Un chatbot aziendale che interagisce direttamente con persone spesso deve rendere chiaro che l’interazione avviene con un sistema di intelligenza artificiale. Ma la risposta corretta non dipende dal nome “chatbot”: dipende da che sistema è, da come interagisce, da chi ne è provider e dal fatto che la sua natura artificiale sia già davvero evidente nel contesto.
La risposta dipende dal sistema e dal ruolo
Dal 2 agosto 2026, l’articolo 50(1) dell’AI Act richiede al provider di progettare e sviluppare un sistema di IA destinato a interagire direttamente con persone in modo che queste sappiano di interagire con un sistema di IA, salvo che ciò sia già ovvio nelle circostanze e nel contesto d’uso.
Quando la regola si applica, l’informazione deve essere chiara, distinguibile e accessibile, al più tardi al momento della prima interazione.
Questo non significa che ogni interfaccia chiamata chatbot abbia lo stesso obbligo, né che l’azienda che la utilizza sia automaticamente il provider. Prima di decidere che cosa mostrare occorre verificare:
- se l’interfaccia rientra nella definizione di sistema di IA;
- se esiste uno scambio autentico e bidirezionale;
- se l’IA interagisce direttamente con una persona fisica;
- chi è il provider del sistema effettivamente messo in servizio;
- se la natura artificiale sia già oggettivamente evidente.
Segui il sistema, l’interazione e il ruolo del provider prima di decidere quale informazione serve al primo contatto.
L’interfaccia è un sistema di IA?
Verifica il comportamento tecnico reale, non l’etichetta del prodotto.
Sì — continuaConsente un vero scambio a due vie?
Raccolta dati o risposte interamente predefinite possono non soddisfare la condizione.
Sì — continuaL’IA interagisce direttamente con una persona fisica?
Escludi uso macchina-macchina e scambi mediati da una persona.
Sì — continuaÈ stato identificato il provider del sistema interattivo?
Distingui provider, deployer, fornitore del modello e sistema finale.
Sì — continuaSegnale sul ruolo: L’articolo 50(1) assegna l’obbligo di progettazione al provider. L’azienda che usa il sistema dovrebbe verificare ruolo reale, contratto e implementazione.
La natura artificiale è oggettivamente evidente nel contesto?
Usa l’eccezione restrittiva solo per una persona ragionevolmente informata e attenta.
Sì — continuaL’informazione è chiara, distinguibile e accessibile dal primo contatto?
Verifica ogni canale, lingua, passaggio a una persona e stato vocale.
Sì — continua
Articolo 50(1) probabilmente applicabile
Richiedi una revisione qualificata della configurazione concreta. Questa mappa non certifica la conformità.
Questo obbligo specifico può non applicarsi
Documenta il motivo e verifica privacy, consumatori, settore e altre norme pertinenti.
Ruolo o classificazione non sono chiari
Approfondisci fatti tecnici, marchio, contratto e modello di implementazione.
Supporto alla decisione — non è consulenza legale né un giudizio di conformità.
La regola applicabile dal 2 agosto 2026
L’articolo 50 dell’AI Act distingue diversi obblighi di trasparenza. Il paragrafo 1 riguarda i sistemi di IA destinati a interagire direttamente con persone. I paragrafi successivi trattano, tra l’altro, marcatura dei contenuti sintetici, riconoscimento delle emozioni, categorizzazione biometrica, deepfake e testi di interesse pubblico.
Per un normale chatbot aziendale, il punto di partenza è il paragrafo 1, non l’intero catalogo dell’articolo 50.
Il testo assegna il dovere di progettazione al provider. Il paragrafo 5 stabilisce che l’informazione prevista dai paragrafi 1–4 deve essere fornita in modo chiaro e distinguibile entro la prima interazione o esposizione e rispettare i requisiti di accessibilità applicabili. L’articolo 113 conferma che il regolamento si applica in generale dal 2 agosto 2026.
Non esiste nel testo una frase obbligatoria universale. “Stai interagendo con un sistema di IA” può essere una formulazione diretta, ma la scelta finale dipende da lingua, canale, pubblico, accessibilità e configurazione. Questa è una decisione di implementazione da sottoporre a revisione legale quando il contesto lo richiede.
Non tutti i chatbot sono lo stesso sistema
La FAQ della Commissione sull’articolo 50 descrive quattro condizioni cumulative:
- il sistema deve qualificarsi come sistema di IA;
- deve supportare uno scambio autentico e bidirezionale, non limitarsi a raccogliere dati o fornire risposte automatiche fisse;
- l’interazione deve essere diretta, cioè l’IA comunica con la persona senza un intermediario umano;
- l’interlocutore deve essere una persona fisica.
Sistemi che operano soltanto in background, comunicazioni macchina-macchina e strumenti senza contatto diretto con persone restano fuori da questo specifico obbligo. Anche un albero decisionale interamente fisso potrebbe non essere un sistema di IA ai sensi del regolamento. Non basta però la grafica dell’interfaccia per classificarlo: occorre conoscere il comportamento tecnico reale.
La distinzione pratica tra chatbot scriptato, assistente e agente è utile solo quanto basta per capire il perimetro. Se il sistema sceglie strumenti e compie azioni, la pagina Agenti IA descrive il livello operativo più ampio senza sostituire l’analisi normativa.
Provider e deployer: chi deve fare che cosa
L’articolo 3 definisce provider chi sviluppa o fa sviluppare un sistema di IA e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Il deployer è invece chi utilizza un sistema di IA sotto la propria autorità in un’attività professionale.
Un’azienda che attiva un servizio standard di un fornitore può essere deployer senza essere automaticamente provider. Una soluzione su misura, white-label, messa in servizio con il proprio marchio o modificata in modo sostanziale può cambiare l’analisi. Contratto, documentazione tecnica, marchio e controllo effettivo contano.
La regola prudente è non indovinare il ruolo:
- identifica chi ha sviluppato o fatto sviluppare il sistema interattivo;
- registra sotto quale nome o marchio viene messo in servizio;
- separa il provider del modello dal provider del sistema finale;
- verifica quali configurazioni e informazioni spettano al deployer;
- porta i casi ambigui a revisione legale qualificata.
Anche quando il vendor sostiene di coprire l’obbligo per design, l’azienda deve verificare ciò che l’utente vede davvero nei propri canali, lingue e stati dell’interazione. Questa è una raccomandazione di governance M4TIC, non una riallocazione dell’obbligo legale.
Quando è già ovvio che si tratta di IA?
L’articolo 50(1) prevede un’eccezione quando la natura dell’interazione è ovvia per una persona ragionevolmente informata, attenta e avveduta, considerando circostanze e contesto d’uso.
La Commissione afferma che l’eccezione va interpretata in modo restrittivo perché priva la persona di trasparenza. Un’icona robot, un avatar, un nome di prodotto o la dicitura “assistente virtuale” non garantiscono da soli né il superamento né il fallimento del test.
La valutazione deve considerare l’esperienza completa:
- il testo che introduce il canale;
- l’eventuale uso di un nome o volto umano;
- il passaggio da operatore a IA e viceversa;
- canali vocali o incorporati dove l’interfaccia visiva non è disponibile;
- aspettative e caratteristiche del pubblico;
- lingua, leggibilità e accessibilità.
Per una normale implementazione aziendale, affidarsi all’ovvietà come scorciatoia è più fragile che fornire un’informazione semplice e verificabile. È una raccomandazione M4TIC, non una conclusione legale per ogni caso.
Che cosa deve ottenere una comunicazione chiara
La comunicazione dovrebbe consentire alla persona di capire, prima di affidarsi allo scambio, che sta interagendo con un sistema di IA.
Nella pratica, verifica che:
- l’informazione appaia entro l’inizio della prima interazione e non sia nascosta nelle condizioni generali;
- sia percepibile nel canale effettivo, anche quando l’interazione è vocale;
- resti comprensibile quando il chatbot viene incorporato in un sito, un’app o una piattaforma di messaggistica;
- non venga contraddetta da un nome, un avatar o una presentazione che suggeriscono una persona;
- i requisiti di accessibilità applicabili siano rispettati;
- gli stati di passaggio tra IA e operatore umano non confondano l’identità dell’interlocutore.
Il testo dell’AI Act non trasforma una formula standard in una garanzia di conformità. La qualità dell’implementazione va verificata sull’esperienza reale.
Identità, dati e autorità sono tre domande diverse
Il modello M4TIC separa tre livelli che spesso compaiono nella stessa interfaccia ma non derivano dalla stessa regola.
Identità
Sto interagendo con un’IA o con una persona? È il livello direttamente collegato all’articolo 50(1) quando le condizioni sono soddisfatte.
Dati
Che cosa accade a messaggi, voce, file e identificatori? Se il chatbot tratta dati personali, entrano in gioco gli obblighi di trasparenza del GDPR: titolare, finalità, base giuridica, destinatari, conservazione, trasferimenti e diritti, secondo il trattamento effettivo. L’avviso “questa è un’IA” non sostituisce l’informativa privacy.
La guida IA privata per aziende aiuta a mappare dove viaggiano le informazioni, chi può accedervi e quali scelte di implementazione cambiano l’esposizione.
Autorità
Che cosa può decidere o fare il sistema, e quando può intervenire una persona? Spiegare limiti rilevanti, azioni collegate, punti di approvazione e passaggio umano è una raccomandazione M4TIC. Altre norme di settore, tutela dei consumatori, contratti o protezione dei dati possono aggiungere obblighi, ma l’articolo 50(1) non prescrive una formula universale su capacità e handover.
La trasparenza di identità è quindi necessaria in molti casi, ma non è una descrizione completa del sistema né una prova di conformità complessiva.
Tre scenari da distinguere
Un percorso FAQ completamente fisso
Un’interfaccia che mostra soltanto opzioni predefinite e risposte fisse potrebbe non soddisfare la definizione di sistema di IA o il criterio dello scambio autentico. Questo specifico obbligo potrebbe essere fuori ambito, ma privacy, tutela dei consumatori e buona progettazione restano da verificare.
Un assistente IA fornito da terzi
Il vendor può essere il provider del sistema, mentre l’azienda lo usa come deployer. Occorre verificare documentazione e contratto, poi controllare che l’avviso sia effettivamente visibile in ogni canale e lingua. Non presumere che il widget standard copra automaticamente una configurazione personalizzata.
Un agente personalizzato o white-label che compie azioni
Il ruolo di provider può diventare più complesso quando il sistema è sviluppato su commissione, integrato sotto il marchio dell’azienda, modificato o messo in servizio per uso proprio. Anche l’autorità operativa aumenta: oltre all’identità servono limiti, approvazioni, log e handover proporzionati. La classificazione specifica richiede fatti tecnici e contrattuali e può richiedere consulenza legale.
Che cosa verificare prima del lancio
Prima di approvare l’esperienza, registra:
- che cosa fa realmente il sistema e perché rientra o non rientra nel test di ambito;
- provider, deployer e altre parti rilevanti, con la base documentale della classificazione;
- testo, posizione, timing e accessibilità dell’informazione in ogni canale;
- perché l’eventuale eccezione di ovvietà sarebbe applicabile;
- percorso privacy corretto per i dati effettivamente trattati;
- capacità, limiti e passaggio umano che l’utente deve conoscere;
- prove di test per primo contatto, ritorno, errore, handover e canale vocale.
Conservare questa traccia è una raccomandazione di governance M4TIC. Non è una checklist statutaria e non sostituisce una valutazione giuridica.
La guida Come testare un agente AI prima del lancio offre un metodo più ampio per verificare risultato, strumenti, escalation e recupero. Il test tecnico non sostituisce la revisione legale, ma aiuta a dimostrare che l’esperienza approvata esiste davvero nelle configurazioni rilasciate.
Quando serve una revisione legale qualificata
Richiedi una valutazione professionale quando il ruolo di provider non è chiaro, il sistema è personalizzato o white-label, prende decisioni conseguenti, opera in un settore regolato, interagisce con minori, tratta dati sensibili o combina più giurisdizioni e canali.
Anche l’applicazione del GDPR—compresa l’eventuale rilevanza delle decisioni automatizzate—dipende dai fatti. Questa guida non determina base giuridica, titolarità, applicazione dell’articolo 22 o conformità di un’implementazione specifica.
La trasparenza utile non consiste nell’aggiungere una riga legale alla fine del progetto. Consiste nel rendere riconoscibili identità, trattamento dei dati e autorità del sistema nel momento in cui una persona decide se interagire e fidarsi.
Fonti e approfondimenti
Indicazioni primarie dietro questo articolo.
- Regulation (EU) 2024/1689 — consolidated textEUR-Lex
Testo consolidato dell’AI Act del 27 luglio 2026.
- Article 50: Transparency obligationsEuropean Commission AI Act Service Desk
Testo consolidato su interazione diretta, eccezione, timing e accessibilità.
- Article 3: DefinitionsEuropean Commission AI Act Service Desk
Definizioni di sistema di IA, provider, deployer e messa in servizio.
- Article 113: Entry into force and applicationEuropean Commission AI Act Service Desk
Conferma l’applicazione generale dal 2 agosto 2026 e il calendario consolidato.
- Transparency obligations under Article 50 of the AI ActEuropean Commission
FAQ ufficiale su criteri cumulativi, ruoli, prima interazione ed eccezione di ovvietà.
- Obligations for organisationsEuropean Commission
Sintesi ufficiale degli obblighi di trasparenza GDPR per le organizzazioni.