Scrivere annunci Google Ads con l’intelligenza artificiale, generare immagini per Meta, mettere un chatbot sul sito, personalizzare le offerte dell’e-commerce. Nel 2026 sono attività normali per moltissime aziende. Molto meno chiaro è che cosa si può fare, cosa va dichiarato e dove si rischia davvero.
Il riferimento principale è l’AI Act, il regolamento europeo sull’intelligenza artificiale, che dal 2 agosto 2026 applica gli obblighi di trasparenza. L’AI Act però non lavora da solo. Si intreccia con il GDPR, le regole sulla pubblicità, il Codice del consumo, il Digital Services Act, il diritto d’autore e, per chi vende all’estero, con le leggi dei Paesi di destinazione.
In questa guida mettiamo in fila cosa cambia, con esempi presi dal lavoro quotidiano su siti, e-commerce e campagne. Alla fine delle sezioni principali trovi un riepilogo pratico: se la tua azienda si trova in quella situazione, ecco cosa dovrebbe fare.
Una premessa doverosa. YourDigitalWeb è un’agenzia di digital marketing, SEO e consulenza AI, non uno studio legale. Questo articolo serve a orientarsi e a fare le domande giuste, non sostituisce un parere legale. Per le decisioni di conformità rivolgiti a un avvocato o a un consulente privacy qualificato.
In breve: le cinque cose da sapere subito
- Non devi scrivere “generato con AI” su ogni annuncio. Gli obblighi di dichiarazione riguardano soprattutto chatbot, deepfake e alcuni testi di interesse pubblico.
- Il chatbot sul sito deve far capire all’utente che sta parlando con una macchina e non con una persona.
- Per un e-commerce il rischio più frequente non è l’immagine generata, ma l’uso dei dati dei clienti tra cookie, pixel, CRM e strumenti AI.
- Il rinvio deciso a luglio 2026 riguarda i sistemi ad alto rischio. La trasparenza si applica già.
- Una pubblicità ingannevole resta ingannevole anche se dichiari che l’ha creata l’AI.
Cos’è l’AI Act e perché riguarda anche chi l’AI non la sviluppa
L’AI Act è il Regolamento (UE) 2024/1689 e si applica direttamente in tutti i Paesi dell’Unione, Italia compresa. Non serve una legge di recepimento: le regole valgono così come sono scritte.
Molti pensano che riguardi solo OpenAI, Google o le software house. Non è così. Il regolamento distingue diversi ruoli e almeno due interessano da vicino qualsiasi azienda.
Il provider, cioè il fornitore, è chi sviluppa un sistema AI o lo fa sviluppare e lo mette sul mercato o in servizio con il proprio nome o marchio. Il deployer è chi utilizza un sistema AI sotto la propria autorità per attività professionali. Accanto a loro ci sono importatori, distributori e rappresentanti autorizzati.
Un esempio concreto. Un e-commerce che installa un chatbot acquistato da un fornitore è, di norma, un deployer. Se lo stesso e-commerce sviluppa un proprio assistente e lo offre con il suo marchio, può diventare anche provider, con obblighi più pesanti.
Lo stesso ragionamento vale per le agenzie. Quando un’agenzia produce creatività con strumenti generativi per un cliente, bisogna capire chi controlla davvero il sistema e il suo utilizzo. Il contratto commerciale, da solo, non decide la qualifica giuridica.
In pratica: se la tua azienda usa ChatGPT, Gemini, Claude, un generatore di immagini o un chatbot di terzi, quasi certamente sei un deployer. Il primo passo è fare l’elenco degli strumenti usati e scrivere, per ciascuno, chi lo gestisce e a cosa serve.
Le scadenze aggiornate a ottobre 2026
Il calendario originale è stato modificato dal Regolamento (UE) 2026/1744, il cosiddetto AI Omnibus, entrato in vigore il 27 luglio 2026. Queste sono le date che contano.
| Data | Cosa si applica |
|---|---|
| 2 febbraio 2025 | Divieto delle pratiche AI vietate e obbligo di alfabetizzazione AI del personale (articolo 4) |
| 2 agosto 2025 | Regole sui modelli AI per finalità generali, come quelli alla base dei grandi chatbot |
| 2 agosto 2026 | Obblighi di trasparenza dell’articolo 50: chatbot, contenuti sintetici, deepfake |
| 2 dicembre 2026 | Fine del periodo transitorio per la marcatura tecnica dei contenuti generati da sistemi già sul mercato prima del 2 agosto 2026. Scattano anche due nuovi divieti introdotti dall’Omnibus, sui sistemi che generano immagini intime non consensuali e materiale pedopornografico |
| 2 dicembre 2027 | Sistemi ad alto rischio dell’Allegato III, per esempio selezione del personale, valutazione del merito creditizio, istruzione |
| 2 agosto 2028 | Sistemi ad alto rischio integrati in prodotti regolamentati, come macchinari, dispositivi medici e giocattoli |
Il rinvio riguarda solo l’alto rischio. Gli obblighi di trasparenza non sono stati rinviati e si applicano dal 2 agosto 2026.
Anche l’obbligo di alfabetizzazione AI resta in vigore. L’Omnibus ne ha però ammorbidito il testo: oggi l’azienda deve adottare misure che sostengano le competenze di chi usa l’AI, senza dover garantire un livello specifico per ogni singola persona.
Pubblicità e AI: bisogna sempre dichiarare che è stata creata con l’intelligenza artificiale?
No, ed è uno degli equivoci più diffusi.
L’articolo 50 dell’AI Act prevede obblighi precisi per situazioni precise: i sistemi che interagiscono con le persone, come i chatbot; la marcatura tecnica dei contenuti sintetici, che spetta ai provider; il riconoscimento delle emozioni e la categorizzazione biometrica; i deepfake; alcuni testi pubblicati per informare il pubblico su temi di interesse pubblico.
A luglio 2026 la Commissione europea ha pubblicato le linee guida definitive sull’articolo 50, accanto a un Codice di condotta volontario sulla marcatura e l’etichettatura dei contenuti generati. Sono documenti non vincolanti, ma oggi sono il riferimento più autorevole per interpretare la norma.
In nessun punto la legge dice che ogni frase scritta con ChatGPT o ogni foto ritoccata debba portare la scritta “generato con intelligenza artificiale”. Contano la natura del contenuto, quanto appare realistico, a cosa serve e quale ruolo ha l’azienda.
Testi per Google Ads, Meta Ads e landing page
Usare l’AI per creare varianti di annunci, headline, descrizioni prodotto e call to action non fa scattare, di per sé, un obbligo di etichetta.
Restano però in piedi le regole di sempre: l’annuncio deve essere veritiero, non ingannevole e coerente con il prodotto. Se l’AI inventa una certificazione, un risultato clinico o uno sconto che non esiste, il problema legale c’è comunque, anche senza nessun obbligo di etichetta.
In pratica: se il tuo team scrive annunci e schede prodotto con l’AI, l’etichetta non serve, ma serve una persona che verifichi ogni affermazione prima della pubblicazione. Prezzi, sconti, certificazioni e risultati devono essere veri e documentabili.
Foto e video pubblicitari generati con AI
Qui la valutazione è più delicata.
Correggere i colori, eliminare imperfezioni tecniche o fare ritocchi ordinari normalmente non trasforma un’immagine in un deepfake. Diverso è il caso di immagini o video realistici che mostrano persone, prodotti, luoghi o situazioni artificiali facendoli sembrare autentici.
Pensiamo a un marchio di arredamento che ambienta un divano in un soggiorno mai esistito, perfettamente fotorealistico. Oppure a un cosmetico il cui effetto sulla pelle viene migliorato artificialmente. Non tutte queste immagini sono deepfake: va verificato se rientrano nella definizione della norma e nelle linee guida europee.
Quando un contenuto è un deepfake, chi lo pubblica deve dichiararne la natura artificiale in modo chiaro e riconoscibile, al più tardi al primo contatto con l’utente. Attenzione però: dichiarare l’uso dell’AI non rende lecita una rappresentazione ingannevole del prodotto. Il cosmetico “migliorato” resta un problema di pubblicità ingannevole, etichetta o no.
In pratica: se nelle tue campagne usi foto o video realistici generati con AI, decidi prima della pubblicazione se servono una dichiarazione visibile e se l’immagine rappresenta il prodotto per quello che è. Nel dubbio, meglio dichiarare e restare fedeli al prodotto reale.
Testimonial virtuali e recensioni generate
Un video generato con AI in cui una persona dall’aspetto reale racconta di aver usato un prodotto merita la massima attenzione.
Se quella persona non esiste e l’esperienza è inventata, il tema va oltre la trasparenza. In Italia entra in gioco il Codice del consumo, che considera pratica commerciale scorretta la diffusione di recensioni false. Negli Stati Uniti la Federal Trade Commission ha introdotto una regola specifica contro recensioni e testimonianze false, comprese quelle generate dall’AI.
Se poi il video usa il volto o la voce di una persona reale senza consenso, in Italia si può arrivare al reato di diffusione illecita di contenuti generati o alterati con AI, introdotto dalla Legge 132/2025. Ne parliamo più avanti.
Un testimonial virtuale dichiaratamente di fantasia, usato in una comunicazione corretta, è un’altra cosa rispetto a una falsa recensione spacciata per vera.
In pratica: non pubblicare mai testimonianze o recensioni di clienti che non esistono, nemmeno con l’etichetta “AI”. Se usi un personaggio virtuale, deve essere chiaro a tutti che è un personaggio.
Chatbot AI per assistenza e vendita
Il chatbot che consiglia prodotti, risponde alle domande o accompagna il cliente fino al carrello è il caso più comune.
L’articolo 50 chiede ai provider di progettare questi sistemi in modo che le persone sappiano di parlare con un’AI, salvo che sia già evidente. Per l’azienda che lo usa vale una regola di buon senso: verificare che il sistema dia questa informazione e che l’interfaccia non faccia credere all’utente di parlare con un operatore umano.
Un messaggio di apertura semplice funziona bene:
“Ciao, sono l’assistente virtuale basato sull’intelligenza artificiale. Per ordini, resi e pagamenti puoi sempre chiedere di parlare con il nostro team.”
Oltre a soddisfare la norma, riduce aspettative sbagliate e contestazioni.
In pratica: se hai un chatbot sul sito, controlla oggi il primo messaggio. Deve dire chiaramente che è un’AI e offrire una strada verso una persona reale per le questioni importanti.
AI e GDPR: per e-commerce e campagne il rischio vero spesso sta nei dati
Nella nostra esperienza, per molte aziende il problema più frequente non nasce da un’immagine generata. Nasce da come vengono usati i dati dei clienti.
Un sistema AI può analizzare acquisti, navigazione, preferenze e dati del CRM per prevedere chi comprerà. Ma poter analizzare un dato non significa avere il diritto di usarlo. Quando ci sono di mezzo dati personali, il GDPR continua ad applicarsi in pieno, con o senza AI.
Cookie, pixel e tracciamento pubblicitario
Un e-commerce tipico oggi usa Meta Pixel e la Conversions API, Google Analytics e Google Ads, il remarketing, pubblici costruiti sulla lista clienti e spesso algoritmi predittivi per individuare gli utenti più propensi all’acquisto.
Per i cookie e gli altri strumenti di tracciamento non necessari, usati per profilazione e pubblicità comportamentale, in Italia serve di regola il consenso preventivo dell’utente. Lo ricordano le FAQ del Garante Privacy sui cookie.
Due chiarimenti che facciamo spesso ai clienti. Spostare il tracciamento lato server non elimina l’obbligo di consenso. E Google Consent Mode è uno strumento tecnico per trasmettere i segnali di consenso, non un certificato di conformità.
In pratica: se il tuo e-commerce fa remarketing o usa pubblici personalizzati, verifica che pixel e tag partano solo dopo il consenso e che il banner offra una scelta reale. È un controllo tecnico che si fa in poche ore e chiude molti rischi.
Dati dei clienti caricati negli strumenti AI
Immagina un responsabile marketing che carica su un chatbot un file con nomi, email, importi spesi e storico degli acquisti per chiedere quali clienti contattare. Capita più spesso di quanto si pensi.
Prima di farlo bisognerebbe chiedersi se c’è una base giuridica per questa nuova finalità e se i clienti ne sono stati informati. Poi che ruolo privacy ha il fornitore dello strumento e se esiste un accordo di trattamento dei dati. E ancora: per quanto tempo i dati restano conservati, se vengono usati per addestrare il modello, se finiscono fuori dall’Unione europea e con quali garanzie. Quando il trattamento presenta un rischio elevato, può servire anche una valutazione d’impatto.
Le soluzioni pratiche esistono. Ridurre i dati al minimo indispensabile, anonimizzarli davvero e usare versioni aziendali degli strumenti, configurate per non addestrare i modelli sui tuoi dati, abbassa molto l’esposizione. Ricorda però che sostituire il nome con un codice è pseudonimizzazione, non anonimizzazione: per il GDPR quei dati restano personali.
In pratica: se il tuo team usa ChatGPT o strumenti simili, stabilisci una regola scritta su quali dati si possono caricare e su quale versione dello strumento. Gli account personali gratuiti non sono il posto giusto per i dati dei clienti.
Profilazione e decisioni automatizzate
Il GDPR dà a ogni persona il diritto di opporsi al trattamento dei propri dati per marketing diretto, profilazione compresa. L’articolo 22 disciplina inoltre le decisioni basate unicamente su trattamenti automatizzati che producono effetti giuridici o incidono in modo analogo e significativo sulla persona.
Questo non vuol dire che ogni raccomandazione di prodotto o annuncio personalizzato sia vietato. Vuol dire che va guardato l’effetto concreto del sistema, soprattutto quando decide da solo su cose importanti per il cliente, come l’accesso a un servizio, un finanziamento o condizioni economiche diverse.
Digital Services Act: cosa devono sapere gli inserzionisti
Il Digital Services Act, Regolamento (UE) 2022/2065, detta regole per piattaforme e servizi intermediari online. Per la pubblicità due punti sono centrali.
Il primo è la trasparenza degli annunci: chi vede una pubblicità su una piattaforma deve capire che è una pubblicità, chi la paga e perché la sta vedendo. Il secondo riguarda la profilazione: le piattaforme non possono mostrare annunci basati sulla profilazione che usa categorie particolari di dati, come salute, orientamento sessuale, opinioni politiche o religione. Né possono mostrare pubblicità basata sulla profilazione a utenti che sanno, con ragionevole certezza, essere minorenni.
Sono obblighi a carico delle piattaforme, non dell’inserz
