Il 2 agosto 2026 sono diventati applicabili gli obblighi di trasparenza dell’AI Act. Molti pezzi usciti in questi giorni la raccontano come se fosse l’entrata in vigore del regolamento, ma non è così. Il Regolamento (UE) 2024/1689, questo il nome ufficiale dell’AI Act, è in vigore dal 1° agosto 2024 e si applica per fasi successive. Quella di agosto 2026 è una tappa, e riguarda proprio le attività che un’organizzazione non profit fa tutti i giorni: produrre contenuti, gestire relazioni con i donatori, comunicare su temi delicati.
Qui ricostruiamo il quadro completo, con i riferimenti agli articoli del regolamento, perché guardare solo l’ultima scadenza dà un’idea parziale di cosa serve fare adesso e cosa arriverà.
Il regolamento classifica i sistemi di intelligenza artificiale in base al rischio che comportano per le persone. Più il rischio è alto, più gli obblighi sono stringenti, e più tempo viene concesso per adeguarsi. Lo schema seguente riassume le scadenze principali, con il riferimento normativo di ciascuna.
Data | Cosa diventa applicabile | Riferimento |
2 febbraio 2025 | Divieto delle pratiche a rischio inaccettabile; obbligo di Alfabetizzazione in materia di IA (AI literacy) | Art. 5; Art. 4 |
2 agosto 2025 | Obblighi per i fornitori di Modelli di IA per finalità generali (GPAI); governance europea; in Italia, AgID (Agenzia per l’Italia Digitale) e ACN (Agenzia per la Cybersicurezza Nazionale) | Capo V; Legge 132/2025 |
2 agosto 2026 | Obblighi di trasparenza (chatbot, contenuti sintetici, deepfake, testi di interesse pubblico, emozioni/biometria) | Art. 50 |
2 dicembre 2026 | Fine della finestra di adeguamento per la marcatura tecnica sui sistemi già sul mercato | Art. 50, comma 2 |
2 dicembre 2027 | Obblighi pieni per i sistemi ad alto rischio dell’Allegato III | Art. 6; Reg. (UE) 2026/1744 |
2 agosto 2028 | Obblighi per i sistemi ad alto rischio integrati in prodotti già regolati (Allegato I) | Reg. (UE) 2026/1744 |
Dal 2 febbraio 2025 sono vietate le pratiche a rischio inaccettabile, elencate dall’articolo 5. Tra queste: la manipolazione subliminale che altera il comportamento delle persone causando un danno significativo, lo sfruttamento delle vulnerabilità legate a età, disabilità o condizione economica, l’assegnazione di una valutazione o classificazione sociale delle persone fisiche (Social scoring) a persone o gruppi in base al loro comportamento (art. 5, comma 1, lettera c), il riconoscimento delle emozioni sul posto di lavoro o a scuola. Le violazioni di questo articolo sono le più sanzionate dell’intero regolamento: fino a 35 milioni di euro o al 7% del fatturato globale annuo.
Dalla stessa data è attivo l’obbligo di alfabetizzazione IA previsto dall’articolo 4: chi lavora con sistemi di intelligenza artificiale, come organizzazione o come persona, deve garantire un livello adeguato di competenza su come questi sistemi funzionano e quali rischi comportano. È un obbligo senza una sanzione specifica collegata, e per questo passa spesso inosservato, ma è in vigore da più di un anno.
Dal 2 agosto 2025 sono scattati gli obblighi per i fornitori di modelli di intelligenza artificiale per finalità generali, insieme al regime sanzionatorio e alla governance europea. In Italia, la legge di attuazione sull’IA ha definito la governance nazionale affidando le funzioni di autorità per l’intelligenza artificiale a due soggetti chiave: AgID (Agenzia per l’Italia Digitale), con compiti di promozione e vigilanza sullo sviluppo dell’IA, e ACN (Agenzia per la Cybersicurezza Nazionale), responsabile della vigilanza sulla sicurezza, sui modelli di IA per finalità generali (GPAI) e sulla gestione dei rischi cibernetici.
Dal 2 agosto 2026 sono applicabili gli obblighi dell’articolo 50. Sono cinque, distribuiti tra fornitore e deployer, e il chatbot che viene sempre citato per primo è solo uno dei cinque.
Ambito di applicazione (Oggetto dell’obbligo) | Obbligo di trasparenza previsti dall’Art. 50 | Soggetto obbligato | Riferimento normativo |
Sistemi di IA per interazione diretta (es. Chatbot, assistenti vocali) | Informare l’utente della natura artificiale dell’interazione (non oltre il primo contatto), salvo sia evidente dal contesto. | Fornitore (Provider) | Art. 50, comma 1 |
Generazione di contenuti sintetici (Audio, immagini, video, testi) | Marcatura dei contenuti e metadati di tracciabilità (Watermarking) leggibile dalle macchine e tracciabilità dell’output. | Fornitore (Provider) | Art. 50, comma 2 |
Riconoscimento emozioni e categorizzazione biometrica | Informare preventivamente le persone fisiche che sono esposte al funzionamento del sistema. | Deployer (Soggetto che impiega il sistema) | Art. 50, comma 3 |
Generazione di contenuti Deepfake | Dichiarazione chiara ed evidente al pubblico sul carattere artificiale del contenuto (al massimo al momento della prima esposizione). | Deployer (Soggetto che impiega il sistema) | Art. 50, comma 4 |
Testi informativi su questioni di interesse pubblico | Dichiarare l’uso dell’IA nella redazione, salvo che il contenuto sia stato sottoposto a revisione o controllo da parte di un responsabile editoriale umano. | Deployer (Soggetto che impiega il sistema) | Art. 50, comma 4 |
L’ultimo punto è quello che pesa più per chi lavora nel non profit: riguarda testi su diritti, salute, ambiente, migrazioni, e copre buona parte della produzione editoriale del settore. L’esenzione si attiva quando una persona rivede il testo e se ne assume la responsabilità, non per il solo fatto che l’IA abbia dato un contributo.
Le violazioni degli obblighi di questo articolo arrivano fino a 15 milioni di euro o al 3% del fatturato globale annuo, un tetto più basso di quello previsto per le pratiche vietate dell’articolo 5.
Il Parlamento Europeo ha diffuso un chiarimento operativo su questo punto: la forma dell’etichetta è libera, l’obbligo di dichiarazione no. Propone come riferimento tre livelli, utili anche solo per orientarsi:
Livello | Quando si applica |
AI | L’IA è intervenuta nella creazione di un deepfake, di un testo pubblicato, o è stata usata un’etichetta testuale personalizzata |
AI Generated | Il contenuto è interamente generato dall’IA, senza elementi creati da una persona né controllo editoriale (a parte il prompt) |
AI Modified | Un contenuto originale, fatto da una persona, è stato modificato con l’IA fino a diventare un deepfake o un testo di interesse pubblico |
Nel lavoro di comunicazione il caso più frequente è il terzo: si parte quasi sempre da materiale reale, e l’IA interviene su una parte.
A giugno 2026 il Consiglio dell’Unione Europea ha approvato il Digital Omnibus, pubblicato in Gazzetta il 24 luglio come Regolamento (UE) 2026/1744. Il pacchetto sposta le scadenze per i sistemi classificati ad alto rischio dall’articolo 6, quelli con obblighi di gestione del rischio, qualità dei dati, supervisione umana e certificazione elencati nell’Allegato III.
Gli obblighi pieni per questi sistemi slittano dal 2 agosto 2026 al 2 dicembre 2027. Rientrano in questa categoria, tra gli altri, i sistemi usati per selezionare il personale e quelli che valutano l’affidabilità creditizia. Per i sistemi integrati in prodotti già regolati da normativa di settore (Allegato I) la scadenza si sposta al 2 agosto 2028.
Per un’organizzazione non profit questa fase tocca meno la comunicazione e più l’area gestionale: screening automatico di candidature, valutazione algoritmica di richieste di aiuto o di progetti. Sono scenari meno frequenti, ma non impossibili per chi lavora su grandi volumi.
Da tempo discutiamo su come l’intelligenza artificiale entra nel lavoro delle organizzazioni non profit, e la domanda che ci sembra più utile non riguarda se usarla. È uno strumento diffuso, che non vogliamo mettere in discussione ma utilizzare con criterio, con un chiaro perimetro di utilizzo.
C’è infatti un uso che rafforza il lavoro delle persone, supporta competenze che già esistono nel settore, migliora la relazione con chi dona attraverso strumenti che molte organizzazioni usano già.
Per un settore che si regge sulla fiducia di donatori, sostenitori e beneficiari, questa differenza pesa. La trasparenza richiesta dall’articolo 50 coincide con qualcosa che un’organizzazione non profit dovrebbe già praticare per conto suo e che in molti casi già faceva.
Quando si parla di trasparenza e uso dell’intelligenza artificiale, è fondamentale non isolare l’AI Act dal Regolamento Generale sulla Protezione dei Dati (GDPR). Se l’AI Act norma la trasparenza dello strumento e l’impatto algoritmico, il GDPR continua a tutelare i dati personali che alimentano questi sistemi.
Per un’organizzazione non profit, questo nesso è quotidiano: l’analisi del database dei donatori, la segmentazione delle liste o l’uso di dati di beneficiari per addestrare o interrogare modelli IA richiedono sia l’informativa ex Art. 50 dell’AI Act, sia il rispetto delle basi giuridiche e del principio di minimizzazione previsti dal GDPR. Rispettare la trasparenza sull’IA senza verificare le garanzie privacy dei software utilizzati rischia di creare una pericolosa falsa sicurezza.
Il punto di partenza è capire quali strumenti di intelligenza artificiale l’organizzazione sta usando, e in quale ruolo si trova per ciascuno: chi fornisce un sistema ha obblighi diversi da chi lo utilizza. Spesso emergono strumenti che nessuno aveva mappato, integrati in piattaforme adottate per altri motivi.
Poi serve verificare due cose. La prima riguarda i contenuti: chi rivede e approva quello che viene prodotto con supporto IA prima che diventi pubblico, e se quella revisione lascia una traccia. La seconda riguarda i sistemi già attivi: se esiste un chatbot, un assistente o uno strumento di analisi del sentiment, l’informativa alle persone deve esserci.
Guardando più avanti, conviene tenere d’occhio l’area gestionale, dove si giocherà la fase del 2027.
La conformità dell’organizzazione non si esaurisce dentro le mura della propria sede. Spesso la produzione di contenuti, la gestione delle campagne o la creazione di materiali grafici e video vengono delegate ad agenzie di comunicazione, professionisti esterni o creator.
L’obbligo di trasparenza ex Art. 50 ricade sull’organizzazione in qualità di deployer quando pubblica o diffonde tali contenuti. Diventa quindi indispensabile fare due cose:
Per passare dalla teoria alla pratica e garantire la piena conformità senza paralizzare il lavoro quotidiano, ogni non profit può seguire questa roadmap operativa in quattro passi:
Inizia censendo tutte le tecnologie impiegate nei vari reparti (raccolta fondi, comunicazione, risorse umane, progetti):
Per ciascun software censito, chiarisci se l’organizzazione agisce come semplice utilizzatore di uno strumento terzo (deployer) o se ha commissionato la personalizzazione di un sistema proprietario (fornitore), così da identificare la corretta responsabilità legale.
Onde evitare di dover bollare ogni testo pubblicato sul sito o nei comunicati con l’etichetta “AI Generated”, formalizza un registro interno in cui sia chiaro chi (persona fisica identificabile) rivede, verifica e si assume la responsabilità editoriale finale del contenuto prima della messa online.
Verifica che sul sito web, nei form di contatto e nelle finestre di chat sia presente una dicitura chiara ed evidente che informi le persone quando stanno interagendo con un sistema automatizzato o con un’IA.