Il 2 agosto 2026 segna uno dei passaggi più importanti nel calendario di applicazione dell’AI Act. Da questa data diventano applicabili gli obblighi di trasparenza previsti dall’articolo 50 del Regolamento europeo sull’intelligenza artificiale, insieme a una parte significativa del sistema di vigilanza e delle disposizioni sanzionatorie.
Per il settore farmaceutico, tuttavia, il cambiamento non può essere letto soltanto come l’arrivo di nuove etichette da apporre su chatbot, immagini o testi generati artificialmente. La trasparenza presuppone che l’organizzazione sappia quali sistemi di AI sta utilizzando, in quali processi, con quali dati e sotto la responsabilità di chi.
È qui che la scadenza normativa incontra la governance aziendale. Prima ancora di chiedersi che cosa dichiarare all’esterno, le imprese devono essere in grado di ricostruire ciò che accade all’interno.
Una scadenza centrale nel calendario europeo
L’AI Act, formalmente Regolamento UE 2024/1689, è entrato in vigore il 1° agosto 2024, ma ha previsto un’applicazione progressiva delle diverse disposizioni.
Dal 2 febbraio 2025 sono già applicabili i divieti relativi alle pratiche considerate a rischio inaccettabile. Dalla stessa data è in vigore l’articolo 4 sull’AI literacy, che richiede a provider e utilizzatori professionali di sistemi di intelligenza artificiale di adottare misure adeguate affinché il personale disponga di conoscenze e competenze sufficienti rispetto agli strumenti impiegati.
Il 2 agosto 2025 sono diventati applicabili gli obblighi riguardanti i fornitori di modelli di AI per finalità generali, i cosiddetti GPAI, categoria nella quale rientrano i modelli che costituiscono la base di molti strumenti per la generazione di testo, immagini, audio e codice.
Dal 2 agosto 2026 entrano invece in applicazione le regole dell’articolo 50, dedicate ai sistemi che presentano specifici rischi di trasparenza. La Commissione europea ha pubblicato nel luglio 2026 linee guida destinate a chiarire il perimetro degli obblighi e le responsabilità dei diversi soggetti lungo la catena del valore.
Leggi la nota informativa ANES
Quando l’utente deve sapere di parlare con una macchina
Uno degli obblighi più immediati riguarda i sistemi progettati per interagire direttamente con le persone: chi utilizza chatbot, assistenti virtuali o interfacce conversazionali deve assicurarsi che gli utenti siano informati del fatto che stanno interagendo con un sistema di intelligenza artificiale, salvo che questa circostanza risulti già evidente dal contesto.
L’informazione deve essere fornita in modo chiaro e comprensibile al più tardi al momento della prima interazione. Non dovrebbe quindi essere nascosta in un’informativa generale, nelle condizioni di utilizzo o in una pagina difficilmente raggiungibile.
Per un’azienda farmaceutica il requisito può riguardare numerose applicazioni: assistenza ai clienti, navigazione nei siti istituzionali, consultazione di archivi documentali, supporto agli informatori scientifici, gestione delle richieste interne, formazione del personale o accesso automatizzato a informazioni mediche e tecniche.
La presenza del chatbot rappresenta soltanto la parte visibile del problema. L’azienda deve anche valutare quali informazioni può fornire il sistema, su quali fonti si basa, come vengono gestite eventuali richieste improprie e quando l’interazione deve essere trasferita a una persona.
Contenuti generati e responsabilità editoriale
L’articolo 50 interviene anche sui contenuti sintetici. I provider di sistemi generativi devono fare in modo che gli output siano identificabili come generati o manipolati dall’intelligenza artificiale, anche attraverso marcature leggibili da sistemi automatici.
Per chi utilizza questi strumenti assumono particolare rilevanza le regole sui deepfake e sui testi pubblicati con lo scopo di informare il pubblico su questioni di interesse pubblico.
Immagini, audio e video che riproducono persone, oggetti, luoghi o avvenimenti reali in modo tale da apparire autentici devono essere accompagnati da un’indicazione della loro natura artificiale. L’obbligo non dipende necessariamente dall’intenzione di ingannare: è sufficiente che il contenuto possa essere percepito come reale.
Un principio analogo riguarda determinati testi generati o manipolati artificialmente e destinati a informare il pubblico. In questo caso, tuttavia, il Regolamento prevede un’esenzione quando il contenuto è stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica ne assume la responsabilità della pubblicazione.
Non esiste quindi un obbligo generalizzato di dichiarare qualsiasi impiego dell’intelligenza artificiale nella preparazione di un testo. Un sistema può essere utilizzato per organizzare materiali, correggere una bozza, sintetizzare documenti o supportare la scrittura. Ciò che diventa decisivo è il processo con cui l’output viene verificato, corretto, approvato e ricondotto a una responsabilità riconoscibile.
Per le aziende farmaceutiche questo punto è particolarmente delicato. La revisione non può essere soltanto formale quando il contenuto riguarda dati scientifici, informazioni sanitarie, caratteristiche di prodotto, comunicazioni regolamentate o temi capaci di incidere sulle decisioni di professionisti e pazienti.
Il controllo umano deve poter essere dimostrato
Affermare che un contenuto è stato controllato da una persona potrebbe non essere sufficiente. Le organizzazioni devono poter descrivere che cosa intendono per revisione umana, chi è autorizzato a effettuarla e quali controlli vengono svolti prima della pubblicazione o dell’utilizzo operativo.
Una procedura proporzionata dovrebbe almeno identificare:
- il sistema e la versione utilizzati;
- la finalità dell’impiego;
- la tipologia di dati inseriti;
- le verifiche richieste sull’output;
- le competenze del revisore;
- il soggetto che autorizza l’utilizzo finale;
- le eventuali evidenze da conservare.
Il livello di formalizzazione dipenderà dal rischio e dal contesto. Utilizzare un sistema generativo per proporre il titolo di una presentazione non equivale a impiegarlo per sintetizzare informazioni di farmacovigilanza o predisporre contenuti destinati a operatori sanitari.
L’AI Act adotta un’impostazione basata sul rischio, ma questa impostazione deve tradursi in criteri aziendali. Senza una classificazione degli usi, il controllo umano rischia di diventare una formula generica applicata allo stesso modo a situazioni profondamente diverse.
Il rinvio dell’alto rischio non ferma la compliance
Il quadro europeo è stato modificato dal cosiddetto AI Omnibus, entrato in vigore il 27 luglio 2026 (ne abbiamo parlato qui). L’intervento ha rinviato l’applicazione delle disposizioni sui sistemi ad alto rischio al 2 dicembre 2027 per i sistemi autonomi ricompresi in alcuni ambiti dell’Allegato III e al 2 agosto 2028 per quelli integrati in prodotti regolamentati. In quest’ultima categoria possono ricadere, a determinate condizioni, sistemi incorporati in dispositivi medici, macchinari e altri prodotti soggetti alla normativa europea di armonizzazione.
Il rinvio consente di attendere la disponibilità di standard e strumenti applicativi più maturi, ma non sospende l’intero AI Act. Gli obblighi di trasparenza dell’articolo 50 restano applicabili dal 2 agosto 2026. Sono inoltre già operative le disposizioni sull’AI literacy, i divieti relativi agli usi inaccettabili e gli obblighi previsti per i fornitori di modelli GPAI.
Soprattutto, il rinvio non elimina la necessità di preparare sistemi di gestione, procedure, inventari e responsabilità. Una classificazione corretta richiede tempo, così come la valutazione dei fornitori, l’aggiornamento dei contratti, la definizione dei controlli e l’integrazione con i processi di qualità e protezione dei dati.
Considerare le nuove date come un’autorizzazione ad aspettare significherebbe arrivare alla futura applicazione delle regole senza una conoscenza affidabile degli strumenti già presenti nell’organizzazione.
Il primo passo è mappare gli usi reali
Le applicazioni di AI possono entrare in azienda attraverso percorsi molto diversi. Alcune vengono acquistate e approvate centralmente. Altre sono integrate in software già utilizzati, piattaforme cloud, strumenti di produttività, soluzioni di marketing automation o servizi forniti da terzi.
Esistono poi utilizzi individuali, introdotti dal personale per velocizzare attività quotidiane senza che l’organizzazione ne abbia una visibilità completa.
Per questo la mappatura non dovrebbe limitarsi a un elenco di software. Dovrebbe collegare ogni sistema alle funzioni aziendali, alle finalità, ai dati trattati, ai destinatari degli output e alle decisioni che può influenzare.
La nota informativa predisposta per ANES suggerisce di censire gli strumenti utilizzati in redazione, marketing, customer service e distribuzione, distinguendo tra sistemi sviluppati internamente, acquisiti da terzi e utilizzati come servizio. Lo stesso metodo può essere esteso al pharma, includendo ricerca e sviluppo, produzione, qualità, regolatorio, medical affairs, farmacovigilanza, risorse umane e formazione.
Un inventario costruito in questo modo permette di individuare i punti nei quali si applicano obblighi di trasparenza, ma anche di intercettare rischi relativi alla riservatezza, alla proprietà intellettuale, all’integrità dei dati e all’affidabilità degli output.
AI in Control
Tradurre l’AI Act nei processi farmaceutici richiede competenze che attraversano qualità, regolatorio, IT e governance.
AI in Control, il percorso formativo di MakingEducation, affronta l’adozione dell’intelligenza artificiale nel pharma attraverso una guida dedicata e un videocorso on demand articolato in dieci moduli. Il percorso analizza principi normativi, valutazione del rischio, responsabilità, controllo umano e integrazione dell’AI nei sistemi aziendali.
L’obiettivo è fornire criteri operativi per passare dalla conoscenza generale dell’intelligenza artificiale alla sua applicazione controllata nei contesti farmaceutici.
AI literacy oltre la formazione generale
L’obbligo di AI literacy è già applicabile dal febbraio 2025. La norma non prescrive un corso identico per tutte le organizzazioni, ma richiede misure adeguate tenendo conto delle conoscenze tecniche, dell’esperienza, della formazione e del contesto nel quale i sistemi vengono utilizzati.
Una sessione introduttiva sui principi dell’intelligenza artificiale può rappresentare un punto di partenza, ma difficilmente esaurisce il requisito in un’impresa farmaceutica.
Chi utilizza un assistente generativo per attività amministrative ha esigenze diverse da chi valuta un modello integrato in un processo GxP. Allo stesso modo, chi approva contenuti scientifici deve conoscere rischi differenti rispetto a chi seleziona un fornitore tecnologico o configura un chatbot.
L’AI literacy dovrebbe quindi essere costruita per ruoli, responsabilità e casi d’uso. Dovrebbe aiutare il personale a riconoscere i limiti dello strumento, proteggere dati e informazioni riservate, verificare gli output e sapere quando l’AI non deve essere utilizzata.
Dalla trasparenza alla governance
Gli obblighi applicabili dal 2 agosto rendono visibile soltanto una parte del lavoro necessario.
Informare un utente che sta parlando con un chatbot è relativamente semplice. Più complesso è assicurare che il chatbot utilizzi fonti approvate, non produca risposte ingannevoli, rispetti i limiti previsti e indirizzi correttamente le richieste che richiedono un intervento umano.
Dichiarare che un’immagine è stata generata artificialmente non risolve i problemi relativi ai diritti, alla correttezza della rappresentazione o alla coerenza con le regole aziendali. Documentare una revisione umana, infine, richiede che il revisore possieda competenze adeguate e disponga di criteri chiari.
La conformità nasce quindi dall’integrazione tra più funzioni: qualità, regolatorio, legale, privacy, IT, cybersecurity, comunicazione e responsabili dei processi nei quali l’intelligenza artificiale viene effettivamente utilizzata.
Il 2 agosto 2026 non rappresenta il punto di arrivo dell’AI Act. È il momento in cui molte organizzazioni dovranno dimostrare che l’adozione dell’intelligenza artificiale non è rimasta una somma di sperimentazioni isolate, ma sta diventando un processo governato.
Fonti
- Regolamento UE 2024/1689 del Parlamento europeo e del Consiglio.
- Commissione europea, Guidelines on transparency obligations for providers and deployers of AI systems, luglio 2026.
- Commissione europea, Code of Practice on Transparency of AI-generated Content.
- Commissione europea, AI Omnibus enters into force, 27 luglio 2026.
- ANES, Nota informativa sull’AI Act – Obblighi e norme in applicazione dal 2 agosto 2026.
