L'AI Act è una di quelle norme che si pensa di conoscere finché non si scava un livello più sotto. Nelle ultime settimane il quadro applicativo dell'articolo 50 – quello sulla trasparenza dei sistemi generativi – è stato riscritto sostanzialmente tre volte. Non nel suo testo, che resta quello del Regolamento 2024/1689, ma nei suoi strumenti attuativi: il secondo draft del Code of Practice del 5 marzo 2026, le Linee Guida della Commissione dell'8 maggio 2026 e – soprattutto – l'accordo politico provvisorio sul Digital Omnibus on AI raggiunto da Parlamento e Consiglio il 7 maggio 2026. Quest'ultimo è il fatto più importante che oggi pochi raccontano, ed è quello che cambia davvero la timeline operativa per chi lavora con clienti enterprise.
Provo a mettere in fila i tre aggiornamenti con la precisione che serve, perché siamo a meno di due mesi dalla data di applicazione – il 2 agosto 2026 – e ogni azienda che usa sistemi AI per generare contenuti deve sapere esattamente dove si trova nel calendario degli obblighi.
Il secondo draft del Code of Practice: 5 marzo 2026
La Commissione europea ha pubblicato il 5 marzo 2026 il secondo draft del Code of Practice on Transparency of AI-Generated Content. È il documento tecnico-operativo che traduce in misure concrete gli obblighi dell'articolo 50, paragrafi 2 e 4 – cioè la marcatura machine-readable dei contenuti sintetici a carico dei provider, e l'etichettatura visibile dei deepfake e dei testi destinati a informare il pubblico su questioni di interesse pubblico, a carico dei deployer. La data è importante perché alcune fonti specializzate hanno riportato 3 o 4 marzo: la data ufficiale della Commissione è 5 marzo.
Il primo draft, pubblicato il 17 dicembre 2025, aveva un approccio relativamente prescrittivo. Il secondo draft è stato esplicitamente semplificato e snellito, con maggiore flessibilità per i firmatari e riduzione dell'onere di compliance. È un cambiamento significativo perché la Commissione ha integrato i feedback ricevuti da centinaia di stakeholder – industria, accademia, società civile, Stati membri tramite l'AI Board e Parlamento europeo tramite il gruppo di lavoro IMCO-LIBE.
Tre novità del secondo draft meritano attenzione operativa specifica. La prima è l'adozione di un approccio "two-layer" alla marcatura tecnica: metadata protetti e watermarking come componenti obbligatorie, con fingerprinting e logging come componenti opzionali. Significa che la verifica di compliance non è più puramente dichiarativa ma diventa tecnico-organizzativa: il consulente non deve solo controllare se il contenuto è "etichettato", ma se esistono meccanismi leggibili da macchina, procedure di verifica, tracciabilità dei contenuti sintetici. La seconda novità è la rimozione della distinzione tassonomica tra contenuto "AI-generated" e contenuto "AI-assisted" che era presente nel primo draft. È una semplificazione benvenuta, perché eliminava una zona grigia interpretativa che avrebbe creato infiniti contenziosi nei processi editoriali e creativi. La terza è la conferma esplicita del regime attenuato per opere artistiche, creative, satiriche e finzionali: la disclosure si applica in modo proporzionato, senza compromettere la fruizione o il valore artistico dell'opera.
Per chi lavora nel marketing fashion, nella comunicazione editoriale o nella creatività generativa, questa terza novità è probabilmente la più rilevante. Conferma in via formale quello che molti consulenti italiani avevano già intuito leggendo il testo dell'articolo 50: il legislatore europeo non vuole che la trasparenza distrugga la libertà espressiva. Una variante colore di un capo realmente esistente, ottenuta con AI per evitare il reshoot, ricade nella zona di editing standard e nelle attenuazioni previste per il lavoro creativo. Una pubblicità interamente AI-generated con modello sintetico rientra invece nella disclosure piena.
Le Linee Guida dell'8 maggio 2026
Due mesi dopo, l'8 maggio 2026, la Commissione europea ha pubblicato le Draft Guidelines on the implementation of the transparency obligations under Article 50. Sono un documento di quaranta pagine, emesso dall'AI Office ai sensi dell'articolo 96, paragrafo 1, lettera d) dell'AI Act, sottoposto a consultazione stakeholder fino al 3 giugno 2026 e destinato ad applicarsi insieme all'articolo 50 dal 2 agosto.
La differenza tra le Linee Guida e il Code of Practice è meno ovvia di quanto sembri ed è importante per la pratica consulenziale. Il Code copre solo l'articolo 50, paragrafi 2 e 4 – marcatura tecnica e labelling.
Le Linee Guida coprono invece tutti e quattro i paragrafi dell'articolo 50, includendo quindi anche l'obbligo di disclosure per i sistemi che interagiscono con persone fisiche (paragrafo 1) e l'informativa per emotion recognition e categorizzazione biometrica (paragrafo 3). Sono espressamente non vincolanti – solo la Corte di Giustizia UE può fornire un'interpretazione autoritativa – ma costituiscono il primo strumento della Commissione che offre guida interpretativa sull'intero perimetro dell'articolo 50.
Per il lavoro di assessment quotidiano, le Linee Guida sono lo strumento di riferimento se si sta valutando un sistema che ricade nei paragrafi 1 o 3 dell'articolo 50, mentre per i paragrafi 2 e 4 conviene leggere in parallelo Linee Guida e Code of Practice. La Commissione ha già anticipato che la versione finale del Code è attesa per inizio giugno 2026 e che la versione finale delle Linee Guida sarà rilasciata prima del 2 agosto 2026.
C'è un dato sanzionatorio che le Linee Guida ricordano e che molti sottovalutano. Le violazioni dell'articolo 50 ricadono nella seconda fascia sanzionatoria dell'AI Act: fino a quindici milioni di euro o il tre per cento del fatturato globale annuo, a seconda di quale sia più alto. Non è la fascia massima – quella, da trentacinque milioni o 7%, è riservata alle pratiche vietate dell'articolo 5 – ma è la seconda, e per qualunque azienda enterprise italiana non è una somma trascurabile. Per gli organismi UE la sanzione massima è di settecentocinquantamila euro. Quando si presenta il rischio compliance a un board, queste cifre vanno citate per ordine di grandezza.
Il Digital Omnibus on AI: il 7 maggio cambia la timeline
Veniamo al punto più importante, e a quello che i documenti di sintesi spesso omettono perché è stato pubblicato un giorno prima delle Linee Guida e tecnicamente non è ancora vigente. Il 7 maggio 2026, Parlamento europeo e Consiglio UE hanno raggiunto un accordo politico provvisorio sul Digital Omnibus on AI, una proposta legislativa che modifica diverse disposizioni dell'AI Act per renderne più graduale e gestibile l'applicazione.
La parte rilevante per l'articolo 50 è questa. Per i provider di sistemi AI generativi già presenti sul mercato UE prima del 2 agosto 2026, il Digital Omnibus prevede un periodo transitorio fino al 2 dicembre 2026 per conformarsi agli obblighi di marcatura machine-readable dell'articolo 50, paragrafo 2. Quattro mesi in più rispetto alla deadline originaria. I sistemi messi sul mercato a partire dal 2 agosto 2026, invece, devono essere conformi da subito. Tutti gli altri obblighi dell'articolo 50 – quelli dei paragrafi 1, 3 e 4 – restano applicabili dal 2 agosto 2026 senza alcun grandfathering.
Tradotto in linguaggio operativo: se un cliente sta sviluppando oggi un chatbot conversazionale, un sistema di emotion recognition o un generatore di deepfake o testi pubblici, deve essere conforme dal 2 agosto. Se invece ha già in produzione un sistema generativo di immagini, audio o video – pensate a un fashion brand che usa un motore proprietario per generare visual prodotto – può sfruttare i quattro mesi aggiuntivi per implementare metadata, watermarking e protocolli di detection. È una finestra preziosa per pianificare gli investimenti tecnologici senza dover bruciare le tappe a luglio.
Va detto che l'accordo del 7 maggio è ancora politico provvisorio. Deve essere formalizzato dai voti finali di Parlamento e Consiglio, e fino a quel momento la deadline ufficiale resta il 2 agosto per tutti. È prudente assumere che entrerà in vigore, ma è altrettanto prudente non comunicare ai clienti il grandfathering come acquisito finché il testo non è adottato definitivamente.
Cosa cambia operativamente per chi fa consulenza
Se sintetizzo il quadro per chi deve oggi disegnare un percorso di compliance per un cliente, l'aggiornamento delle ultime settimane sposta il lavoro di assessment da una logica solo normativa a una logica inventariale e processuale molto più granulare. Le Linee Guida e il Code of Practice insieme suggeriscono cinque verifiche cumulative che ogni audit AI Act dovrebbe includere.
- La prima è l'identificazione del ruolo dell'azienda nella catena del valore: provider, deployer, integratore o combinazione di questi. È un esercizio meno banale di quanto sembri, perché molte aziende italiane sono allo stesso tempo deployer di sistemi di terzi (Anthropic, OpenAI, Mistral) e provider di sistemi proprietari costruiti sopra. Il ruolo cambia gli obblighi applicabili.
- La seconda verifica è l'individuazione dell'output regolato: interazione conversazionale, contenuto sintetico, deepfake, testo destinato a informare il pubblico su questioni di interesse pubblico, riconoscimento emozioni o categorizzazione biometrica.
- La terza è la verifica della disclosure: chi deve informare, in che momento e con quale formato.
- La quarta è la verifica della marcatura tecnica: metadata, watermarking, eventuale fingerprinting, logging e meccanismi di detection.
- La quinta è la documentazione delle eccezioni e dei regimi attenuati che si possono invocare: opere artistiche, satira, revisione umana sostanziale con assunzione di responsabilità editoriale.
Per il fashion italiano in particolare — pensate ai brand che generano visual prodotto con AI per testare varianti colore — questa nuova fase porta tre conseguenze pratiche. Una variante colore di un capo che esiste fisicamente in collezione ricade in zona safe harbor: editing standard, nessuna disclosure obbligatoria, ma raccomandata per ragioni di Codice del Consumo. Una variante colore di un capo che non esiste in collezione, mostrata come se lo fosse, ricade nella manipolazione sostanziale e richiede disclosure piena. La generazione di un capo intero con modello sintetico ricade nel deepfake e richiede labelling visibile secondo i criteri che il secondo draft del Code of Practice ha definito con precisione. Per chi gestisce campagne paid, c'è un ulteriore livello da considerare: le policy delle piattaforme (Meta, TikTok, Google) sono spesso più stringenti delle norme UE e attivano sanzioni operative – sospensione delle campagne, riduzione del reach – che si aggiungono al rischio normativo.
L'icona standard europea: una novità da non trascurare
Una novità operativa che merita attenzione, e che sta passando sotto silenzio nella comunicazione professionale italiana, è la promozione da parte della Commissione di un'icona europea standardizzata per il labelling dei contenuti AI-generated. L'icona viene localizzata nei principali idiomi europei: "KI" in tedesco, "IA" in francese, presumibilmente "IA" in italiano. L'obiettivo dichiarato è ridurre i costi di compliance e standardizzare la percezione del consumatore europeo davanti a contenuti sintetici.
Per chi sta progettando oggi un sistema di labelling il consiglio operativo è di non investire troppo nello sviluppo di un'iconografia proprietaria. Conviene aspettare il rilascio finale dello standard UE, che è atteso insieme alla versione definitiva del Code of Practice, e adottarlo.
Questo significa avere oggi una posizione "pronta" – sapere come si fa l'etichetta, dove va inserita, come si comunica all'utente – e cambiare l'iconografia tra giugno e luglio quando lo standard sarà ufficiale. Un piccolo lavoro di pianificazione che evita di rifare tutto due volte.
Tre indicazioni operative finali
Riassumo per chi deve agire nelle prossime sei o sette settimane. La prima indicazione è di non aspettare la formalizzazione finale del Digital Omnibus per pianificare. La probabilità che l'accordo politico del 7 maggio venga confermato dai voti finali è molto alta, ma è prudente non comunicare ai clienti la proroga al 2 dicembre come certezza acquisita. Il piano migliore è preparare la conformità per il 2 agosto come scenario base, e considerare i quattro mesi aggiuntivi come margine di sicurezza per ottimizzare l'implementazione tecnica del marking.
La seconda indicazione riguarda il censimento dei sistemi. Non basta più una mappatura astratta che dice "abbiamo X sistemi AI in produzione". Serve un inventario strutturato per obbligo, ruolo nella catena del valore e tipo di output regolato. La metodologia delle cinque verifiche cumulative – ruolo, output, disclosure, marking, eccezioni – è il framework che le Linee Guida e il Code suggeriscono implicitamente.
La terza indicazione è di non sottovalutare la fascia sanzionatoria. L'articolo 50 è seconda fascia: quindici milioni o tre per cento del fatturato globale. Quando il board chiede "quanto rischiamo davvero", queste cifre vanno comunicate per ordine di grandezza, non come ipotesi astratte. Le sanzioni standard del Garante italiano per pratiche non conformi su sistemi AI si sono attestate finora tra ventimila e cinquantamila euro per le PMI, ma il quadro normativo che entra in vigore ad agosto eleva strutturalmente le soglie. Per un cliente enterprise non è un dettaglio.
Una considerazione di fondo
L'aggiornamento del 2026 sull'articolo 50 non è una rivoluzione normativa, è una messa a fuoco. Il legislatore europeo ha tradotto un principio relativamente generico – "i sistemi AI devono essere trasparenti" – in un set di regole tecnico-organizzative implementabili. La direzione è chiara, gli strumenti sono ora più precisi, le scadenze sono più ragionevoli grazie al Digital Omnibus. Quello che tra qualche mese distinguerà i consulenti che hanno fatto i compiti da quelli che hanno improvvisato, non sarà la conoscenza del testo dell'articolo 50 – quello lo conoscono tutti – ma la capacità di leggere in parallelo Linee Guida, Code of Practice e Digital Omnibus, e di trasferire questa lettura in un piano operativo per il cliente concreto.
Pagina ufficiale della Commissione con la consultazione e il PDF integrale del documento.
Pagina ufficiale con il secondo draft del Code of Practice.
