2 dicembre 2026: i sistemi di IA già sul mercato dell’UE devono marcare ciò che generano

5 novembre 2026 · Traduzione dell’originale inglese, verificato da Angelo Lamonaca · Auf Deutsch · En français

In breve

Chi: i fornitori di sistemi di IA che generano immagini, video, audio o testo, ovunque abbiano sede, se l’output è utilizzato nell’UE (art. 2, par. 1, lett. c).
Quando: dal 2 agosto 2026 per i sistemi immessi sul mercato da quel giorno; entro il 2 dicembre 2026 per quelli che erano già sul mercato prima (art. 113, art. 111, par. 4).
Cosa: output marcati in un formato leggibile meccanicamente e rilevabili come generati dall’IA (art. 50, par. 2). Il codice di buone pratiche prevede due livelli, metadati firmati e una filigrana impercettibile, e un rilevatore gratuito.
Sanzioni: fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore; per PMI e start-up, se inferiore (art. 99, par. 4 e 6).

La legge: l’obbligo di marcatura dell’articolo 50, paragrafo 2, e una scadenza per i sistemi già sul mercato

Il regolamento dell’UE sull’intelligenza artificiale (regolamento (UE) 2024/1689, spesso chiamato AI Act) impone a chiunque fornisca un sistema di IA generativa di marcare ciò che il sistema genera. Così recita il suo articolo 50, paragrafo 2:

«I fornitori di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici, garantiscono che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente.»
Regolamento sull’intelligenza artificiale, articolo 50, paragrafo 2

L’articolo 50 si applica dal 2 agosto 2026 (art. 113). L’Omnibus digitale sull’IA (regolamento (UE) 2026/1744) ha poi concesso più tempo ai sistemi che erano già sul mercato prima di quella data: i loro fornitori hanno fino al 2 dicembre 2026 per adottare le misure richieste dall’articolo 50, paragrafo 2 (art. 111, par. 4).

La Commissione spiega come farlo nel suo codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA (Code of Practice), definitivo dal 10 giugno 2026. La firma è volontaria, ma la Commissione e il consiglio per l’IA hanno confermato che il codice è uno strumento volontario adeguato per dimostrare il rispetto degli obblighi di trasparenza dell’articolo 50. La nostra guida all’articolo 50 lo illustra passo dopo passo.

Il problema: due marcature in ogni file, e un modo per chiunque di verificarle

La marcatura non si riduce a una singola impostazione. Per audio, immagini, video e testo contenuto in un file, il codice di buone pratiche chiede almeno due livelli di marcatura leggibile meccanicamente, finché nessuna tecnica, da sola, è abbastanza affidabile (misura 1.1):

Metadati firmati digitalmente che registrano che il contenuto è generato o manipolato dall’IA.
Una filigrana impercettibile nel contenuto stesso, che il codice definisce un meccanismo robusto a complemento dei metadati firmati: i metadati possono andare persi quando un file viene convertito o caricato di nuovo, mentre una filigrana è fatta per restare.

I fornitori si impegnano anche a offrire una soluzione di rilevamento, messa a disposizione gratuitamente (misura 2.1), e a vietare nei propri termini d’uso o nella documentazione la rimozione o la manomissione delle marcature (misura 1.2).

Per un team il cui prodotto è l’app di IA, questo significa chiavi di firma e certificati, un servizio di marca temporale, un modello di filigrana per ogni tipo di file, un rilevatore che chiunque possa usare e test che verifichino che le marcature reggano. Per un sistema lanciato prima di agosto, tutto questo deve funzionare entro il 2 dicembre.

Il rischio: sanzioni fino al 3% del fatturato mondiale

Dopo i divieti veri e propri, gli obblighi dell’articolo 50 sono tra quelli che il regolamento sull’IA punisce più severamente:

Fino a 15 milioni di euro o al 3% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (art. 99, par. 4, lett. g).
Per PMI e start-up, ogni sanzione è limitata al minore dei due importi (art. 99, par. 6).

Questi sono tetti massimi. Le date, invece, sono certe: un sistema immesso sul mercato dal 2 agosto 2026 deve marcare i propri output fin dal primo giorno, e ogni sistema che era già sul mercato prima di allora deve farlo entro il 2 dicembre 2026.

Chi è interessato

L’obbligo è del fornitore, cioè di chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (art. 3, punto 3). Non conta dove abbia sede il fornitore, se l’output è utilizzato nell’UE (art. 2, par. 1, lett. c). Possono rientrarvi, per esempio:

App che trasformano prompt o foto in immagini: generatori di immagini, editor fotografici con IA, app per foto profilo professionali e avatar.
Generatori di video, ed editor che creano o modificano clip con l’IA.
Generatori di voci, parlato e musica.
Prodotti basati su modelli aperti come FLUX o Stable Diffusion, eseguiti in ComfyUI o dietro la tua API: il modello può venire da qualcun altro, ma se l’app porta il tuo nome, probabilmente il fornitore sei tu.
Servizi che eseguono generatori per i propri utenti: API di modelli come Replicate e fal, siti di generazione come CivitAI.
Generatori di testo: l’articolo 50, paragrafo 2, riguarda anche il testo, e per il testo libero il codice di buone pratiche accetta la sola filigrana.

Restano esclusi i sistemi di IA che svolgono solo una funzione di assistenza per l’editing standard, o che non modificano in modo sostanziale i dati di input o il loro significato (art. 50, par. 2). I deployer che pubblicano deepfake hanno un obbligo proprio: un avviso visibile (art. 50, par. 4).

Lo stesso giorno: due nuovi divieti

L’Omnibus ha anche aggiunto all’articolo 5 due pratiche vietate, che si applicano dal 2 dicembre 2026 (art. 113, terzo comma, lett. a): i sistemi di IA che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile, o di quella persona impegnata in atti sessualmente espliciti, senza il suo consenso inequivocabile (art. 5, par. 1, lett. b bis), e i sistemi di IA che generano materiale di abuso sessuale su minori (art. 5, par. 1, lett. b ter).

Un fornitore ricade nel divieto se questa è la finalità prevista del sistema, o se il sistema ne fa un risultato ragionevolmente prevedibile e riproducibile, senza misure di sicurezza ragionevoli e adeguate per impedirlo in modo affidabile (art. 5, par. 1 bis). Violare un divieto dell’articolo 5 costa fino a 35 milioni di euro o il 7% del fatturato mondiale annuo (art. 99, par. 3).

Il nostro controllo di sicurezza verifica un’immagine per entrambi i casi prima che tu la marchi o la pubblichi, con tassi di errore pubblicati. È un segnale di rischio che ti aiuta a predisporre queste misure, non una garanzia.

Perché Kennmarq.com

Una chiamata API a ogni generazione o modifica aggiunge entrambi i livelli indicati dal codice di buone pratiche: un manifest C2PA firmato e con marca temporale che indica che il file è generato dall’IA, e una filigrana invisibile (TrustMark nelle immagini, Video Seal nelle clip, AudioSeal nei brani ogni volta che il suono può ospitarla). Il testo non viene ancora marcato; la marcatura è prevista per marzo 2027. Chiunque può verificare un file gratis con il verificatore o l’endpoint di verifica: il rilevamento gratuito che il codice richiede.

Usi ComfyUI in produzione? Sostituisci Save Image con il nodo Mark & Save Image (ci sono anche i nodi Video e Audio): con la tua chiave API, ogni output esce da ComfyUI con la filigrana e Content Credentials firmate. Installalo dal ComfyUI Registry con comfy node install comfyui-kennmarq, oppure cerca «Kennmarq.com» in ComfyUI-Manager; la guida a ComfyUI spiega la configurazione.

Indica i mercati in cui operi e ogni file riceve ciò che chiedono le loro leggi, con una ricevuta per ogni legge; controlliamo ogni settimana le regole di etichettatura di ogni paese. Tutte le funzioni sono gratuite fino a 1.000 marcature al mese: inizia dalla guida rapida.

Kennmarq.com ti aiuta a rispettare queste regole; non si assume i tuoi obblighi. Resti il fornitore del tuo sistema di IA, e decidere cosa è un deepfake, cosa dicono i tuoi termini e cosa sanno i tuoi utenti spetta a te. Questo articolo spiega la legge come la leggiamo al 5 novembre 2026; non costituisce consulenza legale.

Com’è stato prodotto questo articolo: è una traduzione con l’IA del nostro articolo in inglese, che Angelo Lamonaca ha verificato sulle fonti ufficiali prima della pubblicazione. Ogni norma citata rimanda al suo testo ufficiale in italiano, a partire da EUR-Lex, regolamento (UE) 2024/1689 (regolamento sull’intelligenza artificiale).

Sulla mappa delle leggi

Le regole di ogni paese, e cosa copre una chiamata per ogni tipo di file: Italia sulla mappa, e le leggi di ogni paese a confronto. La pagina della legge: AI Act (regolamento sull’IA), articolo 50. Passo dopo passo: AI Act (regolamento sull’IA), articolo 50.