L'UE pubblica il Codice di condotta sul labelling dell'AI generativa: volontario, ma già norma di riferimento

Il 10 giugno 2026, la Commissione europea ha pubblicato il testo finale del Code of Practice sul marcaggio e l'etichettatura dei contenuti generati dall'intelligenza artificiale. La tempistica non è casuale: le regole di trasparenza dell'AI Act entrano in applicazione il 2 agosto 2026, e il Codice nasce esplicitamente per guidare fornitori e deployer verso quella scadenza. Il documento era in lavorazione da dicembre 2025, attraverso due bozze pubbliche e centinaia di contributi da industria, accademia e società civile.

La struttura del Codice riflette l'architettura dell'Articolo 50 dell'AI Act. La prima sezione riguarda i provider di sistemi di AI generativa, che devono marcare i propri output in formato machine-readable, così che il contenuto risulti rilevabile come artificialmente generato o manipolato. La seconda sezione si rivolge ai deployer, cioè a chiunque utilizzi quei sistemi per scopi professionali: su di loro ricade l'obbligo di etichettare chiaramente i deepfake e i testi generati da AI pubblicati su materie di interesse pubblico. Da agosto, gli utenti dovranno anche essere informati quando interagiscono con un chatbot. Il Codice, pur formalmente volontario, è costruito per diventare la misura concreta dell'adempimento normativo: chi non vi aderisce dovrà dimostrare compliance tramite strumenti alternativi, esponendosi a un controllo più stringente da parte dell'AI Office e delle autorità nazionali.

Chi ha deciso: formalmente, il Codice è stato redatto da esperti indipendenti nominati dall'AI Office, con il contributo degli Stati membri attraverso l'AI Board e dei membri del Parlamento europeo tramite la commissione IMCO-LIBE. La Commissione ha funzionato da facilitatore e ha approvato il testo finale. Chi beneficia nell'immediato: i grandi fornitori di modelli, che firmando il Codice ottengono certezza legale e una riduzione del carico amministrativo rispetto a prove di compliance alternative. A giugno 2026 il GPAI Code of Practice — strumento parallelo per i modelli di uso generale — conta circa 24 firmatari, tra cui Anthropic, Google, Microsoft, OpenAI, Amazon e Mistral AI. Meta non ha firmato; xAI ha firmato solo il capitolo Safety and Security, optando per mezzi alternativi su trasparenza e copyright.

Chi paga: i costi di adeguamento tecnico ricadono sui deployer, ovvero le organizzazioni che usano sistemi di AI generativa per produrre contenuti a diffusione pubblica. L'obbligo di watermarking machine-readable richiede integrazione nei flussi di produzione; l'etichettatura dei deepfake richiede processi editoriali e sistemi di verifica. Questi costi sono asimmetrici: pesano meno sulle grandi piattaforme tecnologiche, che già partecipano alla stesura del Codice, e di più su editori, agenzie di comunicazione, enti pubblici e media di medie dimensioni che operano nel mercato europeo senza strutture legali dedicate.

Il Codice sul labelling si inserisce in una fase di ri-calibrazione complessiva del quadro normativo europeo. Il 7 maggio 2026, Parlamento e Consiglio avevano raggiunto l'accordo provvisorio sull'AI Omnibus, il pacchetto che modifica l'AI Act nell'ambito del settimo pacchetto di semplificazione della Commissione. L'accordo ha spostato in avanti le scadenze per i sistemi ad alto rischio — al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per quelli integrati in prodotti regolamentati — e ha anticipato al 2 dicembre 2026 l'obbligo di watermarking sui contenuti sintetici, abbreviando il periodo di grazia rispetto alla proposta iniziale della Commissione. L'intervento del Cancelliere tedesco Friedrich Merz a favore di una deroga per il settore dei macchinari è stato ritenuto determinante nel plasmare il compromesso finale sull'Allegato I dell'AI Act: un dato che rivela quanto la pressione industriale dei grandi Stati membri abbia pesato sulla negoziazione.

Sul fronte dell'enforcement, la struttura di potere è definita: dal 2 agosto 2026 la Commissione potrà comminare sanzioni fino al 3% del fatturato globale annuo, o 15 milioni di euro se superiore, per i provider di modelli GPAI non conformi. L'AI Office assume il ruolo di supervisore centralizzato sui modelli di uso generale, riducendo la frammentazione tra autorità nazionali secondo un impianto analogo a quello adottato dal Digital Services Act per le piattaforme di grandi dimensioni. Resta tuttavia un'asimmetria documentata: la divulgazione pubblica dei Safety and Security Framework è limitata ai casi in cui un modello presenti rischi superiori a quelli dei modelli già sul mercato, riducendo la trasparenza effettiva verso il pubblico e verso i ricercatori indipendenti.