AI Act: cosa cambia per aziende, e-commerce e pubblicità online

Scrivere annunci Google Ads con l’intelligenza artificiale, generare immagini per Meta, mettere un chatbot sul sito, personalizzare le offerte dell’e-commerce. Nel 2026 sono attività normali per moltissime aziende. Molto meno chiaro è che cosa si può fare, cosa va dichiarato e dove si rischia davvero.

Il riferimento principale è l’AI Act, il regolamento europeo sull’intelligenza artificiale, che dal 2 agosto 2026 applica gli obblighi di trasparenza. L’AI Act però non lavora da solo. Si intreccia con il GDPR, le regole sulla pubblicità, il Codice del consumo, il Digital Services Act, il diritto d’autore e, per chi vende all’estero, con le leggi dei Paesi di destinazione.

In questa guida mettiamo in fila cosa cambia, con esempi presi dal lavoro quotidiano su siti, e-commerce e campagne. Alla fine delle sezioni principali trovi un riepilogo pratico: se la tua azienda si trova in quella situazione, ecco cosa dovrebbe fare.

Una premessa doverosa. YourDigitalWeb è un’agenzia di digital marketing, SEO e consulenza AI, non uno studio legale. Questo articolo serve a orientarsi e a fare le domande giuste, non sostituisce un parere legale. Per le decisioni di conformità rivolgiti a un avvocato o a un consulente privacy qualificato.

In breve: le cinque cose da sapere subito

Non devi scrivere “generato con AI” su ogni annuncio. Gli obblighi di dichiarazione riguardano soprattutto chatbot, deepfake e alcuni testi di interesse pubblico.
Il chatbot sul sito deve far capire all’utente che sta parlando con una macchina e non con una persona.
Per un e-commerce il rischio più frequente non è l’immagine generata, ma l’uso dei dati dei clienti tra cookie, pixel, CRM e strumenti AI.
Il rinvio deciso a luglio 2026 riguarda i sistemi ad alto rischio. La trasparenza si applica già.
Una pubblicità ingannevole resta ingannevole anche se dichiari che l’ha creata l’AI.

Cos’è l’AI Act e perché riguarda anche chi l’AI non la sviluppa

L’AI Act è il Regolamento (UE) 2024/1689 e si applica direttamente in tutti i Paesi dell’Unione, Italia compresa. Non serve una legge di recepimento: le regole valgono così come sono scritte.

Molti pensano che riguardi solo OpenAI, Google o le software house. Non è così. Il regolamento distingue diversi ruoli e almeno due interessano da vicino qualsiasi azienda.

Il provider, cioè il fornitore, è chi sviluppa un sistema AI o lo fa sviluppare e lo mette sul mercato o in servizio con il proprio nome o marchio. Il deployer è chi utilizza un sistema AI sotto la propria autorità per attività professionali. Accanto a loro ci sono importatori, distributori e rappresentanti autorizzati.

Un esempio concreto. Un e-commerce che installa un chatbot acquistato da un fornitore è, di norma, un deployer. Se lo stesso e-commerce sviluppa un proprio assistente e lo offre con il suo marchio, può diventare anche provider, con obblighi più pesanti.

Lo stesso ragionamento vale per le agenzie. Quando un’agenzia produce creatività con strumenti generativi per un cliente, bisogna capire chi controlla davvero il sistema e il suo utilizzo. Il contratto commerciale, da solo, non decide la qualifica giuridica.

In pratica: se la tua azienda usa ChatGPT, Gemini, Claude, un generatore di immagini o un chatbot di terzi, quasi certamente sei un deployer. Il primo passo è fare l’elenco degli strumenti usati e scrivere, per ciascuno, chi lo gestisce e a cosa serve.

Le scadenze aggiornate a ottobre 2026

Il calendario originale è stato modificato dal Regolamento (UE) 2026/1744, il cosiddetto AI Omnibus, entrato in vigore il 27 luglio 2026. Queste sono le date che contano.

Data	Cosa si applica
2 febbraio 2025	Divieto delle pratiche AI vietate e obbligo di alfabetizzazione AI del personale (articolo 4)
2 agosto 2025	Regole sui modelli AI per finalità generali, come quelli alla base dei grandi chatbot
2 agosto 2026	Obblighi di trasparenza dell’articolo 50: chatbot, contenuti sintetici, deepfake
2 dicembre 2026	Fine del periodo transitorio per la marcatura tecnica dei contenuti generati da sistemi già sul mercato prima del 2 agosto 2026. Scattano anche due nuovi divieti introdotti dall’Omnibus, sui sistemi che generano immagini intime non consensuali e materiale pedopornografico
2 dicembre 2027	Sistemi ad alto rischio dell’Allegato III, per esempio selezione del personale, valutazione del merito creditizio, istruzione
2 agosto 2028	Sistemi ad alto rischio integrati in prodotti regolamentati, come macchinari, dispositivi medici e giocattoli

Il rinvio riguarda solo l’alto rischio. Gli obblighi di trasparenza non sono stati rinviati e si applicano dal 2 agosto 2026.

Anche l’obbligo di alfabetizzazione AI resta in vigore. L’Omnibus ne ha però ammorbidito il testo: oggi l’azienda deve adottare misure che sostengano le competenze di chi usa l’AI, senza dover garantire un livello specifico per ogni singola persona.

Pubblicità e AI: bisogna sempre dichiarare che è stata creata con l’intelligenza artificiale?

No, ed è uno degli equivoci più diffusi.

L’articolo 50 dell’AI Act prevede obblighi precisi per situazioni precise: i sistemi che interagiscono con le persone, come i chatbot; la marcatura tecnica dei contenuti sintetici, che spetta ai provider; il riconoscimento delle emozioni e la categorizzazione biometrica; i deepfake; alcuni testi pubblicati per informare il pubblico su temi di interesse pubblico.

A luglio 2026 la Commissione europea ha pubblicato le linee guida definitive sull’articolo 50, accanto a un Codice di condotta volontario sulla marcatura e l’etichettatura dei contenuti generati. Sono documenti non vincolanti, ma oggi sono il riferimento più autorevole per interpretare la norma.

In nessun punto la legge dice che ogni frase scritta con ChatGPT o ogni foto ritoccata debba portare la scritta “generato con intelligenza artificiale”. Contano la natura del contenuto, quanto appare realistico, a cosa serve e quale ruolo ha l’azienda.

Testi per Google Ads, Meta Ads e landing page

Usare l’AI per creare varianti di annunci, headline, descrizioni prodotto e call to action non fa scattare, di per sé, un obbligo di etichetta.

Restano però in piedi le regole di sempre: l’annuncio deve essere veritiero, non ingannevole e coerente con il prodotto. Se l’AI inventa una certificazione, un risultato clinico o uno sconto che non esiste, il problema legale c’è comunque, anche senza nessun obbligo di etichetta.

In pratica: se il tuo team scrive annunci e schede prodotto con l’AI, l’etichetta non serve, ma serve una persona che verifichi ogni affermazione prima della pubblicazione. Prezzi, sconti, certificazioni e risultati devono essere veri e documentabili.

Foto e video pubblicitari generati con AI

Qui la valutazione è più delicata.

Correggere i colori, eliminare imperfezioni tecniche o fare ritocchi ordinari normalmente non trasforma un’immagine in un deepfake. Diverso è il caso di immagini o video realistici che mostrano persone, prodotti, luoghi o situazioni artificiali facendoli sembrare autentici.

Pensiamo a un marchio di arredamento che ambienta un divano in un soggiorno mai esistito, perfettamente fotorealistico. Oppure a un cosmetico il cui effetto sulla pelle viene migliorato artificialmente. Non tutte queste immagini sono deepfake: va verificato se rientrano nella definizione della norma e nelle linee guida europee.

Quando un contenuto è un deepfake, chi lo pubblica deve dichiararne la natura artificiale in modo chiaro e riconoscibile, al più tardi al primo contatto con l’utente. Attenzione però: dichiarare l’uso dell’AI non rende lecita una rappresentazione ingannevole del prodotto. Il cosmetico “migliorato” resta un problema di pubblicità ingannevole, etichetta o no.

In pratica: se nelle tue campagne usi foto o video realistici generati con AI, decidi prima della pubblicazione se servono una dichiarazione visibile e se l’immagine rappresenta il prodotto per quello che è. Nel dubbio, meglio dichiarare e restare fedeli al prodotto reale.

Testimonial virtuali e recensioni generate

Un video generato con AI in cui una persona dall’aspetto reale racconta di aver usato un prodotto merita la massima attenzione.

Se quella persona non esiste e l’esperienza è inventata, il tema va oltre la trasparenza. In Italia entra in gioco il Codice del consumo, che considera pratica commerciale scorretta la diffusione di recensioni false. Negli Stati Uniti la Federal Trade Commission ha introdotto una regola specifica contro recensioni e testimonianze false, comprese quelle generate dall’AI.

Se poi il video usa il volto o la voce di una persona reale senza consenso, in Italia si può arrivare al reato di diffusione illecita di contenuti generati o alterati con AI, introdotto dalla Legge 132/2025. Ne parliamo più avanti.

Un testimonial virtuale dichiaratamente di fantasia, usato in una comunicazione corretta, è un’altra cosa rispetto a una falsa recensione spacciata per vera.

In pratica: non pubblicare mai testimonianze o recensioni di clienti che non esistono, nemmeno con l’etichetta “AI”. Se usi un personaggio virtuale, deve essere chiaro a tutti che è un personaggio.

Chatbot AI per assistenza e vendita

Il chatbot che consiglia prodotti, risponde alle domande o accompagna il cliente fino al carrello è il caso più comune.

L’articolo 50 chiede ai provider di progettare questi sistemi in modo che le persone sappiano di parlare con un’AI, salvo che sia già evidente. Per l’azienda che lo usa vale una regola di buon senso: verificare che il sistema dia questa informazione e che l’interfaccia non faccia credere all’utente di parlare con un operatore umano.

Un messaggio di apertura semplice funziona bene:

“Ciao, sono l’assistente virtuale basato sull’intelligenza artificiale. Per ordini, resi e pagamenti puoi sempre chiedere di parlare con il nostro team.”

Oltre a soddisfare la norma, riduce aspettative sbagliate e contestazioni.

In pratica: se hai un chatbot sul sito, controlla oggi il primo messaggio. Deve dire chiaramente che è un’AI e offrire una strada verso una persona reale per le questioni importanti.

Nella nostra esperienza, per molte aziende il problema più frequente non nasce da un’immagine generata. Nasce da come vengono usati i dati dei clienti.

Un sistema AI può analizzare acquisti, navigazione, preferenze e dati del CRM per prevedere chi comprerà. Ma poter analizzare un dato non significa avere il diritto di usarlo. Quando ci sono di mezzo dati personali, il GDPR continua ad applicarsi in pieno, con o senza AI.

Un e-commerce tipico oggi usa Meta Pixel e la Conversions API, Google Analytics e Google Ads, il remarketing, pubblici costruiti sulla lista clienti e spesso algoritmi predittivi per individuare gli utenti più propensi all’acquisto.

Per i cookie e gli altri strumenti di tracciamento non necessari, usati per profilazione e pubblicità comportamentale, in Italia serve di regola il consenso preventivo dell’utente. Lo ricordano le FAQ del Garante Privacy sui cookie.

Due chiarimenti che facciamo spesso ai clienti. Spostare il tracciamento lato server non elimina l’obbligo di consenso. E Google Consent Mode è uno strumento tecnico per trasmettere i segnali di consenso, non un certificato di conformità.

In pratica: se il tuo e-commerce fa remarketing o usa pubblici personalizzati, verifica che pixel e tag partano solo dopo il consenso e che il banner offra una scelta reale. È un controllo tecnico che si fa in poche ore e chiude molti rischi.

Dati dei clienti caricati negli strumenti AI

Immagina un responsabile marketing che carica su un chatbot un file con nomi, email, importi spesi e storico degli acquisti per chiedere quali clienti contattare. Capita più spesso di quanto si pensi.

Prima di farlo bisognerebbe chiedersi se c’è una base giuridica per questa nuova finalità e se i clienti ne sono stati informati. Poi che ruolo privacy ha il fornitore dello strumento e se esiste un accordo di trattamento dei dati. E ancora: per quanto tempo i dati restano conservati, se vengono usati per addestrare il modello, se finiscono fuori dall’Unione europea e con quali garanzie. Quando il trattamento presenta un rischio elevato, può servire anche una valutazione d’impatto.

Le soluzioni pratiche esistono. Ridurre i dati al minimo indispensabile, anonimizzarli davvero e usare versioni aziendali degli strumenti, configurate per non addestrare i modelli sui tuoi dati, abbassa molto l’esposizione. Ricorda però che sostituire il nome con un codice è pseudonimizzazione, non anonimizzazione: per il GDPR quei dati restano personali.

In pratica: se il tuo team usa ChatGPT o strumenti simili, stabilisci una regola scritta su quali dati si possono caricare e su quale versione dello strumento. Gli account personali gratuiti non sono il posto giusto per i dati dei clienti.

Profilazione e decisioni automatizzate

Il GDPR dà a ogni persona il diritto di opporsi al trattamento dei propri dati per marketing diretto, profilazione compresa. L’articolo 22 disciplina inoltre le decisioni basate unicamente su trattamenti automatizzati che producono effetti giuridici o incidono in modo analogo e significativo sulla persona.

Questo non vuol dire che ogni raccomandazione di prodotto o annuncio personalizzato sia vietato. Vuol dire che va guardato l’effetto concreto del sistema, soprattutto quando decide da solo su cose importanti per il cliente, come l’accesso a un servizio, un finanziamento o condizioni economiche diverse.

Digital Services Act: cosa devono sapere gli inserzionisti

Il Digital Services Act, Regolamento (UE) 2022/2065, detta regole per piattaforme e servizi intermediari online. Per la pubblicità due punti sono centrali.

Il primo è la trasparenza degli annunci: chi vede una pubblicità su una piattaforma deve capire che è una pubblicità, chi la paga e perché la sta vedendo. Il secondo riguarda la profilazione: le piattaforme non possono mostrare annunci basati sulla profilazione che usa categorie particolari di dati, come salute, orientamento sessuale, opinioni politiche o religione. Né possono mostrare pubblicità basata sulla profilazione a utenti che sanno, con ragionevole certezza, essere minorenni.

Sono obblighi a carico delle piattaforme, non dell’inserzionista. Ma chi progetta una campagna non può considerare neutra qualsiasi segmentazione proposta dallo strumento pubblicitario, soprattutto quando i pubblici vengono costruiti in automatico dall’AI.

Una nota per chi fa comunicazione su temi politici o sociali: dall’ottobre 2025 si applica il nuovo regolamento europeo sulla pubblicità politica, e Meta e Google hanno scelto di sospendere in Europa gli annunci politici, elettorali e su temi sociali. Chi lavora in questi ambiti deve verificare le policy aggiornate prima di pianificare.

Infine, un chiarimento: non ogni negozio online è una piattaforma ai sensi del DSA. Un e-commerce che vende i propri prodotti non ha gli stessi obblighi di un marketplace che ospita venditori terzi.

In pratica: se fai campagne su Meta o Google, evita pubblici che, anche indirettamente, si basano su salute, religione, orientamento o altri dati sensibili. E se gestisci un marketplace con venditori terzi, fai verificare quali obblighi DSA ti riguardano direttamente.

Prezzi personalizzati con AI: un’opportunità che richiede trasparenza

L’AI permette di cambiare prezzi e offerte in base a domanda, disponibilità, concorrenza e comportamento dei clienti. Dal punto di vista giuridico, però, c’è una distinzione da conoscere.

Il prezzo dinamico cambia in funzione di condizioni generali: la domanda del periodo, le scorte, l’andamento del mercato. Tutti i clienti nello stesso momento vedono lo stesso prezzo.

Il prezzo personalizzato viene invece calcolato da un processo decisionale automatizzato sulla base del comportamento o delle caratteristiche del singolo cliente.

Nell’Unione europea, quando il prezzo è personalizzato in questo modo, la direttiva sui diritti dei consumatori impone di informare il consumatore prima dell’acquisto. In Italia l’obbligo è stato inserito nel Codice del consumo, tra le informazioni precontrattuali dei contratti a distanza.

Questo non rende illegale ogni algoritmo di pricing. Bisogna però evitare discriminazioni illecite, informazioni incomplete e pratiche ingannevoli, e rispettare il GDPR per i dati usati nel calcolo. Un buon sistema di prezzi non si limita a massimizzare il margine: deve poter essere spiegato e verificato.

In pratica: se il tuo e-commerce mostra prezzi o sconti diversi a clienti diversi in base al loro profilo, devi dirlo chiaramente prima dell’acquisto. Se invece i prezzi cambiano per tutti in base alla domanda, l’obbligo specifico non scatta, ma le regole su trasparenza e pratiche scorrette restano.

AI e claim ambientali: attenzione alle regole sul greenwashing in vigore da settembre 2026

Dal 27 settembre 2026 si applicano le nuove regole contro il greenwashing. Arrivano dalla Direttiva (UE) 2024/825, che in Italia è stata recepita con il Decreto Legislativo 20 febbraio 2026, n. 30, con modifiche importanti al Codice del consumo.

Le nuove norme vietano diverse dichiarazioni ambientali generiche o non dimostrabili e limitano l’uso di etichette di sostenibilità non basate su sistemi di certificazione riconosciuti o istituite da autorità pubbliche.

Per chi crea contenuti con l’AI il rischio è molto concreto. Un modello linguistico tende a proporre frasi efficaci come “prodotto 100% sostenibile”, “impatto ambientale zero” o “la scelta più green del mercato”. Sono slogan che funzionano, ma non si possono pubblicare solo perché li ha suggeriti l’AI. Servono prove documentali adeguate e alcune formulazioni sono vietate in ogni caso.

C’è poi un aspetto legato all’AI Act. I testi generati con AI e pubblicati per informare il pubblico su temi di interesse pubblico vanno dichiarati come tali, a meno che non siano passati da una revisione umana effettiva e qualcuno se ne assuma la responsabilità editoriale. Una rilettura veloce non è un controllo editoriale.

In pratica: se vendi prodotti con caratteristiche ambientali, fai rivedere tutti i claim green presenti su sito, schede prodotto e annunci, compresi quelli scritti con l’AI. Ogni affermazione deve avere una prova; le formule generiche vanno eliminate.

La normativa italiana sull’intelligenza artificiale: cosa aggiunge all’AI Act

Accanto alle regole europee c’è la legge italiana. La Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, fissa principi nazionali sull’AI da applicare in coerenza con il regolamento europeo. Designa inoltre AgID e Agenzia per la Cybersicurezza Nazionale come autorità nazionali per l’intelligenza artificiale, ferme restando le competenze di Garante Privacy, Banca d’Italia, Consob e Ivass.

Per chi fa marketing contano soprattutto due novità della legge.

La prima riguarda il diritto d’autore. La legge ha modificato la legge sul diritto d’autore chiarendo che sono protette le opere dell’ingegno umano, anche se create con l’aiuto dell’AI, purché siano il risultato del lavoro intellettuale dell’autore. Tradotto: un’immagine o un testo prodotti interamente dall’AI, con un contributo umano minimo, rischiano di non essere tutelabili. Per un brand che investe in creatività è un aspetto da considerare.

La seconda è il reato di deepfake. Il nuovo articolo 612-quater del Codice penale punisce chi diffonde immagini, video o voci di persone reali generati o alterati con l’AI in modo da sembrare autentici, quando ciò provoca un danno ingiusto. Usare il volto o la voce di un personaggio noto in uno spot generato con AI, senza autorizzazione, è quindi un rischio anche penale, oltre che civile.

Il quadro si sta completando con i decreti attuativi. L’ultimo è il Decreto Legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026. Al 13 ottobre 2026 il decreto è pubblicato ma entra in vigore il 23 ottobre 2026. Disciplina tra l’altro i poteri delle autorità nazionali, la vigilanza, le sanzioni e l’uso dell’AI nella formazione e nel lavoro.

In pratica: se la tua azienda opera in Italia, organizza fin da ora responsabilità, documentazione e procedure interne sull’AI. Con autorità e poteri di vigilanza definiti, i controlli diventano una possibilità concreta.

Quali sanzioni prevede l’AI Act?

Il regolamento europeo, all’articolo 99, prevede massimali diversi a seconda della violazione.

Per le pratiche AI vietate si può arrivare a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore. Per molte altre violazioni, compresi gli obblighi di trasparenza dell’articolo 50, il tetto è di 15 milioni di euro o del 3% del fatturato mondiale annuo.

Per PMI e startup vale una regola più favorevole: si applica il valore più basso tra importo fisso e percentuale. L’AI Omnibus ha esteso alcune misure pensate per le PMI anche alle piccole imprese a media capitalizzazione.

Sono massimali, non multe automatiche. Nessuno riceve una sanzione solo perché usa ChatGPT o crea una pubblicità con l’AI. Contano la gravità, le circostanze e il comportamento dell’azienda.

Vendi negli Stati Uniti? Devi rispettare anche le leggi americane

Sì, quando ricorrono i presupposti. Ma prima va sfatato un equivoco: negli Stati Uniti non esiste una legge generale sull’AI paragonabile all’AI Act. Le regole dipendono dal tipo di attività, dai consumatori raggiunti e dagli Stati in cui vendi.

FTC: pubblicità, recensioni e affermazioni commerciali

La Federal Trade Commission vigila contro pubblicità ingannevole e pratiche commerciali scorrette. Le affermazioni pubblicitarie devono essere vere e supportate da prove adeguate, e una pubblicità generata con AI non può inventare benefici, risultati o testimonianze.

La regola FTC su recensioni e testimonianze false riguarda anche chi le crea o le vende, quindi agenzie e fornitori di contenuti. La responsabilità non ricade solo sul brand.

California: CCPA e pubblicità comportamentale

Per le imprese soggette al California Consumer Privacy Act, modificato dal California Privacy Rights Act, contano i diritti dei consumatori sui propri dati. Tra questi c’è il diritto di opporsi alla vendita o alla condivisione dei dati per pubblicità comportamentale tra contesti diversi. Nei casi previsti vanno rispettati anche i segnali automatici di opt-out come il Global Privacy Control.

Dal 1° gennaio 2026 sono efficaci nuove regole dell’autorità californiana per la privacy. Per alcuni usi di tecnologie decisionali automatizzate che producono decisioni significative, gli obblighi scattano dal 1° gennaio 2027. Una normale ottimizzazione delle campagne non è di per sé una decisione automatizzata significativa.

Un’altra legge californiana, l’AB 2013, chiede trasparenza sui dati di addestramento a determinati sviluppatori di AI generativa. Non è un obbligo per ogni e-commerce che usa software di terzi.

Email marketing negli USA

Per le email commerciali vale il CAN-SPAM Act: mittente identificabile, oggetto non ingannevole, indirizzo postale valido e un sistema funzionante per disiscriversi, con richieste rispettate entro i termini previsti.

Il sistema americano è diverso da quello europeo, che in genere richiede il consenso preventivo. Non si possono copiare le regole da un mercato all’altro.

E se un’azienda americana vende in Europa?

L’AI Act può applicarsi anche a operatori fuori dall’UE, compresi quelli statunitensi, quando ricorrono i criteri territoriali del regolamento, incluso l’uso nell’Unione degli output dei sistemi AI. Lo stesso vale per il GDPR, che si applica anche a organizzazioni estere che offrono beni o servizi a persone nell’UE o ne monitorano il comportamento.

Conta dove sono i clienti, non dove si trova il server.

Chi vende anche nel Regno Unito deve considerare un quadro separato dall’UE: UK GDPR e Privacy and Electronic Communications Regulations, oltre alle norme su consumatori e pubblicità. Le linee guida dell’ICO sul direct marketing sono un buon punto di partenza.

In pratica: se vendi in più mercati, prepara una configurazione di tracciamento, consenso ed email per ciascuno. Un’impostazione pensata per gli Stati Uniti non è automaticamente valida per clienti europei o britannici, e viceversa.

L’e-commerce deve rispettare anche altre normative digitali?

Sì. L’AI Act non sostituisce le altre regole che valgono per chi vende online. Un negozio può essere in regola con l’AI Act e avere, nello stesso momento, una cookie policy inadeguata, un remarketing configurato male o schede prodotto incomplete.

Le aree da tenere sotto controllo sono cinque.

Le norme a tutela dei consumatori: condizioni di vendita, informazioni precontrattuali, diritto di recesso, prezzi e recensioni, tutte contenute nel Codice del consumo.

L’European Accessibility Act: dal 28 giugno 2025 i requisiti di accessibilità si applicano anche ai servizi di e-commerce, con alcune eccezioni, tra cui quelle per determinate microimprese. Qui trovi la pagina della Commissione europea.

Il Regolamento sulla sicurezza generale dei prodotti (GPSR, Regolamento (UE) 2023/988): impone informazioni su sicurezza e produttore anche nelle offerte online, per i prodotti non alimentari che rientrano nel suo ambito.

La proprietà intellettuale e i diritti della persona: immagini, marchi, voci e volti usati nelle creatività AI devono essere autorizzati.

Il GDPR e le regole sui tracciamenti: dati, cookie, tecnologie pubblicitarie e fornitori.

In pratica: la conformità digitale non si compra con un software AI “certificato”. Si ottiene guardando l’intero processo, dal sito alle campagne fino alla gestione dei dati.

Vantaggi e rischi dell’AI: facciamo i conti onestamente

Le nuove regole non cancellano le opportunità. Adottata bene, l’AI migliora davvero il lavoro di marketing ed e-commerce.

Riduce il lavoro ripetitivo nella preparazione di bozze, varianti e versioni in altre lingue. Aiuta ad analizzare le campagne, testare creatività e gestire le offerte in automatico. Migliora la ricerca interna del sito, le raccomandazioni di prodotto e l’assistenza. Rende più veloce adattare contenuti per mercati esteri, purché qualcuno verifichi lingua, cultura e regole locali. E permette di trovare tendenze e inefficienze nei dati, a patto che il trattamento sia lecito e sicuro.

Ci sono però costi e rischi che raramente compaiono nel primo business case.

I modelli possono inventare informazioni plausibili ma false, comprese caratteristiche di prodotto e riferimenti normativi. I sistemi molto automatizzati rendono difficile ricostruire perché è stata presa una decisione. Caricare dati nei servizi sbagliati espone a problemi di riservatezza. Un testimonial artificiale, un’immagine fuorviante o una risposta sbagliata del chatbot possono costare fiducia. Prezzi, policy e condizioni dei fornitori cambiano, e con loro i tuoi processi. Infine servono formazione, controlli, revisione dei contratti e responsabilità chiare, che hanno un costo.

La domanda giusta non è solo quanto tempo fa risparmiare l’AI, ma quanto valore resta dopo aver messo in conto qualità, controlli e rischi.

Come preparare l’azienda all’AI Act: il metodo in 8 passaggi

Per trasformare le norme in attività concrete proponiamo un percorso che tiene insieme marketing, tecnologia e organizzazione. Non serve una montagna di carte: serve sapere cosa si usa, chi decide e chi controlla.

1. Mappa gli strumenti AI che usi. Fai l’elenco di software, piattaforme e funzioni realmente usati, dai generatori di testi e immagini ai chatbot, fino agli agenti autonomi. Includi anche gli strumenti che i dipendenti usano di propria iniziativa.

2. Valuta rischi e obblighi. Per ogni sistema annota finalità, tipo di dati, eventuali obblighi di trasparenza e possibili classificazioni ad alto rischio. Una campagna ottimizzata con l’AI non diventa per questo un sistema ad alto rischio.

3. Assegna i ruoli. Stabilisci chi è provider e chi deployer ai fini dell’AI Act e, separatamente, chi è titolare o responsabile del trattamento ai fini del GDPR. Sono qualifiche di norme diverse e non vanno confuse.

4. Controlla dati, consenso e fornitori. Verifica cookie, pixel, CRM, trasferimenti di dati fuori dall’UE, contratti e configurazioni degli strumenti.

5. Definisci una procedura per i contenuti. Prima di pubblicare, controlla che il messaggio sia vero, che i materiali siano autorizzati, se ci sono manipolazioni realistiche e se serve una dichiarazione.

6. Introduci un controllo umano vero. Affida a una persona o a un team la verifica finale di contenuti e decisioni importanti. Deve essere un controllo reale, non un clic di approvazione automatico.

7. Forma le persone. L’articolo 4 dell’AI Act chiede a provider e deployer di adottare misure per sostenere l’alfabetizzazione AI di chi usa i sistemi per loro conto. La formazione va calibrata su ruoli e contesto; la legge non impone un attestato uguale per tutti.

8. Documenta e aggiorna. Conserva procedure, valutazioni, ruoli e verifiche, in proporzione ai rischi reali. Rivedi tutto periodicamente, perché strumenti e norme cambiano in fretta.

Tre casi reali: come decidere

Il team marketing crea 50 annunci Google Ads con l’AI. Bisogna verificare che le affermazioni siano corrette, che i materiali siano autorizzati e che gli annunci rispettino le policy di Google. Non serve applicare un’etichetta AI a ogni testo.

Un brand crea un video con un falso cliente soddisfatto. L’AI genera un volto realistico e gli attribuisce una recensione mai rilasciata. È un rischio elevato di pubblicità ingannevole e di violazione delle regole sulle recensioni. L’etichetta “AI” non rende lecita una recensione falsa.

Un negozio online usa l’AI per personalizzare le offerte. Lavora su storico acquisti, navigazione e profili individuali. Vanno controllati base giuridica, consenso al tracciamento, diritto di opposizione, eventuale obbligo di informare sul prezzo personalizzato e ruolo dei fornitori.

La stessa tecnologia può essere usata in modo lecito o illecito: dipende da come è configurata, da quali dati usa e dagli effetti sui clienti.

Le cinque domande da farsi prima di pubblicare una campagna con l’AI

È vero? Il messaggio rappresenta correttamente il prodotto?
È trasparente? L’utente sa che c’è di mezzo l’AI, quando la legge lo richiede?
È lecito sui dati? Le informazioni sono state raccolte e usate con una base giuridica adeguata?
È controllabile? Possiamo ricostruire le scelte e correggere gli errori?
Va bene nel mercato di destinazione? Abbiamo considerato le differenze tra Italia, UE, Stati Uniti, Regno Unito e gli altri Paesi in cui vendiamo?

Questa verifica non sostituisce un’analisi legale, ma intercetta molti problemi prima che arrivino ai clienti.

Conclusione: il problema non è l’AI, è usarla senza regole

L’AI Act è un cambiamento importante, ma non vieta di usare l’intelligenza artificiale nel marketing. Le aziende possono continuare a creare contenuti, ottimizzare campagne e costruire e-commerce innovativi.

Quello che serve è conoscere alcuni confini: tra automazione e responsabilità, tra personalizzazione e uso illecito dei dati, tra creatività sintetica e rappresentazione ingannevole della realtà.

La piattaforma che genera una creatività non conosce la documentazione del tuo prodotto, i consensi che hai raccolto, gli accordi con i testimonial o le leggi di tutti i mercati in cui vendi. Per questo il vantaggio competitivo nasce dall’unione di cinque elementi: AI, strategia digitale, qualità dei dati, controllo umano e conformità normativa.

Non si tratta di rallentare tutto con procedure inutili, ma di mettere i controlli giusti nei punti in cui servono davvero. Un processo ben progettato permette di sperimentare più in fretta, sbagliare meno e guadagnare la fiducia dei clienti.

Un’AI che funziona non è quella che produce più contenuti o più conversioni. È quella che produce risultati affidabili, misurabili e sostenibili anche sul piano normativo.

Come può aiutarti YourDigitalWeb

In YourDigitalWeb tecnologia e risultati di business fanno parte dello stesso percorso. Lavoriamo su analisi dei siti, campagne Google Ads e Social Ads, SEO, consulenza AI e strategie di crescita internazionale, con l’obiettivo di costruire processi digitali misurabili e coerenti con le esigenze dell’azienda.

Un primo passo concreto è fotografare come l’AI viene usata oggi in azienda: quali strumenti sono attivi, come vengono trattati i dati, quali contenuti vengono pubblicati e dove ci sono criticità operative, dal banner dei cookie al chatbot.

Non siamo uno studio legale e non forniamo consulenza legale. Per gli aspetti giuridici lavoriamo in coordinamento con avvocati e consulenti privacy scelti dal cliente o di sua fiducia.

Vuoi capire come integrare l’AI nella tua strategia digitale, nel sito e nelle campagne? Contatta YourDigitalWeb e raccontaci il tuo progetto.

Domande frequenti su AI Act, e-commerce e pubblicità

È obbligatorio scrivere “Generato con AI” su tutte le pubblicità?

No. L’articolo 50 prevede obblighi specifici, soprattutto per deepfake, chatbot e alcuni testi di interesse pubblico. Va valutato il caso concreto, senza confondere la marcatura tecnica a carico dei provider con l’obbligo di informazione a carico di chi pubblica.

Posso usare ChatGPT per scrivere le descrizioni prodotto?

Sì, nel rispetto delle norme. Vanno verificati contenuti, diritti d’autore, privacy ed eventuali affermazioni ingannevoli prima della pubblicazione.

Google Ads e Meta Ads sono vietati dall’AI Act?

No. La normativa non vieta queste piattaforme né l’ottimizzazione automatica delle campagne. Restano da verificare modalità d’uso, dati trattati e obblighi applicabili.

Un e-commerce deve nominare un responsabile AI?

Non esiste un obbligo generale di nominare una figura con questo titolo. Serve invece assegnare responsabilità chiare e rispettare gli obblighi previsti caso per caso.

L’AI Act si applica anche alle PMI?

Sì, quando ricorrono i presupposti. Per le imprese più piccole sono previste misure di proporzionalità e sanzioni calcolate in modo più favorevole.

Le immagini create con l’AI sono protette dal diritto d’autore?

In Italia sono protette le opere che derivano dal lavoro intellettuale umano, anche se realizzate con l’aiuto dell’AI. Un’immagine generata quasi interamente dalla macchina rischia di non esserlo. Conviene documentare il contributo creativo del team.

Non automaticamente. Un’azienda stabilita in Italia resta soggetta al GDPR per i trattamenti legati alla propria attività, anche se i clienti sono all’estero.

Un chatbot può concludere vendite da solo?

L’uso di assistenti e agenti AI nei processi d’acquisto non è vietato in generale. Vanno però verificati trasparenza, poteri dati al sistema, condizioni contrattuali, sicurezza, gestione degli errori e diritti dei consumatori.

Fonti normative e approfondimenti

Unione europea

Italia

Stati Uniti e Regno Unito

Nota importante: non siamo avvocati

Questo articolo è stato scritto da YourDigitalWeb, agenzia di digital marketing, SEO e consulenza AI. Non siamo uno studio legale e il contenuto non costituisce parere legale né consulenza in materia di privacy o conformità normativa.

Le informazioni sono aggiornate al 13 ottobre 2026 e hanno scopo esclusivamente informativo. Le norme sull’intelligenza artificiale cambiano rapidamente e la loro applicazione dipende dai sistemi usati, dal ruolo dell’azienda, dai dati trattati e dai mercati serviti. Prima di prendere decisioni di conformità rivolgiti a un avvocato o a un consulente privacy qualificato.

AI Act: cosa cambia per aziende, e-commerce e pubblicità online

In breve: le cinque cose da sapere subito