In sintesi: Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’AI Act: se hai un chatbot sul sito o su WhatsApp, l’utente deve sapere che sta parlando con un’intelligenza artificiale, e i contenuti generati dall’AI vanno marcati. Le sanzioni arrivano a 15 milioni di euro o al 3% del fatturato mondiale. Per la maggior parte delle PMI gli obblighi AI Act chatbot si risolvono con poche modifiche mirate, non rifacendo tutto.
Hai messo un assistente virtuale sul sito l’anno scorso, risponde alle domande dei clienti anche di notte e ti ha tolto un bel po’ di telefonate dalle spalle. Bene. Ora c’è una data da segnare: 2 agosto 2026. Da quel giorno diventano applicabili gli obblighi di trasparenza previsti dal regolamento europeo sull’intelligenza artificiale, e riguardano proprio quel chatbot. Non è una di quelle norme che colpiscono solo le multinazionali: tocca chiunque metta un sistema di AI davanti a delle persone.
AI Act chatbot: cosa cambia dal 2 agosto 2026
L’AI Act non è entrato in vigore tutto insieme: si applica per scaglioni. Il pezzo che scatta ad agosto 2026 è l’articolo 50, quello dedicato alla trasparenza. La Commissione europea ha pubblicato a fine luglio 2026 le linee guida operative, quindi non ci sono più zone grigie su cosa ci si aspetta dalle aziende.
La logica di fondo è semplice e, a nostro parere, sacrosanta: una persona ha diritto di sapere quando dall’altra parte non c’è un essere umano. Non è una norma contro l’AI, è una norma contro l’ambiguità. Chi usa questi strumenti in modo onesto ci perde nulla; chi ci contava per far credere ai clienti di parlare con l’ufficio assistenza, invece, deve cambiare approccio.
Il tuo chatbot deve dichiararsi: cosa vuol dire in pratica
La regola dice che chi rende disponibile un sistema che interagisce direttamente con le persone deve fare in modo che queste sappiano di avere davanti un’intelligenza artificiale, salvo che la cosa sia già evidente per una persona ragionevolmente informata e attenta. Tradotto nella pratica di tutti i giorni:
- Si dichiara al primo contatto, non in fondo alle condizioni d’uso che nessuno apre. Il messaggio di benvenuto è il posto giusto.
- Con parole chiare. “Assistente virtuale” va bene, “Sono un’assistente digitale, non un operatore umano” va meglio. Un nome di fantasia con la foto di una ragazza sorridente, da solo, non basta: anzi, va nella direzione opposta.
- Vale su tutti i canali: sito, WhatsApp, messaggistica social, assistenti vocali al telefono. Il canale cambia, il principio no.
- Serve una via d’uscita verso l’umano. Non è formalmente parte dell’obbligo di dichiarazione, ma è ciò che rende la trasparenza credibile: dire che sei un bot e non offrire modo di parlare con una persona è una mezza risposta.
Se hai un chatbot per l’assistenza clienti costruito su misura, parliamo di un intervento da poche ore. Se usi una piattaforma in abbonamento, molto probabilmente l’opzione c’è già ed è solo da attivare: vale la pena controllarla adesso, non il 3 agosto.
Anche i contenuti generati dall’AI vanno marcati
Il secondo pezzo dell’articolo 50 riguarda i contenuti sintetici: testi, immagini, audio e video prodotti o manipolati da un’intelligenza artificiale. Qui gli obblighi si dividono su due livelli. Chi fornisce il sistema deve marcare gli output in modo leggibile da una macchina, cioè con marcatori tecnici incorporati nel file. Chi utilizza il sistema deve dichiarare in modo comprensibile alle persone quando pubblica un deepfake o un testo generato dall’AI su temi di interesse pubblico senza che ci sia stata una revisione umana.
Diciamolo con chiarezza, perché è la domanda che ci fanno tutti: no, non devi mettere un bollino su ogni post scritto con l’aiuto dell’AI. Se un tuo collaboratore usa un assistente per buttare giù una bozza e poi la rivede, la corregge e se ne assume la responsabilità editoriale, siamo nel campo del lavoro normale. L’obbligo colpisce la pubblicazione non revisionata su questioni di interesse pubblico e i contenuti che imitano persone o eventi reali. Il criterio è l’inganno potenziale, non l’uso dello strumento.
L’obbligo che quasi nessuno ha notato: la formazione
C’è un articolo dell’AI Act che è in vigore da un anno e mezzo e che moltissime aziende non sanno di dover rispettare. È l’articolo 4, ed è in applicazione dal 2 febbraio 2025: chi fornisce e chi utilizza sistemi di intelligenza artificiale deve garantire un livello adeguato di competenza al personale che li adopera, proporzionato al ruolo e al contesto.
Non serve un corso universitario. Serve che le persone che usano questi strumenti sappiano che cosa fanno e dove sbagliano: che un modello può inventare informazioni dette con perfetta sicurezza, che i dati riservati non si incollano dentro un servizio pubblico, che l’output va verificato prima di mandarlo a un cliente. Sono le stesse cose che raccontiamo quando parliamo di intelligenza artificiale per le PMI: lo strumento vale quanto vale chi lo usa. Questo obbligo non prevede una sanzione autonoma, ma non trattarlo come opzionale: in caso di contestazione, dimostrare di aver formato le persone gioca a tuo favore.
Le valutazioni d’impatto: chi le deve fare davvero
Qui va fatta una precisazione, perché in giro si legge di tutto e c’è chi usa l’allarme per vendere consulenze. Le valutazioni d’impatto di cui si parla sono due, distinte, e nessuna delle due si applica automaticamente a chiunque tocchi l’AI.
- La DPIA nasce dal GDPR e riguarda la protezione dei dati personali. Va fatta quando un trattamento presenta rischi elevati per le persone: vale da anni e non c’entra con l’AI Act, anche se l’uso dell’AI può farla scattare.
- La FRIA è la valutazione d’impatto sui diritti fondamentali introdotta dall’articolo 27 dell’AI Act. Riguarda però solo chi impiega sistemi classificati ad alto rischio ed è circoscritta a categorie precise: enti pubblici, soggetti privati che erogano servizi pubblici essenziali, chi valuta il merito creditizio e chi opera nelle assicurazioni vita e salute.
Se hai un assistente virtuale che risponde sui prodotti, gestisce appuntamenti o smista richieste di preventivo, quasi certamente non sei tenuto alla FRIA. Sei tenuto alla trasparenza, alla formazione del personale e al rispetto delle regole sui dati personali che valevano anche prima. Chi ti dice il contrario senza aver guardato che cosa fa davvero il tuo sistema ti sta vendendo paura.
Cosa fare adesso, in concreto
La parte più utile, e anche la più noiosa, non è tecnica: è fare l’inventario. Nella maggior parte delle aziende l’AI è entrata dalla finestra, un ufficio alla volta, e nessuno ha una lista di dove sia finita.
- Censisci dove usi l’AI: chatbot, assistenti nei gestionali, generazione di testi e immagini, strumenti usati dai singoli reparti anche senza autorizzazione.
- Sistema le dichiarazioni su ogni punto di contatto con clienti o fornitori, e verifica che il messaggio si veda davvero da smartphone.
- Aggiorna l’informativa privacy e le condizioni del servizio dove l’AI tratta dati di persone.
- Forma chi usa gli strumenti, anche con mezza giornata fatta bene, e tienine traccia scritta.
- Chiedi conto ai fornitori: se l’assistente è di terzi, fatti dire per iscritto come rispettano gli obblighi di marcatura.
Sulle sanzioni: per la violazione degli obblighi di trasparenza si arriva a 15 milioni di euro o al 3% del fatturato mondiale annuo, a seconda di quale sia il valore maggiore. Sono cifre calibrate sui grandi operatori e nessuno immagina un’ispezione a tappeto sulle piccole imprese. Ma il punto vero è un altro, e riguarda la reputazione: farsi scoprire da un cliente a spacciare un bot per una persona costa più di qualsiasi multa.
AI Act chatbot: la trasparenza conviene, non solo obbliga
Quando aiutiamo un’azienda a costruire un servizio clienti basato sull’AI, la dichiarazione iniziale la mettiamo da sempre, molto prima che diventasse un obbligo. Il motivo è pratico: un cliente che sa di parlare con un assistente automatico fa domande più dirette, si aspetta le cose giuste e non si arrabbia quando chiede una deroga sul pagamento e il bot non sa rispondere. La trasparenza migliora le conversazioni, non le peggiora.
Il quadro AI Act chatbot, insomma, è meno drammatico di come viene raccontato e più concreto di come sembra: una dichiarazione chiara, contenuti marcati quando serve, persone formate e un elenco onesto di dove l’AI è già al lavoro in azienda. Non è burocrazia da subire, è il minimo che un cliente si aspetta da chi automatizza il rapporto con lui.
Questo articolo ha finalità informative e non costituisce consulenza legale: per la valutazione del tuo caso specifico rivolgiti a un professionista.
Domande frequenti su AI Act chatbot
Sì. Dal 2 agosto 2026 chi mette a disposizione un sistema che interagisce direttamente con le persone deve fare in modo che l’utente sappia di stare parlando con un’AI, a meno che non sia già evidente a una persona ragionevolmente informata. L’informazione va data al primo contatto, in modo chiaro e riconoscibile.
Le sanzioni previste per la violazione degli obblighi di trasparenza arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, a seconda di quale importo sia più elevato. Sono soglie pensate per i grandi operatori, ma il principio si applica a tutti: è il tipo di rischio che non conviene correre per una riga di testo mancante.
L’articolo 4 dell’AI Act chiede a chi fornisce e a chi utilizza sistemi di AI di garantire un livello adeguato di competenza al personale che li usa, ed è in vigore dal 2 febbraio 2025. Non prevede una sanzione diretta, ma è un obbligo a tutti gli effetti e pesa nel giudizio complessivo sulla diligenza dell’azienda.
Dipende, e qui circola parecchia confusione. La valutazione sui diritti fondamentali (FRIA) riguarda solo chi impiega sistemi ad alto rischio in ambiti specifici: enti pubblici, privati che erogano servizi pubblici essenziali, valutazione del merito creditizio, assicurazioni vita e salute. La valutazione privacy (DPIA) segue invece le regole del GDPR e scatta quando il trattamento presenta rischi elevati. Un chatbot di assistenza clienti, di norma, non fa scattare la FRIA.
Nella maggior parte dei casi bastano interventi contenuti: una dichiarazione esplicita all’avvio della conversazione, l’indicazione di come raggiungere un operatore umano, la marcatura dei contenuti generati e una nota nell’informativa privacy. Se l’assistente è stato sviluppato su misura si tratta di poche ore di lavoro; il tempo vero se ne va nel censire dove l’AI è già in uso in azienda.
