Il documento arrivato tredici giorni prima

Non capita spesso che la Commissione pubblichi orientamenti con così poco margine. Il 20 luglio 2026 ha approvato e pubblicato gli orientamenti sull'attuazione degli obblighi di trasparenza per determinati sistemi di IA previsti dall'articolo 50 del regolamento sull'intelligenza artificiale. Gli obblighi che quegli orientamenti spiegano si applicano dal 2 agosto 2026. Fra il testo definitivo e la data di cui parla corrono tredici giorni.

La bozza era pubblica dall'8 maggio e la consultazione si è chiusa il 3 giugno, quindi, per chi stava leggendo, qui non c'è nulla di imprevisto. Quello che è cambiato lunedì è che l'interpretazione ha smesso di essere provvisoria. Orientamenti di questo tipo non creano obblighi, perché l'articolo 50 lo ha già fatto. Indicano come la Commissione e le autorità nazionali intendono leggerlo, ed è la parte che serve a un'azienda europea prima di impegnare denaro in un processo.

Due doveri, e finiscono su scrivanie diverse

La divisione è tutta la storia. L'articolo 50 mette una serie di doveri in capo ai fornitori e un'altra in capo ai deployer. I fornitori devono garantire che un sistema costruito per interagire direttamente con una persona le dica che ha davanti un'IA, e devono marcare gli output generati o manipolati dall'IA in modo che siano rilevabili in forma leggibile meccanicamente. I deployer hanno un elenco più stretto ma più personale: dire alle persone quando stanno guardando un deepfake, quando sono esposte a un sistema di riconoscimento delle emozioni o di categorizzazione biometrica, e quando stanno leggendo un testo generato dall'IA e pubblicato su una questione di interesse pubblico senza revisione umana né controllo redazionale.

Quasi tutte le imprese europee hanno passato l'ultimo anno a leggere il regolamento come un problema dei fornitori, e anche i nostri articoli sulla data del 2 agosto andavano nella stessa direzione, perché le regole sui modelli di uso generale che scattano quel giorno puntano dritte ai laboratori. Gli orientamenti tolgono questa comodità. La metà dell'articolo 50 che riguarda i deployer ricade sull'azienda che mette il sistema davanti al proprio pubblico, e sotto non c'è nessuna soglia dimensionale.

La marcatura che non potete apporre da soli

Vale la pena isolare l'obbligo di marcatura leggibile meccanicamente, perché è l'unico dovere che un'azienda non può assolvere cambiando il proprio comportamento. L'inserimento della provenienza, perché un terzo possa rilevare che un output è stato prodotto da una macchina, deve avvenire dove l'output nasce, cioè dentro il sistema del fornitore. Se lo strumento di cui avete acquistato la licenza non marca quello che produce, nessuna policy scritta in casa metterà lì quel segno.

Questo trasforma una questione tecnica in una questione di acquisti con una data sopra. Chiedete per iscritto a ogni fornitore di IA generativa presente nel vostro stack se oggi i suoi output portano una marcatura leggibile meccanicamente, in quale forma, e se ha firmato il codice di buone pratiche della Commissione sulla trasparenza dei contenuti generati dall'IA. Quelle risposte costano poco da raccogliere adesso e molto da ricostruire dopo che un'autorità le ha chieste. Il fornitore che non riesce a rispondere entro quindici giorni vi sta dicendo qualcosa sui prossimi dodici mesi.

La deroga è in realtà un'istruzione

Leggete con attenzione il dovere del deployer sul testo generato dall'IA e ci trovate una condizione, non un divieto. L'obbligo di informativa scatta quando un testo su una questione di interesse pubblico viene pubblicato senza revisione umana né controllo redazionale. Se una persona con un nome rivede il pezzo e se ne assume la responsabilità prima che esca, il dovere non sorge allo stesso modo. La legge sta descrivendo un processo redazionale e mettendo un prezzo alla sua assenza.

Per chi manda avanti una struttura di contenuti, un blog aziendale, una redazione o una base di conoscenza rivolta ai clienti, è un'istruzione più netta di quanto la regolamentazione riesca di solito a dare. Stabilite quali canali hanno un responsabile editoriale in carne e ossa e quali no. Quelli che non ce l'hanno o vengono etichettati o ricevono un revisore. Non esiste una terza strada che regga a un'ispezione, e creare quel ruolo di revisore è l'opzione che migliora anche il risultato.

Che cosa avere pronto prima del 2 agosto

Tre documenti, nessuno dei quali richiede un avvocato per cominciare. Un inventario di una pagina di ogni punto in cui la vostra organizzazione mostra output dell'IA a una persona esterna, con l'indicazione, per ciascuno, se una persona lo rivede prima della pubblicazione. Una risposta scritta di ogni fornitore di IA generativa sulla marcatura leggibile meccanicamente. Una breve nota interna che registri chi ha deciso quali canali ricevono un'etichetta e quando, perché una decisione datata è quasi tutto quello che un'autorità vuole vedere da un'azienda di dimensioni ordinarie.

Niente di tutto questo è costoso. Il costo arriva se il 2 agosto passa e in azienda nessuno sa dire quale parte dei vostri testi pubblici è scritta da una macchina e chi l'ha controllata. Tredici giorni sono stati un preavviso corto. Bastano per un elenco, ed è dall'elenco che partirà la prossima conversazione.

Da leggere ora: Bruxelles valuterà l'IA prima che arrivi a voi  |  Il 2 agosto le multe UE sull'IA diventano reali