Intelligenza artificiale, inizia l’applicazione del regolamento AI Act

Roma, 2 ago. (askanews) – Non sarà più possibile, o comunque non sarà lecito, presentare sui social media o su altre piattaforme online immagini, video e audio ‘deep fake’, generati o modificati dall’Intelligenza artificiale, senza avvertire gli utenti del fatto che quello che vedono o sentono è manipolato e non corrisponde al vero. Ad esempio, immagini ingannevoli come quelle circolate recentemente in post su Facebook indirizzati ai turisti, raffiguranti sedicenti ‘gemme nascoste’ dell’Italia (un Cappella Palatina di Palermo con mosaici bizantini su volte e muri che in realtà sono della Basilica di San Marco a Venezia, o una facciata della Cattedrale di Monreale che incorpora la cupola di Brunelleschi e il Campanile di Giotto di Firenze), se verranno ancora pubblicate, dovranno riportare un’etichetta che ne precisi il carattere artificiale; e comunque dovranno essere ‘marcate’ in un formato leggibile meccanicamente che rilevi l’intervento dell’IA.

Da oggi, 2 agosto 2026, l’Ufficio per l’Intelligenza artificiale della Commissione europea (‘AI Office’), le autorità nazionali competenti degli Stati membri e il Supervisore europeo per la protezione dei dati personali, inizieranno a esercitare i poteri investigativi e sanzionatori (‘enforcement’) che sono loro conferiti per applicare gli obblighi e i divieti previsti dal regolamento Ue sull’Intelligenza artificiale (‘AI Act’).

Sempre a partire da oggi, entrano in vigore le nuove norme sulla trasparenza (previste in particolare dall’art.50 del regolamento), che impongono ai chatbot e altri sistemi interattivi di informare le persone (utenti, consumatori, professionisti) quando interagiscono direttamente con l’IA, e non con un essere umano, e quando i contenuti sono stati generati o modificati dall’IA stessa. I ‘deepfake’ riguardanti immagini, video o audio modificati o generati utilizzando l’IA dovranno essere chiaramente etichettati per informare gli utenti di questo loro contenuto artificiale. L’etichetta consisterà in un testo in sovraimpressione con la dicitura: ‘Contenuto generato o manipolato con Intelligenza Artificiale’, oppure potranno essere utilizzate delle specifiche icone di trasparenza elaborate dall’Ue (con le scritte ‘AI’, ‘AI GENERATED’, ‘AI MODIFIED’) posizionate nell’angolo superiore del video o dell’immagine.

Nei video, l’avviso deve comparire chiaramente fin dal primo fotogramma o all’inizio dell’interazione, per non trarre in inganno lo spettatore. Tutti i contenuti generati o modificati dall’IA dovranno inoltre avere dei marcatori incorporati leggibili automaticamente (filigrane digitali o ‘watermark’), anche se non visibili per gli utenti, per facilitarne l’individuazione.

La Commissione europea ha pubblicato il 31 luglio un primo elenco di oltre 190 organizzazioni e imprese che hanno firmato il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA, per rendere operative queste norme. Il Codice è stato elaborato da esperti internazionali indipendenti con l’input di oltre 180 portatori d’interesse, Stati membri e osservatori. I fornitori e gli operatori di sistemi di IA generativa che decidono di non aderire al Codice dovranno dimostrare la loro conformità all’AI Act attraverso mezzi alternativi adeguati, e potranno essere soggetti a maggiori richieste di informazioni, in quanto vi è una minore trasparenza sul modo in cui rispettano gli obblighi previsti dall’articolo 50.

‘Man mano che l’IA diventa sempre più capace e integrata nella vita quotidiana, il regolamento AI Act contribuisce a garantire che sia sviluppata, diffusa e utilizzata in modo sicuro, dando alle persone e alle imprese di tutta l’Unione una maggiore fiducia nella tecnologia’, scrive la Commissione in una nota. Anche i fornitori di sistemi di IA stabiliti o situati al di fuori dell’Ue sono soggetti alle disposizioni del regolamento se l’output del loro sistema è utilizzato nell’Unione.

I fornitori devono progettare e sviluppare sistemi di IA che interagiscono direttamente con persone fisiche, come chatbot, agenti di IA e avatar, in modo da garantire che le persone stesse siano informate di questa interazione. Tutti i fornitori di modelli di IA per finalità generali devono documentare determinate informazioni e fornirle alle autorità competenti o ai fornitori a valle. Devono inoltre mettere in atto una politica sul diritto d’autore e pubblicare una sintesi sufficientemente dettagliata dei contenuti utilizzati per formare i loro modelli.

I diffusori (‘deployer’) di sistemi di IA sono persone fisiche o giuridiche, autorità pubbliche, agenzie o altri organismi che utilizzano sistemi di IA sotto la loro autorità, escluso l’uso per attività personali e non professionali. Quando una persona fisica utilizza un sistema di IA a titolo personale, ad esempio per generare ‘deep fake’ e diffonderli sui social media, questa è considerata un’attività personale, esclusa dall’ambito di applicazione del regolamento AI Act. Tuttavia, se si tratta di un’attività attraverso la quale si ottiene regolarmente un vantaggio economico (o c’è comunque un coinvolgimento in un’attività imprenditoriale, commerciale, professionale o freelance), questa è considerata un’attività ‘professionale’. In questo caso, la persona fisica è considerata un ‘deployer’ del sistema di IA utilizzato.

Qualora un contenuto ‘deep fake’ faccia parte di un’opera o di un programma artistico, creativo o satirico, gli obblighi di trasparenza si limitano a una informazione sull’uso dell’IA in modo appropriato, che non ostacoli la visualizzazione o il godimento dell’opera. L’obbligo di divulgazione (ossia l’etichettatura) non si applica poi quando l’uso di deep fake o di testi pubblicati su questioni di interesse pubblico è autorizzato dalla legge per individuare, prevenire, indagare o perseguire reati.

Per quanto riguarda l’elaborazione dei testi, l’obbligo di etichettatura non si applica se il testo generato dall’IA, o scritto con l’aiuto dell’IA, è stato sottoposto a un processo di revisione umana o di controllo editoriale e se una persona fisica o giuridica ha la responsabilità editoriale (ovvero la responsabilità legale finale) della pubblicazione del contenuto.

Come precisa la Commissione in una nota esplicativa, ‘la revisione umana si riferisce all’esame deliberato della sostanza del contenuto da parte di una o più persone fisiche in possesso di conoscenze pertinenti e di un giudizio professionale relativo all’oggetto dell’esame (ad esempio, la revisione accademica tra pari o le catene di convalida professionale)’. Inoltre, ‘il controllo editoriale si riferisce al controllo esercitato nella pratica da un’entità editoriale responsabile (ad esempio un caporedattore) sul contenuto, che ha l’autorità di approvare, modificare o respingere la sostanza del testo sulla base di motivi sostanziali (compresa la verifica dei fatti delle informazioni e la garanzia dell’affidabilità delle fonti). I controlli superficiali, esclusivamente formali o procedurali (ad esempio il controllo ortografico o la correzione grammaticale) non sono considerati revisione umana o controllo editoriale’.

La responsabilità dell’applicazione delle norme di trasparenza e della sorveglianza riguardo alle pratiche vietate è articolata su tre diversi livelli. L’Ufficio per l’IA della Commissione europea controllerà l’applicazione delle norme per i sistemi offerti dai fornitori dei modelli di IA per finalità generali, utilizzati in una vasta gamma di strumenti e servizi, compresi gli agenti di IA; di sua competenza sarà anche l’attuazione delle norme per i sistemi integrati nelle piattaforme online di dimensioni molto grandi o nei maggiori motori di ricerca online, designati a norma del regolamento Ue sui servizi digitali.

Le autorità nazionali competenti, da parte loro, applicheranno le norme per altri sistemi di IA. ‘Un’applicazione efficace dipenderà anche dal fatto che gli Stati membri garantiscano che le autorità nazionali competenti siano adeguatamente designate e dispongano di risorse adeguate’, puntualizza la nota della Commissione.

Il Garante europeo della protezione dei dati, infine, sarà responsabile per l’applicazione delle norme per i sistemi di IA utilizzati dalle istituzioni, dagli organi e dalle agenzie dell’Unione europea.

Inizia dal 2 agosto anche l’applicazione degli obblighi di trasparenza e del contrasto alle pratiche di IA vietate, in particolare quelle che proibiscono i sistemi particolarmente dannosi, che manipolano le persone, ne sfruttano le vulnerabilità, e assegnano loro un ‘punteggio sociale’, in modi che minacciano i loro diritti.

Le norme in questione riguardano anche i modelli più avanzati di GPAI, Intelligenza artificiale per finalità generali (‘General Purpose’), che possono comportare rischi sistemici. ‘I loro fornitori devono rispettare ulteriori obblighi per affrontare i rischi di danni su vasta scala’, ad esempio quelli ‘connessi a incidenti chimici, biologici, radiologici e nucleari, alla perdita di controllo, ai reati informatici, alla manipolazione dannosa e alle minacce ai diritti fondamentali’, spiega la Commissione, precisando che vengono presi in conto anche ‘i rischi che hanno recentemente attirato l’attenzione del pubblico, compresi quelli per la sicurezza cibernetica europea e per l’IA che agisce al di fuori del controllo umano’.

Se l’Ufficio per l’IA accerta una violazione intenzionale o colposa dell’AI ACT, la Commissione può adottare una decisione che impone sanzioni al fornitore del sistema di IA o del modello per finalità generali in questione, determinate dalla natura, dalla gravità e dalla durata dell’infrazione. Le infrazioni che coinvolgono pratiche di IA vietate sono soggette alle sanzioni più elevate: fino a 35 milioni di euro o al 7% del fatturato annuo mondiale totale del trasgressore, a seconda di quale dei due importi sia maggiore. Altre violazioni degli obblighi, compresi quelli relativi ai modelli di IA per finalità generali, possono comportare sanzioni fino a 15 milioni di euro o al 3% del fatturato annuo mondiale totale. Anche la mancata risposta a una richiesta di informazioni o la fornitura di informazioni errate, incomplete o fuorvianti possono comportare sanzioni pecuniarie.

L’Ufficio per l’IA e le autorità nazionali competenti saranno coadiuvati nelle loro attività di contrasto da un gruppo di esperti scientifici, un organismo consultivo composto da 60 specialisti indipendenti. Il panel ha tenuto di recente la sua prima riunione. L’Ufficio AI ha nominato il professor Alessandro Abate del Dipartimento di Informatica dell’Università di Oxford come Lead Scientific Adviser del panel. Sosterrà il lavoro scientifico dell’Ufficio sui modelli di IA per finalità generali, tra cui l’innovazione, la sperimentazione, la valutazione e l’adozione dei modelli.

L’Ufficio per l’IA ha lanciato diversi strumenti per i cittadini e le imprese, affinché possano segnalare presunte violazioni del regolamento AI Act da parte dei fornitori di sistemi. Le persone fisiche e giuridiche possono utilizzare uno ‘Strumento di denuncia’ apposito, mentre coloro che lavorano per i fornitori di sistemi di IA o di modelli di IA per finalità generali possono utilizzare lo strumento ‘Whistleblower’ per segnalare in modo confidenziale e sicuro eventuali violazioni. È inoltre disponibile un canale dedicato per i fornitori a valle che costruiscono sistemi di IA su modelli per finalità generali e desiderano segnalare presunte violazioni da parte dei fornitori di quei modelli. L’Ufficio per l’IA tratterà in modo confidenziale le informazioni ricevute attraverso questi strumenti.

Va precisato che l’applicazione del regolamento ai sistemi di IA ‘ad alto rischio’ è stata rinviata al 2 dicembre 2027, e al 2 agosto 2028 se si tratta di sistemi ad alto rischio integrati in prodotti regolamentati.

Inoltre, sebbene a decorrere dal 2 agosto 2026 i fornitori e i deployer di sistemi di IA devono rispettare gli obblighi di trasparenza stabiliti dll’articolo 50, è stato previsto un periodo di tolleranza limitato, fino al 2 dicembre 2026 per i sistemi immessi sul mercato prima di questa data, ma solo per quanto riguarda l’obbligo di marcatura e rilevazione dei contenuti generati dall’IA (articolo 50, paragrafo 2, dell’AI Act). I contenuti generati dai fornitori prima del 2 agosto 2026 non dovranno essere etichettati retroattivamente. Tuttavia, la Commissione incoraggia i deployer pertinenti a farlo comunque, ove possibile, per contribuire agli obiettivi perseguiti dall’articolo 50.

Infine, sempre dal 2 dicembre di quest’anno si applicheranno anche i nuovi divieti, recentemente approvati d’urgenza dai co-legislatori europei dopo lo scandalo legato a Grok (il sistema di intelligenza artificiale integrato sulla piattaforma X), relativi ai sistemi di IA che generano contenuti deepfake sessualmente espliciti non consensuali e materiale pedopornografico, ‘spogliando’ digitalmente o ‘sessualizzando’ foto di persone reali, inclusi i minori.

Di Lorenzo Consoli e Alberto Ferrarese