Chi etichetta i contenuti IA, e quando

Molte aziende hanno segnato in calendario il 2 dicembre come il giorno in cui i contenuti IA dovranno essere etichettati nell’UE. È vero solo a metà. La data riguarda i produttori di strumenti generativi, e un solo obbligo: marcare ciò che i loro sistemi producono in modo che le macchine possano rilevarlo. L’azienda che pubblica un deepfake ha un obbligo proprio dal 2 agosto, e i mesi in più non valgono per lei.

Ecco chi ha quale obbligo, che cosa conta come deepfake, dove stanno le eccezioni e perché anche un’azienda svizzera vi rientra. È una panoramica, non una consulenza legale.

Chi marca, chi etichetta

L’articolo 50 dell’AI Act dell’UE divide il lavoro in due. Il fornitore, l’azienda che sviluppa un sistema generativo e lo offre con il proprio nome, deve garantire che i suoi output siano «marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente». Il deployer, l’azienda che usa il sistema nel proprio lavoro, deve rendere noto un deepfake: «rende noto che il contenuto è stato generato o manipolato artificialmente». Un’azienda che costruisce un proprio generatore sopra un modello e lo mette in servizio con il proprio nome può diventare anche fornitore.

L’uso personale e non professionale non rientra nel regolamento, ma chi ne trae un guadagno su base regolare conta come deployer. Un’azienda resta deployer anche quando appaltatori o freelance gestiscono il sistema per suo conto e sotto il suo controllo.

Il Digital Omnibus sull’IA, regolamento (UE) 2026/1744, pubblicato il 24 luglio, ha concesso più tempo a un gruppo. I sistemi generativi immessi sul mercato prima del 2 agosto 2026 devono soddisfare l’obbligo di marcatura dell’articolo 50, paragrafo 2, entro il 2 dicembre 2026. I sistemi lanciati da allora hanno dovuto marcare fin dall’inizio. La Commissione precisa che il periodo di tolleranza si applica «solo per quanto riguarda l’obbligo di marcatura e rilevamento», quindi per il deployer non è cambiato nulla. I contenuti creati prima del 2 agosto non richiedono un’etichetta a posteriori.

La marcatura nel file non sostituisce l’etichetta. Con le parole della Commissione, i deployer «non possono limitarsi ad affidarsi alla marcatura leggibile meccanicamente inserita nel contenuto dal fornitore». Le persone devono esserne informate in modo chiaro e distinguibile, al più tardi quando vedono o sentono il contenuto per la prima volta.

Che cosa conta come deepfake

Il regolamento definisce deepfake un contenuto di immagine, audio o video generato o manipolato dall’IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che «apparirebbe falsamente autentico o veritiero a una persona». La Commissione vi legge tre criteri: una forte somiglianza, un soggetto che esiste o che «può plausibilmente esistere» e la capacità di trarre in inganno. Può rientrarvi una persona fotorealistica mai esistita, e così una voce clonata, perché l’audio è coperto tanto quanto immagini e video.

Le linee guida definitive della Commissione, pubblicate il 20 luglio, aggiungono che un contenuto può restare fuori dalla definizione quando il pubblico non si aspetta che sia autentico. I loro esempi sono meno indulgenti con il marketing. Secondo una sintesi dello studio legale Faegre Drinker, immagini generate che fanno apparire i prodotti diversi dalla realtà, repliche digitali di persone reali e attori ringiovaniti contano tutti come deepfake da dichiarare. Un testo non è mai un deepfake. Ha una regola tutta sua.

Arte, satira e testi revisionati

Quando un deepfake fa parte di un’«opera o di un programma manifestamente artistico, creativo, satirico, fittizio o analogo», l’obbligo si riduce a renderlo noto «in modo adeguato, senza ostacolare l’esposizione o il godimento dell’opera». La parola manifestamente ha un peso. Secondo la lettura di Faegre Drinker, le linee guida definitive accettano la pubblicità come creativa solo in circostanze ristrette, e lasciano la maggior parte degli esempi pubblicitari fuori dal regime più leggero.

Per i testi, l’obbligo riguarda gli scritti pubblicati per informare il pubblico su questioni di interesse pubblico. La Commissione elenca la politica, la salute pubblica, la sicurezza dei consumatori e qualsiasi sviluppo economico, finanziario, politico, scientifico o culturale che possa essere oggetto di dibattito pubblico, quindi la regola può toccare il blog o la newsletter di un’azienda oltre a una redazione. Decade se il testo è stato sottoposto a revisione umana o a controllo editoriale e qualcuno ne detiene la responsabilità editoriale. L’asticella è reale: il controllo ortografico e la correzione grammaticale non bastano, e qualcuno deve detenere «la responsabilità giuridica ultima» della pubblicazione.

Perché anche le aziende svizzere vi rientrano

Il regolamento va oltre i confini dell’UE. Si applica a fornitori e deployer di paesi terzi «laddove l’output prodotto dal sistema di IA sia utilizzato nell’Unione». Un’azienda svizzera che lancia una campagna con volti generati per acquirenti in Germania, o un video con una voce clonata per clienti in Francia, dovrebbe considerare l’obbligo di etichettatura come proprio. A farlo rispettare sono le autorità nazionali di vigilanza del mercato, e la Commissione indica per le violazioni degli obblighi di trasparenza sanzioni fino a 15 milioni di euro o al 3 per cento del fatturato mondiale.

In Svizzera non c’è ancora una legge sull’IA. Il Dipartimento federale di giustizia e polizia dovrà presentare un progetto da porre in consultazione entro la fine del 2026, con la trasparenza tra i suoi temi. Fino ad allora si applica la legge sulla protezione dei dati (LPD), e l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) afferma che l’uso di programmi che manipolano volti, immagini o messaggi vocali di persone identificabili «deve inoltre sempre essere chiaramente segnalato».

Che cosa fare prima di dicembre

Fate un elenco degli strumenti generativi in uso, compresi quelli che i collaboratori hanno trovato da sé, e chiedete per iscritto a ogni fornitore come marca gli output e da quando.

Verificate che il vostro flusso di lavoro conservi quelle marcature. Esportazioni, compressione e modifiche possono eliminare i metadati. Il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA, pubblicato il 10 giugno, chiede ai fornitori di sovrapporre più marcature, in genere metadati firmati più una filigrana impercettibile, perché nessuna tecnica da sola è sufficiente.

Decidete come etichettare. La Commissione e il Comitato per l’IA hanno confermato il codice come strumento volontario adeguato, e l’UE mette a disposizione un set di icone a questo scopo. Stabilite chi applica l’etichetta in ciascun canale, agenzie comprese.

Per i testi, nominate il redattore che approva i contenuti su questioni di interesse pubblico. Conservate i prompt, gli originali e le decisioni insieme a ogni contenuto pubblicato. Se un’autorità chiede, la documentazione è la risposta.

Dove ci collochiamo

Reel, già disponibile, crea immagini, filmati e 3D con l’IA, e ogni immagine e clip utilizzata è scelta da una persona. Ciascuna si trova in una libreria multimediale con tutte le versioni e la ricetta che c’è dietro. Studio, in accesso anticipato, riunisce in un solo posto il marketing di un’azienda: una persona approva ogni modifica prima che vada online e ogni azione finisce in un registro di audit. Nessuno dei due sostituisce l’etichetta. Entrambi rendono più facile sapere dove va applicata.