AI Act: operativi dal 2 dicembre il divieto di nudification e la scadenza per la marcatura dei contenuti sintetici

Il Reg. (UE) 2026/1744 ha fissato al 2 dicembre 2026 l’applicazione dei nuovi divieti dell’AI Act sui sistemi di nudificazione e sul materiale pedopornografico generato con l’intelligenza artificiale. Nella stessa data scade il termine per la marcatura dei contenuti sintetici prodotti dai sistemi già sul mercato.

Dopo la recente entrata in vigore dei decreti attuativi della legge italiana sull’intelligenza artificiale, il prossimo 2 dicembre è previsto un nuovo step per l’implementazione dell’AI Act.

Il regolamento UE 2024/1689, come emendato dal Digital Omnibus sull’AI varato nel luglio 2026, prevede infatti un’efficacia differita per le diverse previsioni, lasciando a Stati e imprese il tempo di adeguare le politiche interne alla nuova normativa comunitaria.

Lo “scadenzario” dell’AI Act

Oltre ai principi generali, entrati in vigore nel 2024, la timeline dell’AI Act ha già registrato numerosi passaggi:

• 2025 – obblighi di formazione sull’AI, divieto di sistemi che comportano “rischi inaccettabili” e regole sui modelli per finalità generali, o General-Purpose AI (GPAI);
• 2026 – obblighi di trasparenza e vigilanza, divieti su immagini intime non consensuali e materiale pedopornografico, marcatura dei contenuti sintetici per i sistemi già sul mercato.

Ulteriori scadenze sono previste entro il prossimo biennio:

• 2027 – regole sui sistemi “ad alto rischio” esplicitamente elencati nel regolamento (biometria e infrastrutture critiche, istruzione, occupazione, servizi essenziali, giustizia e gestione delle frontiere) e attivazione delle sandbox nazionali;
• 2028 – regole sui sistemi disciplinati da normative settoriali dell’UE in materia di sicurezza (es. dispositivi medicali) e vigilanza del mercato.

Infine nel 2030 entreranno in vigore le norme relative all’uso di sistemi ad alto rischio nell’ambito delle Pubbliche Amministrazioni.

Rispetto alle originarie previsioni dell’AI Act, tale scadenziario è stato ridefinito dal Reg. UE 2026/1744 (parte del processo di revisione noto come Digital Omnibus). La proposta della Commissione prevedeva, tra le altre cose, di rinviare l’applicazione di alcune norme relative ai sistemi di IA ad alto rischio “per garantire che linee guida e standard, utili alle imprese, siano pronti al momento dell’attuazione”.

Le regole operative dal 2 dicembre 2026

Nuovi divieti in tema di nudification

È ormai nota l’allarmante diffusione di contenuti digitali, anche ritraenti minori, riconducibili alla categoria dell’Image Based Sexual Abuse (IBSA).

Il fenomeno, relativo ai contenuti digitali creati o diffusi senza il consenso delle persone ritratte, negli ultimi anni registra l’aumento esponenziale di immagini e video espliciti generati e/o alterati tramite l’AI. A tale aumento ha concorso la crescente disponibilità delle cosiddette nudify apps, che permettono a chiunque di “spogliare” persone inconsapevoli a partire dalle loro foto (non esplicite) pubblicate sul web.

Da qui la scelta di inserire nell’AI Act un’espressa proibizione che intende colpire tanto il mercato delle “nudify apps”, quanto chi le utilizza per creare o diffondere materiali non consensuali.

L’art. 5 dell’AI Act, come integrato dal Digital Omnibus, vieta perciò l’immissione sul mercato, la messa in servizio e l’uso di sistemi che generano o manipolano immagini, video e audio intimi o sessualmente espliciti di persone riconoscibili senza il loro consenso “liberamente prestato, specifico, informato e inequivocabile”, nonché contenuti aventi natura pedopornografica (definiti dalla Direttiva 2011/93/UE).

Oltre ai sistemi creati a tale scopo rientrano nel divieto anche gli strumenti che rendano tale generazione o manipolazione un risultato “ragionevolmente prevedibile e riproducibile”, a meno che non siano introdotte “misure tecniche di sicurezza ragionevoli e adeguate”.

Le sanzioni possono arrivare fino a 35 milioni di euro, o al 7% del fatturato mondiale; i privati che creino o diffondano contenuti vietati rispondono in base alle pene stabilite dagli ordinamenti nazionali. In merito l’art. 612 quater del Codice Penale italiano (introdotto dalla legge n. 132/25 e richiamato dal d.lgs. n. 160/26) punisce già “chiunque cagiona un danno ingiusto ad una persona cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante l’impiego di sistemi di intelligenza artificiale” con la reclusione fino a 5 anni, alla condizione che i contenuti siano “idonei a indurre in inganno sulla loro genuinità”.

Dal canto loro, le aziende hanno il dovere di inserire espressi divieti nelle policy interne e verificare l’affidabilità dei generatori di immagini già in uso, predisponendo appositi canali per la segnalazione di eventuali abusi.

Tuttavia, la definizione di deployer dell’AI Act esclude i casi in cui il sistema sia usato nel corso di un’attività personale non professionale (art. 3, punto 4).

Obbligo di watermarking per i contenuti elaborati dall’AI

Il 2 dicembre acquisterà vigore anche l’obbligo di watermarking sui contenuti creati o modificati mediante strumenti di intelligenza artificiale, previsto dall’art. 50, par. 2.

Già largamente utilizzato in campo di Deepfake detection, il watermarking consiste in una marcatura machine-readable posta su immagini, video, audio e testi elaborati dall’AI, che permette di evidenziarne la natura sintetica nonché, specie se assistito da algoritmi crittografici, di attestarne l’origine e la provenienza.

La regola riguarda i fornitori dei sistemi generativi immessi sul mercato prima del 2 agosto 2026; per i sistemi successivi, infatti, l’obbligo era già vigente al momento della loro diffusione. Non si applica ai sistemi di assistenza all’editing standard o a quelli che non modificano in modo sostanziale i dati di input, né ai casi autorizzati dalla legge per prevenire, indagare o perseguire ipotesi di reato.

Il paragrafo 7 dell’art. 50 affida alla Commissione il compito di incoraggiare codici di buone pratiche per la rilevazione, marcatura ed etichettatura dei contenuti. Tuttavia, come ogni contromisura tecnica pensata per tecnologie attuali, il watermarking presenta elevati rischi di rapida obsolescenza: l’apposizione della marcatura potrebbe, infatti, diventare presto aggirabile a causa della veloce evoluzione degli strumenti AI.

L’implementazione dei nuovi obblighi e divieti imposti dal Regolamento UE sull’intelligenza artificiale dovrà quindi prevedere ulteriori fasi di aggiornamento e controlli periodici, anche nell’ottica di garantire prove digitali AI-resistant.

Fonti

• Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio, dell’8 luglio 2026, che modifica il regolamento (UE) 2024/1689 (Omnibus digitale sull’IA), Gazzetta ufficiale dell’Unione europea, 24 luglio 2026
• Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale (AI Act), testo su EUR-Lex
• Parlamento europeo, comunicato stampa del 26 marzo 2026, «Intelligenza artificiale: rinvio, semplificazione e divieto di nudificazione»
• Servizio di ricerca del Parlamento europeo (EPRS), briefing «Children and deepfakes», luglio 2025 (PDF)
• Legge 23 settembre 2025, n. 132, «Disposizioni e deleghe al Governo in materia di intelligenza artificiale», testo su Normattiva