Cosa dire ai clienti sulle etichette dell’Article 50 dell’EU AI Act
La pagina Article 50 della Commission fissa i doveri dei provider e dei deployer per gli avvisi di interazione, la marcatura leggibile da una macchina e la disclosure dei deep fake (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). Un avviso di uno studio legale dice che quei doveri sono diventati applicabili il 2 August 2026 e non sono stati rinviati insieme alle regole ad alto rischio (https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force). Informazione generale, non una consulenza legale.
Questo articolo è stato tradotto automaticamente.
2026-10-08. Queste sono informazioni generali per i consulenti, non una consulenza legale. Chiedete a un legale di leggere il regolamento prima che un cliente vi faccia affidamento. Si usano due pagine pubbliche. La pagina Article 50 della European Commission è https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50 . L’avviso dello studio legale è https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force . L’avviso dice che non costituisce una consulenza legale. Le date, il numero del regolamento e la cifra della sanzione che compaiono solo nell’avviso sono il resoconto di quello studio. Il testo ufficiale di EUR-Lex non è stato recuperato in questo controllo.
La pagina della Commission dice che il testo mostrato lì si basa sulla versione consolidata EUR-Lex dell’AI Act al 27 July 2026. Dice che, dove sono mostrati, “NEW” e “AMENDED” identificano aggiunte o modifiche fatte dal Digital Omnibus on AI. Dice che i riassunti “are not legal binding.” La pagina non indica la data in cui l’Article 50 è diventato applicabile. Quella data è solo nella sezione dello studio legale più sotto.
## I provider e i deployer non sono lo stesso dovere
La pagina assegna alcuni doveri ai provider e alcuni ai deployer. I passi usati qui non definiscono quelle parole. La qualifica professionale di un cliente non decide il ruolo. Un legale dovrebbe leggere le definizioni proprie del regolamento prima che a qualcuno si dica quale paragrafo si applica.
## Che cosa dice la pagina della Commission che i provider devono fare
Paragraph 1. I provider assicurano che i sistemi di IA destinati a interagire direttamente con persone fisiche siano progettati e sviluppati in modo che le persone interessate siano informate che stanno interagendo con un sistema di IA, salvo che ciò sia ovvio dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta, tenuto conto delle circostanze e del contesto d’uso. La pagina dice che questo obbligo non si applica ai sistemi di IA autorizzati dalla legge a individuare, prevenire, indagare o perseguire reati, con adeguate salvaguardie per i diritti e le libertà dei terzi, salvo che quei sistemi siano disponibili al pubblico per segnalare un reato.
Paragraph 2. I provider di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuto audio, immagine, video o testo sintetico, assicurano che gli output siano marcati in un formato leggibile da una macchina e rilevabili come generati o manipolati artificialmente. La pagina dice che le soluzioni tecniche devono essere efficaci, interoperabili, robuste e affidabili per quanto ciò sia tecnicamente fattibile, tenuto conto delle specificità e dei limiti dei tipi di contenuto, dei costi di attuazione e dello stato dell’arte generalmente riconosciuto, come può riflettersi nelle norme tecniche pertinenti. Dice che questo obbligo non si applica nella misura in cui i sistemi svolgono una funzione di ausilio per l’editing ordinario, o non alterano in modo sostanziale i dati di input forniti dal deployer o la loro semantica, o quando la legge li autorizza a individuare, prevenire, indagare o perseguire reati.
## Che cosa dice la pagina della Commission che i deployer devono fare
Paragraph 3. I deployer di un sistema di riconoscimento delle emozioni o di un sistema di categorizzazione biometrica informano le persone fisiche che vi sono esposte del funzionamento del sistema, e trattano i dati personali in conformità di Regulations (EU) 2016/679 e (EU) 2018/1725 e della Directive (EU) 2016/680, ove applicabili. La pagina dice che questo obbligo non si applica ai sistemi di IA usati per la categorizzazione biometrica e il riconoscimento delle emozioni che la legge consente per individuare, prevenire o indagare reati, con adeguate salvaguardie per i diritti e le libertà dei terzi, e in conformità del diritto dell’Unione.
Paragraph 4, immagine, audio o video. I deployer di un sistema di IA che genera o manipola contenuto di immagine, audio o video che costituisce un deep fake divulgano che il contenuto è stato generato o manipolato artificialmente. La pagina usa le parole “deep fake.” Questo articolo non ripete una definizione, perché la definizione non era nei passi usati qui. La pagina dice che questo obbligo non si applica quando l’uso è autorizzato dalla legge per individuare, prevenire, indagare o perseguire un reato. Quando il contenuto fa parte di un’opera o di un programma evidentemente artistico, creativo, satirico, di finzione o analogo, la pagina limita quell’obbligo di trasparenza alla disclosure dell’esistenza di tale contenuto generato o manipolato in un modo adeguato che non ostacoli la presentazione o il godimento dell’opera.
Paragraph 4, testo. I deployer di un sistema di IA che genera o manipola testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico divulgano che il testo è stato generato o manipolato artificialmente. La pagina dice che questo obbligo non si applica quando l’uso è autorizzato dalla legge per individuare, prevenire, indagare o perseguire reati, o quando il contenuto generato dall’IA è stato sottoposto a un riesame umano o a un controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione del contenuto.
Paragraphs 5 to 7. Le informazioni nei Paragraph 1 to 4 sono fornite alle persone fisiche interessate in modo chiaro e distinguibile al più tardi al momento della prima interazione o esposizione, e sono conformi ai requisiti di accessibilità applicabili. I Paragraph 1 to 4 non incidono sui requisiti e sugli obblighi del Chapter III, e lasciano impregiudicati gli altri obblighi di trasparenza stabiliti dal diritto dell’Unione o nazionale per i deployer di sistemi di IA. Il Paragraph 7 è segnato AMENDED. La Commission incoraggia e facilita codici di condotta a livello di Unione per l’individuazione, la marcatura e l’etichettatura del contenuto generato o manipolato artificialmente. Tenendo nel massimo conto il parere di the Board, la Commission valuta se l’adesione a quei codici sia adeguata ad assicurare la conformità ai Paragraph 2 and 4, secondo la procedura dell’Article 56(6). Se ritiene un codice inadeguato, può adottare un atto di esecuzione secondo la procedura d’esame dell’Article 98(2). La pagina elenca i recitals 132, 133, 134, 136 and 137. Questo articolo non cita quei recitals.
## La data, e il perché le date ad alto rischio si sono spostate, sono il resoconto dello studio legale
Quanto segue è il resoconto dello studio legale, non una lettura di EUR-Lex. L’avviso dice che il 2 August 2026 gli obblighi di trasparenza e di informazione di cui all’Article 50 sono diventati generalmente applicabili e azionabili dalle autorità nazionali competenti in tutta l’UE. Dice che i doveri si applicano che un sistema sia classificato ad alto rischio oppure no, con una sola eccezione ristretta relativa all’etichettatura dei sistemi generativi già esistenti. La pagina della Commission usata sopra non indica quella data.
L’avviso dice che il 2 August 2026 era stato annunciato in origine anche come data delle disposizioni ad alto rischio, e che ciò non è avvenuto. Dice che l’AI Omnibus, che cita come Regulation (EU) 2026/1744 e di cui dice che è entrato in vigore il 27 July 2026, ha spostato quegli obblighi più avanti. Il testo ufficiale di quel regolamento non è stato recuperato qui, quindi il numero del regolamento e quella data di entrata in vigore sono citazioni dello studio. Lo stesso giorno di calendario, 27 July 2026, è anche la data che la pagina della Commission dà per la versione consolidata che mostra. Sono due affermazioni diverse. L’avviso dice che i sistemi ad alto rischio autonomi dell’Annex III, compresi quelli usati nel lavoro, nell’istruzione, nell’applicazione della legge e nelle infrastrutture critiche, si applicheranno dal 2 December 2027. Dice che i sistemi di IA incorporati in prodotti disciplinati dalla legislazione UE sulla sicurezza dei prodotti (Annex I), come i dispositivi medici, i giocattoli e gli ascensori, si applicheranno dal 2 August 2028. Dice che i macchinari sono trattati diversamente: i requisiti dell’AI Act saranno invece trasposti nel regolamento macchine con un atto delegato in scadenza entro il 2 August 2028.
L’avviso dice che quelle proroghe non incidono sui divieti delle pratiche di IA inaccettabili, sugli obblighi relativi ai modelli di IA per finalità generali, o sugli obblighi di trasparenza, che secondo l’avviso continuano tutti ad applicarsi secondo il calendario esistente. Dice che i provider di sistemi generativi già sul mercato prima del 2 August 2026 hanno tempo fino al 2 December 2026 per conformarsi all’obbligo di marcatura secondo l’AI Omnibus. Dice che la Commission ha adottato linee guida sugli obblighi di trasparenza il 20 July 2026. Quelle linee guida non sono state recuperate in questo controllo.
L’avviso dice che l’inosservanza può dare luogo a sanzioni amministrative fino a €15 million o al 3% del fatturato annuale mondiale, a seconda di quale sia più alto, e cita l’Article 99(4). L’Article 99 non è stato recuperato. Non citate quella cifra a un cliente come una cifra verificata rispetto al regolamento. L’elenco dei contenuti della pagina della Commission include una voce intitolata “Article 99: Penalties”, e quell’elenco non è il testo della sanzione.
Il riassunto più breve dell’avviso dice che i provider e i deployer di sistemi che generano audio, immagine, video o testo sintetico, compreso ciò che chiama deepfake, devono marcare gli output in un formato leggibile da una macchina e rilevabile, e che i deployer devono anche divulgare i deepfake che raffigurano persone, luoghi o eventi reali. La pagina della Commission pone il dovere di marcatura leggibile da una macchina sui provider, nel Paragraph 2, e il dovere di disclosure del deep fake sui deployer, nel Paragraph 4. Il Paragraph 4 di quella pagina non usa la frase “real persons, places, or events.” Usate la pagina della Commission per chi deve marcare e chi deve divulgare. Trattate il riassunto più breve dell’avviso come la sintesi dello studio, non come il testo dell’articolo.
## Un file di cui un cliente dice che è un deepfake
Conservate il file così come è arrivato. Annotate l’ora, il canale, e se una disclosure o una marca era visibile nel primo momento in cui la persona l’ha visto. Non modificate il file per aggiungere un’etichetta, togliere un’etichetta o cambiare un’etichetta. Questo articolo non descrive come si fa un’etichetta, come funziona un rilevatore, o come un’etichetta possa essere evitata.
Un’etichetta assente non è la prova che il contenuto sia autentico. Un’etichetta presente non è la prova di chi ha inviato il file, e non è un modo per recuperare denaro. Questo articolo non stabilisce una procedura di segnalazione. Il legale nomina l’autorità, se ve n’è una. Niente qui promette che una registrazione restituisca una perdita.
## Una lista di controllo che non è una consulenza legale
- Leggete la pagina Article 50 della Commission con un legale, comprese le eccezioni, prima di dire a un cliente quale dovere si applica.
- Chiedete se il cliente fornisce un sistema con cui le persone interagiscono, fornisce audio, immagine, video o testo sintetico, mette in opera un deep fake, mette in opera testo di interesse pubblico, o mette in opera il riconoscimento delle emozioni o la categorizzazione biometrica. La pagina dà a quelle situazioni doveri diversi.
- Non presupponete un’eccezione. Le eccezioni della pagina comprendono un’interazione ovvia per la persona descritta nel Paragraph 1, una funzione di ausilio per l’editing ordinario, nessun cambiamento sostanziale dell’input del deployer o della sua semantica, un’opera evidentemente artistica, creativa, satirica, di finzione o analoga, un riesame umano o un controllo editoriale con responsabilità editoriale, e un’autorizzazione di legge per i reati.
- Finché un legale non controlla il testo ufficiale, trattate la data di applicazione 2 August 2026, il rinvio dell’alto rischio, la finestra di marcatura dei sistemi già esistenti fino al 2 December 2026, la data delle linee guida 20 July 2026, Regulation (EU) 2026/1744 e la cifra della sanzione come il resoconto dello studio legale.
- Se un cliente porta un file che ritiene sintetico, conservatelo, registrate quando e dove è arrivato, e registrate se una disclosure era visibile. Non alteratelo.
- Non promettete che un’etichetta, un’etichetta assente o una nota salvata recuperi una perdita.
Altre note per questo pubblico sono nel hub dei consulenti: https://blog.mithril.fund/for/consultants .
## Che cosa Mithril farà e non farà
La documentazione pubblica descrive Your records (あなたの記録) come il luogo che si apre dopo l’accesso, dove una persona sceglie una categoria, scrive che cosa è accaduto e aggiunge note: https://docs.mithril.fund/app-guide . Quella guida dice che le schermate dopo il login non sono state registrate, quindi questo articolo non descrive la disposizione. Questo articolo chiama quel percorso di registrazione dopo l’accesso Live solo nel senso che la guida pubblica lo presenta come ciò che si apre dopo l’accesso. DAST e SAST ospitati sono Planned. La pagina dei servizi di sicurezza dice che sono gated, non ancora disponibili come servizio ospitato, e planned work: https://docs.mithril.fund/reference/security-services . Mithril non indaga su un file, non nomina un mittente, non recupera denaro e non dà una consulenza legale. Nessuno altro stato di prodotto è indicato qui.