Chi usa Kling o Seedance risponde dell'etichetta sui deep fake dal 2 agosto 2026

Quattro obblighi, due destinatari

L'articolo 50 dell'AI Act è un obbligo vincolante: sta in un regolamento europeo. Contiene quattro obblighi di trasparenza, ciascuno legato a un tipo di sistema o di output (Linee guida, § 2.1). Le Linee guida della Commissione aiutano a leggerlo, ma non sono vincolanti: l'interpretazione definitiva spetta alla Corte di giustizia dell'UE (Linee guida, § 1).

• Interazione: il fornitore progetta chatbot e assistenti in modo che le persone sappiano di parlare con un'IA, salvo che sia evidente (AI Act, art. 50, par. 1).
• Marcatura: il fornitore di sistemi che generano audio, immagini, video o testo sintetici marca gli output in formato leggibile dalle macchine e li rende rilevabili come artificiali. L'obbligo non vale per le funzioni di editing standard né per i sistemi che non modificano in modo sostanziale l'input del deployer (AI Act, art. 50, par. 2).
• Emozioni e biometria: il deployer di un sistema di riconoscimento delle emozioni o di categorizzazione biometrica informa le persone esposte (AI Act, art. 50, par. 3).
• Deep fake e testi: il deployer dichiara che immagini, audio o video deep fake sono stati generati o manipolati. Lo stesso vale per i testi pubblicati per informare il pubblico su questioni di interesse pubblico, salvo revisione umana e responsabilità editoriale (AI Act, art. 50, par. 4).

L'informazione va data in modo chiaro e distinguibile, al più tardi alla prima esposizione al contenuto. Deve anche rispettare i requisiti di accessibilità (AI Act, art. 50, par. 5). Più obblighi possono valere insieme sullo stesso sistema: il fornitore marca, il deployer etichetta (Linee guida, § 2.1).

Che cosa conta come deep fake

Deep fake è un'immagine o un contenuto audio o video, generato o manipolato dall'IA, che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che sembrerebbe falsamente autentico (AI Act, art. 3, n. 60). Esempi da set: il volto di un attore reale ricreato, una piazza riconoscibile ricostruita, un telegiornale verosimile. Il considerando chiede di etichettare questi output e di rivelarne l'origine artificiale (AI Act, considerando 134). Secondo la definizione, una creatura che non somiglia a nulla di esistente resta fuori dal paragrafo 4. Il fornitore deve comunque marcarla (AI Act, art. 50, par. 2).

Nelle opere o nei programmi manifestamente artistici, creativi, satirici o di finzione l'obbligo si alleggerisce. Basta rivelare in modo adeguato che esistono contenuti generati, senza ostacolare la visione o il godimento dell'opera (AI Act, art. 50, par. 4). La rivelazione non deve compromettere neppure il normale sfruttamento dell'opera, la sua utilità e la sua qualità (AI Act, considerando 134). Il Codice di buone pratiche, strumento volontario, ammette una rivelazione nel contesto informativo che accompagna l'opera, anziché dentro le immagini (Parere Commissione, punto 37). Il Parere non indica i formati concreti.

Chi è fornitore, chi è deployer

Fornitore è chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato con il proprio nome o marchio, a pagamento o gratis (AI Act, art. 3, n. 3). Deployer è chi usa un sistema di IA sotto la propria autorità, fuori dall'uso personale non professionale (AI Act, art. 3, n. 4). L'«autorità» consiste nel decidere se usare il sistema e come usarlo, output compresi. Non serve il controllo tecnico (Linee guida, § 2.3). Chi commercializza Seedance o Kling con il proprio marchio è fornitore. La casa di produzione che li usa per uno spot o una serie è deployer.

Il deployer è la società, non il singolo dipendente. Animatori, montatori e content creator che lavorano su sue istruzioni non sono deployer distinti. La società resta deployer anche quando affida il lavoro a freelance sotto la propria responsabilità e controllo (Linee guida, § 2.3). L'esclusione per l'uso personale non copre chi lavora per conto di un deployer professionale (Linee guida, § 2.4.1). Non è deployer il cliente che commissiona uno spot senza decidere se e come l'agenzia usi l'IA (Linee guida, § 2.3).

I ruoli possono cambiare o sommarsi. Una società che modifica un sistema esistente, per esempio con nuovi dati di addestramento, e lo usa con il proprio nome diventa fornitore del nuovo sistema. Una società che sviluppa un generatore interno e lo usa per creare deep fake è insieme fornitore e deployer: deve marcare e anche etichettare (Linee guida, § 2.3). Le piattaforme e le emittenti che si limitano a diffondere contenuti altrui non sono deployer. Le Linee guida le incoraggiano però a conservare marcature ed etichette (Linee guida, § 2.3).

Nelle filiere complesse il deployer adotta misure proporzionate perché l'etichetta compaia in modo chiaro alla prima esposizione del pubblico. Gli strumenti indicati sono le clausole contrattuali con i distributori e le impostazioni delle interfacce (Linee guida, § 2.3).

Le date

L'articolo 50 si applica dal 2 agosto 2026 (AI Act, art. 113). Da quel giorno tutti i sistemi interessati devono essere conformi, anche se erano già sul mercato (Linee guida, § 8.4). Il 2 dicembre 2026 è un termine transitorio previsto dall'AI Omnibus, secondo quanto riferiscono le Linee guida. Vale solo per la marcatura dei fornitori di sistemi generativi immessi sul mercato prima del 2 agosto 2026 (Linee guida, § 8.4). L'etichetta dei deep fake a carico del deployer non gode di questo rinvio.

Non c'è retroattività. I deep fake generati prima del 2 agosto 2026 non vanno etichettati a posteriori. Un testo di interesse pubblico generato prima ma pubblicato dopo quella data va invece etichettato. Chi possiede o diffonde deep fake precedenti è incoraggiato a etichettarli, senza sforzi sproporzionati come la revisione di interi archivi (Linee guida, § 8.4).

Chi vigila

In Europa vigilano le autorità nazionali di vigilanza del mercato, l'Ufficio per l'IA e il Garante europeo della protezione dei dati, ciascuno per la propria competenza. Possono agire d'ufficio o su reclamo di chiunque abbia motivo di ritenere che ci sia una violazione (Linee guida, § 8.2). Sugli obblighi del deployer l'Ufficio per l'IA è competente solo se il fornitore del modello è anche deployer (Linee guida, § 8.4, nota 47). In Italia l'autorità di vigilanza del mercato e punto di contatto unico è l'ACN. L'AgID è autorità di notifica (L. 132/2025, art. 20, comma 2; D.Lgs. 179/2026, artt. 5 e 6). Banca d'Italia, CONSOB e IVASS vigilano solo sui sistemi ad alto rischio dei rispettivi settori finanziari. Il Garante privacy interviene nei limiti dell'art. 74, par. 8 dell'AI Act (D.Lgs. 179/2026, art. 5). Restano ferme le competenze del Garante privacy e dell'AGCOM come Coordinatore dei Servizi Digitali (L. 132/2025, art. 20, comma 4).

Le sanzioni

Il Regolamento punisce la violazione dell'articolo 50 con multe fino a 15 milioni di euro o, per le imprese, fino al 3% del fatturato mondiale annuo, se più alto (AI Act, art. 99, par. 4, lett. g). Per le PMI e le start-up vale l'importo più basso dei due (AI Act, art. 99, par. 6). Un esempio: per una casa di produzione PMI con 5 milioni di fatturato il tetto è 150.000 euro. Informazioni inesatte o fuorvianti date alle autorità costano fino a 7,5 milioni di euro o all'1% del fatturato (AI Act, art. 99, par. 5). L'Italia riprende questi tetti «salvo che il fatto costituisca reato» (D.Lgs. 179/2026, art. 23, commi 2, 3 e 7). Nel calcolare la multa l'autorità valuta gravità, durata, dolo o colpa e cooperazione (AI Act, art. 99, par. 7). Valuta anche se l'obbligo violato sia sostanziale o formale (D.Lgs. 179/2026, art. 23, comma 6).

Per le violazioni di scarsa offensività l'autorità può scegliere strade diverse dalla multa. Può ordinare di eliminare l'infrazione entro un termine. Se l'infrazione è cessata, può pubblicare una dichiarazione che nomina la violazione e il responsabile. Chi non rispetta l'ordine paga la multa aumentata fino a un terzo (D.Lgs. 179/2026, art. 22). Il provvedimento arriva dopo la contestazione, è motivato e viene pubblicato per estratto sul sito dell'autorità (D.Lgs. 179/2026, art. 24, commi 1 e 4). Per quanto il decreto non regola si applica la legge 689/1981 (D.Lgs. 179/2026, art. 24, comma 10).

Il Codice: volontario, ma pesa

Il Codice di buone pratiche sulla trasparenza dei contenuti generati è volontario. La Commissione lo ha giudicato adeguato, ma aderire non prova in modo definitivo la conformità (Parere Commissione, punto 52). La sua Sezione 2, rivolta ai deployer, offre tre icone UE comuni, regole su grafica e posizione delle etichette e processi interni di controllo e formazione (Parere Commissione, punti 35-36). Con i firmatari le autorità verificano soprattutto il rispetto del Codice, e l'adesione può attenuare la multa. Chi non aderisce deve dimostrare la conformità con altri mezzi, per esempio con un confronto documentato con le misure del Codice (gap analysis). Deve anche aspettarsi più richieste di informazioni (Linee guida, § 8.1).

Rispettare l'articolo 50 non rende lecito l'uso del sistema o dei suoi output. Gli altri obblighi di trasparenza previsti dal diritto europeo o nazionale restano in piedi (AI Act, art. 50, par. 6; considerando 137). Un'etichetta corretta non sana l'uso del volto di una persona reale. Quell'uso si valuta con norme che questi testi non trattano.

Attenzione: questo estratto è informazione, non un parere legale. Testi considerati: AI Act (Reg. UE 2024/1689, in vigore dal 1° agosto 2024); L. 132/2025 (in vigore dal 10 ottobre 2025); D.Lgs. 179/2026 (GU dell'8 ottobre 2026); Linee guida della Commissione C(2026) 5054 del 20 luglio 2026; Parere della Commissione C(2026) 4839 dell'8 luglio 2026.