La legge IA della California costa ora 5000 dollari al giorno

Una legge rinviata entra finalmente in vigore

La legge sulla trasparenza dell'IA della California, Senate Bill 942 e ampiamente nota con l'acronimo CAITA, è entrata in vigore il 2 agosto 2026, diventando la prima legge obbligatoria di filigranatura e divulgazione della provenienza per i contenuti generati dall'IA negli Stati Uniti. La legge era stata firmata anni prima con una data di entrata in vigore fissata al 1 gennaio 2026, ma una legge successiva, l'AB 853, approvata nel 2025, ha rinviato quella data al 2 agosto 2026 per dare ai fornitori più tempo di costruire l'infrastruttura di rilevamento richiesta dalla legge.

CAITA vincola ogni fornitore di IA generativa con più di un milione di utenti o visitatori mensili accessibili pubblicamente in California, una soglia che nella pratica arriva ben oltre il mercato californiano stesso. OpenAI, Google, Meta, Microsoft e Adobe la superano senza difficoltà, e lo stesso vale di fatto per quasi ogni prodotto di IA per consumatori costruito per un pubblico globale, perché un prodotto usato da milioni di persone nel mondo raramente resta sotto il milione di utenti nel più grande stato degli Stati Uniti.

Tre obblighi, uno dei quali invisibile

La norma impone tre obblighi distinti. Un fornitore soggetto deve offrire, senza costi, uno strumento pubblico di rilevamento dell'IA che accetti un file caricato, un URL o una chiamata API e restituisca se il contenuto è stato generato dall'IA; lo strumento non può raccogliere dati personali oltre a un feedback volontario e basato sul consenso esplicito. Deve inoltre offrire agli utenti un marchio visibile e opzionale di divulgazione che identifichi in modo chiaro e inequivocabile il contenuto come generato dall'IA e che sia permanente, o straordinariamente difficile da rimuovere, ove ciò sia tecnicamente possibile.

Il terzo obbligo è imperativo e non opzionale, ed è quello che gli utenti non vedono mai. Le immagini, i video e gli audio generati dall'IA soggetti alla norma devono portare metadati invisibili e leggibili da macchina che indichino il sistema generatore, la sua versione e la data in cui il contenuto è stato creato o modificato, incorporati in una forma abbastanza durevole da sopravvivere al trattamento ordinario e conforme a standard di settore ampiamente accettati. Videogiochi, televisione, streaming e film sono esplicitamente esclusi dall'ambito di CAITA, e l'analisi di uno studio legale sulla norma segnala che anche i contenuti IA puramente testuali ne restano fuori.

Un numero piccolo che si accumula in fretta

CAITA non prevede alcun diritto di azione privata. Solo il procuratore generale della California e altri soggetti statali possono avviare un'azione, e la sanzione per una violazione provata è di 5000 dollari, contando ogni giorno in cui un fornitore resta non conforme come una violazione distinta. Una lacuna che persiste per un mese su un singolo requisito non è un'esposizione unica di 5000 dollari; sono circa trenta di esse, che si accumulano finché la lacuna resta aperta.

Questa struttura premia i fornitori che correggono in fretta una lacuna di conformità e punisce chi non se ne accorge. Si colloca anche all'estremo opposto dello spettro sanzionatorio rispetto alla legge sull'IA dell'Unione Europea, il cui regime di trasparenza prevede multe fino a 15 milioni di euro o il 3 per cento del fatturato annuo mondiale, a seconda di quale importo sia più alto. La California distribuisce un gocciolamento lento; Bruxelles impugna un bastone molto più grande. Ignorare l'uno o l'altro costa caro, solo su un orologio diverso.

Stessa data, due regolamenti indipendenti

La data di entrata in vigore di CAITA, il 2 agosto 2026, cade lo stesso giorno in cui la legge sull'IA dell'Unione Europea fa entrare in vigore il proprio regime di trasparenza. L'articolo 50 della legge sull'IA impone ai fornitori di sistemi di IA, compresi i sistemi per finalità generali, che generano audio, immagini, video o testo sintetici di garantire che l'output sia marcato in un formato leggibile da macchina e sia rilevabile come generato dall'IA, e anche questi obblighi sono diventati applicabili il 2 agosto 2026. Che le due date coincidano è un caso, non un coordinamento; il legislatore californiano e il Parlamento europeo hanno scritto queste norme su calendari separati senza alcun riferimento reciproco.

Le specifiche tecniche non coincidono solo perché lo fa il calendario. CAITA indica a un fornitore esattamente cosa devono contenere i suoi metadati invisibili: il nome del sistema generatore, la sua versione e una data di creazione o modifica, incorporati in modo durevole. L'articolo 50 richiede un marchio leggibile da macchina e rilevabile senza indicare quegli stessi campi nel testo di legge, e il codice di buone pratiche della Commissione europea propende per un approccio alla provenienza in stile C2PA per la forma tecnica. Un unico schema di incorporazione costruito per superare una soglia non supera automaticamente anche l'altra, e nessuna delle due leggi promette che lo faccia.

Cosa dovrebbe davvero controllare chi possiede il prodotto

La domanda utile non è se CAITA esista, ma se i metadati di provenienza che il vostro prodotto già incorpora la soddisfino. Prendete un campione del vostro stesso output generato dall'IA e verificate che i metadati invisibili indichino il sistema generatore e la sua versione e portino una data di creazione in una forma che sopravvive a un'esportazione ordinaria, a una ricompressione o a un nuovo caricamento su un'altra piattaforma. Fate poi passare quello stesso campione attraverso il vostro strumento pubblico di rilevamento e verificate che lo segnali correttamente, perché uno strumento di rilevamento che non riconosce l'output del proprio fornitore è esso stesso una violazione in attesa di essere scoperta.

Effettuate poi lo stesso controllo sul lato europeo, invece di presumere che il primo controllo lo copra già. Verificate che il marchio sia leggibile da macchina e rilevabile secondo i termini propri dell'articolo 50, e considerate che l'accordo sull'AI Omnibus raggiunto nel maggio 2026 concede ai sistemi generativi già sul mercato prima del 2 agosto 2026 tempo fino al 2 dicembre 2026 per adempiere specificamente a quell'obbligo di marcatura leggibile da macchina del regime europeo. Quello scarto nel calendario è una finestra per verificare correttamente la sovrapposizione, non un motivo per presumere che non esista.

Da leggere ora: Il 2 agosto le multe UE sull'IA diventano reali  |  La tua politica di moderazione può restare in casa