L’articolo 50 dell’AI Act dell’UE è la norma sulla trasparenza dei contenuti generati dall’IA. Obbliga le aziende che sviluppano strumenti di IA generativa a marcare l’output come prodotto da una macchina, e le aziende che usano quegli strumenti a dichiarare i deep fake e alcuni testi scritti dall’IA. Si applica dal 2 agosto 2026.

Per l’email, in breve: un’email promozionale abbozzata dall’IA non richiede alcuna etichetta. Un’immagine fotorealistica generata dall’IA di una persona, di un luogo o di un prodotto, che gli iscritti potrebbero scambiare per vera, probabilmente sì.

Questa è una lettura pratica del regolamento e delle linee guida della Commissione, non una consulenza legale. Se le tue email si avvicinano a uno dei confini tracciati qui, chiedi a un legale.

Punti chiave

• L’articolo 50 si applica dal 2 agosto 2026. L’Omnibus digitale ha concesso tempo fino al 2 dicembre 2026 per la marcatura leggibile meccanicamente solo ai fornitori di strumenti generativi già sul mercato. Gli obblighi dei deployer non sono stati rinviati.
• Se usi uno strumento di IA per creare email, sei un deployer. La marcatura leggibile meccanicamente spetta al fornitore. Le etichette visibili spettano a te.
• I testi promozionali e le descrizioni di prodotto restano fuori dalla regola sui testi, a meno che non contengano affermazioni su salute, sicurezza dei consumatori o sostenibilità.
• Un testo IA che rientra nella regola non richiede un’etichetta se una persona competente ne ha verificato i fatti e una persona o un’azienda identificata ne detiene la responsabilità editoriale. Le modifiche fatte con l’IA dopo l’approvazione annullano questa eccezione.
• Le immagini realistiche generate dall’IA di persone, luoghi o prodotti che al tuo pubblico sembrerebbero autentiche sono deep fake e richiedono un’etichetta visibile, come un’icona “AI” in alto a destra.
• Le sanzioni arrivano a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore. Per le PMI vale l’importo inferiore.

Cosa dice davvero l’articolo 50

Per la maggior parte delle email contano tre dei suoi sette paragrafi; un quarto, il paragrafo 1, riguarda gli agenti IA che rispondono alle email (testo ufficiale su EUR-Lex). Le citazioni di questo articolo sono nostre traduzioni dai testi in inglese; la versione italiana ufficiale del regolamento è consultabile su EUR-Lex. Il paragrafo 2 vincola chi sviluppa gli strumenti:

“I fornitori di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici, garantiscono che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente.”

Il paragrafo 4 vincola le aziende che li usano, prima per i deep fake:

“I deployer di un sistema di IA che genera o manipola immagini o contenuti audio o video che costituiscono un deep fake rendono noto che il contenuto è stato generato o manipolato artificialmente.”

Poi per i testi:

“I deployer di un sistema di IA che genera o manipola testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico rendono noto che il testo è stato generato o manipolato artificialmente. Tale obbligo non si applica se l’uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati o se il contenuto generato dall’IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione del contenuto.”

Il paragrafo 5 stabilisce tempi e forma:

“Le informazioni di cui ai paragrafi da 1 a 4 sono fornite alle persone fisiche interessate in maniera chiara e distinguibile al più tardi al momento della prima interazione o esposizione. Le informazioni devono essere conformi ai requisiti di accessibilità applicabili.”

Nell’email, la prima esposizione è l’email stessa, quindi un’informativa sulla landing page arriva troppo tardi.

L’articolo 3, punto 60, definisce il deep fake come “un’immagine o un contenuto audio o video generato o manipolato dall’IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero a una persona”.

Le date, comprese le modifiche dell’Omnibus digitale

Secondo l’articolo 113 il regolamento “si applica a decorrere dal 2 agosto 2026”, e l’articolo 50 non è tra le eccezioni elencate.

L’Omnibus digitale sull’IA, proposto a novembre 2025, è diventato il regolamento (UE) 2026/1744, pubblicato il 24 luglio 2026 ed entrato in vigore tre giorni dopo. Ha spostato le norme sui sistemi ad alto rischio a dicembre 2027 e ad agosto 2028. Per l’articolo 50 ha aggiunto una sola norma transitoria, l’articolo 111, paragrafo 4:

“I fornitori di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici e che sono stati immessi sul mercato prima del 2 agosto 2026 adottano le misure necessarie per conformarsi all’articolo 50, paragrafo 2, entro il 2 dicembre 2026.”

Come ha sintetizzato Morgan Lewis ad agosto, “il periodo transitorio fino al 2 dicembre non rinvia gli obblighi dei deployer”.

Data	Cosa è successo o cosa si applica	Chi è vincolato
10 giugno 2026	Pubblicazione del Codice di buone pratiche definitivo sulla marcatura e l’etichettatura	Firmatari su base volontaria
8–9 luglio 2026	La Commissione e il consiglio per l’IA giudicano adeguato il Codice	Firmatari su base volontaria
20 luglio 2026	La Commissione adotta le linee guida definitive sull’articolo 50	Indicazioni non vincolanti
2 agosto 2026	Si applica l’articolo 50, compreso l’obbligo di dichiarare deep fake e testi	Fornitori e deployer
2 dicembre 2026	Termine per la marcatura dei sistemi generativi immessi sul mercato prima del 2 agosto 2026	Solo fornitori

Fornitore o deployer: dove si colloca un team email

Un fornitore sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato “con il proprio nome o marchio”. Un deployer è chiunque “utilizzi un sistema di IA sotto la propria autorità” al di fuori dell’uso personale. Se crei email con una piattaforma di IA, un generatore di immagini o un chatbot, il deployer sei tu.

Le linee guida della Commissione chiariscono tre dubbi frequenti:

1. I dipendenti non sono deployer a sé. Il deployer è l’azienda.
2. L’obbligo ricade sulle agenzie, non sempre sul cliente. Un’azienda che “si limita a incaricare un’agenzia pubblicitaria” senza decidere “se e come l’agenzia pubblicitaria usa l’IA” non è un deployer. Se però chiedi di mettere nell’immagine hero una persona generata con l’IA, la decisione l’hai presa tu.
3. Se sviluppi uno strumento tuo, sei entrambe le cose.

Trovarsi fuori dall’UE non aiuta se prevedi un uso nell’Unione, per esempio “indirizzando o autorizzando la distribuzione all’interno dell’Unione”. Secondo la nostra lettura, inviare email a iscritti nell’UE è proprio questo. Nemmeno i metadati aiutano: i deployer “non possono fare affidamento sulla marcatura leggibile meccanicamente incorporata nel contenuto dal fornitore”, perché i lettori non la vedono.

Testi scritti dall’IA: quando serve un’etichetta

Le linee guida scompongono la regola sui testi in tre criteri, che devono essere soddisfatti tutti.

Pubblicato. Il testo raggiunge “un numero indeterminato e piuttosto ampio di potenziali lettori non collegati tra loro”, con o senza iscrizione. Le email commerciali one-to-one e la posta interna non lo sono. Secondo la nostra lettura, una newsletter inviata a una lista ampia plausibilmente lo è, e una con un archivio pubblico lo è quasi certamente.

Per informare il pubblico. Sono esclusi i testi brevi che non “comunicano in modo sostanziale conoscenze, opinioni o fatti”.

Su questioni di interesse pubblico. Politica, salute pubblica, sicurezza dei consumatori, ambiente e “qualsiasi sviluppo economico, finanziario, politico, scientifico o culturale che possa essere un tema rilevante del dibattito pubblico”.

La maggior parte delle email di marketing non supera il terzo criterio. Le linee guida escludono esplicitamente “il testo manipolato dall’IA che fa parte della pubblicità di un’azienda o delle descrizioni di prodotto (escluse le affermazioni relative, ad esempio, a salute, sicurezza dei consumatori o sostenibilità)”.

Quindi promozioni, lanci, serie di benvenuto e promemoria per i carrelli abbandonati non richiedono un’etichetta per il testo. Presta più attenzione a:

• newsletter editoriali che riassumono notizie, normative o ricerche per una lista ampia
• affermazioni su salute, sicurezza o sostenibilità, come i benefici di un integratore, i richiami di prodotti o i dati sulle emissioni di carbonio
• gli aggiornamenti per gli investitori delle società quotate, che le linee guida considerano inclusi

L’eccezione della revisione umana

Non è una formalità. Per revisione si intende “l’esame deliberato della sostanza del contenuto da parte di una o più persone fisiche in possesso delle conoscenze pertinenti”, e “la verifica dell’accuratezza del contenuto è un requisito minimo”. Non bastano il controllo ortografico, “la semplice esistenza di una politica editoriale”, la revisione automatica o “un’approvazione editoriale sommaria, senza un esame nel merito”.

Conta l’ordine: “Qualsiasi intervento sostanziale dell’IA successivo al processo di revisione umana o di controllo editoriale renderà quindi nulla l’eccezione”. Se dopo l’approvazione chiedi all’IA di “rendere l’introduzione più incisiva”, ti serve una nuova approvazione.

L’identità e i recapiti di chi detiene la responsabilità editoriale “dovrebbero essere resi pubblici in un punto facile da trovare”. Basta una riga “A cura di” nel footer. Il Codice di buone pratiche chiede ai firmatari di registrare chi detiene quella responsabilità e il relativo processo di revisione, non ogni singola revisione.

Immagini IA: il test del deep fake

È sulle immagini che la maggior parte dei team email dovrà davvero mettere un’etichetta.

“Esistente” comprende il plausibile. Un soggetto rientra nella definizione se assomiglia a “qualcuno o qualcosa che esiste, potrebbe plausibilmente esistere o avrebbe plausibilmente potuto esistere nella realtà”. Come osserva Bird & Bird, “un ritratto fotorealistico di una persona inventata rientra comunque nella definizione”. La tua “cliente soddisfatta” generata con l’IA non è esente solo perché non è mai esistita.

Sono il contesto e il pubblico a decidere se un contenuto “apparirebbe falsamente autentico”. Il test oggettivo valuta realismo, messaggio, ambientazione e pubblico prevedibile, quindi l’intenzione non conta. Non si tiene conto della ridistribuzione oltre quel pubblico, e le linee guida citano “una newsletter aziendale” come esempio di canale limitato.

Immagine nella tua email	Deep fake?	Base nelle linee guida della Commissione
Persona fotorealistica generata dall’IA che usa il tuo prodotto	Probabilmente sì	Avatar e personaggi realistici creati con l’IA contano come “persone”
Immagine IA di una celebrità reale o del tuo CEO	Sì	Tra gli esempi, una celebrità influencer in una pubblicità e l’avatar sintetico di un CEO
Foto di prodotto generata dall’IA che fa sembrare il prodotto migliore di quanto sia	Sì	“può influenzare la percezione del pubblico e trarre in inganno sull’aspetto reale del prodotto”
Foto reale del prodotto su uno sfondo generato dall’IA	Di solito no	Non è un deep fake “purché la pubblicità non sia tale da trarre in inganno”
Correzione del colore, nuova illuminazione, estensione dello sfondo, ridimensionamento con l’IA	No	Modifiche minori per pubblicità e packaging
Scena palesemente fantastica (topi che litigano per il formaggio, una sfinge sopra la Torre Eiffel)	No	Entrambe citate come esempi di contenuti che non sono deep fake
Illustrazione piatta, icona o sfumatura astratta	No	Nostra lettura: non assomiglia a nessun soggetto reale

Non contare sul regime più leggero previsto per le opere “manifestamente artistiche, creative, satiriche, di finzione o analoghe”. I contenuti “esclusivamente informativi o commerciali” ne sono esclusi, e un video in stile televendita con consumatori simulati è citato tra gli esempi di contenuti non creativi. Un’etichetta, inoltre, non rende lecita un’immagine: restano valide le norme sulla pubblicità ingannevole, i diritti della personalità e il GDPR.

Come etichettare quando è obbligatorio

Il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA è volontario, e la Commissione precisa che aderirvi “non costituisce una prova conclusiva della conformità”. Resta comunque l’indicazione più concreta che esista sulle etichette, quindi seguilo in ogni caso. Per le immagini chiede:

• un’icona o un’etichetta costruita attorno all’acronimo “AI” in maiuscolo, come l’icona dell’UE, gratuita, nelle varianti “AI + GENERATED” e “AI + MODIFIED”
• una posizione “in cui non siano presenti elementi sovrapposti (ad esempio, nell’angolo in alto a destra di un’immagine o di un video deep fake)”
• l’icona incorporata nel contenuto, a meno che non sia disponibile una sovrapposizione equivalente
• compatibilità con gli screen reader e un contrasto elevato

Nelle email faremmo tre cose:

1. Imprimi l’icona direttamente nel file dell’immagine, in alto a destra. Le sovrapposizioni in CSS vengono visualizzate in modo diverso da un client all’altro, mentre un’etichetta impressa nell’immagine sopravvive all’inoltro.
2. Ripetila nel testo alternativo, per esempio alt="AI-generated image: a woman in a rain jacket on a ferry" (in un’email in italiano: “Immagine generata con l’IA: una donna con un impermeabile su un traghetto”). Gli screen reader leggono il testo alternativo, non le icone.
3. Aggiungi una didascalia alle immagini che veicolano l’offerta, per esempio “Immagine creata con l’IA”. Le didascalie si vedono anche quando le immagini sono bloccate.

Per i testi IA soggetti alla regola che nessuno ha rivisto, metti una dichiarazione visibile in cima all’email, non solo nel footer.

Due norme collegate da conoscere

Agenti IA che conversano via email. L’articolo 50, paragrafo 1, obbliga i fornitori a rendere nota l’interazione con un’IA, che richiede “uno scambio di informazioni bidirezionale”. Secondo la nostra lettura una newsletter non è coperta, mentre un agente IA che risponde alle repliche degli iscritti sì, e l’esempio delle linee guida è l’email di un agente IA “che presenta un’etichetta IA in alto”.

Sanzioni. Ai sensi dell’articolo 99, paragrafo 4, la violazione degli “obblighi di trasparenza per i fornitori e i deployer ai sensi dell’articolo 50” comporta sanzioni “fino a 15.000.000 EUR o, se il trasgressore è un’impresa, fino al 3% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore”. Per le PMI e le start-up vale l’importo inferiore. Gli Stati membri stabiliscono le proprie sanzioni entro questi limiti.

Un albero decisionale per ogni asset IA in un’email

Fai passare da qui ogni asset creato con l’IA prima di programmare l’invio. Testi e immagini seguono percorsi diversi.

Poi trasformalo in una routine. Al momento della creazione, contrassegna le immagini IA come generate, modificate con l’IA o non modificate, e aggiungi la verifica dei deep fake alla checklist di controllo qualità prima dell’invio. Per le email informative, nomina un editor che dia l’ultima approvazione. Chiedi ai fornitori di IA se il loro output contiene una marcatura leggibile meccanicamente e se si avvalgono del periodo transitorio fino al 2 dicembre, come consiglia Morgan Lewis.

Come farlo in Brew

L’IA di Brew scrive i testi, progetta le email e genera e modifica immagini, quindi per le email create in Brew il deployer sei tu. Tre cose ti aiutano.

• Gli invii aspettano una persona. L’agente scrive bozze liberamente, ma l’invio di una campagna, un test inviato a qualcuno che non sia tu o l’avvio di un’esecuzione su un pubblico restano in attesa di una scheda di approvazione a cui può rispondere solo chi ha fatto la richiesta. Tramite MCP, sui collegamenti OAuth e a livello di organizzazione, send_email restituisce prima confirmation_required. I collegamenti con una chiave API del brand saltano questa pausa, come spiega la documentazione sull’autenticazione. Il clic vale come revisione umana solo se chi approva legge l’email e ne verifica i fatti.
• Le immagini IA sono facili da trovare. La pagina Asset elenca le immagini create con Brew sotto la voce Generate. Le foto del brand modificate con l’IA e salvate come nuove immagini finiscono sotto Immagini del brand, quindi contrassegnale tu.
• Puoi tenere le immagini lontane dai deep fake. image-style.md è la direzione artistica che Brew legge prima di creare qualsiasi immagine. Per evitare le etichette, aggiungi all’elenco delle cose da evitare una riga come “niente persone fotorealistiche, usa illustrazioni o foto reali dei prodotti”. L’articolo su email-design.md spiega i file del brand.

Le etichette e l’icona dell’UE sono un passaggio manuale, e l’audit dell’email non controlla la presenza di deep fake, quindi applica i passaggi di etichettatura descritti sopra.

Domande frequenti

Devo etichettare le email di marketing generate con l’IA nell’UE?

Per il testo, di solito no. I testi pubblicitari e le descrizioni di prodotto restano fuori dalla regola sui testi, a meno che non contengano affermazioni su salute, sicurezza dei consumatori o sostenibilità. Le immagini IA che potrebbero passare per foto reali di persone, luoghi o prodotti sono deep fake e richiedono un’etichetta visibile.

L’Omnibus digitale ha rinviato le regole di trasparenza dell’AI Act?

Solo in parte. Il regolamento (UE) 2026/1744 ha concesso ai fornitori di sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026 tempo fino al 2 dicembre 2026 per la marcatura leggibile meccanicamente. Gli obblighi dei deployer, compresa l’etichettatura dei deep fake e dei testi IA soggetti alla regola, si applicano dal 2 agosto 2026.

L’immagine IA di una persona che non esiste è un deep fake?

Può esserlo. “Esistente” comprende ciò che “potrebbe plausibilmente esistere o avrebbe plausibilmente potuto esistere”, quindi una persona inventata e fotorealistica rientra nella definizione se il tuo pubblico potrebbe scambiarla per una foto vera. Un’illustrazione chiaramente stilizzata o fantastica no.

Cosa vale come revisione umana per le newsletter scritte dall’IA?

Una persona con le conoscenze pertinenti esamina la sostanza, e la verifica dei fatti è il minimo. Un controllo ortografico o un’approvazione frettolosa non contano, e qualsiasi modifica sostanziale fatta con l’IA dopo l’approvazione annulla l’eccezione. La responsabilità editoriale deve essere di una persona identificata o dell’azienda, con recapiti facili da trovare.

Per gli altri cambiamenti normativi di quest’anno, leggi lo State of Email di settembre. Per testi che un revisore può controllare in fretta, leggi come scrivere email di marketing.