Le regole UE sull’informativa IA, spiegate per chi gestisce un sito web

Questa guida non costituisce consulenza legale. È una spiegazione in linguaggio chiaro di una norma, scritta da chi costruisce strumenti di conformità, per chi gestisce un sito web. Se la Sua situazione è complicata, parli con un avvocato.

La versione da trenta secondi

Dal 2 agosto 2026, il regolamento sull’intelligenza artificiale include un obbligo di informativa per i contenuti generati con IA. Se il Suo sito web pubblica testi assistiti dall’IA o immagini generate con IA verso persone nell’UE, una parte di quei contenuti ha ora bisogno di etichettatura. Non tutti. Le regole distinguono tra testo e immagini, tra assistito e generato, e tra i contenuti che informano il pubblico e i contenuti che vendono i Suoi servizi. Il resto di questa guida è che cosa significa «una parte», ed è più breve di quanto tema.

Come ci siamo arrivati, in breve

Il regolamento sull’intelligenza artificiale è stato concordato nel 2024 dopo il tipo di negoziato che produce un documento che nessuno legge da un capo all’altro. Si applica a tappe. Le parti che fanno notizia, le regole per i sistemi di IA ad alto rischio, arrivano dopo. Le regole di trasparenza sono atterrate prima, ad agosto 2026, perché etichettare i contenuti è qualcosa che le autorità si aspettano ragionevolmente che tutti gestiscano senza due anni di rincorsa.

Ecco la parte che nessuno dice ad alta voce: le persone che questo tocca di più non sono le imprese di IA. Sono imprese ordinarie i cui siti si sono riempiti in silenzio di contenuti assistiti dall’IA negli ultimi anni, scritti dalla loro agenzia di marketing, dallo stagista o da loro stessi alle undici di sera. Quasi a nessuno è stato detto. Se sta leggendo questo con un allarme moderato, non è in ritardo. Tutti l’hanno scoperto tardi.

A chi si applica questo davvero

La risposta onesta: a più persone di quanto si aspetti, a meno di quanto si tema.

L’obbligo si lega ai contenuti pubblicati verso persone nell’UE. Dove è registrata la Sua impresa conta meno di dove sono i Suoi lettori. Uno studio del Regno Unito con clienti tedeschi, un negozio americano che spedisce in Francia, un’agenzia olandese che gestisce siti per chiunque: se i visitatori UE fanno parte del Suo pubblico, le regole di trasparenza fanno parte della Sua vita. È la stessa lunga portata che il GDPR ha insegnato a tutti, e la logica è identica.

Nel linguaggio del regolamento, l’obbligo cade sul «deployer» del sistema di IA, che per un sito web significa l’impresa che ha usato l’IA per creare il contenuto e lo ha pubblicato. Non l’impresa di IA. Non il Suo fornitore di hosting. Lei.

Il che solleva la domanda che ogni titolare di agenzia ha appena fatto: di chi è l’obbligo quando un’agenzia ha costruito il sito, ha scritto i testi con l’IA e gestisce il tutto per un cliente che pensa che «generativo» sia un tipo di yoga? La risposta breve è che il cliente pubblica, l’agenzia ha creato l’esposizione e, nella pratica, l’agenzia finisce per farsi carico della soluzione. La risposta lunga ha una guida propria: Il problema delle agenzie: i siti dei clienti e a chi spetta l’obbligo.

Che cosa va reso noto, e che cosa no

Questo è il cuore della norma, e ruota su due distinzioni che conviene imparare per bene.

Il testo è diverso dalle immagini. Per il testo generato con IA, l’obbligo si applica quando il testo è pubblicato «allo scopo di informare il pubblico su questioni di interesse pubblico» e, cosa cruciale, l’obbligo viene meno quando il contenuto «è stato sottoposto a un processo di revisione umana o di controllo editoriale» e una persona reale «detiene la responsabilità editoriale». Quel linguaggio citato viene dritto dall’articolo 50, paragrafo 4, ed è la frase più pratica di tutto il regolamento. Significa che il testo redatto con IA che una persona reale ha davvero revisionato, con qualcuno nominato che ne assume la responsabilità, non ha bisogno di etichetta. Il tranello, ed è il tranello per cui esiste tutto il nostro prodotto, è che quando qualcuno chiede, deve poter mostrare che la revisione è avvenuta per davvero. Una revisione non registrata è un racconto. Una registrata è una difesa.

Le immagini non hanno quell’esonero. Non esiste un’eccezione di revisione editoriale per le immagini. L’obbligo più stringente si applica a ciò che il regolamento chiama deep fake: immagini, audio o video generati o manipolati con IA che assomigliano a persone, luoghi, oggetti o eventi reali e che apparirebbero falsamente autentici. Quelli devono essere resi noti in modo visibile. Non nei metadati, non nel testo alternativo, non in un piè di pagina a cui nessuno arriva. Ne parliamo nella sezione successiva, perché è lì che la maggior parte dei siti web è esposta in silenzio.

Assistito è diverso da generato. Il testo che ha scritto Lei e ha chiesto a un modello di stringere sta in un punto diverso dal testo che un modello ha prodotto e Lei ha scorso. La prova onesta è l’autorialità: chi ha fatto questo per davvero? Se la sostanza è venuta dalla macchina, lo tratti come generato con IA e o lo etichetti o lo sottoponga a una revisione umana reale con un nome collegato.

I casi limite che la gente ha davvero: le descrizioni di prodotto generate su scala sono pienamente nel perimetro e pienamente idonee all’esonero per revisione se qualcuno le revisiona per davvero. Le versioni tradotte da una macchina delle Sue pagine scritte da una persona stanno all’estremo mite, anche se la traduzione automatica pura pubblicata senza revisione è più coraggiosa di quanto saremmo noi. Le immagini di repertorio sono un problema di chi le distribuisce, che deve marcarle alla fonte, ma l’obbligo sui deep fake può comunque raggiungere ciò che Lei pubblica. Un chatbot sulla Sua pagina porta un obbligo separato, il più antico del regolamento: le persone devono sapere che stanno parlando con una macchina.

Per il percorso completo su che cosa conta, c’è una guida dedicata: Il mio sito web ha bisogno di un’informativa IA?.

Sono le immagini a mordere

Se prende sul serio una sola sezione di questa guida, sia questa.

L’obbligo sul testo arriva con una via d’uscita incorporata: revisione umana, responsabilità editoriale, nessuna etichetta necessaria. L’obbligo sull’immagine no. Un’immagine generata con IA che sembra una fotografia reale di una persona, un luogo o un evento dall’apparenza reale ha bisogno di un’informativa che un visitatore possa vedere per davvero, «al più tardi al momento della prima interazione o esposizione», per citare l’articolo 50, paragrafo 5. Ciò significa sulla pagina, vicino all’immagine, in parole che una persona legge. Una credenziale C2PA sepolta nei metadati del file è buona pratica e genuinamente utile, ma non è, da sola, un’informativa visibile.

Pensi a ciò che vive davvero sui siti web di impresa. L’immagine hero di una squadra che non esiste. La fotografia del «nostro ufficio» renderizzata da un modello perché l’ufficio reale è una camera degli ospiti. L’artigiano sospettosamente fotogenico sul sito di un’impresa artigiana. Ognuna di queste è un’immagine realistica di IA che si presenta come autentica, che è precisamente il territorio per cui è stata scritta la regola sui deep fake.

C’è una regola più morbida per i contenuti «manifestamente artistici, creativi, satirici o fittizi»: serve comunque rendere nota la natura generata, ma «in modo adeguato» che non rovini l’opera. Un’illustrazione evidentemente stilizzata è un problema più leggero di una fotografia falsa. Il problema è che «manifestamente» sta facendo molto lavoro in quella frase, e la pratica sicura e onesta è semplice: se l’immagine è uscita da un modello, lo dica dove le persone possono vederlo.

Il trattamento completo, compreso l’aspetto di un’etichetta di immagine conforme: Immagini di IA e la regola dell’etichetta.

Come si presenta un’informativa conforme

Lo standard del regolamento è che le informative siano fornite «in maniera chiara e distinguibile» non oltre la prima esposizione. Nella pratica, per il testo, ciò significa una riga che un lettore incontri per davvero, nella lingua della pagina, vicino al contenuto che descrive.

Una buona informativa suona come una persona: «Parti di questo articolo sono state redatte con assistenza di IA e revisionate prima della pubblicazione da un membro nominato del nostro team.» Dice che cosa è accaduto, chi ne ha risposto, e si legge come il resto del Suo sito.

Un’informativa pigra è la scuola del banner cookie in materia di conformità: una riga di sito intero nel piè di pagina che dice «alcuni contenuti possono essere generati con IA». Non rende noto nulla su nulla in particolare, che è un altro modo per dire che non rende noto nulla.

E c’è la mancata informativa travestita da informativa: una pagina nascosta su /ai-policy che nessun lettore troverà mai, a fare l’equivalente giuridico di borbottare. Se un’informativa ha bisogno di una mappa del sito per essere trovata, non è chiara, e di certo non è distinguibile.

Dove va? Per un articolo, in cima o in calce al pezzo. Per un’immagine, accanto all’immagine o nella didascalia. Per una pagina sostanzialmente generata con IA, prima che il lettore vi abbia investito dieci minuti. La prova non è l’ingegnosità; è se un visitatore ordinario la incontrerebbe per davvero. C’è una guida completa con esempi: Come redigere un’informativa che soddisfa le regole.

Che cosa succede se lo ignora

Ecco i numeri reali, e poi l’inquadramento onesto.

L’inosservanza degli obblighi di trasparenza comporta sanzioni amministrative fino a €15m o il 3% del fatturato mondiale totale annuo, se superiore, ai sensi dell’articolo 99, paragrafo 4. Per le piccole e medie imprese, il regolamento applica la minore di quelle cifre e non la maggiore, e alle autorità è chiesto di soppesare proporzionalità, cooperazione e se la violazione sia stata colposa o deliberata.

Ora l’inquadramento. L’applicazione è giovane. Gli Stati membri hanno messo in piedi le proprie autorità, e le autorità si muovono a velocità di autorità. Nessuno sta sfondando porte per un post di blog non etichettato in questo trimestre. Ma l’obbligo esiste ora, le sanzioni sono già scritte nella norma ora, e il rischio pratico arriva prima di qualsiasi autorità: il reclamo di un concorrente, la domanda di un giornalista, un questionario di procurement che chiede come si conforma all’articolo 50, un cliente che chiede la stessa cosa alla propria agenzia. Rimettere a posteriori le informative su qualche centinaio di pagine sotto pressione, con la registrazione che mostra che l’ha fatto dopo che Glielo hanno chiesto, è nettamente peggio che farlo con calma, questo mese, perché ha scelto di farlo.

Chi verrebbe davvero a chiedere, paese per paese: Autorità, paese per paese. Che cosa dice davvero il testo: Che cosa dice davvero l’articolo 50.

Domande che la gente fa davvero

Un post di blog scritto con ChatGPT ha bisogno di un’informativa? Se è stato pubblicato per lettori UE allo scopo di informarli su qualcosa che conta per il pubblico, sì, salvo che una persona reale lo abbia revisionato e detenga la responsabilità editoriale. Se è stato revisionato, conservi prova della revisione. L’esonero è reale, ma non è una sensazione; è un processo.

Contano i post vecchi, o solo i nuovi? Meno di quanto tema. Gli orientamenti della Commissione su queste regole dicono che i contenuti pubblicati prima del 2 agosto 2026 non necessitano di etichettatura retroattiva, e le immagini di IA preesistenti generate prima di quella data sono altrettanto esenti. L’esenzione protegge solo ciò che lascia in pace, però: aggiorni, ripubblichi o riusi contenuti vecchi dopo quella data e rientrano nel perimetro come pubblicazione nuova. Un inventario calmo resta meglio di una purga nel panico, non da ultimo perché Le dice quali pagine sono davvero dormienti e quali ha continuato a modificare in silenzio.

Una fotografia ritoccata con IA conta? Il ritocco sta su uno spettro. Pulire l’illuminazione non è la preoccupazione. Generare o rielaborare un’immagine in modo che raffiguri qualcosa che non è accaduto pur avendone l’aspetto, è territorio da deep fake e ha bisogno di un’informativa visibile.

Siamo un’impresa del Regno Unito. Questo ci riguarda? Se le persone nell’UE fanno parte del Suo pubblico, sì. Il regolamento raggiunge i contenuti pubblicati verso visitatori UE indipendentemente da dove siede chi pubblica, che è la stessa logica extraterritoriale del GDPR.

Il contenuto interno conta? La nostra intranet è metà IA ormai. Gli obblighi di cui parliamo riguardano i contenuti pubblicati al pubblico. Il Suo wiki interno resta tra Lei e i colleghi.

La revisione umana toglie davvero l’obbligo di etichettare il testo? Per il testo, sì, è ciò che dice l’articolo 50, paragrafo 4: il contenuto generato dall’IA che è stato sottoposto a revisione umana o controllo editoriale, con una persona fisica o giuridica che detiene la responsabilità editoriale, rientra nell’eccezione. Le parole operative sono «è stato sottoposto a un processo». Un processo lascia una registrazione. Quella è l’intera ragione per cui esiste il nostro prodotto, quindi tratti questa risposta come proveniente da una parte interessata e controlli l’articolo di persona.

C’è un’eccezione così per le immagini? No. Questa è l’asimmetria a cui questa guida continua a tornare. Il testo può essere sottratto all’obbligo mediante una revisione. Le immagini no.

Dobbiamo indicare i contenuti che ha fatto la nostra agenzia? Chi pubblica porta l’obbligo, e «l’ha fatto l’agenzia» non ha mai impressionato un’autorità in nessun campo vicino. Chieda alla Sua agenzia che cosa è stato generato con IA, e se non sa rispondere, quella è già la risposta.

E le traduzioni con IA delle nostre pagine? Tradurre i propri contenuti scritti da una persona sta all’estremo mite dello spettro. La pratica prudente, e quella che seguiamo noi, è una nota breve che la traduzione è stata assistita dall’IA e revisionata. Costa una frase.

Basta una riga nel piè di pagina del sito? No. L’informativa deve essere chiara, distinguibile e incontrata entro il momento in cui c’è il contenuto, cosa che una riga generica nel piè di pagina non è.

Fare qualcosa al riguardo

Un processo sensato ha quattro passaggi, e nessuno di essi richiede panico. Sappia che cosa c’è davvero sul Suo sito, il che per la maggior parte delle imprese significa una scansione e non un pomeriggio di clic. Decida che cosa ha bisogno di un’etichetta e che cosa revisionerà al Suo posto una persona nominata. Faccia in modo che quella persona lo revisioni per davvero e vi apponga il nome. E conservi una registrazione che soddisferebbe qualcuno che chiedesse di vederlo, perché una revisione che nessuno può documentare è una revisione che non è avvenuta.

Quel processo è ciò per cui abbiamo costruito Swornmark: la scansione, le informative suggerite, la sottoscrizione nominativa e un certificato a manomissione evidente che chiunque può verificare. Ce n’è uno nel piè di pagina di questa stessa pagina, che copre questo stesso articolo, il che ci è parso il minimo dato l’argomento.

Se sta guardando un sito pieno di contenuti forse di IA e preferirebbe confrontare storie dell’orrore piuttosto che comprare qualcosa, ci farebbe davvero piacere una conversazione. E se vuole solo sapere dove sta, la scansione è gratuita e richiede circa un minuto: swornmark.com.

Questa guida non costituisce consulenza legale. È stata redatta con assistenza di IA e revisionata prima della pubblicazione. Swornmark detiene la responsabilità editoriale, che, come ha appena letto, è proprio il punto.