L’AI deve lasciare le impronte. L’Europa obbliga i modelli a farsi riconoscere

AI Act trasparenza: dal 2 agosto 2026 l’Unione europea chiede ai fornitori di chatbot e intelligenza artificiale generativa di rendere riconoscibile l’interazione con una macchina e di marcare i contenuti sintetici. Per chi diffonde determinati deepfake e testi AI su questioni di interesse pubblico scattano, con limiti ed eccezioni, obblighi di dichiarazione verso il pubblico. Poi, il 14 agosto, Anthropic ha mostrato come una delle regole si traduce in tecnologia: Claude può inserire nelle parole un segnale statistico invisibile che permette di verificare se il modello ha probabilmente contribuito a scrivere un testo.

È il tentativo europeo di risolvere un problema che le piattaforme hanno contribuito a costruire. Dopo anni trascorsi a rendere le immagini sintetiche sempre più credibili e i chatbot sempre più umani, arriva una legge che chiede alle aziende di non farli sembrare troppo veri senza avvertire nessuno. Non significa che ogni frase generata dall’AI debba essere preceduta da una sirena, né che un algoritmo possa certificare con certezza chi abbia scritto un testo. La differenza fra marcatura tecnica e avviso visibile è precisamente il punto.

La Commissione europea ha confermato l’avvio dell’applicazione delle norme sulla trasparenza il 2 agosto. Le linee guida del 20 luglio definiscono quali obblighi spettano ai produttori dei sistemi e quali a chi li usa professionalmente. Il documento tecnico di Anthropic del 14 agosto aiuta a capire cosa possa fare un watermark — e, soprattutto, cosa non possa promettere.

AI Act e trasparenza: che cosa è cambiato il 2 agosto 2026

L’articolo 50 dell’AI Act prevede obblighi di trasparenza per sistemi che interagiscono direttamente con persone e per contenuti generati o manipolati dall’intelligenza artificiale. Gli operatori coinvolti non hanno tutti lo stesso compito. Il provider è chi sviluppa o mette sul mercato il sistema con il proprio nome; il deployer è chi lo utilizza sotto la propria responsabilità per attività professionali o organizzative. Chi usa un modello soltanto per un’attività privata, non professionale, può rimanere fuori dalla seconda categoria, pur dovendo rispettare altre norme applicabili.

Per il provider che offre un chatbot o un agente conversazionale, la regola generale è che la persona debba sapere di interagire con l’AI, a meno che ciò non risulti già evidente. Non significa obbligare qualunque interfaccia a ripetere «sono un robot» a ogni messaggio: l’informazione va resa chiara al primo contatto, valutando la natura dell’interazione. Un assistente chiaramente presentato come tale si trova in una situazione diversa da una voce artificiale progettata per essere scambiata per un dipendente umano.

Lo stesso articolo chiede ai provider di sistemi generativi di aggiungere segnali leggibili dalle macchine, in modo che un contenuto possa essere riconosciuto come prodotto o modificato artificialmente. I segnali possono assumere forme diverse secondo il supporto. La Commissione precisa che esistono esclusioni per alcuni output, per esempio codice sorgente, semplici sequenze di caratteri e determinati compiti di editing ordinario. Non è dunque corretto dire che da agosto qualsiasi materiale passato attraverso un modello debba portare un marchio.

Watermark AI: la differenza tra traccia invisibile ed etichetta pubblica

Qui si incontrano due idee spesso usate come sinonimi. Il watermark è una traccia tecnica che consente a un rilevatore compatibile di riconoscere o stimare l’origine artificiale del contenuto. Una etichetta di trasparenza è invece l’informazione che una persona può leggere o ascoltare senza usare strumenti specializzati. Un file può contenere un’informazione di provenienza accessibile a un software e, nello stesso momento, non mostrare alcuna scritta sullo schermo. Il contrario è altrettanto possibile: un’avvertenza visibile non garantisce che l’origine sia verificabile tecnicamente.

Nel caso dei deepfake, le FAQ della Commissione distinguono l’obbligo del provider di predisporre marcature da quello del deployer di comunicare chiaramente al pubblico che il materiale è artificiale. La sola presenza di un segnale nascosto nel file non soddisfa automaticamente la dichiarazione al pubblico. E non tutto ciò che è stato ritoccato con strumenti AI è necessariamente un deepfake: la definizione riguarda immagini, audio o video che somigliano a persone, oggetti, luoghi o eventi in modo tale da potersi presentare falsamente come autentici.

Per opere chiaramente artistiche, creative, satiriche o di finzione sono previste modalità di dichiarazione compatibili con la fruizione. È una distinzione necessaria: un film che presenta una scena impossibile non comunica allo spettatore la stessa pretesa di verità di un video diffuso come documentazione di un fatto reale. Terza Pillola ha affrontato questo confine raccontando i deepfake e il potere delle immagini che sembrano prove. La questione non è vietare l’invenzione, ma non spacciarla per registrazione del mondo.

Claude e il watermark statistico: come riconosce le proprie parole

Il 14 agosto Anthropic ha presentato il funzionamento del watermark destinato alle risposte di Claude. La tecnica, ispirata a SynthID-Text di Google DeepMind, non aggiunge caratteri nascosti, filigrane grafiche o informazioni sul singolo utente. Agisce invece durante la generazione: quando il modello deve scegliere tra più parole ugualmente plausibili, la selezione incorpora una regolarità statistica determinata anche da una chiave. Un rilevatore che conosce quella chiave può controllare se una sequenza di parole appare compatibile con le scelte del modello marcato.

È meno spettacolare di un timbro digitale, ma proprio per questo è interessante. Il lettore non vede una differenza e, secondo i test citati dall’azienda, la marcatura non altera in modo apprezzabile la qualità del testo, la creatività o il costo delle risposte. La tecnica non richiede token aggiuntivi. Anthropic afferma anche che la marcatura non identifica il cliente, l’organizzazione o la conversazione da cui deriva il testo. Attribuisce probabilisticamente un contributo a un modello, non una persona a un documento.

La differenza rispetto ai comuni software che promettono di scoprire l’AI dallo stile è sostanziale. Un detector senza accesso alla chiave cerca indizi statistici o formule linguistiche ricorrenti e può sbagliare in entrambe le direzioni, accusando testi umani oppure lasciando passare testi artificiali. Il sistema descritto da Anthropic cerca invece il segnale introdotto intenzionalmente dal proprio generatore. Non diventa infallibile: migliora il collegamento fra produzione e verifica per quei contenuti che conservano abbastanza tracce.

Anthropic ha annunciato una API di verifica in anteprima privata per organizzazioni ammesse, fra cui alcuni soggetti istituzionali, media e ricercatori. Non ha dichiarato che chiunque possa incollare qualsiasi testo in un servizio pubblico e ottenerne una certificazione universale. E non ha sostenuto che la stessa chiave permetta di riconoscere automaticamente gli output di altri modelli: ogni sistema può usare chiavi o metodi differenti.

Che cosa il watermark non prova: riscritture, testi brevi e contenuti umani

Il limite principale è nel funzionamento stesso della lingua. Se un testo è troppo breve, ci sono poche scelte di parole su cui lasciare un segnale riconoscibile. Se è fatto prevalentemente di dati, formule o termini tecnici obbligati, la possibilità di scegliere espressioni alternative senza perdere precisione si riduce. Anche una semplice revisione di ortografia e punteggiatura può intervenire su così poche parole da non lasciare un’impronta misurabile. Una traduzione completa, al contrario, offre normalmente molte più scelte al modello.

Una riscrittura sostanziale può eliminare la traccia. È un problema per chi immagina il watermark come certificato permanente di provenienza: la marcatura può aiutare a verificare un contenuto, ma la sua assenza non dimostra che un essere umano lo abbia scritto. La sua presenza non dice nemmeno se Claude abbia creato un documento dall’inizio o lo abbia riscritto pesantemente. Riconoscere la partecipazione di una macchina non significa stabilire l’autorialità, né attribuire automaticamente la responsabilità legale.

Su immagini e file Anthropic descrive invece un approccio diverso, basato su credenziali C2PA firmate crittograficamente nei metadati dei formati supportati. Il vantaggio è poter conservare informazioni sull’origine e sulle modifiche. Il limite è che metadati e tracce di provenienza possono andare perduti lungo alcune catene di elaborazione o distribuzione; non equivalgono a un obbligo di credere a qualunque file che ne sia provvisto. Anche l’assenza di credenziali non dimostra che un’immagine sia autentica.

Il parallelismo con il fenomeno dell’human washing è evidente: tanto le aziende quanto gli utenti possono avere interesse a presentare come umano ciò che è artificiale, o viceversa. Per questo una verifica efficace non può ridursi a un logo: servono informazioni credibili sulla provenienza, criteri di controllo e la disponibilità a contestare un risultato.

Le eccezioni per giornali, pubblicazioni e opere creative

Una delle regole più importanti per l’editoria è anche una delle meno raccontate. L’articolo 50 disciplina l’obbligo del deployer di dichiarare determinati testi generati o manipolati con AI quando sono pubblicati per informare il pubblico su questioni di interesse generale. Ma la normativa prevede un’eccezione se il contenuto ha subito una revisione umana o un controllo editoriale e qualcuno ne assume la responsabilità editoriale. È una distinzione fra l’impiego di uno strumento e l’abbandono della funzione che normalmente dovrebbe svolgere chi pubblica.

Non basta tuttavia aggiungere una firma umana in fondo a un testo che nessuno abbia letto per trasformare la responsabilità in un automatismo. La domanda sostanziale riguarda chi abbia verificato fatti, fonti, riferimenti e conseguenze della pubblicazione. Le linee guida europee insistono proprio sulla necessità di distinguere ruoli e circostanze concrete, perché tra una ricerca assistita e un comunicato generato e pubblicato senza controllo ci sono differenze importanti.

L’AI Act non risolve nemmeno i conflitti sul copyright. Sapere che un contenuto è stato generato con un modello non dice quali opere siano state usate per addestrarlo, quali licenze siano applicabili o se un risultato riproduca materiale protetto. Il problema ritorna nel confronto europeo su AI, musica e diritto d’autore: identificare il mezzo di produzione è utile, ma non basta a definire i diritti su tutto ciò che entra o esce dal sistema.

Scadenze AI Act: il 2 agosto non era l’ultimo giorno per tutti

Un altro equivoco riguarda il calendario. Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza dell’articolo 50. Tuttavia, i fornitori di sistemi già immessi sul mercato prima di quella data dispongono, per lo specifico obbligo di marcatura e rilevazione dei contenuti previsto dall’articolo 50, paragrafo 2, di un periodo transitorio fino al 2 dicembre 2026. Non si tratta di un rinvio generale di tutto l’articolo, e non esonera indistintamente qualunque sistema o impresa.

Le regole per altri sistemi classificati ad alto rischio seguono ancora un calendario differente: le disposizioni per i sistemi autonomi ricompresi nell’allegato III decorrono dal dicembre 2027, mentre quelle relative a sistemi incorporati in prodotti regolamentati sono previste per agosto 2028. Sovrapporre queste date a quelle della marcatura dei contenuti confonde obblighi tecnici, verifiche istituzionali e categorie di rischio differenti. In materia di AI Act, la precisione non è un vezzo per giuristi: è il modo per evitare sia falsi allarmi sia rassicurazioni ingiustificate.

Il controllo spetta principalmente alle autorità nazionali competenti, con ruoli specifici dell’AI Office per determinati sistemi e modelli; l’AI Act prevede per alcune violazioni degli obblighi di trasparenza sanzioni che possono arrivare a 15 milioni di euro o al 3% del fatturato mondiale annuo precedente, secondo le condizioni e i criteri applicabili. Per un’impresa, quindi, il costo della conformità non si riduce alla scritta «generato con AI» inserita a fondo pagina: richiede capire quale ruolo svolge, quali contenuti produce, come li diffonde e quali eccezioni la riguardano.

Il nuovo potere è decidere quando una traccia conta come prova

L’Europa ha ragione a porre il problema della trasparenza. Quando chiunque può simulare una voce, produrre una fotografia credibile o imitare un’interazione umana, il cittadino deve poter distinguere ciò che vede da ciò che gli viene fatto credere di vedere. Ma il watermark rende visibile un’altra questione: chi controlla la chiave di verifica, l’accesso ai rilevatori e gli standard con cui un segnale viene giudicato attendibile?

Un ecosistema di marchi incompatibili rischierebbe di consegnare alle stesse piattaforme che producono i contenuti il monopolio della loro certificazione. Standard condivisi, verifiche indipendenti e responsabilità editoriale potrebbero limitare quella dipendenza, ma nessuna di queste soluzioni elimina il lavoro umano di controllare contesto, significato e veridicità. Anche una fotografia originale può mentire se viene presentata con una didascalia falsa; anche un’immagine sintetica può dichiarare correttamente di esserlo.

La novità dell’agosto 2026 non è che l’intelligenza artificiale debba essere riconoscibile per decreto. È che, dopo aver investito enormi risorse per convincerci che una macchina sappia comportarsi come una persona, l’industria deve investire altre risorse per dimostrare quando persona non è. Il watermark può lasciare un’impronta digitale. Resta da capire chi avrà davvero il diritto, e gli strumenti, per leggerla.