AI Act, in vigore gli obblighi di trasparenza: cosa cambia per sanità e servizi rivolti ai cittadini

Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza stabiliti dall’articolo 50 dell’AI Act, il regolamento europeo che disciplina lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale.

Le disposizioni riguardano specifiche categorie di sistemi, tra cui quelli che interagiscono direttamente con le persone, gli strumenti di riconoscimento delle emozioni o di categorizzazione biometrica e alcuni sistemi che generano o manipolano testi, immagini, audio e video. L’obiettivo è permettere ai cittadini di riconoscere quando stanno comunicando con un sistema di IA o quando sono esposti a contenuti artificiali (Commissione europea, orientamenti sull’articolo 50).

Quando bisogna informare l’utente

I fornitori devono progettare i sistemi di IA che interagiscono direttamente con persone fisiche in modo che queste siano informate della natura artificiale dell’interlocutore, salvo i casi in cui ciò risulti evidente.

La comunicazione deve essere fornita fin dall’inizio della prima interazione, in modo chiaro, distinguibile e conforme ai requisiti di accessibilità. L’obbligo può riguardare, ad esempio, chatbot, agenti virtuali e avatar capaci di sostenere uno scambio diretto con l’utente (come spiegano le domande e risposte della Commissione europea sull’articolo 50).

Nel rapporto tra cittadini e sistemi sanitari, un esempio pratico potrebbe essere quello di un assistente virtuale utilizzato sul sito di un’azienda sanitaria per fornire informazioni sugli orari degli ambulatori, sulle modalità di prenotazione o sui documenti necessari per una prestazione. Se il cittadino interagisce direttamente con un sistema di IA, deve essere informato fin dall’inizio che non sta dialogando con un operatore umano.

Un altro caso ipotetico potrebbe riguardare un assistente digitale inserito in un’app sanitaria, utilizzato per orientare il paziente tra i servizi disponibili o per rispondere a domande amministrative. Anche in questo caso, qualora ricorrano le condizioni previste dall’articolo 50, la natura artificiale dell’interlocutore deve essere comunicata in modo chiaro.

Non ogni automatismo rientra tuttavia nella disposizione. Secondo gli orientamenti della Commissione, devono ricorrere contemporaneamente alcune condizioni: deve trattarsi di un sistema di IA, progettato per un’effettiva comunicazione bidirezionale, con un’interazione diretta tra il sistema e una persona fisica. Restano quindi fuori da questo specifico obbligo i sistemi che operano soltanto in background, le comunicazioni tra macchine e gli strumenti che non entrano direttamente in contatto con il cittadino.

Contenuti generati o manipolati dall’IA

L’articolo 50 assegna obblighi differenti ai fornitori e agli utilizzatori professionali dei sistemi, definiti dal regolamento come “deployers”.

I fornitori di sistemi capaci di generare contenuti sintetici sotto forma di testo, audio, immagini o video devono fare in modo che gli output siano contrassegnati in un formato leggibile da macchina e risultino rilevabili come generati o manipolati dall’intelligenza artificiale.

La Commissione precisa che l’obbligo non si applica indistintamente a qualsiasi elaborazione. Sono previste esclusioni, tra l’altro, per alcune funzioni di assistenza alla normale modifica dei contenuti e per output destinati esclusivamente alla comunicazione e al trattamento automatico tra macchine.

Gli utilizzatori professionali devono invece informare le persone esposte a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica. Devono inoltre rendere riconoscibili i deepfake, cioè contenuti audio, video o immagini generati o manipolati dall’intelligenza artificiale che possono apparire autentici e rappresentare persone, oggetti, luoghi, entità o eventi mai avvenuti o alterati artificialmente, e, a determinate condizioni, i testi generati o manipolati dall’IA pubblicati per informare il pubblico su questioni di interesse generale.

In ambito sanitario, un esempio ipotetico potrebbe essere un video informativo nel quale l’immagine o la voce di un medico, di un dirigente sanitario o di un rappresentante istituzionale siano state generate o modificate artificialmente in modo realistico. Quando il contenuto rientra nella definizione e nelle condizioni previste dall’AI Act, la sua natura artificiale deve essere resa riconoscibile.

Un ulteriore esempio potrebbe riguardare un messaggio audiovisivo destinato ai cittadini nel quale un avatar realistico, creato con l’IA, illustra una campagna di prevenzione o le modalità di accesso a un servizio sanitario. La valutazione degli obblighi applicabili dipende dalle caratteristiche concrete del contenuto e dal modo in cui viene presentato al pubblico.

Per questi ultimi testi, la Commissione indica tra le materie di interesse pubblico anche la pubblica amministrazione, i servizi pubblici, i diritti fondamentali e la salute pubblica. L’etichettatura non è richiesta quando il contenuto è stato sottoposto a un’effettiva revisione umana o a un controllo editoriale e una persona fisica o giuridica assume la responsabilità editoriale della pubblicazione. Una semplice verifica grammaticale o formale non è considerata sufficiente.

Un’applicazione pratica potrebbe riguardare un testo informativo prodotto con l’ausilio dell’IA e pubblicato sul sito di un ente sanitario per comunicare indicazioni su una campagna vaccinale, un programma di screening o l’accesso a un servizio pubblico. Se il testo è generato o manipolato dall’IA e viene pubblicato per informare il pubblico su una questione di interesse generale, occorre verificare se ricorrano gli obblighi di trasparenza. Qualora vi siano invece un’effettiva revisione umana, un controllo editoriale e l’assunzione di responsabilità da parte di una persona fisica o giuridica, si applica l’eccezione prevista dalla disposizione.

Le verifiche necessarie nel settore sanitario

Per il sistema sanitario italiano, l’applicazione dell’articolo 50 richiede innanzitutto una ricognizione dei servizi digitali rivolti a pazienti e cittadini.

Strutture sanitarie, amministrazioni pubbliche e fornitori tecnologici devono verificare se i sistemi impiegati rientrino nelle categorie disciplinate dalla norma e quale ruolo ricoprano nella relativa catena di responsabilità: fornitore del sistema oppure soggetto che lo utilizza sotto la propria autorità.

L’analisi dovrebbe riguardare almeno le interfacce che comunicano direttamente con gli utenti, le modalità con cui viene dichiarato l’impiego dell’IA, l’accessibilità delle informative e le procedure interne applicate ai contenuti generati o modificati artificialmente.

In concreto, la verifica potrebbe interessare, a titolo esemplificativo, i chatbot presenti nei portali sanitari, gli assistenti virtuali utilizzati nei servizi di prenotazione, le app che forniscono informazioni amministrative, gli avatar impiegati nelle campagne informative e i sistemi che producono testi, immagini, audio o video destinati ai cittadini.

Particolare attenzione è necessaria quando un sistema viene utilizzato per comunicazioni riguardanti la salute pubblica o i servizi sanitari. In questi casi occorre distinguere tra contenuti pubblicati automaticamente, che possono ricadere negli obblighi di etichettatura, e testi sottoposti a una revisione umana sostanziale e a un effettivo controllo editoriale.

Trasparenza e sistemi ad alto rischio: scadenze diverse

Gli obblighi di trasparenza già applicabili non devono essere confusi con le disposizioni relative ai sistemi di IA classificati ad alto rischio.

A seguito delle modifiche al calendario di attuazione, le regole per alcuni sistemi utilizzati nei settori indicati dall’allegato III — tra cui biometria, infrastrutture critiche, istruzione, occupazione e accesso a determinati servizi — si applicheranno dal 2 dicembre 2027. Per i sistemi ad alto rischio integrati in prodotti regolamentati, il termine indicato dalla Commissione è invece il 2 agosto 2028.

Il differimento di queste scadenze non sospende l’articolo 50. Dal 2 agosto 2026 fornitori e utilizzatori dei sistemi interessati sono tenuti a rispettare gli obblighi di trasparenza previsti dalla disposizione. Una limitata fase transitoria è contemplata soltanto per alcuni sistemi immessi sul mercato prima di tale data e unicamente in relazione all’obbligo di marcatura e rilevabilità dei contenuti generati dall’IA: per questi sistemi la conformità è richiesta dal 2 dicembre 2026 (come chiarisce la Commissione europea).

Per gli enti sanitari e i gestori dei servizi pubblici digitali, il passaggio operativo consiste quindi nel separare chiaramente i diversi piani della normativa: da una parte la classificazione e gli adempimenti previsti per i sistemi ad alto rischio; dall’altra gli obblighi di trasparenza che, per i sistemi compresi nell’articolo 50, sono già applicabili.