Trasparenza nell’AI Act: quando scatta l’obbligo di rendere riconoscibile l’intelligenza artificiale
Nel Regolamento (UE) 2024/1689, noto come AI Act, la trasparenza non è un corollario marginale, ma una regola funzionale alla tutela dei diritti fondamentali e alla correttezza del rapporto tra tecnologia e utenti. In questo quadro si inserisce l’articolo 50, dedicato agli obblighi informativi e di etichettatura che gravano sui provider e sui deployer di specifici sistemi di intelligenza artificiale.
La logica della disposizione è selettiva e non generale. Il legislatore europeo interviene soltanto nei casi in cui l’uso dell’IA possa generare equivoci, occultare la natura artificiale di un contenuto o influenzare in modo non consapevole la persona coinvolta. È in questa prospettiva che si comprende anche il richiamo delle Linee guida della Commissione europea, le quali valorizzano la trasparenza come strumento di prevenzione dell’inganno e della manipolazione, pur restando prive di valore normativo vincolante.
La funzione pratica dell’articolo 50
La disposizione non si limita a proclamare un principio. Essa costruisce un sistema di avvisi, marcature e comunicazioni destinato a operare lungo l’intera filiera dell’IA, con criteri diversi a seconda del soggetto obbligato e della tipologia di sistema impiegato.
Il punto di equilibrio scelto dal Regolamento è chiaro: non ogni interazione con l’intelligenza artificiale richiede un’informazione esplicita, ma solo quelle situazioni nelle quali la persona fisica potrebbe non accorgersi di trovarsi davanti a un sistema artificiale o a un contenuto alterato artificialmente.
Il ruolo distintivo di provider e deployer
L’articolo 50 distribuisce gli obblighi tra i diversi operatori secondo la rispettiva posizione nella catena del valore. Ai provider spettano gli adempimenti legati alla progettazione, allo sviluppo e all’integrazione delle soluzioni tecniche; ai deployer, invece, competono gli obblighi collegati all’impiego concreto del sistema verso gli utenti o le persone fisiche interessate.
Questa scelta risponde alla struttura complessiva dell’AI Act, che non adotta un modello uniforme di responsabilità, ma valorizza il ruolo effettivamente svolto dal soggetto e la sua capacità di incidere sul sistema o sulle modalità del suo utilizzo. Per gli operatori, ciò impone una verifica preliminare accurata della propria qualifica giuridica, poiché da essa dipende l’ambito degli obblighi applicabili.
Quando il sistema dialoga con l’utente
Una prima area di intervento riguarda i sistemi di IA progettati per interagire direttamente con persone fisiche. In tali casi il provider deve predisporre il sistema in modo da informare l’utente che l’interlocutore è un’intelligenza artificiale.
L’obbligo non opera, però, quando tale circostanza risulti già evidente per una persona ragionevolmente informata, attenta e avveduta, avuto riguardo al contesto concreto dell’interazione. Il criterio adottato dal Regolamento è quindi sostanziale: ciò che conta non è la mera presenza di un’informativa, ma la reale consapevolezza del destinatario.
Sono inoltre previste eccezioni per i sistemi utilizzati, nei casi autorizzati dalla legge, per attività di accertamento, prevenzione, indagine o perseguimento dei reati, sempre nel rispetto dei diritti e delle libertà dei terzi.
I contenuti artificiali devono essere riconoscibili
Un secondo ambito disciplinato dall’articolo 50 riguarda i sistemi capaci di generare contenuti sintetici, come testi, audio, immagini e video. In questo caso il provider deve assicurare che gli output siano contrassegnati in modo tale da risultare leggibili meccanicamente e rilevabili come contenuti generati o manipolati artificialmente.
La norma richiede inoltre che le soluzioni tecniche impiegate siano efficaci, affidabili, interoperabili e proporzionate, tenendo conto dello stato dell’arte e delle caratteristiche del contenuto trattato. Non si tratta, dunque, di un generico richiamo alla trasparenza, ma di un insieme di requisiti tecnici puntuali che devono accompagnare la marcatura del contenuto.
Le ipotesi escluse dall’obbligo di marcatura
Il Regolamento delimita con precisione anche l’area delle esclusioni. Restano fuori dall’obbligo i casi in cui il sistema si limiti a operazioni di editing standard o non introduca modifiche sostanziali al contenuto o alla sua semantica rispetto ai dati forniti dal deployer. Restano altresì escluse le ipotesi di utilizzo autorizzato dalla legge per finalità di contrasto ai reati.
Le Linee guida chiariscono, a titolo esemplificativo, che le ordinarie correzioni ortografiche o grammaticali non integrano l’alterazione rilevante ai fini dell’articolo 50. Il perimetro applicativo, quindi, è costruito per colpire gli interventi realmente incidenti sulla natura del contenuto, non le semplici operazioni di rifinitura tecnica.
Gli adempimenti richiesti a chi utilizza il sistema
Accanto agli obblighi dei provider, l’articolo 50 impone specifiche misure anche ai deployer. Una prima ipotesi concerne i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica: in tali situazioni il deployer deve informare le persone fisiche esposte al funzionamento del sistema e trattare i dati personali nel rispetto della normativa europea applicabile in materia di protezione dei dati personali.
Anche qui il Regolamento prevede eccezioni limitate ai casi in cui l’impiego del sistema sia consentito dalla legge per finalità di prevenzione o repressione dei reati.
Deepfake e contenuti pubblicati al pubblico
Un ulteriore fronte riguarda i deepfake, ossia i contenuti audio, video o visivi che riproducono o manipolano volti e voci esistenti. Quando il deployer diffonde tali contenuti, deve renderne riconoscibile l’origine artificiale.
Il legislatore, tuttavia, non ignora il possibile conflitto con altre libertà. Per le opere manifestamente artistiche, creative, satiriche o fittizie, l’obbligo può essere assolto mediante una comunicazione adeguata che non comprometta la fruizione dell’opera.
Vi è poi il caso dei testi generati o manipolati dall’IA e pubblicati per informare il pubblico su questioni di interesse pubblico. In tale ipotesi il deployer deve indicarne l’origine artificiale, salvo che il contenuto sia stato sottoposto a revisione umana o a controllo editoriale e una persona fisica o giuridica assuma la responsabilità editoriale della pubblicazione.
Per editori e operatori dell’informazione, questa previsione è particolarmente significativa, perché collega l’obbligo di trasparenza alla presenza di una supervisione umana effettiva e di una responsabilità editoriale chiaramente individuata.
Come devono essere rese le informazioni
L’articolo 50 non si occupa soltanto del contenuto degli obblighi, ma anche della loro concreta modalità di adempimento. Le informazioni devono essere fornite in modo chiaro, distinguibile e accessibile, non oltre il momento della prima interazione o della prima esposizione al sistema di IA.
La disposizione precisa inoltre che tali adempimenti si aggiungono agli altri requisiti previsti dall’AI Act e dalla normativa europea o nazionale eventualmente applicabile. La trasparenza, quindi, non sostituisce gli ulteriori obblighi di settore, ma si cumula con essi.
Il supporto dell’AI Office e dei codici di buone pratiche
Il settimo paragrafo dell’articolo attribuisce all’AI Office un ruolo di impulso nella predisposizione di codici di buone pratiche finalizzati a facilitare l’attuazione degli obblighi di rilevazione ed etichettatura dei contenuti generati artificialmente. La Commissione può approvare tali codici oppure adottare norme comuni qualora essi si rivelino inadeguati.
In questo contesto si collocano le Linee guida della Commissione europea, che chiariscono l’ambito applicativo della disciplina, offrono indicazioni interpretative sulle principali definizioni e illustrano alcune eccezioni previste dall’articolo 50. Esse non modificano il contenuto del Regolamento e non introducono nuove regole, ma aiutano gli operatori a orientarsi nella corretta applicazione delle disposizioni vigenti.
La trasparenza come criterio di affidabilità del sistema
L’articolo 50 si segnala come una delle norme più vicine alla tutela concreta dell’utente finale, perché mira a rendere riconoscibile l’interazione con l’intelligenza artificiale e a evitare che contenuti sintetici o alterati circolino senza adeguata indicazione della loro natura.
La scelta del legislatore europeo di differenziare gli obblighi in base al ruolo dei soggetti coinvolti conferma un’impostazione rigorosa, ma non rigida. La trasparenza resta il principio guida, ma incontra limiti e bilanciamenti con altri interessi meritevoli di tutela, tra cui le esigenze investigative e di contrasto ai reati, la libertà artistica e la responsabilità editoriale.
Per i soggetti che sviluppano o impiegano sistemi di IA, il profilo decisivo non sarà soltanto conoscere la norma, ma organizzare processi, verifiche e soluzioni tecniche capaci di renderla effettiva, perché è proprio dalla riconoscibilità dell’intervento artificiale che dipende una parte essenziale della fiducia nel mercato e nell’uso dell’intelligenza artificiale.
L’articolo Articolo 50 AI Act: obblighi di trasparenza e ripartizione delle responsabilità tra provider e deployer proviene da Iusletter.