Marcatura IA: dal 2 dicembre 2026 obblighi UE, in Italia vigila l’ACN

Marcatura dei contenuti IA secondo il regolamento UE sull’intelligenza artificiale (AI Act): dal 2 dicembre 2026 i fornitori di sistemi di IA generativa già sul mercato devono marcare in modo leggibile da macchina immagini, video, audio e testi. In Italia vigilano l’ACN e l’AgID, designate dal decreto legislativo 179/2026.

Il 2 dicembre 2026 scade nell’Unione Europea (UE) un importante periodo transitorio sulla marcatura dei contenuti generati dall’intelligenza artificiale. Riguarda i fornitori di sistemi di IA generativa già presenti sul mercato prima del 2 agosto 2026, che devono marcare immagini, video, audio e testi generati dall’IA in modo leggibile da macchina, ad esempio tramite metadati o filigrane digitali. Per gli utenti questo non significa che da quella data ogni testo o immagine generati dall’IA porti automaticamente un’indicazione visibile. Gli avvisi visibili per le persone sono disciplinati altrove nel regolamento UE sull’IA e riguardano i “deployer” (gli utilizzatori professionali del sistema) solo in casi specifici.

La base giuridica è l’articolo 50 del regolamento (UE) 2024/1689, modificato dal regolamento “omnibus” sull’IA (UE) 2026/1744. La Commissione europea ha spiegato gli obblighi nelle sue domande e risposte sull’articolo 50. In Italia, il quadro delle autorità competenti è stato completato dal decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026. Perché questi marchi reggono poco nei testi lo spiega il nostro commento dell’editore sulle filigrane IA.

Cosa vale dal 2 dicembre

L’articolo 50 del regolamento sull’IA si applica in linea di principio dal 2 agosto 2026. Per i fornitori di sistemi di IA che generano contenuti sintetici audio, immagine, video o testo e che erano già stati immessi sul mercato prima di quella data, il regolamento modificato prevede una regola transitoria limitata: devono completare i passi necessari per conformarsi all’articolo 50, paragrafo 2, entro il 2 dicembre 2026. Per i sistemi immessi sul mercato dal 2 agosto in poi, gli obblighi valgono già dalla loro immissione sul mercato.

La norma riguarda anzitutto i fornitori dei sistemi, cioè le persone fisiche o giuridiche che sviluppano un sistema, o lo fanno sviluppare, e lo immettono sul mercato dell’UE o lo mettono in servizio con il proprio nome o marchio. Secondo la Commissione, gli obblighi possono riguardare anche fornitori stabiliti fuori dall’UE, se gli output del loro sistema vengono utilizzati nell’Unione — una condizione che riguarda direttamente anche le aziende italiane che usano servizi di IA generativa di fornitori extra-UE rivolti al mercato italiano.

È richiesto che gli output generati o manipolati vengano marcati in un formato leggibile da macchina e resi tecnicamente riconoscibili. Le soluzioni devono essere efficaci, interoperabili, solide e affidabili, nei limiti del tecnicamente fattibile. Il regolamento tiene conto al tempo stesso dei limiti propri dei diversi tipi di contenuto, dei costi e dello stato della tecnica.

Esistono eccezioni: l’obbligo di marcatura non si applica, ad esempio, quando un sistema svolge solo una funzione di supporto per una modifica standard, oppure quando non altera in modo sostanziale i dati forniti dall’utente o il loro significato. La delimitazione concreta dipende dall’uso specifico; la Commissione illustra alcuni esempi nelle sue linee guida sugli obblighi di trasparenza.

Leggibile da macchina non significa visibile

Una marcatura leggibile da macchina deve permettere ai sistemi tecnici di riconoscere un output dell’IA come generato o modificato artificialmente. Può essere invisibile per l’utente. Ne consegue che la marcatura del fornitore non sostituisce automaticamente un avviso visibile, quando un deployer è a sua volta tenuto alla divulgazione ai sensi dell’articolo 50, paragrafo 4.

Al contrario, il periodo transitorio non impone a ogni privato cittadino di etichettare visibilmente le proprie foto delle vacanze generate con l’IA a partire dal 2 dicembre. Il regolamento distingue espressamente tra gli obblighi del fornitore e quelli del deployer. Inoltre, secondo le indicazioni della Commissione, i contenuti già creati e resi disponibili prima del 2 agosto 2026 non devono essere marcati retroattivamente.

Chi vigila in Italia: ACN e AgID

Ogni Stato membro dell’UE deve designare un’autorità di notifica e un’autorità di vigilanza del mercato ai sensi dell’articolo 70 del regolamento sull’IA. In Italia questo compito è stato assolto dal decreto legislativo 7 ottobre 2026, n. 179, che attua la legge nazionale sull’intelligenza artificiale (legge 23 settembre 2025, n. 132).

Il decreto assegna all’Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità di vigilanza del mercato e di punto di contatto unico verso la Commissione europea, con poteri di vigilanza e ispettivi. All’Agenzia per l’Italia Digitale (AgID) spetta invece il ruolo di autorità di notifica, competente per la valutazione, la designazione e il controllo degli organismi che certificano la conformità dei sistemi di IA. Per alcuni ambiti specifici restano competenti anche Banca d’Italia, CONSOB, IVASS e il Garante per la protezione dei dati personali, ciascuno nel proprio settore di vigilanza.

Secondo l’articolo 1, comma 2, del decreto, ACN e AgID sono qualificate entrambe come “autorità nazionali per l’intelligenza artificiale” competenti ad applicare il regolamento (UE) 2024/1689 in Italia.

Per le aziende italiane che forniscono sistemi di IA generativa, questo significa in pratica che eventuali contestazioni sulla marcatura degli output dal 2 dicembre 2026 in poi vengono gestite dall’ACN, mentre le questioni di certificazione e notifica degli organismi di valutazione passano dall’AgID.

Cosa vale per l’uso privato e i contenuti più vecchi

La Commissione distingue tra uso privato, non professionale, e utilizzo professionale o commerciale. Chi usa l’IA esclusivamente a titolo privato non è considerato deployer ai sensi di queste disposizioni. Se invece l’IA viene impiegata regolarmente con finalità economica o nell’ambito di un’attività professionale, la persona o l’organizzazione può rientrare nella categoria di deployer.

Per i consumatori italiani è quindi importante non confondere un’indicazione di origine leggibile da macchina con un avviso visibile. In alcuni casi di deepfake o di testi su temi di interesse pubblico non sottoposti a controllo redazionale, può essere richiesto un avviso visibile. In tutti gli altri casi, l’obbligo dipende dal sistema concreto e dal ruolo specifico. Le regole UE sulla trasparenza dell’IA non modificano le altre normative applicabili, ad esempio quelle sul diritto alla riservatezza o sul diritto d’autore.

La vostra opinione: Per i contenuti generati dall’IA sarebbe meglio un avviso visibile, una prova tecnica di origine, o entrambi?

Scriveteci la vostra opinione nei commenti.

Fonti e aggiornamento

• Regolamento (UE) 2024/1689 consolidato, in particolare l’articolo 50 e la regola transitoria dell’articolo 111.
• Regolamento (UE) 2026/1744 di modifica del regolamento sull’IA (“omnibus”).
• Commissione europea: obblighi di trasparenza ai sensi dell’articolo 50 – domande e risposte.
• Decreto legislativo 7 ottobre 2026, n. 179, Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 (autorità nazionali per l’intelligenza artificiale).

Data di ricerca e redazione: 9 novembre 2026.

Nota di trasparenza: nella ricerca, nella strutturazione e nella stesura di questo articolo sono stati utilizzati strumenti basati sull’IA. Le fonti utilizzate sono indicate nell’articolo. La pubblicazione avviene solo dopo l’approvazione redazionale manuale. Adattamento per l’Italia di un articolo di Trend del Web, basato sullo stesso obbligo UE con l’aggiunta del quadro istituzionale italiano (ACN, AgID) ricercato autonomamente.