2 dicembre 2026: nuovi divieti sui contenuti AI e obbligo di marcatura

Tutti hanno segnato in agenda il 2 agosto 2026. Quasi nessuno ha segnato la data successiva: il 2 dicembre 2026. Eppure quel giorno succedono due cose insieme, e nessuna delle due riguarda solo i colossi tech.

Primo: entrano in applicazione due nuovi divieti sull'uso dell'AI per generare contenuti, aggiunti all'AI Act dall'Omnibus digitale (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026). Secondo: si chiude la finestra transitoria sulla marcatura degli output generati dall'intelligenza artificiale. Da quel momento, tutti i sistemi generativi sul mercato — anche quelli usciti prima dell'AI Act — devono marcare i loro output in formato leggibile dalle macchine.

Vediamo cosa significa in pratica, perché una delle due novità riguarda chiunque in azienda usi un generatore di contenuti, e l'altra ti dà un argomento in più da usare con i tuoi fornitori.

I due nuovi divieti: cosa dicono e chi rischia

L'Omnibus digitale ha inserito nell'articolo 5 dell'AI Act — quello delle pratiche vietate — due nuove lettere, ba e bb. Vietano:

• la generazione o manipolazione di contenuti sessuali o intimi non consensuali: usare l'AI per creare immagini, video o audio a sfondo sessuale o intimo di una persona reale senza il suo consenso;
• la generazione di materiale di abuso su minori.

Entrambi i divieti si applicano dal 2 dicembre 2026.

Il punto che sfugge a molti: questi divieti non colpiscono solo chi sviluppa i modelli. Colpiscono chiunque generi quei contenuti. Il dipendente che usa un tool generativo — aziendale o personale — per creare un'immagine intima di una collega senza consenso compie una pratica vietata dall'AI Act. E l'azienda che non ha fatto nulla per impedirlo ha un problema serio.

Serio quanto? Le pratiche vietate sono la fascia con il regime sanzionatorio più alto di tutto il regolamento: fino a 35 milioni di euro o il 7% del fatturato mondiale. Per le PMI si applica il valore più basso tra i due — ma parliamo comunque di cifre che nessuna piccola impresa può assorbire.

Non è un rischio teorico. I casi di deepfake intimi creati per ritorsione o "scherzo" tra colleghi esistono già. Dal 2 dicembre, oltre al danno reputazionale e alle conseguenze penali nazionali, c'è la sanzione AI Act.

La scadenza sulla marcatura: chi deve fare cosa

La seconda novità del 2 dicembre riguarda la trasparenza tecnica dei sistemi generativi. L'articolo 50 dell'AI Act impone ai fornitori di sistemi che generano testo, immagini, audio o video di marcare gli output in un formato leggibile dalle macchine, così che sia rilevabile che il contenuto è stato generato artificialmente.

Per i sistemi immessi sul mercato dopo il 2 agosto 2026 l'obbligo vale già. Per quelli immessi prima, l'articolo 50(2) ha concesso un regime transitorio: i fornitori devono adeguarsi entro il 2 dicembre 2026. Da quella data, la marcatura machine-readable diventa lo standard per tutto ciò che è sul mercato, senza eccezioni legate alla data di uscita.

Attenzione a non confondere i due livelli di obbligo:

Chi sei	Obbligo	Da quando
Fornitore di un sistema generativo immesso dopo il 2/8/2026	Marcatura machine-readable degli output	Già in vigore
Fornitore di un sistema generativo immesso prima del 2/8/2026	Marcatura machine-readable degli output	2 dicembre 2026
Deployer (azienda che usa l'AI)	Dichiarare i chatbot, etichettare deepfake e contenuti generati pubblicati	Già in vigore dal 2/8/2026

Gli obblighi del deployer — cioè i tuoi, se usi strumenti AI in azienda — non cambiano il 2 dicembre: sono in vigore dal 2 agosto 2026 e restano invariati. Li trovi spiegati punto per punto nella guida all'articolo 50.

Cosa cambia per te, allora? Cambia il rapporto con i fornitori. Se compri o rivendi una soluzione generativa "storica", uscita prima dell'AI Act, fino a dicembre il fornitore poteva legittimamente dirti "ci stiamo adeguando". Dal 2 dicembre non più: la marcatura degli output è un requisito che puoi pretendere, e la risposta del fornitore ti dice molto sulla sua serietà.

"Ma io non sviluppo AI": perché ti riguarda lo stesso

È la reazione più comune, ed è sbagliata due volte.

Primo: i divieti dell'articolo 5 non guardano al tuo ruolo nella filiera. Se qualcuno nella tua azienda genera contenuti vietati, il problema è tuo, anche se il software è di terzi e l'account è personale. Non serve "fare AI" per violare l'AI Act: basta un browser.

Secondo: quasi ogni PMI oggi pubblica contenuti generati senza pensarci. Lo spot con la voce clonata del titolare, le immagini generate nel catalogo prodotti, il video istituzionale con l'avatar che presenta l'azienda. Ognuno di questi contenuti ha già oggi un obbligo di etichettatura a tuo carico — su come applicarlo ai casi concreti c'è l'approfondimento sugli obblighi di etichettatura dei deepfake. Dal 2 dicembre si aggiunge il pezzo tecnico: il sistema che li ha prodotti deve marcarli in modo leggibile dalle macchine, e questo rende molto più facile — anche per un concorrente o per un'autorità — verificare cosa hai pubblicato e come.

In sintesi: il 2 dicembre non ti porta nuovi adempimenti diretti se sei solo utilizzatore. Ti porta un rischio nuovo (i divieti valgono per i tuoi dipendenti) e una leva nuova (puoi esigere la marcatura dai fornitori).

Le 4 mosse da fare prima del 2 dicembre

Niente progetti faraonici. Quattro azioni concrete, in ordine di urgenza.

1. Aggiorna la policy AI interna. Deve vietare esplicitamente gli usi ora proibiti dall'articolo 5: generazione di contenuti sessuali o intimi non consensuali e materiale di abuso su minori. E deve dire chiaramente che il divieto vale anche sugli account personali dei dipendenti, dentro e fuori l'orario di lavoro, quando il contenuto riguarda colleghi, clienti o l'azienda. Se una policy non ce l'hai ancora, il Kit Policy AI ti dà il modello pronto da adattare.

2. Interroga i fornitori di strumenti generativi. Una mail basta: "I vostri output sono marcati in formato machine-readable? Da quando?". Se il sistema è sul mercato da prima di agosto 2026, la risposta deve essere "sì, entro il 2 dicembre 2026" con una data precisa. Risposte vaghe = segnale d'allarme, anche commerciale.

3. Metti in regola l'etichettatura di ciò che pubblichi. Questo non può aspettare dicembre: è già obbligo tuo dal 2 agosto. Ogni deepfake e ogni contenuto generato che pubblichi va etichettato come tale, e i chatbot rivolti a clienti vanno dichiarati. Il Kit Trasparenza copre formule, posizionamento e registro dei contenuti.

4. Forma chi usa i generatori. Non tutta l'azienda: chi genera contenuti. Trenta minuti bastano per spiegare cosa è vietato, cosa va etichettato e cosa succede se si sbaglia. È anche il modo migliore per dimostrare, se serve, che l'azienda aveva fatto la sua parte.

Il 2 agosto è passato e ha assorbito tutta l'attenzione. Il 2 dicembre 2026 è la prossima data vera del calendario AI Act: chi la scopre a novembre correrà, chi la gestisce adesso chiude tutto con quattro azioni da mezza giornata.