AI Act dal 2 agosto, chi deve dichiarare il chatbot

Dal 2 agosto si applica l'articolo 50 dell'AI Act, quello sulla trasparenza dei sistemi che parlano con le persone. Su una parte dei giornali di fine luglio la scadenza si è ridotta a una riga sola, quella per cui chi usa un chatbot deve dirlo all'ospite. Il regolamento dice qualcosa di più stretto, e la differenza decide se il problema è tuo o del fornitore.

Il 27 luglio, sei giorni prima, era entrato in vigore il Regolamento (UE) 2026/1744, l'Omnibus digitale sull'IA, adottato l'8 luglio e pubblicato in Gazzetta ufficiale dell'Unione il 24 dello stesso mese. Riscrive l'articolo 113 dell'AI Act, quello del calendario, e rinvia le regole sui sistemi ad alto rischio al 2 dicembre 2027 e al 2 agosto 2028. La data del 2 agosto per l'articolo 50 non l'ha toccata.

Il 2 agosto non è il giorno zero delle sanzioni

Il capo XII dell'AI Act, quello delle sanzioni, si applica dal 2 agosto 2025. Lo dispone l'articolo 113, terzo comma, lettera b), che l'Omnibus ha lasciato intatto. L'unica eccezione è l'articolo 101, che riguarda i poteri diretti della Commissione sui modelli per finalità generali e parte adesso. E l'unico rinvio che tocca l'articolo 50 riguarda la marcatura leggibile dalle macchine dei contenuti sintetici del paragrafo 2, spostata al 2 dicembre 2026 per i soli fornitori e per i sistemi già sul mercato.

L'obbligo è scritto per i fornitori

L'articolo 50, paragrafo 1, recita che «i fornitori garantiscono che i sistemi di IA destinati a interagire direttamente con le persone fisiche sono progettati e sviluppati in modo tale che le persone fisiche interessate siano informate del fatto di stare interagendo con un sistema di IA». Lo stesso paragrafo prevede un'eccezione, quando la cosa risulta evidente dal punto di vista di una persona ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto di utilizzo. Il soggetto della frase è il fornitore, e l'obbligo è di progettazione.

Gli obblighi che lo stesso articolo mette in capo ai deployer, cioè a chi usa il sistema sotto la propria autorità, sono due. Il paragrafo 3 riguarda il riconoscimento delle emozioni e la categorizzazione biometrica, il paragrafo 4 i deep fake e i testi pubblicati su questioni di interesse pubblico. Un chatbot che risponde su disponibilità e servizi non rientra in nessuno dei due. L'articolo 25, che trasforma in fornitore chi appone il proprio nome su un sistema altrui, nel suo testo parla solo di sistemi ad alto rischio. La strada che riguarda un hotel è un'altra, cioè la definizione generale di fornitore dell'articolo 3, punto 3, che tiene dentro chi fa sviluppare un sistema di IA e lo mette in servizio con il proprio nome o marchio. È la definizione su cui si gioca il caso dell'albergatore che pubblica il widget a proprio marchio.

Anche la stampa economica italiana si è divisa. Il Sole 24 Ore attribuisce l'obbligo a chi fornisce i sistemi, Milano Finanza a chi li utilizza.

Dove il confine si sposta

Il 20 luglio la Commissione ha adottato le linee guida sull'articolo 50, documento C(2026) 5054 final. Dichiarano di non essere vincolanti e ricordano che l'interpretazione autorevole dell'AI Act spetta solo alla Corte di giustizia.

Nel documento i chatbot di assistenza clienti e di commercio elettronico compaiono fra gli esempi coperti dal paragrafo 1, insieme agli agenti che prenotano per conto dell'ospite. L'eccezione dell'evidenza non li salva. La Commissione la interpreta in senso stretto e cita gli helpdesk fra i casi in cui l'obbligo resta. Sapere che i chatbot esistono, scrive, non significa riconoscerli mentre ci si parla.

Sul passaggio da deployer a fornitore le linee guida danno due esempi. È fornitore chi sviluppa in casa un sistema interattivo e lo mette in servizio col proprio nome. Lo diventa anche chi prende un sistema generativo altrui, lo modifica (l'esempio è l'aggiunta di dati di addestramento) e lo rimette in servizio a proprio marchio. Chi lo integra senza metterci mano resta deployer, e la responsabilità resta del fornitore che glielo ha venduto.

Il caso tipico in hotel sta in mezzo, e non è risolto. Compri il chatbot, ci metti il tuo logo, lo alimenti con listino, servizi e regole della casa. Vale come modifica, e basta il marchio? Le linee guida non lo dicono, e non risulta una presa di posizione delle autorità o delle associazioni di categoria.

Quanto si rischia, con il numero giusto

Il sommario di Milano Finanza ha associato la scadenza sui chatbot a sanzioni fino a 35 milioni di euro. Quel tetto sta all'articolo 99, paragrafo 3, e riguarda solo le pratiche vietate dall'articolo 5. Alla trasparenza dell'articolo 50 si applica il paragrafo 4, lettera g), che si ferma a 15 milioni o al 3% del fatturato mondiale annuo, se superiore.

C'è poi il paragrafo che interessa chi gestisce una struttura. L'articolo 99, paragrafo 6, stabilisce che nel caso delle PMI ciascuna sanzione è pari al massimo alle percentuali o all'importo previsti, «se inferiore». Per le imprese in generale vale il valore più alto fra i due, per le PMI il più basso. Che cosa sia una PMI lo stabilisce la raccomandazione europea 2003/361/CE, richiamata nell'AI Act dallo stesso Omnibus, cioè meno di 250 occupati e un fatturato annuo non superiore a 50 milioni di euro oppure un totale di bilancio non superiore a 43 milioni, sommando i dati delle imprese collegate. Una struttura che fa parte di un gruppo può quindi restare fuori dalla definizione.

Il numero conta nello scenario della sezione precedente, quello in cui la qualifica di fornitore finisce addosso alla struttura. Lì un hotel PMI non rischia 15 milioni, perché il suo tetto è il 3% del fatturato, che su una struttura da 1,5 milioni di ricavi fa 45.000 euro.

In Italia manca ancora un pezzo

Il regolamento si applica da solo, il regime sanzionatorio nazionale no. La legge 23 settembre 2025, n. 132 designa all'articolo 20 l'AgID autorità di notifica e l'ACN autorità di vigilanza del mercato, con le attività ispettive e sanzionatorie. I poteri dell'articolo 99, il procedimento e gli importi passano però da decreti legislativi delegati, con termine al 10 ottobre 2026. Il Consiglio dei ministri li ha approvati in esame preliminare il 10 giugno 2026. Al 3 agosto 2026, mentre scriviamo, lo schema sui poteri delle autorità (Atto del Governo n. 421) è ancora all'esame parlamentare.

Nessun albergatore riceverà una sanzione AI Act il 3 agosto, visto che il procedimento e gli importi non ci sono ancora. L'impunità però è un'altra cosa. Restano i poteri di vigilanza del mercato che quella stessa legge attribuisce all'ACN, insieme alle attività ispettive, anche se la loro declinazione operativa passa dal decreto che manca. E resta un canale aperto da vent'anni, perché le linee guida collegano la trasparenza dell'articolo 50 alla disciplina europea delle pratiche commerciali sleali, che vale a prescindere dall'evidenza dell'interazione. In Italia quella disciplina vive nel Codice del consumo, la applica l'AGCM e le sanzioni vanno da 5.000 a 10 milioni di euro. Su un chatbot alberghiero non dichiarato non risultano provvedimenti, ma quel canale non aspetta decreti attuativi.

Cosa significa per il tuo hotel

Secondo ISTAT, nel 2025 l'11,7% delle imprese italiane con almeno dieci addetti dei servizi di alloggio e ristorazione usa almeno una tecnologia di intelligenza artificiale, contro il 16,4% registrato dall'insieme delle imprese della stessa soglia dimensionale. Il dato accorpa alberghi e ristoranti e lascia fuori le strutture più piccole, che sono la maggioranza. Secondo l'OCSE, però, l'applicazione di IA più diffusa nelle imprese ricettive è proprio il chatbot per i clienti. Lo stesso rapporto riporta che la chat o l'assistente virtuale è presente in circa metà degli hotel italiani, contro l'84% che ha un motore di prenotazione. La rilevazione è del 2024 e mette insieme chat con operatore, menu a risposte fisse e sistemi di IA, quindi dice quante chat ci sono, non quante ricadono nel regolamento.

La conclusione operativa non cambia con la qualifica giuridica. Dichiara comunque il chatbot. Costa una riga, il confine fra deployer e fornitore si assottiglia appena personalizzi, e la stessa informazione ti serve già per il Codice del consumo.

Il primo controllo lo fai stamattina in dieci minuti. Apri il sito da smartphone in navigazione anonima, in italiano e in inglese, e fai partire la chat come farebbe un ospite. L'avviso deve comparire leggibile nella prima schermata, prima che l'ospite scriva. La Commissione esclude che basti l'informazione contenuta solo nelle condizioni d'uso o nella documentazione, e considera insufficiente una comunicazione generica sull'uso dell'IA nel sito. Fra le formule che indica come idonee c'è l'equivalente italiano di «stai interagendo con un sistema di IA», da mettere come etichetta o nel primo messaggio della chat.

Poi manda al fornitore tre domande e archivia la risposta. Il sistema che ci avete fornito è un sistema di IA ai sensi del regolamento? Rispetto all'articolo 50, paragrafo 1, il fornitore siete voi o siamo noi, visto che il sistema gira sul nostro sito e col nostro marchio? L'avviso è già attivo? E in quali lingue?

Fai anche l'inventario di tutti gli strumenti automatici che parlano con l'ospite, dalla chat del sito al risponditore su WhatsApp. Per ognuno segna se è IA o se risponde a regole fisse, perché le linee guida tengono fuori dall'obbligo i meccanismi che non sono IA. Su WhatsApp la frase va nel primo messaggio del bot, non nella descrizione del profilo, e su un risponditore telefonico serve una frase parlata all'inizio della sessione, visto che un segnale acustico da solo non basta. È la voce che più spesso richiede un intervento a pagamento del fornitore, quindi conviene chiederla nella stessa mail delle tre domande.

Se la chat si presenta come una persona, con nome e foto, intervieni lì per primo, perché è il caso in cui l'ospite crede più facilmente di parlare con un umano. Togli il nome di fantasia oppure affianca l'etichetta che dice che è un sistema automatico. Sul piano dei costi è un intervento di configurazione, non uno sviluppo, e di norma il fornitore non lo fa pagare.

Resta infine l'obbligo di alfabetizzazione sull'IA dell'articolo 4, in vigore dal 2 febbraio 2025 e riscritto dallo stesso Omnibus, che ora chiede misure volte a sostenere l'alfabetizzazione del personale e precisa di non imporre un livello specifico. Non ha una sanzione pecuniaria propria, ma dal 2 agosto le autorità nazionali possono verificarlo, e resta la prima prova di diligenza davanti a una contestazione. Mezz'ora di formazione a ricevimento e booking, annotata con data e nomi, costa zero. Non c'è invece nulla da depositare presso ACN o AgID, perché per un hotel che usa un chatbot l'AI Act non prevede registrazioni né certificazioni. Chi vende «adempimenti AI Act» con moduli e scadenze propone qualcosa che la norma non chiede.

Un'ultima precisazione. Qui ricostruiamo le fonti normative alla data del 3 agosto 2026, non diamo una consulenza legale. Su più di un punto la risposta dipende da decreti non ancora emanati e da interpretazioni che nessun giudice ha dato. Il caso concreto cambia poi con il contratto che hai firmato col fornitore e con la configurazione del sistema.

Fonti

• EUR-Lex, Regolamento (UE) 2024/1689 (AI Act), articoli 3, 4, 25, 50, 99, 111 e 113, 13 giugno 2024
• EUR-Lex, Regolamento (UE) 2026/1744, Omnibus digitale sull'IA, 8 luglio 2026, in Gazzetta ufficiale UE il 24 luglio 2026
• EUR-Lex, Raccomandazione 2003/361/CE della Commissione, allegato, articolo 2, 6 maggio 2003
• Commissione europea, Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50, C(2026) 5054 final, 20 luglio 2026
• Commissione europea, Transparency obligations under Article 50 of the AI Act, FAQ, aggiornata al 24 luglio 2026
• Legge 23 settembre 2025, n. 132, articoli 20 e 24, in Gazzetta Ufficiale n. 223 del 25 settembre 2025, 23 settembre 2025
• Presidenza del Consiglio dei ministri, Comunicato stampa del Consiglio dei Ministri n. 177, 10 giugno 2026
• Garante per la protezione dei dati personali, parere n. 532 sullo schema di decreto legislativo, Atto del Governo n. 421, 14 luglio 2026
• ISTAT, Imprese e ICT, Anno 2025, Statistica report, 15 dicembre 2025
• OCSE, Promuovere la digitalizzazione dell'ecosistema turistico in Italia, OECD Tourism Papers 2025/13, 11 luglio 2025
• Il Sole 24 Ore, AI Act, dal 2 agosto debuttano la vigilanza e i doveri di trasparenza, luglio 2026
• Milano Finanza, AI Act, dal 2 agosto 2026 entrano in vigore gli obblighi di trasparenza per i chatbot, 31 luglio 2026
• Paradigma, L'Intelligenza Artificiale dopo la Legge n. 132/2025, aggiornato al 21 luglio 2026
• Ministero delle Imprese e del Made in Italy, Pratiche commerciali scorrette, domande frequenti, consultato il 3 agosto 2026