Disclosure: questo articolo è stato generato con il supporto di un sistema di Intelligenza Artificiale e successivamente sottoposto a revisione, verifica e controllo editoriale umano. Verifica sempre il tuo caso specifico con il tuo legale di fiducia.

Usi ChatGPT per scrivere post? Generi immagini con l’AI? Il tuo team utilizza strumenti generativi con account personali? Sai quali informazioni vengono inserite nei prompt? Hai verificato se quei dati vengono conservati o utilizzati per migliorare i modelli?

Se la risposta ad alcune di queste domande è “non lo so”, il vero problema dell’AI Act nel social media marketing potrebbe non essere il bollino “generato con AI”… potrebbe essere la mancanza di controllo sull’utilizzo dell’Intelligenza Artificiale all’interno dell’organizzazione.

Il punto, quindi, non è smettere di utilizzare l’AI. È sapere come governarla seguendo le regole dettate dalla prima legge al mondo, europea, che ne disciplina l’utilizzo. E riteniamoci molto fortunati!

L’AI nelle aziende: le domande da farsi

Quando si parla di AI Act nel marketing, l’attenzione si concentra spesso su una domanda: “Devo dichiarare che questa immagine è stata generata con l’AI?”

È una domanda importante, ma arriva troppo tardi. Prima bisognerebbe chiedersi:

Quali sistemi AI vengono utilizzati nella nostra azienda?
Per quali attività?
Da quali persone?
Con quali account?
Quali informazioni vengono inserite?
Le informazioni inserite addestrano i modelli?
Chi verifica gli output?
Le risposte vengono pubblicate automaticamente oppure esiste un controllo umano?
L’azienda ha stabilito quali strumenti possono essere utilizzati?

Il problema della cosiddetta Shadow AI, cioè l’utilizzo non governato di strumenti AI da parte di dipendenti e collaboratori, diventa particolarmente evidente nel marketing.

Un copywriter può utilizzare un chatbot. Un designer può generare immagini. Un account manager può caricare nel sistema il brief del cliente. Un commerciale può inserire informazioni provenienti dal CRM. Un social media manager può copiare una conversazione ricevuta in direct message per chiedere all’AI di preparare una risposta.

Ognuna di queste attività può sembrare innocua. Ma senza regole interne l’azienda potrebbe non sapere quali dati stanno entrando nei sistemi AI e che cosa accade successivamente a quei dati.

Dal 2 agosto 2026 cosa cambia?

L’AI Act è entrato in vigore il 1° agosto 2024, ma la sua applicazione è stata progressiva.

Gli obblighi sulle pratiche vietate e sull’AI literacy hanno iniziato ad applicarsi dal 2 febbraio 2025. Dal 2 agosto 2026 il Regolamento (UE) 2024/1689, meglio conosciuto come AI Act, ha raggiunto una nuova importante fase di applicazione. In particolare sono diventati applicabili gli obblighi di trasparenza dell’articolo 50 e sono divenuti operativi i relativi poteri di controllo e sanzionamento da parte delle autorità.

In Italia, al regolamento europeo si affianca la Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. La stessa legge stabilisce espressamente che le proprie disposizioni devono essere interpretate e applicate conformemente all’AI Act europeo.

Le norme sui sistemi ad alto rischio, cioè quelli che rientrano nelle categorie individuate dall’articolo 6 e dagli Allegati I e III dell’AI Act perché impiegati in determinati prodotti o in ambiti particolarmente delicati per sicurezza, salute e diritti fondamentali, seguono invece un calendario differente. Per i sistemi high-risk dell’Allegato III le relative norme si applicheranno dal 2 dicembre 2027; per quelli collegati ai prodotti regolamentati dell’Allegato I dal 2 agosto 2028.

Attenzione però: fare social media marketing non significa automaticamente utilizzare solo sistemi a “basso rischio”. L’Allegato III include, ad esempio, alcuni sistemi AI utilizzati nella selezione del personale, compresi quelli destinati a pubblicare annunci di lavoro mirati, analizzare candidature o valutare candidati.

Per un normale reparto social questo significa una cosa importante: la maggior parte dei normali strumenti utilizzati per copywriting, brainstorming, editing o produzione creativa non è un sistema “ad alto rischio”, se escludiamo tutta la casistica del targeting su annunci di lavoro. In ogni caso, questo non significa che l’azienda possa utilizzarli senza alcuna governance.

Il Registro AI aziendale è obbligatorio?

Qui è necessario distinguere molto chiaramente tra obbligo di legge e buona governance: non esiste nell’AI Act un obbligo generale secondo cui ogni azienda privata debba tenere un Registro interno di tutti i sistemi AI utilizzati.

L’articolo 49 prevede specifici obblighi di registrazione nella banca dati europea per determinati provider di sistemi ad alto rischio. Per quanto riguarda i deployer, gli utilizzatori, l’obbligo di registrare l’utilizzo nella banca dati UE riguarda specificamente autorità pubbliche, istituzioni, organismi o soggetti che agiscono per loro conto nei casi previsti dalla norma.

Anche gli obblighi relativi ai log non devono essere generalizzati: l’articolo 26 prevede per i deployer di sistemi ad alto rischio la conservazione, quando sotto il loro controllo, dei log generati automaticamente dal sistema per un periodo appropriato e comunque di almeno sei mesi, salvo diversa previsione normativa.

Tuttavia, per un’azienda, creare un inventario interno dei sistemi e dei casi d’uso AI è oggi una delle misure organizzative più sensate, perché è difficile governare ciò che non si conosce.

Cosa dovrebbe contenere un Registro interno AI?

Un inventario aziendale semplice potrebbe identificare, per ogni utilizzo:

strumento o provider;
funzione aziendale che lo utilizza;
finalità;
tipologie generali di informazioni inserite;
eventuale presenza di dati personali;
politica del provider sull’utilizzo dei dati per il training;
responsabile interno;
necessità di controllo umano;
eventuali obblighi di disclosure;
livello di rischio preliminarmente individuato.

1° criticità: nessuno sa quali AI utilizza il personale

Immaginiamo un’azienda di venti persone.

Marketing utilizza ChatGPT. Il reparto grafico utilizza tre generatori differenti. Commerciale utilizza un altro assistente AI. Un dipendente ha installato un’estensione browser che riassume automaticamente documenti. L’amministrazione utilizza un sistema AI per sintetizzare file.

Ma non esiste una policy e nessuno ha mai censito questi strumenti.

Il problema non è necessariamente che l’azienda stia violando l’AI Act. Il problema è che non è materialmente in grado di sapere se lo sta facendo.

Una governance minima dovrebbe quindi partire dal censimento dei sistemi utilizzati.

2° criticità: cosa state mettendo nei prompt?

AI Act e GDPR sono normative differenti e possono applicarsi contemporaneamente.

Quando vengono inseriti in un sistema generativo dati relativi a clienti, dipendenti, utenti o prospect, entra in gioco anche la disciplina sulla protezione dei dati personali.

Il principio dovrebbe essere quello della minimizzazione: se il dato non è necessario per ottenere il risultato, non dovrebbe entrare nel prompt.

Copiare dentro un chatbot una lista di clienti, una conversazione privata, un database CRM o un documento contenente informazioni personali non è equivalente a chiedergli: “Scrivi cinque caption per promuovere il nostro nuovo prodotto”.

Particolare attenzione deve essere riservata alle categorie particolari di dati personali previste dall’articolo 9 GDPR e, più in generale, alle informazioni riservate o coperte da obblighi di confidenzialità.

La domanda da fare internamente è quindi: abbiamo spiegato al personale quali informazioni non devono essere inserite negli strumenti AI?

Se la risposta è no, questo è un altro campanello d’allarme.

3° criticità: “non usiamo dati sensibili” potrebbe non bastare

Escludere dati particolarmente delicati è corretto, ma non esaurisce il problema.

Un documento aziendale può essere riservato pur non contenendo dati personali. Un listino futuro può essere confidenziale. Un piano marketing può contenere informazioni strategiche. Una presentazione commerciale può contenere dati di clienti. Un brief può includere informazioni non ancora pubbliche.

Per questo motivo un’azienda dovrebbe verificare anche le condizioni del servizio utilizzato, le impostazioni disponibili e le politiche relative a conservazione e utilizzo degli input.

Quando possibile, può essere prudente utilizzare configurazioni nelle quali il provider dichiara che i contenuti dell’utente non vengono utilizzati per addestrare o migliorare i modelli. Ma attenzione: “non utilizzato per il training” non significa necessariamente “non conservato”.

Retention, trattamento e addestramento sono aspetti differenti.

4° criticità: nessuno controlla quello che produce l’AI

L’AI può generare testi plausibili ma sbagliati.

Può inventare dati. Può creare una citazione inesistente. Può attribuire caratteristiche a un prodotto che il prodotto non possiede. Può generare un’immagine incompatibile con il brand. Può introdurre claim pubblicitari che l’azienda non potrebbe sostenere. Per questo il controllo umano non dovrebbe consistere soltanto nel leggere velocemente il testo prima di cliccare “pubblica”.

Nel social media marketing significa verificare almeno:

accuratezza delle informazioni;
coerenza con il brand;
claim commerciali;
eventuali diritti di terzi;
dati personali;
eventuali obblighi di trasparenza;
responsabilità editoriale.

Il controllo umano assume inoltre una rilevanza specifica nell’articolo 50 dell’AI Act per alcuni testi generati o manipolati tramite AI.

Quando bisogna dichiarare che un contenuto social è stato generato con l’AI?

Non sempre. L’AI Act non introduce un obbligo generale di indicare “AI generated” sotto qualsiasi contenuto realizzato con il supporto dell’Intelligenza Artificiale.

Gli obblighi di trasparenza previsti dall’articolo 50 dipendono infatti dal tipo di contenuto, dal modo in cui l’AI è stata utilizzata e dal ruolo del soggetto coinvolto.

Per esempio, una caption semplicemente corretta o rielaborata con l’AI non deve essere automaticamente etichettata come contenuto generato artificialmente. Diverso è il caso di determinati deep fake o di alcuni testi generati o manipolati dall’AI destinati a informare il pubblico su questioni di interesse pubblico, per i quali possono scattare specifici obblighi di disclosure.

Per capire a chi si applicano questi obblighi è utile distinguere tra due figure previste dall’AI Act:

il provider, cioè, semplificando, chi sviluppa o fa sviluppare un sistema AI e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio;
il deployer, cioè chi utilizza un sistema AI sotto la propria autorità nell’ambito di un’attività non meramente personale.

Un’azienda, un’agenzia o un professionista che utilizza un normale servizio di AI per supportare la propria attività di marketing sarà generalmente un deployer. E le Guidelines 2026 precisano che, quando è l’azienda a utilizzare il sistema sotto la propria autorità, i singoli dipendenti non diventano deployer separati semplicemente perché usano concretamente lo strumento

La domanda corretta, quindi, non è semplicemente “ho usato l’AI?”, ma:

“come l’ho utilizzata, che tipo di contenuto ho generato e rientro in uno dei casi in cui la normativa richiede trasparenza verso il pubblico?”

Obbligo dichiarare immagini AI: attenzione ai deep fake

L’articolo 50, paragrafo 4, introduce un obbligo molto preciso per i deployer che utilizzano sistemi AI per generare o manipolare immagini, audio o video che costituiscono deep fake.

In questi casi deve essere resa nota la natura artificiale o manipolata del contenuto, ma questo non significa che qualsiasi immagine generata con AI sia automaticamente un deep fake. Un’illustrazione fantasy o una composizione palesemente irreale non rientra necessariamente nella definizione.

Il problema emerge quando il contenuto artificiale assomiglia a persone, luoghi, oggetti, entità o eventi esistenti e potrebbe essere percepito come autentico.

Per esempio:

una celebrity sembra utilizzare un prodotto che non ha mai utilizzato;
un dirigente sembra pronunciare una dichiarazione che non ha mai fatto;
un’immagine sembra documentare un evento realmente accaduto, ma è stata artificialmente alterata.

In questi casi la natura artificiale o manipolata del contenuto deve essere dichiarata in maniera chiara e distinguibile, al più tardi al momento della prima esposizione del contenuto all’utente.

Per altri contenuti, la disclosure può comunque essere prevista dalle regole della piattaforma o scelta volontariamente dall’azienda come misura di trasparenza, anche se l’AI Act non impone una frase standard identica per tutti i casi. A seconda del contesto possono essere utilizzate formule come “Immagine generata con Intelligenza Artificiale” o “Contenuto generato o modificato tramite AI”, purché la modalità concretamente adottata renda l’informazione chiara, distinguibile e tempestiva ai sensi dell’articolo 50.

Per opere manifestamente artistiche, creative, satiriche o di fantasia, l’articolo 50 consente che la disclosure venga effettuata in maniera adeguata senza compromettere inutilmente la fruizione dell’opera.

E una persona completamente generata dall’AI?

Una persona interamente generata dall’AI non costituisce automaticamente un deep fake. La valutazione dipende però dal realismo del contenuto, dal contesto e dalla possibilità che venga percepito come autentico o veritiero. Le Guidelines della Commissione precisano inoltre che il soggetto rappresentato può essere qualcosa che esiste, può plausibilmente esistere o avrebbe potuto plausibilmente esistere nella realtà.

E rimangono sempre applicabili le norme sulla tutela dei consumatori, sulla pubblicità, sul diritto all’immagine, sul copyright, sui marchi e le eventuali policy delle piattaforme. La disclosure AI non rende automaticamente lecito ciò che sarebbe illecito per altre ragioni.

Un contenuto può essere perfettamente trasparente sull’utilizzo dell’AI e contemporaneamente creare problemi di copyright, diritto all’immagine o pubblicità. Per esempio: scrivere “Immagine generata con AI” su una didascalia di un post non autorizza un’azienda a utilizzare liberamente l’immagine sintetica di una celebrity, né rende automaticamente lecito riprodurre fedelmente un personaggio protetto, una campagna creativa di un concorrente o elementi distintivi di un’altra azienda.

L’AI Act deve quindi essere considerato insieme alle altre normative applicabili.

Caption e testi generati con AI: quando scatta la disclosure?

Per i testi la regola dell’articolo 50 è ancora più specifica.

I deployer che utilizzano un sistema AI per generare o manipolare testi pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico devono rendere nota la natura artificiale del contenuto.

Ma la stessa norma contiene un’eccezione importante: la disclosure non è richiesta quando il contenuto AI è stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica mantiene la responsabilità editoriale della pubblicazione.

Per un’azienda significa che esiste una differenza sostanziale tra:

AI che prepara una bozza, successivamente sottoposta a un’effettiva revisione sostanziale o a controllo editoriale umano e approvata sotto la responsabilità editoriale di una persona fisica o giuridica;
AI che produce e pubblica automaticamente contenuti senza un effettivo controllo editoriale.

Chatbot: l’utente deve sapere che sta parlando con un’AI?

L’articolo 50 disciplina anche i sistemi progettati per interagire direttamente con persone fisiche. Il paragrafo 1 pone l’obbligo principalmente sul provider, che deve progettare il sistema in modo che la persona sia informata di stare interagendo con un’AI, salvo che ciò sia evidente dalle circostanze.

Per un’azienda che implementa un chatbot sui propri canali è comunque prudente verificare che l’utente comprenda chiaramente la natura automatizzata dell’interazione. Una formula come: “Ciao, sono l’assistente virtuale di [Brand]” può essere una soluzione semplice.

5° criticità: il personale usa l’AI ma nessuno è stato formato

L’articolo 4 dell’AI Act introduce il tema dell’AI literacy.

Nella formulazione attualmente vigente, provider e deployer devono adottare misure volte a supportare lo sviluppo dell’alfabetizzazione AI del personale e delle altre persone che utilizzano sistemi per loro conto, considerando competenze, esperienza, formazione, contesto d’uso e persone potenzialmente interessate dal sistema. La norma precisa che non è richiesto garantire uno specifico livello individuale di competenza a ogni singola persona.

Questo non significa obbligare ogni social media manager a conseguire una fantomatica “certificazione AI Act”, che non esiste.

Una formazione proporzionata al ruolo di social media manager dovrebbe spiegare:

quali strumenti possono essere utilizzati;
quali informazioni non devono essere inserite;
come verificare gli output;
come riconoscere le allucinazioni;
quando coinvolgere un responsabile;
quando un contenuto può richiedere disclosure.

L’AI literacy non riguarda soltanto aziende tecnologiche che sviluppano algoritmi: riguarda anche un’azienda che lascia utilizzare ChatGPT al marketing per scrivere advertising copy.

6° criticità: professionisti e clienti

La Legge italiana n. 132/2025, all’articolo 13, disciplina l’uso dell’AI nelle professioni intellettuali.

La norma stabilisce che l’Intelligenza Artificiale debba essere utilizzata come strumento di supporto e non come sostituto della prestazione professionale, che deve continuare a basarsi in modo prevalente sul lavoro intellettuale del professionista.

Inoltre, quando la norma è applicabile, il professionista deve informare il cliente sui sistemi di AI utilizzati con un linguaggio chiaro, semplice ed esaustivo, così da preservare la trasparenza del rapporto professionale.

Per questo può essere utile inserire nei preventivi o nei contratti una breve clausola che spieghi in modo trasparente se e come viene utilizzata l’AI nell’esecuzione dell’incarico.

7° criticità: AI utilizzata nei confronti dei lavoratori

La normativa italiana interviene anche sull’impiego dell’Intelligenza Artificiale nell’ambito del lavoro.

L’articolo 11 della Legge n. 132/2025 stabilisce che l’utilizzo dell’AI in ambito lavorativo deve essere sicuro, affidabile e trasparente, senza ledere la dignità umana o la riservatezza dei dati personali. Inoltre, nei casi previsti dalla normativa richiamata dalla disposizione, il datore di lavoro o il committente deve informare il lavoratore dell’utilizzo dell’AI.

Questo tema esula dal semplice utilizzo di ChatGPT per creare una caption.

Diventa però molto importante quando l’AI entra in processi che riguardano selezione, valutazione, monitoraggio o organizzazione del personale.

Quanto può costare ignorare l’articolo 50?

Secondo le indicazioni ufficiali della Commissione europea, la violazione degli obblighi di trasparenza dell’articolo 50 può comportare sanzioni amministrative fino a 15 milioni di euro oppure, per le imprese, fino al 3% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Per le PMI, comprese le startup, e per le small mid-cap si applicano specifici limiti più favorevoli previsti dall’articolo 99. L’importo concreto dipende comunque dalle circostanze della violazione, tra cui natura, gravità, durata e conseguenze.

Questo non significa che un piccolo errore in un post social porterà automaticamente a una multa milionaria. Le sanzioni vengono applicate considerando natura, gravità, durata della violazione e gli altri criteri previsti dal regolamento, ma rende evidente un punto: gli obblighi di trasparenza non sono semplici raccomandazioni di buona comunicazione.

Riepilogo: 7 cose che un’azienda dovrebbe fare ora

Per una normale azienda che utilizza strumenti generativi nel marketing, una governance iniziale può essere sorprendentemente semplice.

Censire gli strumenti AI utilizzati. Sapere quali sistemi vengono utilizzati da dipendenti, collaboratori e fornitori.
Creare una breve AI Policy. Stabilire strumenti autorizzati, utilizzi consentiti e informazioni che non devono essere inserite.
Predisporre un Registro interno AI. Non perché esista un obbligo generalizzato per tutte le imprese, ma per mantenere sotto controllo sistemi e casi d’uso.
Verificare privacy, training e retention. Controllare le condizioni dei provider e utilizzare, quando appropriate, configurazioni che limitano l’utilizzo dei dati per l’addestramento.
Mantenere un controllo umano. Nessun contenuto dovrebbe essere pubblicato automaticamente senza che sia chiaro chi ne assume la responsabilità.
Definire una procedura per la disclosure. Stabilire quando utilizzare etichette per deep fake, contenuti sintetici o altre situazioni nelle quali la trasparenza sia richiesta.
Formare le persone. Marketing, comunicazione, vendite, HR e altri utilizzatori devono comprendere almeno le regole fondamentali sull’impiego dell’AI.

AI Act e social media

La soluzione non è vietare l’AI, è passare dall’utilizzo spontaneo alla governance dell’AI. Dal 2 agosto 2026, utilizzare strumenti generativi senza sapere quali sistemi vengono impiegati, quali informazioni vengono inserite, chi controlla gli output e quando deve essere applicata una disclosure significa esporsi a rischi evitabili.

Per molte aziende questo può iniziare con quattro strumenti molto semplici: un inventario degli strumenti AI, una breve policy interna, formazione del personale e controllo umano dei contenuti.

Perché il vero cambiamento introdotto dall’AI Act non consiste nel mettere un bollino “AI” sotto ogni post. Consiste nel rendere l’utilizzo dell’Intelligenza Artificiale consapevole, controllabile e responsabile. E se oggi in azienda nessuno sa esattamente quali strumenti AI vengono utilizzati, quello è probabilmente il primo problema da risolvere.

Questo articolo ha finalità esclusivamente divulgative e non costituisce consulenza legale. Gli obblighi concretamente applicabili dipendono dal soggetto coinvolto, dal sistema utilizzato, dal caso d’uso, dai dati trattati e dalle modalità di pubblicazione.

Riferimenti normativi principali: Regolamento (UE) 2024/1689, in particolare articoli 4, 5, 26, 49, 50 e 113; normativa europea di modifica vigente nel 2026; Legge 23 settembre 2025, n. 132, in particolare articoli 1, 11 e 13.