commerciale. Le parti dell'AI Act su cui si può discutere sono altre. Questa è la meno onerosa e la più sensata.

Nota: questo articolo è un'analisi tecnica di chi implementa questi sistemi, non consulenza legale. Per casi limite — soprattutto se rimarchi prodotti di terzi o generi contenuti su temi di interesse pubblico — fatti seguire da un legale specializzato.

FAQ

Il mio chatbot e-commerce è un sistema "ad alto rischio"?

Quasi certamente no. Un assistente che risponde su prodotti, ordini e spedizioni non rientra nelle categorie ad alto rischio dell'Allegato III. Ma resta soggetto agli obblighi di trasparenza dell'articolo 50, che sono un binario separato e applicabile dal 2 agosto 2026.

Basta scriverlo nella privacy policy?

No. L'obbligo è di informare l'utente al più tardi alla prima interazione, cioè dentro l'esperienza di conversazione. La privacy policy è un altro adempimento (GDPR) e non soddisfa l'articolo 50.

Cosa rischio concretamente se non faccio nulla?

La violazione dell'articolo 50 è sanzionabile fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, a seconda di quale sia maggiore, con enforcement affidato alle autorità nazionali di vigilanza. Per una PMI il rischio realistico immediato non è la sanzione massima, ma una segnalazione, un'istruttoria e il tempo che ci perdi — a fronte di una correzione che richiede poche ore.

Se uso un chatbot di terzi, la compliance è loro?

In parte. Il fornitore risponde da provider per la progettazione del sistema, tu rispondi da deployer per come lo usi. E se lo rimarchi con il tuo nome, in molti casi il ruolo di provider si sposta su di te. Chiedi al fornitore una dichiarazione scritta su cosa copre.

Vale anche se la mia azienda è fuori dall'UE?

Sì, se il sistema o i suoi output sono usati nell'Unione. L'AI Act ha portata extraterritoriale, come il GDPR: conta dove sono gli utenti, non dove è la società.

Se hai un chatbot in produzione e vuoi sistemare disclosure, escalation umana e tracciabilità prima del 2 agosto, scrivimi. ShopBrain nasce già con la dichiarazione AI e il passaggio a operatore umano integrati — perché sono cose da progettare, non da tamponare in scadenza.