Una foto può sembrare vera ma non esserlo. E spesso nemmeno un occhio esperto è in grado di accorgersene. L’Unione europea ha affrontato il problema con una chiara normativa: dal 2 dicembre 2026 tutti i sistemi di intelligenza artificiale generativa offerti nell’Unione dovranno “firmare” ciò che producono, inserendo in testi, immagini, video e audio una marcatura leggibile dalle macchine che ne riveli l’origine artificiale.
L’obbligo è previsto dall’articolo 50 dell’AI Act. È scattato il 2 agosto 2026 per i sistemi lanciati dopo quella data. Per quelli già sul mercato, l’Omnibus sull’IA, il pacchetto di modifiche approvato a luglio, ha concesso ulteriori quattro mesi. Altri obblighi di trasparenza valgono già da agosto. Chi parla con un chatbot deve saperlo. Salvo che si tratti di sistemi usati legalmente dalle autorità per indagare su reati. Anche questi, però, devono dichiararsi se servono ai cittadini per denunciarli. E chi pubblica un deepfake nell’ambito di un’attività professionale, come un giornale, un’azienda o un ente pubblico, deve dichiararlo. Non vi è tenuto invece, per l’AI Act, il privato che lo diffonde sui social a titolo personale.
Chi inserisce la “firma”? Il compito spetta ai fornitori, cioè alle aziende che sviluppano i sistemi di IA generativa. La marcatura viene incorporata automaticamente nel momento in cui il contenuto viene prodotto. Il codice di condotta pubblicato dalla Commissione il 10 giugno indica più livelli: metadati, cioè informazioni sulla provenienza incorporate nel file secondo standard come C2PA; filigrane digitali (watermark) pensate per resistere a ritagli e compressioni; strumenti per verificare queste tracce. Il codice è volontario: chi lo firma può dimostrare più facilmente di rispettare la legge, ma chi non lo firma non è esonerato dagli obblighi.
Funzionerà? I limiti non mancano. Il primo è tecnico: ogni singolo marcatore può essere rimosso, per questo il codice chiede di combinarne diversi. Un altro punto riguarda il giornalismo: la legge stabilisce che i testi generati dall’IA e pubblicati per informare su temi di interesse pubblico vanno dichiarati, a meno che non siano stati rivisti da una persona che se ne assume la responsabilità editoriale. Secondo le linee guida della Commissione, però, la revisione deve essere sostanziale e non un controllo sommario. Un ultimo limite riguarda i controlli. In Italia la legge 132 del 2025 ha affidato la vigilanza all’Agenzia per la cybersicurezza nazionale, ma il decreto che ne precisa i poteri a fine settembre non risultava ancora pubblicato. La regola c’è ma chi deve farla rispettare non ha ancora tutti gli strumenti.
