Dal 23 ottobre 2026 l’AI Act ha in Italia un’autorità che controlla e sanziona. Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale dell’8 ottobre, affida all’Agenzia per la cybersicurezza nazionale (ACN) la vigilanza sui sistemi di intelligenza artificiale e fissa le multe. Per chi vende online l’obbligo più vicino è l’articolo 50 del regolamento, applicabile dal 2 agosto 2026: chatbot e deepfake vanno dichiarati. Non tutto ciò che viene creato con l’AI, però, va etichettato.
Che cosa chiede l’articolo 50 dell’AI Act a chi vende online?
L’articolo 50 del regolamento (UE) 2024/1689, l’AI Act, impone quattro obblighi di trasparenza: dichiarare i sistemi che dialogano con le persone, marcare i contenuti sintetici, informare su riconoscimento delle emozioni e categorizzazione biometrica, etichettare i deepfake e certi testi. Per un ecommerce contano soprattutto il primo e l’ultimo.
Il regolamento distingue due ruoli. Il fornitore sviluppa il sistema e lo immette sul mercato; il deployer lo usa sotto la propria autorità per uno scopo professionale. Un negozio che integra il chatbot di un’azienda specializzata o usa un generatore di immagini è, di norma, deployer.
Ai fornitori spetta progettare i sistemi conversazionali in modo che le persone sappiano di parlare con un’AI e marcare in formato leggibile dalle macchine i contenuti sintetici. Ai deployer spettano l’informativa sul riconoscimento delle emozioni e sulla categorizzazione biometrica e la dichiarazione dei deepfake e dei testi generati pubblicati per informare su questioni di interesse pubblico. Le informazioni vanno date in modo chiaro e distinguibile, al più tardi alla prima interazione o esposizione.
La Commissione europea ha pubblicato il 10 giugno 2026 un codice di buone pratiche sulla trasparenza dei contenuti generati, con icone comuni per l’etichettatura, e il 20 luglio 2026 le linee guida sull’articolo 50.
Quando il chatbot di un ecommerce deve dichiarare di essere un’AI?
Un chatbot di assistenza o di vendita deve far capire al cliente, fin dal primo messaggio, che sta parlando con un sistema di intelligenza artificiale. L’unica eccezione è il caso in cui questo sia ovvio per una persona ragionevolmente informata, e le linee guida della Commissione la interpretano in modo restrittivo.
L’obbligo formale è del fornitore, ma il negozio ha interesse a verificarlo prima della messa online. Secondo le linee guida, un avviso inserito nei termini e condizioni o nella documentazione non basta. La soluzione più semplice è una frase all’apertura della chat, come «Sono un assistente virtuale basato sull’intelligenza artificiale», ripresa in modo stabile nell’interfaccia.
Lo stesso vale su WhatsApp e sugli altri canali di messaggistica, e per gli assistenti vocali, dove l’avviso va dato a voce all’inizio della conversazione. Con modelli vocali sempre più naturali, come quelli descritti nell’analisi su GPT-Live-1 e il commercio vocale, l’eccezione dell’ovvio diventa ancora più difficile da sostenere.
Foto prodotto e modelli generati con l’AI: quando serve l’etichetta
Serve un’etichetta visibile quando l’immagine o il video generato con l’AI è un deepfake, cioè somiglia a persone, oggetti, luoghi o eventi reali e può sembrare autentico. Per un negozio online il caso tipico sono le modelle generate e le foto che mostrano il prodotto diverso da com’è.
La definizione è nell’articolo 3, punto 60, dell’AI Act. Secondo la sintesi delle linee guida pubblicata dallo studio legale Bird & Bird, vi rientra l’immagine di un prodotto, in pubblicità o sulla confezione, che può ingannare sull’aspetto, sulle caratteristiche o sull’uso reale del prodotto. Diverse analisi indicano tra i casi da etichettare anche le modelle e i modelli sintetici dall’aspetto realistico, pure quando non riproducono una persona esistente. I ritocchi ordinari che non alterano la sostanza, come la correzione della luce o la pulizia dello sfondo, in genere restano fuori.
Sempre secondo queste analisi, l’etichetta riguarda la singola immagine e non l’intera scheda: in una galleria di sei foto di cui due generate, l’avviso va sulle due. Con la diffusione delle foto prodotto generate dall’AI le piattaforme si muovono per conto loro: Amazon ha introdotto regole sulle persone sintetiche nelle schede che chiedono ai venditori di dichiararle.
Le descrizioni prodotto scritte con l’AI non vanno dichiarate
Nell’AI Act le descrizioni prodotto e i testi pubblicitari scritti con l’AI non richiedono un’etichetta. L’obbligo riguarda solo i testi pubblicati per informare il pubblico su questioni di interesse pubblico. Restano però valide le regole italiane sulle pratiche commerciali ingannevoli.
Le linee guida, secondo le analisi pubblicate, citano espressamente testi pubblicitari e descrizioni prodotto tra quelli esclusi. Un blog aziendale che pubblica notizie di attualità generate con l’AI può invece rientrare nell’obbligo, salvo che il testo sia sottoposto a revisione umana o a controllo editoriale e qualcuno ne abbia la responsabilità.
L’assenza di etichetta non rende lecito qualunque testo. Il Codice del Consumo (decreto legislativo 6 settembre 2005, n. 206) vieta le pratiche commerciali ingannevoli dall’articolo 20 in poi: una descrizione generata che attribuisce al prodotto caratteristiche che non ha resta ingannevole, chiunque l’abbia scritta. L’articolo 23, comma 1, lettere bb-ter) e bb-quater), introdotte dal decreto legislativo 7 marzo 2023, n. 26, considera inoltre in ogni caso ingannevoli le recensioni non verificate e quelle false, come ricorda l’approfondimento sulla direttiva Omnibus per gli ecommerce.
Le scadenze dell’articolo 50 e le novità dal 2 dicembre
Gli obblighi dell’articolo 50 si applicano dal 2 agosto 2026 e il Digital Omnibus, il regolamento (UE) 2026/1744, li ha rinviati in un solo caso: per i sistemi generativi già sul mercato prima di quella data, la marcatura tecnica dei contenuti scatta il 2 dicembre 2026.
È un obbligo dei fornitori degli strumenti, non di chi li usa. Lo prevede il nuovo articolo 111, paragrafo 4, dell’AI Act. Per chi vende online la data da ricordare resta quindi il 2 agosto 2026: da allora valgono sia l’avviso sui chatbot sia l’etichetta sui deepfake.
Lo stesso regolamento, in vigore dal 27 luglio 2026, ha spostato gli obblighi per i sistemi ad alto rischio al 2 dicembre 2027 per quelli dell’allegato III e al 2 agosto 2028 per quelli dell’allegato I. Dal 2 dicembre 2026 introduce invece due nuovi divieti nell’articolo 5: i sistemi di AI che generano materiale di abuso sessuale su minori e quelli che creano o manipolano, senza consenso, immagini, audio o video che ritraggono parti intime o attività sessuali di una persona.
Le linee guida della Commissione, secondo le analisi pubblicate finora, escludono l’etichettatura retroattiva: i contenuti generati e pubblicati prima del 2 agosto 2026 non vanno etichettati a posteriori. Per quelli generati o pubblicati da quella data l’etichetta serve ogni volta che si tratta di deepfake.
Le sanzioni previste per ecommerce e chi controlla in Italia
Dal 23 ottobre 2026 l’autorità di vigilanza del mercato per l’AI Act è l’Agenzia per la cybersicurezza nazionale (ACN), mentre l’Agenzia per l’Italia digitale (AgID) è l’autorità di notifica. Per la violazione degli obblighi di trasparenza il decreto 179/2026 prevede multe fino a 15 milioni di euro o al 3% del fatturato a livello mondo.
Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, attua la delega dell’articolo 24 della legge 23 settembre 2025, n. 132, che all’articolo 20 aveva designato AgID e ACN come autorità nazionali.
L’articolo 23 fissa gli importi massimi, salvo che il fatto costituisca reato: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate dall’articolo 5 dell’AI Act; fino a 15 milioni o al 3% per gli obblighi di fornitori, importatori, distributori e deployer, tra cui, secondo le analisi del testo, quelli dell’articolo 50. Per le PMI l’articolo 99, paragrafo 6, dell’AI Act prevede che valga il più basso tra importo fisso e percentuale.
Deepfake di persone reali è il reato penale
Usare con l’AI il volto o la voce di una persona reale senza il suo consenso può essere un reato in Italia. L’articolo 612-quater del Codice penale, introdotto dalla legge 132/2025, punisce con la reclusione da uno a cinque anni chi diffonde senza consenso immagini, video o voci falsificati con l’AI, quando causano un danno ingiusto.
La norma, inserita dall’articolo 26, comma 1, lettera c), della legge 132/2025, in vigore dal 10 ottobre 2025, richiede che il contenuto sia idoneo a ingannare sulla sua genuinità. Per un ecommerce il rischio concreto è il testimonial ricreato: un video promozionale con il volto di un’ex collaboratrice, di un cliente o di un personaggio noto, generato senza autorizzazione. L’etichetta prevista dall’AI Act non sostituisce il consenso: dichiarare che un contenuto è artificiale non autorizza a usare il volto o la voce di qualcuno.
Sanzioni per contenuti creati con AI e chatbot
Sanzioni basate sull’articolo 50 dell’AI Act in Italia non risultano ancora: i poteri dell’ACN partono il 23 ottobre 2026. Le autorità italiane, però, sono già intervenute sui chatbot con altre norme, dalla protezione dei dati alla tutela dei consumatori, e quei casi mostrano dove si concentra la loro attenzione.
Il Garante per la protezione dei dati personali ha sanzionato OpenAI per 15 milioni di euro con un provvedimento del 2 novembre 2024, contestando tra l’altro l’addestramento di ChatGPT senza un’adeguata base giuridica e la violazione degli obblighi di trasparenza verso gli utenti. La sanzione è stata sospesa in via cautelare con un’ordinanza del 21 marzo 2025, dietro cauzione, in attesa del giudizio. Il 19 maggio 2025 il Garante ha multato per 5 milioni di euro Luka Inc., la società del chatbot Replika, per mancanza di base giuridica, informative inadeguate e assenza di verifica dell’età.
L’Autorità garante della concorrenza e del mercato (AGCM) ha usato invece il Codice del Consumo. Tra il 2025 e il 2026 ha condotto tre istruttorie nei confronti di DeepSeek, Mistral AI e della società che offre il servizio Nova AI, per l’assenza di avvisi chiari sulle «allucinazioni», le risposte inesatte o inventate. Si sono chiuse con l’accettazione degli impegni, senza accertamento di infrazione: le società hanno introdotto avvisi permanenti in italiano sotto le chat. Nel caso DeepSeek l’unico avviso presente era generico e in inglese. Se gli impegni non vengono rispettati, l’AGCM può riaprire i procedimenti e applicare multe da 10.000 euro a 10 milioni.
La lezione per un negozio online è doppia: un avviso sull’AI deve essere chiaro, visibile e nella lingua del cliente, e le autorità possono intervenire anche con norme diverse dall’AI Act.
Chi vende all’estero: stesse regole in Europa, altre fuori
Dentro l’Unione europea l’articolo 50 è uguale per tutti e si applica ogni volta che i contenuti generati raggiungono persone nell’Unione, ma ogni Paese ha la sua autorità di controllo. Fuori dall’Unione valgono norme diverse, che vanno verificate mercato per mercato.
Per chi spedisce in Francia, Germania o Spagna cambiano soltanto l’autorità competente e la lingua in cui l’avviso deve essere comprensibile, perché l’AI Act è un regolamento direttamente applicabile in tutti gli Stati membri. Chatbot ed etichette vanno quindi localizzati, e le icone comuni del codice di buone pratiche aiutano a mantenere lo stesso segno in tutti i mercati.
Nel Regno Unito non esiste un obbligo generale di etichettatura dei contenuti generati: intervengono le regole su dati personali, proprietà intellettuale e sicurezza online. Negli Stati Uniti la Federal Trade Commission applica dal 21 ottobre 2024 una regola che vieta recensioni e testimonianze false, comprese quelle generate con l’AI, con sanzioni civili che all’entrata in vigore arrivavano a 51.744 dollari per violazione. Per chi vende in più mercati conviene adottare come regola interna lo standard europeo, il più dettagliato tra quelli citati.
Cosa deve fare adesso un ecommerce per rispettare l’AI Act?
La prima cosa da fare è un inventario di tutti gli usi dell’AI che arrivano al cliente: chatbot, assistenti vocali, immagini, video, testi. Per ciascuno va deciso se serve un avviso, un’etichetta o nessuna azione, e la decisione va messa per iscritto.
- chatbot e assistenti vocali: avviso all’apertura della conversazione, nelle lingue dei mercati serviti, e impegno del fornitore sul rispetto dell’articolo 50 scritto nel contratto;
- immagini e video: un registro dei contenuti generati o modificati, con il criterio usato per decidere se sono deepfake e l’etichetta applicata;
- testi: revisione umana delle descrizioni e dei contenuti editoriali, nessuna recensione generata;
- persone reali: consenso scritto per ogni uso di volto o voce, anche quando il contenuto è dichiarato artificiale;
- fornitori di strumenti generativi: informazioni sulla marcatura dei contenuti, obbligatoria anche per i sistemi già sul mercato dal 2 dicembre 2026;
- personale: formazione di chi usa questi strumenti, tema dell’approfondimento sull’alfabetizzazione AI.
Registro e motivazioni scritte sono anche la prima risposta a richieste dell’ACN o reclami dei clienti.
NB. Questo articolo ha carattere informativo e non costituisce consulenza legale. Per ogni caso specifico è opportuno rivolgersi a un avvocato.
Domande frequenti su AI Act, rischi, responsabilità, sanzioni
Un piccolo ecommerce rischia davvero una sanzione da 15 milioni di euro?
Il tetto di 15 milioni di euro o del 3% del fatturato mondiale è un massimo, non un importo fisso. Per le PMI l’AI Act prevede che si applichi il valore più basso tra cifra e percentuale, e l’autorità gradua la multa in base a gravità, durata e comportamento dell’impresa. Per un piccolo negozio il rischio più concreto sono ordini correttivi e contestazioni dei clienti.
Se il chatbot è di un fornitore esterno, chi è responsabile?
L’obbligo di far sapere al cliente che parla con un’AI ricade sul fornitore, che deve progettare il sistema in questo modo. Il negozio che lo usa è però il soggetto che il cliente vede e risponde delle proprie pratiche commerciali. Conviene quindi verificare l’avviso prima della messa online e inserire nel contratto un impegno esplicito del fornitore sul rispetto dell’articolo 50.
Bisogna etichettare le immagini generate prima del 2 agosto 2026?
No, secondo le linee guida della Commissione l’obbligo non è retroattivo: i contenuti generati prima del 2 agosto 2026 non vanno etichettati a posteriori. Per tutto ciò che viene generato da quella data l’obbligo vale pienamente, comprese le nuove immagini caricate su schede già online. Conviene registrare la data di creazione di ogni immagine, per poterla dimostrare in caso di controlli.
L’etichetta serve anche nei post social e nelle inserzioni?
Sì, se il contenuto è un deepfake: l’obbligo dell’articolo 50 riguarda il contenuto, non il canale, e vale per siti, social, inserzioni e newsletter. Secondo le analisi pubblicate, le linee guida lasciano poco spazio a etichette ridotte nella pubblicità. Molte piattaforme hanno inoltre regole proprie sulla dichiarazione dei contenuti generati, che si sommano a quelle di legge.
Le recensioni scritte con l’AI sono vietate?
Sì, se vengono presentate come recensioni di clienti reali. L’articolo 23, comma 1, lettera bb-quater), del Codice del Consumo considera in ogni caso ingannevole inviare o far inviare recensioni false per promuovere prodotti. L’AI può aiutare a riassumere recensioni autentiche o a rispondere ai clienti, ma non a crearne di nuove attribuite a persone che non hanno acquistato.
