Blog · 10 min di lettura
Chatbot e AI Act: cosa deve fare un’azienda dal 2026
Dal 2 agosto 2026 un chatbot o un assistente vocale deve far sapere alle persone che stanno interagendo con un’intelligenza artificiale, in modo chiaro e al più tardi alla prima interazione: lo prevede l’articolo 50 dell’AI Act, e l’«omnibus digitale» approvato nel 2026 non ha spostato questa data. In Italia, dal 23 ottobre 2026, chi viola l’art. 50 rischia sanzioni fino a 15 milioni di euro o al 3% del fatturato; per le PMI vale il minore dei due importi. Si aggiungono l’informativa privacy del GDPR e, per professionisti e datori di lavoro, gli obblighi di informazione della legge italiana sull’AI.
Questo articolo è informativo e non è una consulenza legale. Riassume le norme in vigore al 20 ottobre 2026: per applicarle al tuo caso confrontati con un legale o con il tuo DPO, il responsabile della protezione dei dati.
L’obbligo di trasparenza: cosa deve dire un chatbot e quando
L’AI Act, il Regolamento (UE) 2024/1689, chiede che un sistema che interagisce con le persone sia progettato in modo che queste sappiano di parlare con un’AI (art. 50, paragrafo 1). L’informazione va data «in modo chiaro e distinguibile al più tardi al momento della prima interazione», rispettando i requisiti di accessibilità (paragrafo 5). L’obbligo vale dal 2 agosto 2026: il Regolamento (UE) 2026/1744, l’«omnibus digitale» in vigore dal 27 luglio 2026, ha rinviato altre scadenze ma non questa.
Le linee guida della Commissione sull’art. 50, pubblicate il 20 luglio 2026, citano tra gli esempi gli assistenti vocali e i chatbot per assistenza clienti, gestione dei reclami ed e-commerce. Conta che un sistema di AI dialoghi con i tuoi clienti, non il canale: sito, messaggistica o telefono.
Cosa dire
Una frase che non lasci dubbi, per esempio «Assistente virtuale basato su intelligenza artificiale», nell’intestazione della chat e nel primo messaggio. Deve essere leggibile anche con uno screen reader, il programma che legge lo schermo ad alta voce.
Quando dirlo
Al più tardi al primo scambio, dove la persona sta già guardando. Al telefono, l’avviso che si parla con un’AI va dato all’inizio della chiamata, insieme all’informativa.
Quando è «ovvio» che si tratta di un’AI
La norma esclude i casi in cui è ovvio. Le linee guida però indicano come non ovvi proprio i chatbot di assistenza le cui risposte possono sembrare scritte da una persona. Per un chatbot aziendale conviene non contare sull’eccezione.
Fornitore o deployer: chi risponde dell’avviso
L’AI Act distingue due ruoli. Il fornitore è chi sviluppa un sistema di AI, o lo fa sviluppare, e lo mette in servizio con il proprio nome o marchio. Il deployer è chi usa un sistema di AI sotto la propria autorità, nella propria attività professionale. L’avviso del paragrafo 1 è un obbligo del fornitore.
Secondo le linee guida della Commissione, l’azienda che offre un chatbot con il proprio nome o marchio è il fornitore responsabile dell’avviso. Nel caso più comune, se un’agenzia ti realizza il chatbot e tu lo pubblichi sul tuo sito, la responsabilità è quindi tua: è una lettura da confermare con un legale.
Contenuti generati dall’AI e formazione del personale
Il paragrafo 2 dell’art. 50 chiede di marcare i contenuti sintetici, cioè testi, immagini, audio o video generati dall’AI, in un formato leggibile dalle macchine. È un obbligo dei fornitori dei sistemi generativi, ed è l’unico punto dell’art. 50 su cui l’omnibus concede tempo: per i sistemi immessi sul mercato prima del 2 agosto 2026 il termine è il 2 dicembre 2026. Il 10 giugno 2026 la Commissione ha pubblicato sul tema un codice di buone pratiche volontario.
Altri obblighi riguardano chi usa l’AI (paragrafo 4). Chi pubblica deepfake, cioè immagini, audio o video generati o modificati dall’AI che sembrano autentici, deve dichiararlo. Lo stesso vale per i testi pubblicati per informare il pubblico su questioni di interesse pubblico, salvo che una persona li abbia rivisti e se ne assuma la responsabilità editoriale.
Dal 2 febbraio 2025 si applica l’art. 4 sull’alfabetizzazione AI, cioè le competenze per usare questi sistemi conoscendone opportunità e rischi. L’omnibus l’ha ammorbidito, non abolito: fornitori e deployer «adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA» del personale, senza dover garantire un livello specifico. In pratica, se in azienda si usa l’AI servono almeno regole d’uso e una formazione breve. Secondo il Politecnico di Milano, solo il 7% delle PMI italiane ha avviato programmi strutturati di formazione sull’AI.
Cosa aggiunge la legge italiana sull’intelligenza artificiale
La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, non aggiunge obblighi a quelli dell’AI Act per i sistemi di AI in quanto tali (art. 3, comma 5), ma fissa regole per alcune attività.
Professionisti: informare il cliente
Chi esercita una professione intellettuale, come commercialisti, avvocati, consulenti e tecnici, può usare l’AI solo per attività strumentali e di supporto, e deve comunicare al cliente quali sistemi usa «con linguaggio chiaro, semplice ed esaustivo» (art. 13).
Datori di lavoro: informare e decidere in prima persona
Il datore di lavoro deve informare il lavoratore sull’uso dell’AI, nei casi e nei modi dell’art. 1-bis del D.Lgs. 152/1997 (art. 11 della legge 132). Dal 23 ottobre 2026 l’art. 41 del D.Lgs. 179/2026 riserva «a una persona fisica» le decisioni finali sul rapporto di lavoro: assunzione, modifiche, cessazione, provvedimenti disciplinari e valutazioni non possono basarsi solo su un trattamento automatizzato, e il consenso del lavoratore non basta come eccezione.
Sanzioni dell’AI Act in Italia e log
L’art. 23 del D.Lgs. 179/2026 punisce le violazioni dell’art. 50 fino a 15 milioni di euro o al 3% del fatturato, applicando a PMI, microimprese e start-up innovative il minore dei due importi (art. 99, paragrafo 6, AI Act). Il D.Lgs. 160/2026, in vigore dal 30 settembre 2026, consente al giudice di ordinare l’esibizione di log e documentazione nelle cause per danni da AI, e prevede una presunzione sul nesso causale, il legame tra causa e danno, quando l’AI Act è stato violato. Conservare la documentazione del sistema serve anche a questo.
Privacy e GDPR: cosa serve se il chatbot raccoglie dati
Un chatbot raccoglie quasi sempre dati personali, come un nome, un’email o il testo di una richiesta: il GDPR si applica come a un modulo di contatto.
Informativa al momento della raccolta
Va data «nel momento in cui i dati personali sono ottenuti» (art. 13 GDPR): in pratica, un link visibile prima della prima domanda. Deve indicare finalità, base giuridica, per quanto tempo conservi le conversazioni, quali fornitori sono coinvolti, eventuali trasferimenti fuori dall’UE e i diritti delle persone. Per i contatti a fini di marketing conviene un consenso separato e non preselezionato.
Contratti con i fornitori
Hosting, fornitore del modello e piattaforma di messaggistica o vocale trattano i dati per conto tuo: sono responsabili del trattamento e con ciascuno serve un contratto (art. 28), spesso chiamato DPA. Anthropic lo include nei termini commerciali.
Valutazione d’impatto (DPIA)
È richiesta quando un trattamento usa nuove tecnologie e può presentare un rischio elevato (art. 35). Un chatbot di domande frequenti che non raccoglie dati particolari, come quelli sulla salute, spesso non la richiede, ma la valutazione va scritta e conservata; sanità, lavoro, minori, profilazione o grandi volumi la rendono probabile. È una lettura da confermare con il DPO.
Dove vengono elaborati i dati
Al 20 ottobre 2026 l’API diretta di Anthropic non ha una regione UE, mentre Claude si può usare con elaborazione nell’UE tramite Google Vertex AI o Amazon Bedrock. L’API di OpenAI ha una regione Europa, che richiede accordi di conservazione ridotta e un’approvazione; Azure OpenAI offre distribuzioni con elaborazione negli Stati UE. Il Data Privacy Framework UE–USA per i trasferimenti negli Stati Uniti è in vigore, ma il 31 luglio 2026 l’EDPB, il comitato dei garanti europei, ne ha chiesto una verifica alla Commissione: dove possibile, conviene l’elaborazione in UE.
Cosa fare questa settimana: la checklist per una PMI
Le voci di legge sono spiegate sopra; le altre sono buona prassi.
- Elenca gli strumenti di AI che usate: chatbot del sito, assistenti su WhatsApp o al telefono, ma anche ChatGPT, Copilot o Gemini usati dal personale.
- Apri il chatbot dal telefono: intestazione e primo messaggio devono dire chiaramente che è un’AI; l’assistente vocale deve dirlo all’inizio della chiamata.
- Controlla che il link all’informativa sia visibile prima della prima domanda e citi fornitore del modello, conservazione delle conversazioni e trasferimenti.
- Chiedi a chi ti fornisce il chatbot dove vengono elaborati i dati, quali contratti sul trattamento sono firmati e quali log si conservano, per quanto tempo.
- Rendi sempre visibile il passaggio a una persona e aggiungi un avviso sui limiti delle risposte. Il 30 aprile 2026 l’AGCM ha ottenuto avvisi simili, permanenti sotto la chat, da alcuni chatbot generalisti.
- Invita a non inserire dati sulla salute o di altre persone, e verifica che eventuali cookie non tecnici del widget passino dal banner del consenso.
- Se sei un professionista, prepara un testo per informare i clienti; se hai dipendenti, aggiorna l’informativa ai lavoratori.
- Scrivi regole d’uso interne (quali strumenti, quali dati, quando serve la revisione di una persona), fissa una prima formazione e valuta per iscritto, con il DPO, se serve una DPIA.
Come progettiamo un chatbot in Virai
Quando progettiamo un chatbot per il sito o un assistente su WhatsApp, queste regole fanno parte del progetto dall’inizio: avviso AI nell’intestazione e nel primo messaggio, informativa prima della prima domanda, passaggio a una persona sempre visibile, risposte da fonti scelte insieme a te.
Scegliamo con te il fornitore del modello e la regione di elaborazione dei dati, e ti consegniamo la documentazione che serve a chi mette il chatbot online con il proprio nome: cosa fa, quali dati tratta, quali log conserva. Le valutazioni giuridiche restano del tuo legale o DPO; noi ci occupiamo di come il sistema è costruito. Se hai già un chatbot, anche realizzato da altri, possiamo verificare insieme cosa mostra oggi. Raccontaci come lo usi.
Domande frequenti
Il mio chatbot risponde solo alle domande frequenti: devo dire che è un’AI?
Sì, salvo che sia ovvio. Le linee guida della Commissione europea del 20 luglio 2026 indicano come non ovvi proprio i chatbot di assistenza le cui risposte possono sembrare scritte da una persona.
L’omnibus digitale ha rinviato l’obbligo di trasparenza per i chatbot?
No. Il Regolamento (UE) 2026/1744 non ha cambiato la data del 2 agosto 2026 per l’avviso nei chatbot. L’unica deroga sull’art. 50 riguarda la marcatura dei contenuti generati dai sistemi immessi sul mercato prima di quella data, che hanno tempo fino al 2 dicembre 2026.
Se il chatbot me l’ha realizzato un’agenzia, chi è responsabile?
Secondo le linee guida della Commissione, l’azienda che offre il chatbot con il proprio nome o marchio è il fornitore responsabile dell’avviso AI. Il tuo caso specifico va verificato con un legale.
Quanto rischia una piccola impresa che non mostra l’avviso AI?
Il D.Lgs. 179/2026, in vigore dal 23 ottobre 2026, prevede per le violazioni dell’art. 50 sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale. Per PMI, microimprese e start-up innovative il massimo è il minore dei due importi.
Fonti
- Regolamento (UE) 2024/1689 (AI Act), EUR-Lex: artt. 3, 4, 50 e 99
- Regolamento (UE) 2026/1744 («omnibus digitale» sull’IA), GUUE del 24 luglio 2026, EUR-Lex
- Commissione europea, linee guida sugli obblighi di trasparenza dell’art. 50 AI Act, C(2026) 5054, 20 luglio 2026
- Commissione europea, codice di buone pratiche su marcatura ed etichettatura dei contenuti generati dall’AI, 10 giugno 2026
- Legge 23 settembre 2025, n. 132, Disposizioni in materia di intelligenza artificiale (Normattiva)
- D.Lgs. 7 ottobre 2026, n. 179, artt. 23 e 41 (Normattiva)
- D.Lgs. 9 settembre 2026, n. 160 (Normattiva)
- Regolamento (UE) 2016/679 (GDPR), EUR-Lex: artt. 13, 28 e 35
- Garante privacy, linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021
- AGCM, comunicato del 30 aprile 2026 sugli impegni di DeepSeek, Mistral e NOVA AI
- Anthropic, residenza dei dati nella Claude API
- Anthropic, Data Processing Addendum (DPA)
- Google Cloud, endpoint multi-regione per Claude su Vertex AI
- AWS, inferenza geografica tra regioni in Amazon Bedrock
- OpenAI, «Your data» (residenza dei dati nell’API)
- Microsoft, dati e privacy in Azure OpenAI / Foundry
- Tribunale dell’Unione europea, comunicato n. 106/25 (causa T-553/23, Latombe), 3 settembre 2025
- EDPB, lettera del 31 luglio 2026 sul Data Privacy Framework UE–USA
- Politecnico di Milano, Osservatorio Innovazione Digitale nelle PMI, 21 maggio 2026