l'ai act e il tuo sito: cosa chiede davvero l'articolo 50

business · 2026-10-27 · 7 min

l'ai act europeo non è una legge sui robot. è una legge su prodotti e servizi che usano machine learning, e un normale sito aziendale può rientrarci senza che nessuno lo chiami "prodotto ai". costruisco siti web a Parma, Italia, e la domanda che sento ripetere è quella pratica: cambia qualcosa per il mio sito?

risposta breve: a volte, meno di quanto dicono i titoli e più di quanto la maggior parte delle piccole imprese abbia preparato.

cosa copre davvero il regolamento, nell'ordine in cui si applica

l'ai act è un regolamento, non una direttiva, quindi si applica direttamente in ogni stato membro. arriva per fasi:

pratiche vietate in vigore da febbraio 2025. social scoring, tecniche manipolatorie, scraping non mirato di volti, riconoscimento delle emozioni sul lavoro e a scuola. se il tuo sito fa una di queste cose, il problema non è un avviso.
modelli di ai general purpose con obblighi da agosto 2025. è il livello del fornitore del modello, non il tuo, a meno che tu non lo addestri ulteriormente e lo distribuisca con il tuo nome.
obblighi di trasparenza, articolo 50, dal 2 agosto 2026. è il livello che un sito normale incontra.
sistemi ad alto rischio da agosto 2026 per la maggior parte degli usi dell'allegato iii, e agosto 2027 per i prodotti già regolati. il sito di un ristorante non è ad alto rischio. un sistema che decide chi ottiene un credito o un lavoro lo è.

quindi la domanda utile per un sito aziendale quasi mai è "sono ad alto rischio". è "il mio sito interagisce con le persone tramite un sistema ai, o pubblica contenuti sintetici, in un modo che all'articolo 50 interessa".

cosa conta davvero su un sito normale

un chatbot che parla con i visitatori. sì. l'articolo 50 chiede che la persona sia informata di stare interagendo con un sistema ai, salvo che sia evidente dalle circostanze. una riga sopra il campo di input, nella lingua del sito, basta. un chatbot che si presenta come "giulia del team" è esattamente il caso per cui esiste la regola.

raccomandazioni generate da ai. un widget "potrebbe interessarti" di solito non è l'interazione diretta di cui parla l'articolo 50, ma se profila le persone è prima di tutto una questione gdpr. il regolamento non sostituisce le regole sulla privacy: ci si appoggia sopra.

immagini e testi sintetici pubblicati sul sito. l'articolo 50 chiede di dichiarare quando contenuti sintetici sono pubblicati per informare il pubblico su questioni di interesse pubblico, e di dichiarare i deepfake in generale. un'illustrazione generata per l'header non è un deepfake. la foto generata di un negozio reale presentata come il negozio reale è un problema di fiducia prima che giuridico, e la soluzione è la stessa: dire cosa è.

un modulo di contatto, un banner cookie, un contatore analytics. no. non sono sistemi ai ai sensi del regolamento, e trattare ogni script come tale produce un avviso che nessuno legge.

un assistente di scrittura usato internamente. non è esposto ai visitatori, quindi l'articolo 50 non è il tema. l'output è tuo, con il tuo nome sopra, e quello è lo standard che conta.

la domanda da fornitore che nessuno fa

se incorpori un chatbot di terze parti con il tuo nome e il tuo marchio, l'articolo 25 può renderti fornitore di quel sistema invece che deployer. questo sposta gli obblighi da "informare le persone" all'intero set del fornitore: documentazione, gestione del rischio, fascicolo tecnico. nella pratica quasi tutti i siti piccoli restano deployer perché il nome del fornitore resta sul prodotto e il contratto lo dice. leggi quella clausola prima di firmare, non dopo.

il gdpr è ancora il muro portante

il regolamento aggiunge trasparenza, non una base giuridica. un chatbot ha comunque bisogno di un'informativa, di una base giuridica, di un periodo di conservazione e di un accordo sul trattamento dei dati con il fornitore. se il fornitore manda le conversazioni fuori dall'ue, serve un meccanismo di trasferimento. se la conversazione può contenere dati sanitari, sei nella categoria particolare e un chatbot generico è lo strumento sbagliato.

la parte che vedo saltare più spesso è la cancellazione. una trascrizione di chat è un dato personale. se nessuno può cancellarla su richiesta, l'informativa è finzione.

cosa farei prima di pubblicare

inventario. elenca ogni funzione ai del sito, il fornitore, quali dati riceve e dove finiscono. una pagina, non una policy.
decidi. tieni le funzioni che fanno un lavoro, togli quelle che esistono perché una slide diceva "ai". ogni funzione è una promessa con obblighi attaccati.
avviso nel punto d'uso. una frase dove avviene l'interazione, più una sezione nell'informativa privacy. corto batte completo-ma-illeggibile.
contratto. dpa, subresponsabili, conservazione, clausola sull'addestramento con i tuoi dati. se il fornitore non sa rispondere, quella è la risposta.
etichetta i contenuti sintetici dove una persona ragionevole potrebbe scambiarli per la registrazione di qualcosa di reale.
revisione umana per tutto ciò che somiglia a un consiglio: legale, medico, finanziario, di sicurezza.
tieni traccia. data, fornitore, modello, scopo, chi ha approvato. dieci minuti, ed è la differenza tra una decisione e una deriva.

cosa non farei

non metterei "ai-powered" in homepage se la funzione non vale gli obblighi. non incollerei una policy di dodici pagine chiamandola trasparenza. non considererei la pagina di compliance del fornitore come il mio avviso. e non lascerei che un chatbot risponda a domande che dovrebbe rispondere un professionista, perché il modello è sicuro di sé esattamente dove la sicurezza costa.

il regolamento non è il motivo per essere cauti. è il motivo per cui la versione cauta ora è scritta.

per il lato tecnico di cosa manda davvero un sito, vedi cosa manda davvero questo sito. per il servizio a Parma, vedi realizzazione siti web a Parma e ux designer a Parma.

domande frequenti

un chatbot sul mio sito ha bisogno di un avviso?

sì. dal 2 agosto 2026 l'articolo 50 chiede che le persone siano informate di interagire con un sistema ai, salvo che sia evidente. una riga sopra il campo di input, nella lingua del sito, basta. l'avviso deve esserci prima che la conversazione inizi, non nel footer.

l'ai act si applica a una piccola impresa con un sito normale?

solo quando il sito usa un sistema ai in un ruolo coperto. un sito vetrina con un modulo di contatto ne è fuori. un sito con un chatbot verso i clienti, raccomandazioni automatiche che profilano le persone o contenuti sintetici presentati come reali può non esserlo. la dimensione dell'impresa cambia la carta, non il principio.

cosa succede se lo ignoro?

ci sono sanzioni, e sulla carta sono alte. il rischio pratico arriva prima: una promessa che non puoi sostenere, un fornitore senza accordo sul trattamento, una conversazione che non puoi cancellare, un'immagine generata che un cliente riconosce come finta. quelle cose costano fiducia prima che soldi.

basta il banner cookie?

no. il consenso ai cookie e la trasparenza su un'interazione ai sono obblighi diversi. il banner risponde a "posso tracciarti". non risponde a "sto parlando con una macchina, e che fine fa questa conversazione".