Il malinteso che sta girando

A fine 2025 la Commissione Europea ha proposto il cosiddetto Digital Omnibus sull'AI, un pacchetto di semplificazione che ha raggiunto un accordo politico il 7 maggio 2026. La notizia è rimbalzata ovunque con lo stesso titolo: "L'AI Act è stato rinviato".

È vero solo in parte, e la parte in cui è vero probabilmente non riguarda te.

L'Omnibus ha effettivamente spostato in avanti gli obblighi sui sistemi di intelligenza artificiale ad alto rischio — quelli usati, per esempio, nelle infrastrutture critiche, nella selezione del personale o nei dispositivi medici. Quelle scadenze sono slittate al dicembre 2027 e all'agosto 2028.

Ma gli obblighi di trasparenza — l'articolo 50, quello che dice "se un utente sta parlando con una macchina, deve saperlo" — sono stati lasciati esattamente dov'erano: si applicano dal 2 agosto 2026. Un chatbot conversazionale, un assistente virtuale, un configuratore che risponde in linguaggio naturale ricadono qui, non nell'alto rischio. Per loro non è cambiato nulla.

(Nota di aggiornamento: l'Omnibus è ancora in fase di adozione formale e diventa definitivo solo con la pubblicazione in Gazzetta Ufficiale dell'UE. Le date sui sistemi ad alto rischio vanno quindi considerate provvisorie; quella dell'art. 50, invece, è già nel testo vigente.)

Prima ancora di arrivare all'AI, però, vale la pena rimettere ordine su una confusione più antica e più diffusa: quella tra le regole che governano un sito web. Perché "essere in regola" nel 2026 significa rispettare non una norma, ma tre.

Tre regole distinte, spesso confuse in una sola

Quando un cliente dice "ho messo il banner dei cookie, sono a posto", di solito sta sovrapponendo tre regimi normativi che hanno logiche, autorità e sanzioni diverse. Tenerli separati è metà del lavoro.

1. Il GDPR — la protezione dei dati personali. È il regolamento che disciplina qualunque trattamento di dati riferibili a una persona: un nome in un form, un'email in una newsletter, un indirizzo IP, un ordine di e-commerce. Impone basi giuridiche, informative chiare, diritti dell'interessato (accesso, cancellazione, portabilità) e contratti con chi tratta dati per tuo conto. Le sanzioni arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo.

2. La direttiva ePrivacy e le regole sui cookie — il tracciamento. È un livello separato dal GDPR, spesso confuso con esso. Riguarda la lettura e la scrittura di informazioni sul dispositivo dell'utente: cookie di profilazione, pixel di terze parti, script di analytics. In Italia il riferimento operativo sono le Linee guida cookie del Garante del 2021, che chiedono, tra le altre cose, il blocco preventivo reale degli script non tecnici prima della scelta dell'utente e vietano di considerare lo scroll come consenso.

3. L'AI Act — la trasparenza sui sistemi di intelligenza artificiale. È il livello più recente e si aggiunge ai primi due, non li sostituisce. Non chiede "che dati tratti", ma "l'utente sa che sta interagendo con un'AI, o che un contenuto è stato generato da una macchina?".

Il punto pratico: puoi avere un banner cookie impeccabile ed essere comunque fuori norma sul GDPR (per esempio con un form senza informativa) o sull'AI Act (con un chatbot che non si dichiara). Sono controlli separati, e vanno superati tutti e tre.

Cosa serve davvero, in base a cosa fai

Non tutti i siti hanno gli stessi obblighi. La complessità cresce con le funzionalità. In pratica, quasi ogni progetto si posiziona su uno di tre livelli.

Profilo Base — il sito vetrina. Presenta l'azienda, magari con Google Analytics e un modulo di contatto. Qui servono: un cookie banner con blocco preventivo effettivo, privacy e cookie policy aggiornate e allineate agli strumenti realmente in uso, la configurazione di Google Consent Mode v2 e — dettaglio spesso trascurato — l'hosting locale dei font, per non spedire l'indirizzo IP di ogni visitatore ai server di Google a ogni caricamento di pagina.

Profilo Marketing — lead e newsletter. Al livello base si aggiunge la gestione dei contatti raccolti: consensi di marketing separati da quelli di servizio, double opt-in sulle iscrizioni (email di conferma prima di attivare l'invio), contratti di responsabilità (DPA) con i fornitori di email marketing, e il blocco preventivo dei pixel pubblicitari come quelli di Meta.

Profilo Completo — e-commerce e AI. Qui entra tutto il resto: termini e condizioni vincolanti, DPA con i gateway di pagamento, gestione dei diritti degli interessati su volumi maggiori e — se c'è un assistente conversazionale o una funzione generativa — gli obblighi di disclosure dell'AI Act di cui parliamo tra poco.

Il valore di questa classificazione è che permette di dimensionare l'intervento: un artigiano con un sito vetrina non ha bisogno dell'apparato di un e-commerce, e proporglielo sarebbe disonesto oltre che inutile.

Il capitolo AI: cosa cambia dal 2 agosto 2026

L'articolo 50 dell'AI Act non guarda a quanto è "rischioso" un sistema, ma a una domanda diversa: una persona è esposta all'AI senza saperlo? Dove la risposta è sì, scatta un obbligo di trasparenza. Le situazioni rilevanti sono essenzialmente quattro.

• Sistemi che interagiscono direttamente con le persone — chatbot, assistenti virtuali. L'utente deve essere informato in modo chiaro che sta dialogando con una macchina, a meno che non sia ovvio dal contesto. È questa la situazione che tocca la maggior parte dei progetti, e la sua scadenza è il 2 agosto 2026, senza rinvii.
• Sistemi generativi che producono testo, audio, immagini o video sintetici: gli output vanno marcati in un formato leggibile dalle macchine come "generato dall'AI".
• Riconoscimento delle emozioni o categorizzazione biometrica: le persone esposte vanno informate.
• Deepfake e contenuti audio/video/immagine artificialmente generati o manipolati: va dichiarato che il contenuto non è autentico.

Una distinzione utile da tenere a mente: l'obbligo di dichiarare l'interazione con un chatbot parte il 2 agosto 2026 e non è stato toccato dall'Omnibus. L'obbligo tecnico di marcatura dei contenuti generati (il cosiddetto watermarking, art. 50(2)) ha invece ottenuto un piccolo respiro: per i sistemi già sul mercato prima di quella data slitta al 2 dicembre 2026.

Da quella stessa data, l'AI Office e le autorità nazionali acquisiscono anche il potere di sanzionare: per le violazioni degli obblighi di provider e deployer, incluso l'art. 50, si parla di multe fino a 15 milioni di euro o al 3% del fatturato mondiale annuo. L'obbligo e la sanzione, in altre parole, arrivano insieme.

Per chi costruisce assistenti verticali — un sommelier digitale, un pilota di porto conversazionale, un configuratore di prodotto — l'implicazione è concreta: la disclosure va progettata dentro l'interfaccia, non appiccicata dopo. E la qualità delle risposte non è un dettaglio estetico ma un tema di responsabilità: un modello che "inventa" informazioni espone il titolare. È il motivo per cui, sui domini ad alta precisione, preferiamo una base di conoscenza strutturata e verificabile, integrata direttamente nel sistema, a soluzioni che lasciano il modello libero di improvvisare.

Gli errori che vediamo più spesso

La conformità raramente fallisce per grandi mancanze. Fallisce nei dettagli, ed è lì che un controllo automatico o un'ispezione trovano l'appiglio.

• Font di Google caricati da remoto. Ogni pagina che richiama i Google Fonts esterni trasmette l'IP del visitatore a un server statunitense. È già costato sanzioni in Europa. Si risolve ospitando i font localmente — un intervento tecnico rapido, spesso dimenticato.
• Banner senza blocco preventivo. Molti banner sembrano conformi ma lasciano partire gli script di analytics e i pixel prima ancora che l'utente clicchi. È esattamente ciò che le Linee guida del Garante vietano.
• Consensi non registrati. Raccogliere il consenso non basta: in caso di contestazione va dimostrato quando e come è stato prestato. Senza un registro permanente e automatizzato, la prova non c'è.
• Consent Mode assente o in modalità base. Senza Google Consent Mode v2 configurato correttamente, il rifiuto dei cookie non degrada solo la conformità: azzera i dati di misurazione e manda in tilt le campagne. La modalità avanzata consente di recuperare una parte significativa del dato attraverso la modellazione statistica di Google — non un numero magico, ma una differenza reale rispetto al buio totale.

Come affrontarla, con onestà sui ruoli

Mettere a norma un progetto non è "installare un banner", ma nemmeno un'operazione da avvocati soltanto. Nella pratica il lavoro si divide in due mestieri distinti, ed è bene tenerli separati anche nel preventivo.

C'è una parte tecnica e sistemistica: l'audit dei cookie e delle terze parti realmente attive, il blocco preventivo degli script, il passaggio a font locali, la configurazione del Consent Mode, la validazione degli input e l'isolamento delle basi di conoscenza per le web app e i sistemi AI, l'inserimento delle interfacce di disclosure. Questo è il terreno su cui uno studio di sviluppo interviene direttamente.

E c'è una parte legale e documentale: i testi di privacy e cookie policy, i registri dei consensi, i contratti con i fornitori. Qui l'approccio più solido è appoggiarsi a piattaforme specializzate e certificate, che mantengono i testi dinamicamente aggiornati man mano che la normativa cambia — un lavoro che nessuno studio tecnico dovrebbe pretendere di fare a mano.

Una precisazione doverosa: questo articolo offre un orientamento, non una consulenza legale. Ogni situazione ha le sue specificità, e le basi giuridiche vanno verificate caso per caso. Quello che possiamo garantire è l'architettura tecnica che rende la conformità possibile by design — il resto si costruisce insieme, con i professionisti giusti al posto giusto.

Se hai un sito, una web app o un assistente AI e non sei sicuro di quale dei tre profili ti riguardi, un audit preventivo è il modo più rapido per scoprirlo: si parte da cosa gira davvero sul tuo dominio, non da un modello generico.