Dal 2 agosto 2026 chi offre chatbot e altri sistemi capaci di interagire direttamente con le persone deve chiarire che l’interlocutore è un’intelligenza artificiale, non un essere umano. L’obbligo deriva dall’articolo 50 dell’AI Act e riguarda anche i contenuti generati o modificati artificialmente: deepfake e materiali analoghi devono essere accompagnati da etichette visibili e marcature leggibili dalle macchine. Per le imprese che non rispettano le prescrizioni, le sanzioni possono arrivare al 3% del fatturato annuo globale.
La trasparenza diventa così una caratteristica operativa dei prodotti, da integrare nelle interfacce, nei flussi di pubblicazione e nei metadati. Non basta informare genericamente l’utente nelle condizioni di servizio: chatbot, assistenti e contenuti sintetici devono rendere riconoscibile l’intervento dell’AI nel momento dell’interazione o della fruizione. Le etichette visibili parlano alle persone, mentre le marcature machine-readable permettono ai sistemi digitali di identificare la natura artificiale o alterata del materiale.
Lo stesso calendario avrebbe dovuto far partire anche le regole per i sistemi AI ad alto rischio, impiegati in ambiti come selezione del personale, valutazione del credito e forze dell’ordine. Gli obblighi comprendevano gestione del rischio, qualità dei dati, supervisione umana e registrazione. Il pacchetto AI Omnibus, concordato da Consiglio europeo e Parlamento il 29 giugno, ha però rinviato la scadenza: al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per quelli incorporati in prodotti regolamentati.
L’Omnibus introduce inoltre un nuovo divieto per i sistemi che generano materiale di abuso sessuale su minori o immagini intime non consensuali. La disposizione scatterà dal 2 dicembre 2026, insieme all’estensione degli obblighi di etichettatura previsti dall’articolo 50, paragrafo 2, ai sistemi già presenti sul mercato. Il quadro europeo procede quindi su due velocità: trasparenza immediata per l’interazione e i contenuti sintetici, tempi più lunghi per la conformità strutturale delle applicazioni ad alto rischio.
Negli Stati Uniti, intanto, la protezione dei dati sensibili entra in una fase più conflittuale. Il 29 luglio la Federal Trade Commission, affiancata dalle autorità di California e Utah, ha citato in giudizio il fornitore di telemedicina Hims & Hers. L’accusa è di avere condiviso con piattaforme pubblicitarie, tra cui Meta e Snap, informazioni sanitarie capaci di rivelare l’interesse degli utenti verso specifiche condizioni mediche, nonostante le rassicurazioni sulla riservatezza dei dati. La società contesta le accuse.
La denuncia sostiene anche che Hims & Hers abbia violato il ROSCA, addebitando le prescrizioni quasi subito dopo l’invio dei questionari sanitari online senza comunicarlo chiaramente e rendendo difficile la cancellazione degli abbonamenti. È la prima causa sulla privacy contestata dalla FTC nel 2026, mentre gran parte dell’attività recente si era chiusa con accordi senza ammissioni di responsabilità. Il presidente Andrew Ferguson aveva anticipato a metà giugno un marcato aumento dell’azione sulla privacy nella seconda metà dell’anno.
Il terzo fronte si apre nel Regno Unito, dove il 30 luglio Acas ha avviato una consultazione sul codice per le procedure disciplinari e i reclami. La bozza rafforza risoluzione informale e mediazione e domanda se disciplinare l’uso dell’AI, senza proporre ancora un testo. I tribunali possono modificare gli indennizzi fino al 25% per inosservanza irragionevole del codice. Acas stima costi annuali per 2,36 miliardi di sterline legati alle procedure formali, contro circa 250 milioni per quelle informali. Con il periodo minimo per contestare un licenziamento destinato a scendere da due anni a sei mesi dal 1° gennaio 2027, processi, dati e sistemi automatizzati usati nelle decisioni sul lavoro saranno sottoposti a un controllo molto più ravvicinato.