Se sul tuo sito c'è un chatbot che risponde ai clienti, dal 2 agosto 2026 hai un obbligo nuovo: dire chiaramente che stanno parlando con un'intelligenza artificiale. Lo impone l'articolo 50 dell'AI Act, ed è la parte del regolamento che tocca più aziende italiane in assoluto, perché non riguarda chi costruisce modelli ma chi li usa: un ristorante con il bot delle prenotazioni, uno studio dentistico con l'assistente virtuale, un e-commerce con il supporto automatico.
Io costruisco chatbot e automazioni per attività locali e PMI, e questo obbligo è entrato nelle mie checklist di consegna prima che scattasse. In questa guida spiego in modo pratico cosa chiede la norma, cosa scade il 2 dicembre 2026, quanto rischia chi ignora tutto e i sette controlli che faccio su ogni chatbot AI Act in produzione.
Cosa dice l'articolo 50 dell'AI Act sui chatbot
L'articolo 50 introduce obblighi di trasparenza per quattro categorie: sistemi che interagiscono con le persone, sistemi che generano contenuti sintetici, deepfake e testi di interesse pubblico generati dall'AI. Il chatbot sul sito rientra nella prima. La regola è semplice: l'utente deve sapere che sta interagendo con un sistema di intelligenza artificiale, a meno che non sia già ovvio dal contesto per una persona ragionevolmente attenta.
Il punto sta in quel "ovvio dal contesto". Un bot che si chiama "Assistente virtuale" con un'icona da robot forse lo è. Un bot che si presenta come "Giulia del servizio clienti", con foto e nome di persona, no. E il dubbio si risolve in un solo modo: dichiararlo. Un avviso costa una riga di testo, un'ispezione costa molto di più.
Ci sono poi gli obblighi di marcatura: i contenuti generati o modificati dall'AI (testo, audio, immagini, video) devono essere resi riconoscibili con marcatori leggibili automaticamente. Per un chatbot che risponde solo in chat l'impatto è limitato, ma se lo stesso sistema produce email, preventivi o descrizioni prodotto che poi vengono pubblicati, la marcatura entra in gioco.
Le date che contano: 2 agosto e 2 dicembre 2026
- 2 agosto 2026: gli obblighi dell'articolo 50 sono applicabili. Da questa data l'AI Office della Commissione e le autorità nazionali hanno avviato la vigilanza. Per il chatbot sul sito, l'obbligo di dichiararsi AI vale già oggi.
- 2 dicembre 2026: scade la finestra transitoria concessa dal Digital Omnibus per la marcatura tecnica dei contenuti generati da sistemi già sul mercato prima del 2 agosto. Riguarda soprattutto i fornitori, ma se il tuo chatbot è in produzione da più di un anno e genera contenuti che escono dalla chat, è la data da segnare.
- Linee guida della Commissione (20 luglio 2026): non sono vincolanti, ma sono il riferimento che le autorità di vigilanza useranno nei 27 Stati membri per valutare la conformità.
- Codice di condotta sulla trasparenza: pubblicato il 10 giugno 2026, adesione volontaria, oltre 180 organizzazioni firmatarie. Traduce l'articolo 50 in misure tecniche concrete, tra cui l'icona europea per i contenuti generati dall'AI.
In Italia si aggiunge la legge 132/2025 sull'intelligenza artificiale e i decreti attuativi approvati in esame preliminare il 10 giugno 2026, che adeguano la normativa nazionale al regolamento europeo. Non cambiano l'obbligo di base, ma definiscono chi controlla e come.
Quanto rischi se il chatbot non è conforme
La violazione degli obblighi di trasparenza prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato globale annuo, a seconda di quale valore sia più alto. Per una piccola attività la cifra reale sarà proporzionata, ma il punto non è la multa massima: è che dal 2 agosto le autorità possono chiedere conto, e nel frattempo il Digital Omnibus ha semplificato molte altre parti del regolamento proprio per concentrare l'attenzione su ciò che è rimasto obbligatorio. La trasparenza è rimasta.
C'è anche un costo che nessuna norma quantifica: la fiducia. Un cliente che scopre dopo dieci messaggi di aver parlato con un bot che fingeva di essere una persona non torna. Un cliente a cui lo dici subito, e che riceve comunque una risposta utile, sì.
Fornitore o deployer: di chi è la responsabilità
La norma distingue due ruoli. Il fornitore è chi sviluppa il sistema AI: deve rendere i contenuti generati rilevabili in modo tecnico, con marcatura leggibile dalle macchine. Il deployer è chi usa il sistema nella propria attività: deve informare in modo visibile le persone che ci interagiscono.
Se hai comprato un chatbot pronto da una piattaforma, sei il deployer. L'avviso "stai parlando con un'AI" è tuo, non del fornitore, anche se la piattaforma non lo mostra di default. Se il chatbot te l'ho costruito io su misura, l'avviso lo metto io in fase di consegna, ma la responsabilità di tenerlo attivo resta di chi gestisce il sito.
La checklist in 7 punti che applico a ogni chatbot
- Avviso all'apertura. Il primo messaggio del bot dichiara che è un assistente automatico basato su AI. Non nella privacy policy, non in un tooltip: nel primo messaggio.
- Niente identità umane finte. Nome, avatar e tono non devono far credere di parlare con una persona. "Assistente di [nome attività]" va bene; "Marco, il tuo consulente" con foto stock no.
- Passaggio a un umano dichiarato. Se in un punto della conversazione subentra una persona reale, il cambio va reso esplicito. Anche il contrario: se dopo l'operatore torna il bot, va detto.
- Informativa privacy collegata. Il chatbot tratta dati personali: serve un'informativa che dica quale modello elabora le conversazioni, dove sono i server e per quanto tempo si conservano i log. Questo è GDPR, non AI Act, ma le due cose si controllano insieme.
- Marcatura dei contenuti che escono dalla chat. Se il bot genera email, preventivi o testi che finiscono su altri canali, va deciso come marcarli. Con la scadenza del 2 dicembre per i sistemi già in uso.
- Registro dei sistemi AI in uso. Un documento, anche di una pagina, che elenca quali sistemi AI usa l'attività, con quale ruolo e quale fornitore. È la prima cosa che un'autorità chiede, ed è lo stesso lavoro di mappatura che ho descritto quando l'UE ha avviato i primi controlli.
- Scelta del modello coerente con i dati. Un chatbot per una clinica non può passare i dati dei pazienti a un'API fuori dall'UE senza una valutazione. La scelta del modello è una decisione di conformità, non solo di costo: ne ho scritto confrontando Gemini 3.8 Flash e Pro per i chatbot di primo livello.
Come lo implemento in pratica
Il messaggio di apertura lo scrivo così, e lo adatto al tono dell'attività: "Ciao, sono l'assistente automatico di [attività], basato su intelligenza artificiale. Posso aiutarti con orari, prenotazioni e informazioni sui servizi. Se preferisci parlare con una persona, scrivilo e ti metto in contatto." Tre frasi: dichiara la natura del sistema, dice cosa sa fare, offre l'uscita verso un umano.
Nel widget aggiungo un'etichetta fissa, tipo "Assistente AI", visibile anche a chi non legge il primo messaggio. Nel backend registro data e ora in cui l'avviso è stato mostrato, così se un giorno serve dimostrarlo, il log c'è. Sono dettagli da un'ora di lavoro che rendono difendibile tutto il resto.
Se ti stai chiedendo se un chatbot ti serva davvero, prima della conformità vale la pena leggere quando un chatbot ha senso e quando no. E per il quadro completo di cosa è scattato ad agosto, c'è la guida su cosa cambia con l'AI Act per le PMI.
Cosa fare oggi
Apri il tuo sito, avvia il chatbot e leggi il primo messaggio. Se non dice che è un'AI, sei fuori norma da un mese. Sistemarlo è questione di minuti se hai accesso alla configurazione, di un'email al fornitore se non ce l'hai. Poi metti in calendario il 2 dicembre per la marcatura dei contenuti, e scrivi la pagina del registro sistemi AI: un pomeriggio, una volta sola.
Se vuoi che controlli il chatbot che hai già, o che ne costruisca uno conforme dal primo giorno, con avviso, passaggio a umano e modello scelto in base ai dati che tratti, scrivimi. Lo sviluppo di web app e chatbot per attività locali è il mio lavoro, e la conformità non è un extra: è parte della consegna.
