Un team marketing finisce un video di prodotto. Una parte delle riprese viene da uno strumento di IA. La voce è sintetica. Un modello ha scritto la bozza del copione, e una persona l'ha riscritta. Devono etichettare tutto questo, e come?
Due documenti della Commissione europea rispondono a questa domanda. Non hanno lo stesso peso. L'articolo 50 dell'AI Act dell'UE è legge. Il Codice di buone pratiche è volontario.
Un codice di buone pratiche non è la legge
La legge è l'articolo 50 dell'AI Act. Il Codice di buone pratiche è una guida volontaria su come rispettarlo.
L'obbligo sta nell'articolo 50 dell'AI Act, regolamento (UE) 2024/1689. La pagina della Commissione sulle linee guida per la trasparenza lo riassume, e lo fa anche il nostro articolo precedente. L'articolo 50 dice che cosa deve succedere. Non dice esattamente come.
Il come è il Codice di buone pratiche sulla marcatura e l'etichettatura dei contenuti generati dall'IA. La sua versione finale è uscita il 10 giugno 2026. Le FAQ della Commissione affermano: "L'adesione al codice di buone pratiche è volontaria." Non aggiunge obblighi oltre a quelli dell'AI Act. Entro la fine di luglio 2026 lo avevano firmato circa 190 organizzazioni.
Firmare ha comunque un'utilità. La Commissione e il Comitato per l'IA hanno confermato che il Codice è uno strumento volontario adeguato per dimostrare la conformità. Chi sceglie un'altra strada deve dimostrare alle autorità che le proprie misure sono adeguate. Anche così, il Codice dice che l'adesione "non costituisce prova conclusiva di conformità".
Fornitore o deployer: quale dei due siete
I fornitori costruiscono gli strumenti di IA. I deployer usano gli strumenti e pubblicano il risultato. Il Codice dedica a ciascun gruppo una sezione propria.
La sezione 1 riguarda i fornitori di sistemi di IA generativa, ai sensi dell'articolo 50, paragrafi 2 e 5. Il loro compito è la marcatura e il rilevamento.
La sezione 2 è per i deployer (le aziende che usano i sistemi), ai sensi dell'articolo 50, paragrafi 4 e 5. Il loro compito è etichettare i deep fake e i testi generati dall'IA su questioni di interesse pubblico. Il team del video è un deployer.
Che cosa si impegnano a fare i fornitori: due livelli di marcatura
I fornitori devono marcare i loro risultati in due modi leggibili da una macchina: metadati firmati e una filigrana nascosta.
La misura 1.1 chiede ai fornitori "almeno due livelli di marcatura leggibile da una macchina". Il primo livello sono i metadati firmati digitalmente. Il Codice dice: "Tutte le informazioni registrate saranno firmate digitalmente e dotate di marca temporale". Il secondo livello è una filigrana nascosta dentro il contenuto. Si possono aggiungere il fingerprinting o la registrazione dei log. Ma "affidarsi solo al fingerprinting o alla registrazione dei log non è considerato sufficiente".
Il testo è l'eccezione, perché "il testo libero non può trasportare metadati". Quindi per il testo basta la filigrana da sola. I testi molto brevi sono esenti. Tutto ciò che supera i 200 token ha ancora bisogno della filigrana.
Che cosa si impegnano a fare i deployer: l'icona, e l'esenzione per il testo rivisto
I deep fake hanno bisogno di un'etichetta IA visibile. Anche il testo IA pubblicato ha bisogno di un'etichetta, a meno che una persona indicata per nome lo abbia rivisto.
Per i deep fake la risposta è un'etichetta visibile. È l'icona UE dell'allegato 1 del Codice "o un'icona o un'etichetta equivalente". L'icona ha come elemento principale la sigla in maiuscolo "AI". Deve essere riconoscibile "senza richiedere un'azione o un'interazione dell'utente né un'attenzione prolungata". Deve essere "incorporata direttamente nel contenuto", a meno che si usi una sovrapposizione equivalente. E deve essere percepibile "al più tardi al momento della prima esposizione".
Il testo pubblicato segue una strada propria. L'articolo 50, paragrafo 4, riguarda il testo generato dall'IA "pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico". Il deployer deve rendere noto che il testo è stato generato o manipolato artificialmente. L'obbligo non si applica quando il contenuto "è stato sottoposto a un processo di revisione umana o di controllo editoriale". C'è una seconda condizione: "una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione".
L'impegno 4 del Codice parte da qui. Le aziende dei media già soggette a standard editoriali possono affidarsi alle procedure che hanno già. Ogni altro firmatario indica "la persona fisica o giuridica con responsabilità editoriale (nome, ruolo e recapiti)". Pubblica anche quei recapiti.
Quindi per il video: qualche parte è un deep fake, e l'etichetta IA è visibile alla prima esposizione? Per il copione: c'è una revisione umana e una persona indicata per nome e pubblicata?
Le date che contano
L'articolo 50 si applica dal 2 agosto 2026. I sistemi più vecchi hanno tempo fino al 2 dicembre 2026 per l'obbligo di marcatura (ricontrollato sulla pagina della Commissione il 15 ottobre 2026).
I fornitori di sistemi già sul mercato hanno avuto più tempo. Il regolamento (UE) 2026/1744 dell'8 luglio 2026 ha aggiunto all'AI Act l'articolo 111, paragrafo 4 (ricontrollato su EUR-Lex il 15 ottobre 2026). Il nuovo paragrafo riguarda i fornitori di sistemi che generano contenuti sintetici audio, immagine, video o testo "immessi sul mercato prima del 2 agosto 2026", i quali "adottano le misure necessarie per conformarsi all'articolo 50, paragrafo 2, entro il 2 dicembre 2026". Quella scadenza riguarda l'obbligo di marcatura dei fornitori, non l'obbligo di etichettatura dei deployer (ricontrollato su EUR-Lex il 15 ottobre 2026).
La Commissione ha pubblicato anche le Linee guida sugli obblighi di trasparenza dell'articolo 50 il 20 luglio 2026 (ricontrollato sulla pagina della biblioteca della Commissione il 15 ottobre 2026). Sono indicazioni pratiche, non legge.
Il limite, detto chiaramente
Il sigillo dà un'autodichiarazione datata. Non è la marcatura dell'articolo 50, e non aggiunge nessuna icona IA al vostro contenuto.
Swiss Trust Layer offre sei etichette di contenuto: HUMAN AUTHORED, HUMAN APPROVED, AI FREE, AI ASSISTED, AI MODIFIED e AI GENERATED. Per ogni contenuto e versione si applica esattamente un'etichetta AI. Le due etichette HUMAN richiedono un'identità verificata (spiegato qui). Sigillare blocca le dichiarazioni. Il certificato di prova elenca ogni file con il suo hash e la sua dichiarazione IA.
Le etichette sono un'autodichiarazione dell'utente, e il portale lo dice nel punto in cui le impostate. Non sono la marcatura leggibile da una macchina che l'articolo 50, paragrafo 2, chiede ai fornitori.
Quello che il sigillo dà a chi pubblica è più ristretto. Un'impronta crittografica del file, non il file, va a Swisscom Trust Services, il prestatore di servizi fiduciari qualificato. Questo firma l'impronta con una chiave che non lascia mai il suo hardware. Vi allega una marca temporale secondo RFC 3161. Il risultato è una registrazione datata di ciò che avete dichiarato sul contenuto. Per i contenuti fatti da esseri umani, mostra anche che il file esisteva in quella forma quel giorno.
Ai sensi dell'articolo 41, paragrafo 2, del regolamento eIDAS, una marca temporale qualificata gode della presunzione di accuratezza di data e ora e di integrità dei dati. Chiunque può controllare il PDF sigillato su swisstrustlayer.com/validate senza un account. La registrazione non prova chi ha scritto il file, se la dichiarazione è vera, o chi detiene i diritti.
Un passo per questa settimana
Indicate per nome la persona con responsabilità editoriale, poi dichiarate e sigillate un contenuto che avete pubblicato questo mese.
Se pubblicate testi scritti con l'aiuto dell'IA, stabilite chi detiene la responsabilità editoriale. Tenete pronti da pubblicare il suo nome, il suo ruolo e i suoi recapiti. Poi prendete un contenuto, dichiarate le sue etichette in modo onesto, e sigillatelo. Il sigillo non lo renderà conforme all'articolo 50. Mette una data su ciò che avete dichiarato. Il meccanismo è su come funziona. Come la dichiarazione appare sul certificato è in questo articolo.
Sigillate il vostro primo documento su Swiss Trust Layer e mettete una data su ciò che avete dichiarato.
