Limiti dell’AI Act: cosa la trasparenza non può garantire

I limiti dell'AI Act non stanno in quello che il regolamento prescrive, ma in quello che lascia fuori dal proprio perimetro. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'articolo 50 del regolamento (UE) 2024/1689, e l'aspettativa diffusa è che da quella data i contenuti generati dall'intelligenza artificiale diventino riconoscibili.

È un'aspettativa mal riposta. Il regolamento sull'intelligenza artificiale alza il livello di igiene informativa del mercato legittimo: obbliga chi lavora alla luce del sole a dichiarare quello che fa. Non è una difesa contro l'uso doloso, e non è stato scritto per esserlo. Chi deve provare che un contenuto è autentico non può appoggiarsi a un'etichetta apposta a valle: deve certificare la provenienza quando il dato nasce.

La questione si gioca su tre piani, e conviene tenerli separati. Quello giuridico riguarda chi è obbligato e chi no. Quello tecnico, quanto reggono i marcatori quando il contenuto circola. Quello operativo, che cosa deve fare chi ha bisogno di prove. Li affrontiamo in quest'ordine.

Che cosa cambia dal 2 agosto 2026 e dove iniziano i limiti dell'AI Act

Diventano applicabili gli obblighi informativi imposti a chi sviluppa e a chi usa sistemi capaci di generare o manipolare contenuti. Non arrivano nuovi divieti: il regolamento classifica i sistemi per livello di rischio, e la trasparenza sui media sintetici ricade nel rischio limitato, dove la legge chiede solo che l'utente sappia con che cosa ha a che fare. Molte organizzazioni leggono quella data come la fine dell'incertezza sull'origine dei contenuti. Non andrà così.

Indicator Media ha testato 516 post generati o modificati con l'intelligenza artificiale su cinque grandi piattaforme nell'ottobre 2025: solo 169, poco più di tre su dieci, portavano un'etichetta visibile. Pinterest è risultata la migliore, intorno al 55 per cento, mentre Instagram, LinkedIn, TikTok e YouTube restano ben sotto. Il dato misura una cosa precisa: quanta parte dell'ecosistema informativo è già coperta dalla marcatura che le piattaforme applicano volontariamente, cioè il meccanismo su cui poggia in buona misura l'efficacia pratica del regolamento. I limiti dell'AI Act si dispongono su tre piani distinti. Quello giuridico, cioè chi ricade davvero negli obblighi e chi ne resta fuori. Quello tecnico, cioè quanto tiene un marcatore dopo che il contenuto è stato ricompresso e ricondiviso. Quello operativo, cioè che cosa serve a chi deve portare una prova davanti a un giudice.

Chi deve dichiarare che cosa

L'articolo 50 distribuisce obblighi diversi su soggetti diversi. Chi fornisce un sistema destinato a interagire con le persone deve informarle che stanno parlando con una macchina, salvo che sia ovvio. Chi fornisce sistemi che generano contenuti sintetici deve rispettare gli obblighi di marcatura ed etichettatura dell'articolo 50, assicurando che l'output sia leggibile dalla macchina come artificialmente generato. Chi usa il riconoscimento delle emozioni o la categorizzazione biometrica deve informare le persone esposte. E chi pubblica un deepfake in ambito professionale deve dichiarare che il contenuto è manipolato.

Le eccezioni sono ampie e in gran parte ragionevoli. Se il contenuto è palesemente artistico, creativo, satirico o di finzione, l'obbligo si riduce a rivelarne l'esistenza senza ostacolare la fruizione dell'opera. Per i testi su materie di interesse pubblico cade con la revisione umana e la responsabilità editoriale. Restano fuori i sistemi autorizzati per legge a perseguire reati.

Un dettaglio dice più di molte analisi: la Commissione europea ha predisposto icone di etichettatura il cui uso resta facoltativo, e un codice di buone pratiche di natura volontaria. L'obbligo è vincolante, gli strumenti per assolverlo no.

La filigrana arriva più tardi di quanto sembri

L'obbligo tecnicamente più rilevante non parte insieme agli altri. Il pacchetto Digital Omnibus, oggetto di un accordo politico il 6 maggio 2026 e confermato dal Consiglio il 13 maggio, concede quattro mesi di grazia ai sistemi immessi sul mercato prima del 2 agosto 2026: per quel parco installato la marcatura leggibile dalla macchina si applica dal 2 dicembre 2026. L'adozione formale non è ancora conclusa.

Gli altri obblighi di trasparenza, inclusa la dichiarazione dei deepfake a carico dei deployer, restano fissati al 2 agosto. Nel giorno in cui la norma diventa applicabile, insomma, la parte che più conta sul piano tecnico è già rinviata per i sistemi oggi in uso.

Il perimetro si ferma prima di chi vuole frodare

Il regolamento non si applica alle persone fisiche che usano sistemi di IA in un'attività puramente personale e non professionale. Chi confeziona un contenuto falso a titolo individuale, per screditare un ex socio o costruirsi una prova comoda in causa, resta fuori dagli obblighi di dichiarazione.

In Italia una parte del vuoto è stata colmata: la legge 132/2025, in vigore dal 10 ottobre 2025, introduce l'obbligo di dichiarare l'uso dell'intelligenza artificiale e l'articolo 612-quater del codice penale sulla diffusione illecita di contenuti alterati con l'IA. Ma una norma penale interviene dopo, quando il contenuto ha già circolato.

L'articolo 2, paragrafo 10 del regolamento (UE) 2024/1689 esclude dagli obblighi la persona fisica che utilizza sistemi di IA nell'ambito di un'attività puramente personale e non professionale. La conseguenza è diretta: chi produce un contenuto falso a titolo individuale non deve alcuna dichiarazione ai sensi dell'articolo 50, paragrafo 4. Il quadro però non è netto come sembra. L'obbligo di marcatura dell'articolo 50, paragrafo 2 grava sul fornitore del sistema e non su chi lo utilizza, quindi il marcatore automatico dovrebbe restare nell'output anche quando il contenuto nasce dalla sessione di un privato. Il punto critico non è soltanto l'assenza di obblighi in capo all'individuo. È che quel marcatore residuo può non essere mai stato applicato, può essere rimosso con strumenti pubblicamente disponibili e può essere apposto su un contenuto che non lo meriterebbe. Qui il discorso passa dal piano giuridico a quello tecnico.

I modelli eseguiti in locale non nascono marcati

Su una categoria di contenuti nessun obbligo di marcatura può mordere: quelli prodotti da modelli open-weight eseguiti sulla propria macchina. Chi lavora offline non passa da un servizio che possa applicare un marcatore, e non lascia traccia presso terzi. La qualità di questi modelli rende la questione tutt'altro che teorica.

Come funziona un marcatore e perché si degrada

Marcare un contenuto sintetico si può fare in due modi: la filigrana digitale (watermark) statistica, che altera il segnale in modo impercettibile, e i metadati di provenienza dichiarativi, la cui fragilità emerge bene da lo standard C2PA e i suoi limiti. Nessuno dei due sopravvive bene alla circolazione reale.

La marcatura statistica e i metadati dichiarativi rispondono a due domande diverse. La prima nasconde un segnale dentro il contenuto, così che un rilevatore addestrato possa ritrovarlo senza informazioni esterne: è l'approccio di SynthID. I secondi allegano al file un manifesto firmato che dichiara autore, strumento e modifiche successive, ed è l'approccio di C2PA e delle Content Credentials. La differenza pratica sta nella fragilità. Il segnale statistico si degrada quando il contenuto viene ricompresso, ritagliato, riconvertito in un altro formato o riscalato, perché ognuna di queste operazioni riscrive i pixel su cui il marcatore era stato inciso. I metadati dichiarativi sono ancora più esposti: si staccano dal file al primo passaggio che non li preserva. Lo screenshot è il caso limite e anche il più comune, perché produce un file nuovo, senza manifesto e quasi sempre senza il segnale statistico dell'originale.

Il marcatore si può togliere

Rimuovere un marcatore non richiede competenze rare: sono documentate tecniche di scrubbing capaci di cancellarlo senza degradare visibilmente il contenuto. E la norma lo sa. L'articolo 50, paragrafo 2 chiede soluzioni "effective, interoperable, robust and reliable", poi aggiunge "as far as this is technically feasible", tenendo conto dei costi e dello stato dell'arte. È una clausola onesta: il legislatore riconosce il limite tecnico dentro il testo che impone l'obbligo. Ed è la clausola che un fornitore invocherà il giorno in cui il suo marcatore non regge.

Il marcatore si può falsificare

Il rischio inverso è più sottovalutato e più serio: non togliere il marchio a un contenuto falso, ma apporne uno credibile per attribuirlo a un'origine che non è la sua. È lo spoofing, e significa autenticare il falso invece di smascherarlo.

Il rischio invertito cambia il significato dell'intera architettura di marcatura: se un marcatore può essere imitato, la sua presenza non prova nulla, esattamente come la sua assenza. Il lavoro di Jovanović, Nikolić e colleghi presentato a ICML 2024, Watermark Stealing in Large Language Models, quantifica il problema su schemi di watermarking allo stato dell'arte per i modelli linguistici: gli autori mostrano attacchi di spoofing e di scrubbing realizzabili con un costo inferiore ai 50 dollari e con tassi di successo medi superiori all'80 per cento. Il dato conta perché sposta la discussione dal terreno teorico a quello economico. Un presidio che si aggira con meno di cinquanta dollari non è una barriera per chi ha un movente serio, ed è proprio chi ha un movente serio a rappresentare il rischio da cui un'organizzazione deve difendersi.

La falsificazione più diffusa non passa dall'intelligenza artificiale

La manipolazione più frequente non genera niente: modifica i metadati. I metadati EXIF di una fotografia, data e ora, geolocalizzazione, dispositivo, si alterano con strumenti gratuiti. Una foto autentica ricontestualizzata con una data diversa diventa una prova falsa che nessun rilevatore IA segnalerà, perché non c'è niente di generato da rilevare. Il regolamento non tocca questo piano, e non era suo compito.

C'è anche un aggravante pratico. Le piattaforme social rimuovono i metadati al caricamento, per privacy e per peso dei file. Il contenuto che circola è già privo dell'informazione di provenienza, e chi deve verificare l'autenticità di una foto lavora su un file muto.

Le sanzioni raggiungono chi è già in regola

Le sanzioni AI Act per la violazione degli obblighi di trasparenza arrivano fino a 15 milioni di euro o al 3 per cento del fatturato mondiale annuo totale, a seconda di quale importo sia più elevato. Cifre serie, che colpiscono i soggetti già intenzionati a rispettare la norma: imprese identificabili, con una sede, un bilancio e una reputazione da difendere.

L'attore doloso non appartiene a quell'insieme: è anonimo, spesso opera da fuori dall'Unione, e non ha nulla da perdere. Non è un problema solo europeo. La Cina impone l'etichettatura dei contenuti generati dall'IA dal 1 settembre 2025 e si scontra con la stessa asimmetria.

Quando il dubbio diventa un alibi

C'è un effetto collaterale che in letteratura viene chiamato liar's dividend. Se il pubblico impara che qualunque contenuto può essere generato, chi viene ripreso mentre fa qualcosa di vero può negarlo sostenendo che il video sia sintetico. Alla disinformazione basta rendere plausibile il sospetto, ed è una delle criticità sollevate nel dibattito europeo.

Un obbligo di etichettatura, da solo, lavora in questa direzione: insegna a diffidare senza offrire uno strumento per fidarsi. È il più sottile dei limiti dell'AI Act, perché sposta il problema dal riconoscere il falso al provare il vero, e sono due mestieri diversi.

Che cosa può fare un'organizzazione oltre la conformità formale

Sui limiti dell'AI Act non si può intervenire, sulle proprie procedure sì. La prima mossa è distinguere due flussi spesso confusi: i contenuti che l'organizzazione produce e quelli che riceve da terzi. Chiedono presidi diversi.

Per i contenuti prodotti internamente la strada è documentare la provenienza all'origine, non ricostruirla dopo. Gli adempimenti per le imprese previsti dal regolamento e gli obblighi di conservazione dei log vanno in quella direzione, ma sono un pavimento, non un tetto.

Per i contenuti ricevuti le cautele diventano più pratiche. Non affidarsi a un rilevatore IA come unico presidio, perché restituisce probabilità e non certezze. Conservare l'originale e non la copia ricondivisa, che ha già perso i metadati. Definire in anticipo quale prova servirebbe in un contenzioso, e in che forma.

Le organizzazioni che devono poter provare l'autenticità di ciò che raccolgono adottano strumenti di certificazione alla fonte come TrueScreen, che produce un report forense con marca temporale certificata e catena di custodia.

Che cosa distingue il rilevamento a valle dalla certificazione alla fonte

TrueScreen è la Data Authenticity Platform che certifica il dato nell'istante della creazione, applicando una metodologia forense che documenta origine, integrità e collocazione temporale.

La differenza con il rilevamento a valle è di natura, non di grado. Il rilevamento a valle e la certificazione alla fonte producono due oggetti giuridici diversi. Il primo restituisce un giudizio probabilistico su un file di cui non si conosce la storia, e quel giudizio perde valore con il passare dei mesi, perché ogni nuova generazione di modelli riduce l'accuratezza dei rilevatori addestrati sulle precedenti. La seconda documenta il momento della cattura: quale dispositivo, quale istante, quale contenuto, con un'impronta che rende rilevabile ogni modifica successiva. Su questo secondo piano lavora TrueScreen, che non è un ente certificatore e non rilascia certificati: integra il sigillo elettronico e la marca temporale qualificata erogati da QTSP terzi all'interno di un processo di acquisizione forense, e restituisce una prova informatica che documenta la catena di custodia. Il risultato non dice se un contenuto è sintetico. Dice che cosa è stato acquisito, quando e in quali condizioni.