La marcatura invisibile degli output spetta ai fornitori dei modelli, non a chi li usa

Di chi è l'obbligo

Il Regolamento si rivolge ai fornitori di sistemi di IA che generano contenuti audio, immagine, video o testuali sintetici. Questi fornitori devono garantire che gli output siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente (AI Act, art. 50, par. 2). È un obbligo vincolante. Nel nostro lavoro riguarda chi mette sul mercato Seedance, Kling, Veo e strumenti simili. Non riguarda la casa di produzione che li usa come deployer: per lei valgono altri obblighi, primo fra tutti quello di dichiarare i deep fake (AI Act, art. 50, par. 4). L'articolo 50 si applica dal 2 agosto 2026. Secondo le date che accompagnano il testo, per i sistemi già sul mercato la marcatura è richiesta dal 2 dicembre 2026.

Le soluzioni tecniche devono essere efficaci, interoperabili, solide e affidabili, nella misura in cui ciò è tecnicamente possibile. Contano il tipo di contenuto, i costi e lo stato dell'arte (AI Act, art. 50, par. 2). Il considerando 133 indica le tecniche possibili: filigrane (watermark), metadati, metodi crittografici di provenienza (provenance), registrazione, impronte digitali (fingerprint) o una loro combinazione (AI Act, considerando 133). Le Linee guida della Commissione non sono vincolanti, ma mostrano come la Commissione legge la norma. Secondo le Linee guida l'obbligo ha due parti, la marcatura e la rilevazione, e una sola non basta (Linee guida, § 4.2, punti 69-70). Le Linee guida chiariscono anche che il fornitore non deve tenere una catena completa della provenienza (Linee guida, § 4.2.1, punto 73).

L'obbligo non vale in tre casi: assistenza all'editing standard, nessuna modifica sostanziale dell'input fornito dal deployer, usi autorizzati dalla legge per perseguire reati (AI Act, art. 50, par. 2). Le Linee guida danno esempi concreti (Linee guida, § 4.3, punto 92):

• restano fuori il ritaglio minimo, le piccole correzioni colore, la riduzione del rumore, la conversione di formato, la stabilizzazione limitata e il riempimento di pixel per adattare il formato;
• vanno marcati la sostituzione del volto, l'inserimento o la rimozione di persone e oggetti che cambia il senso, la voce realistica di una persona precisa e i video di eventi mai accaduti.

Un contenuto misto con materiale girato resta sintetico (Linee guida, § 4.1.1, punto 59). In un video con audio vanno marcati sia le immagini sia il suono (Linee guida, § 4.1.2, punto 60).

Cosa chiede il Codice

Il Codice di buone pratiche è uno strumento volontario. Serve ai fornitori per dimostrare la conformità all'articolo 50. Aderirvi non è però una prova definitiva di conformità (Codice, Sezione 1, Obiettivi). Le misure indicate con «will» sono quelle da rispettare per chi si affida al Codice. Su queste misure vigilano le autorità di sorveglianza del mercato (Codice, Sezione 1, Obiettivi). Finché nessuna tecnica da sola soddisfa i quattro requisiti, servono almeno due livelli di marcatura leggibile dalle macchine (Codice, Sezione 1, Misura 1.1):

• metadati firmati digitalmente e con marca temporale, che dicono se il contenuto è generato o manipolato; vanno scritti quando il formato del file li supporta, anche all'export (Codice, Sezione 1, Misura 1.1, sottomisura 1.1.1);
• un watermark impercettibile, difficile da separare dal contenuto. Si può inserire dopo la generazione o durante la generazione stessa. I fornitori dei modelli sono incoraggiati a inserirlo direttamente nel modello (Codice, Sezione 1, Misura 1.1, sottomisura 1.1.2);
• fingerprint o logging, facoltativi e mai sufficienti da soli. Chi usa il sistema ha accesso alle regole di registrazione e decide cosa si conserva e per quanto tempo. La misura non introduce alcun obbligo generale di registrare i prompt (Codice, Sezione 1, Misura 1.1, sottomisura 1.1.3).

Il Codice non nomina C2PA né altri standard specifici. Per i metadati chiede di adottare «standard affermati o buone pratiche». Osserva anche che i metadati firmati sono l'unico campo in cui esistono già standard di interoperabilità (Codice, Sezione 1, Misura 3.4). Una provenienza più ricca resta facoltativa (Codice, Sezione 1, Misura 1.3). Può comprendere il nome del sistema, l'azienda fornitrice, la data e l'ora, il modello e la versione, il tipo di intervento (per esempio la rimozione di un oggetto). Nei metadati non vanno informazioni sensibili per la privacy o per l'azienda (Codice, Sezione 1, Misura 1.1, sottomisura 1.1.1). Per le Linee guida non va trattata l'identità di chi ha creato il contenuto (Linee guida, § 4.4, punto 94).

La rilevazione

Il fornitore deve offrire gratis uno strumento di rilevazione. Può essere una specifica pubblica, un software o un servizio cloud via API, e deve coprire ogni tecnica di marcatura usata (Codice, Sezione 1, Misura 2.1, sottomisura 2.1.1). I fornitori con meno di un milione di utenti al mese possono chiedere un compenso proporzionato solo a chi supera volumi ragionevoli (Codice, Sezione 1, Misura 2.1, sottomisura 2.1.1). Su richiesta il risultato si scarica in formato firmato. Contiene almeno l'hash del file, l'identificativo dello strumento e la data (Codice, Sezione 1, Misura 2.1, sottomisura 2.1.2). Nei contesti professionali chiusi l'accesso può essere riservato alle sole persone esposte al contenuto. Servono però salvaguardie efficaci contro la diffusione al pubblico (Codice, Sezione 1, Misura 2.1, sottomisura 2.1.2).

Il file caricato per la verifica va cancellato subito dopo il controllo, senza conservarne copia (Codice, Sezione 1, Misura 2.1, sottomisura 2.1.3). Se il fornitore ritira uno strumento, quello nuovo deve leggere anche i contenuti marcati in passato (Codice, Sezione 1, Misura 2.1, sottomisura 2.1.4). Il risultato deve essere chiaro e accessibile. Deve indicare se si basa sui metadati, sul watermark o su un'analisi forense (Codice, Sezione 1, Misura 2.3). La rilevazione forense dei file da cui è stata tolta la marcatura è facoltativa. Il Codice la considera ancora poco matura (Codice, Sezione 1, Misura 2.2).

Solidità e interoperabilità

Marcatura e rilevazione devono reggere alle lavorazioni tipiche (Codice, Sezione 1, Misura 3.3): aggiunta o rimozione di rumore, filtri, ricompressione, screenshot, cambio di formato, specchiatura, ritaglio, upscale e downscale, rotazione, cambio di proporzioni, pitch shifting, time stretching, riprese dallo schermo con una videocamera. Devono reggere anche alle modifiche locali, come un volto sfocato, e agli attacchi deliberati di copia, rimozione o rigenerazione (Codice, Sezione 1, Misura 3.3). Per i watermark ogni fornitore deve adottare una soluzione di interoperabilità entro il 2 febbraio 2027 (Codice, Sezione 1, Misura 3.4).

Chi usa i modelli via API

Un fornitore può usare la marcatura del modello a monte o di un servizio terzo, ma risponde lui della conformità (Linee guida, § 4.2.1, punto 74; Codice, Sezione 1, Misura 1.1). Lo stesso vale per i test e per la documentazione (Codice, Sezione 1, Misure 4.1 e 4.2). Se una casa di produzione integra un modello via API in un proprio strumento, potrebbe diventare fornitore. In quel caso l'obbligo passerebbe a lei. Il materiale esaminato non chiarisce quando questo succede: le Linee guida rinviano a una sezione non riportata qui (Linee guida, § 4.4, punto 97). Se invece la casa usa il servizio così com'è, l'obbligo di marcare non è suo. Restano però le condizioni d'uso, che vietano di togliere o alterare di proposito i metadati (Codice, Sezione 1, Misura 1.2). Resta anche la dichiarazione visibile dei deep fake, che è a carico del deployer anche quando lo strumento offre un'etichetta già pronta (Codice, Sezione 1, Misura 1.4).

Montaggio ed export

Nei flussi chiusi di produzione per film, animazione, giochi e pubblicità va marcato solo l'output finale di ciascuna fase (Linee guida, § 4.1.3, punto 68). Il Codice ammette che il rispetto delle regole a valle non si può garantire (Codice, Sezione 1, Misura 1.2). Per questo affianca ai metadati il watermark, presentato come meccanismo robusto (Codice, Sezione 1, Misura 1.1, sottomisura 1.1.2). Modificare i metadati in buona fede è ammesso quando serve a mantenere informazioni corrette dopo la lavorazione (Codice, Sezione 1, Misura 1.2). Il Codice incoraggia le piattaforme che diffondono contenuti a conservare le marcature (Codice, Sezione 1, Misura 1.2; Linee guida, § 4.4, punto 98). Nessuno dei testi impone ai software di montaggio di conservare i metadati.

Attenzione: questo articolo è informazione, non un parere legale. Testi esaminati: AI Act (art. 50 applicabile dal 2 agosto 2026), Codice di buone pratiche nella versione finale del 10 giugno 2026, Linee guida della Commissione adottate il 20 luglio 2026.