Dal 2 agosto 2026 sono in applicazione gli obblighi di trasparenza dell’articolo 50 del Regolamento europeo sull’intelligenza artificiale. Ne abbiamo parlato con parecchi clienti in queste settimane, quasi sempre partendo dalla stessa domanda: le foto di prodotto fatte con l’AI vanno segnalate anche se stanno solo in un e-commerce? La risposta è sì, e il modo in cui va fatto è meno ovvio di quanto sembri. Qui mettiamo in fila cosa chiede la norma, cosa comporta in pratica e cosa abbiamo scoperto guardando dentro i file.
Una premessa: non è un parere legale. È quello che abbiamo capito leggendo il regolamento, le linee guida della Commissione e il Codice di condotta, e soprattutto quello che abbiamo misurato sui file veri.
Due obblighi, non uno
L’articolo 50 mette insieme due cose diverse, e conviene tenerle separate perché rispondono a persone diverse.
La prima è la marcatura leggibile dalle macchine (comma 2). Un’immagine generata o modificata con l’AI deve portare dentro il file un segno che una macchina possa leggere: metadati, filigrana, o entrambi. L’obbligo è del provider, cioè di chi produce il sistema di AI. In pratica lo fanno già: i generatori di Google e di Adobe scrivono un manifest C2PA firmato e una filigrana invisibile, altri scrivono il campo IPTC che dichiara l’origine digitale. Per i sistemi già sul mercato la finestra di adeguamento arriva al 2 dicembre 2026.
La seconda è la dichiarazione visibile (comma 4). Quando l’immagine mostra una persona, un luogo o un fatto che potrebbero plausibilmente esistere, chi la pubblica deve dire in modo chiaro e distinguibile che è artificiale, e deve dirlo al primo sguardo, non in una pagina di condizioni. Le linee guida della Commissione del 20 luglio 2026 hanno chiuso la discussione che molti speravano restasse aperta: anche il ritratto fotorealistico di una persona che non esiste rientra nella definizione di deepfake, l’intento non conta e l’uso commerciale non è un’esenzione. Una modella virtuale che indossa un prodotto vero è esattamente questo caso.
Questo secondo obbligo ricade sul deployer, cioè su chi usa il sistema sotto la propria autorità e ne pubblica il risultato. Il brand che mette l’immagine sulla scheda prodotto è deployer. Lo è anche l’agenzia che genera le immagini per lui. Le linee guida ammettono che i ruoli si cumulino, e la conseguenza pratica è una sola: chi fa cosa va scritto nel contratto, perché la norma da sola non lo decide.
Cosa comporta, in concreto
Per il file: la marcatura deve esserci ed essere conservata. Non basta che il generatore l’abbia scritta, bisogna che sopravviva al ritocco e alla pubblicazione. Qui arrivano le sorprese, e ci torniamo sotto.
Per la pagina: serve una dichiarazione visibile accanto all’immagine o sopra di essa. Un bollino, una dicitura breve, un pannello che si apre al clic. Il Codice di condotta approvato a luglio mette a disposizione anche un set di icone ufficiali, che risolve il problema dell’uniformità quando lo stesso gruppo ha più marchi. Quello che non regge è il metadato da solo, una riga in fondo al footer, una nota dentro la descrizione che si apre con un clic.
Per i contratti: il deployer va nominato. Nella nostra esperienza la configurazione più pulita è quella in cui il brand resta responsabile della dichiarazione al pubblico e l’agenzia esegue la marcatura dei file e implementa l’etichetta sul sito, con una matrice di una pagina che dice chi fa cosa, canali terzi compresi. Non sposta la responsabilità regolatoria per magia, ma documenta la diligenza, che è quello che conta quando qualcuno chiede.
Per il pregresso: la lettura prevalente è che la norma non sia retroattiva sulle immagini pubblicate prima del 2 agosto, ma è un punto su cui conviene avere il parere del proprio legale, non il nostro.
Cosa abbiamo trovato dentro i file
Il primo dato è positivo: un’immagine appena uscita da un generatore serio è marcata bene. Nei file di Google trovate un manifest C2PA firmato che dichiara la generazione, il tipo di origine secondo il vocabolario IPTC e la filigrana SynthID applicata ai pixel. È la marcatura che la norma vuole, e sta lì da sola.
Il secondo dato è meno positivo. Quel manifest non sopravvive alla post-produzione fatta con strumenti non recenti. Abbiamo controllato un file rientrato da un ritocco in Photoshop CS6: il manifest era sparito, nessun campo IPTC era stato scritto, e in cambio il file raccontava versione del software, sistema operativo e fuso orario di chi l’aveva lavorato. La filigrana nei pixel invece resiste, ma la legge solo il rilevatore di Google e nessun sito, nessun DAM e nessun marketplace la vede.
La conseguenza operativa è netta: la marcatura va scritta o riscritta come ultimo passo, dopo il ritocco e prima della consegna, nel campo IPTC che tutti leggono, con la dicitura, i crediti e i diritti intestati a chi pubblica. Noi lo facciamo con uno strumento nostro che scrive i metadati e aggiunge un manifest C2PA firmato che tiene quello del generatore come ingrediente, così la catena di provenienza resta leggibile anche quando il ritocco l’ha spezzata.
Cosa fa WordPress con quei metadati
Qui il terzo dato, quello che ha sorpreso anche noi.
Abbiamo caricato un file perfettamente marcato in un WordPress aggiornato e siamo andati a guardare le immagini che il sito mostra davvero. L’originale caricato resta intatto, con tutto dentro.
Ma ogni misura che WordPress genera, dalla miniatura alla copia ridimensionata che serve come immagine principale quando il file supera i 2560 pixel, esce dalla libreria grafica senza un solo metadato. Sette file su otto puliti. E le pagine mostrano quei sette, non l’ottavo.
Vale con GD, che è la libreria della maggior parte degli hosting, e vale con Imagick, che WordPress istruisce a spogliare le immagini.
Non è un difetto del vostro tema o del vostro plugin di ottimizzazione: è il comportamento di base.
I plugin di ottimizzazione, quando hanno l’opzione di rimuovere i metadati attiva, aggiungono il colpo di grazia anche all’originale.
Abbiamo cercato se qualcuno avesse già risolto il problema.
I plugin usciti quest’estate per l’AI Act aggiungono un’etichetta visibile o un flag nel backend, ma nessuno riporta la marcatura del file nelle versioni ridotte.
Così l’abbiamo scritto noi.
Primi al mondo ad aver sviluppato una soluzione per WordPress
Il plugin si chiama AI Act Image Marking e fa quattro cose.
Legge la provenienza dell’originale caricato: il campo IPTC, la dicitura, i crediti, la presenza del manifest C2PA con i nomi di chi l’ha firmato. Riporta la marcatura in ogni misura generata, copiando i blocchi XMP e IPTC byte per byte, senza ricodificare nulla, su JPEG, PNG e WebP.
Permette di dichiarare in pagina: un bollino rotondo nell’angolo che preferite, con un pannello che si apre al clic e mostra tipo, dicitura, autore, generatore e marcatura, una dicitura sotto l’immagine, un avviso di sito, i dati strutturati per i motori di ricerca.
E documenta tutto in Media Library, con una colonna, un filtro, un pannello per ogni immagine e l’esportazione dell’inventario.
Due scelte che spieghiamo volentieri.
Il manifest C2PA non viene copiato nelle miniature, perché la sua firma copre i byte esatti dell’originale e una copia dentro un file diverso risulterebbe manomessa: si conserva sull’originale e se ne riportano i firmatari.
E il plugin non indovina se un’immagine è artificiale guardando i pixel: legge quello che il file dichiara, segnala come “da confermare” i file senza marcatura ma con tracce di un generatore, e lascia a chi gestisce il sito la classificazione manuale, che viene poi scritta nei file come marcatura vera.
Il codice è libero, con licenza GPL, e sta su GitHub: https://github.com/wearetherope/ai-act-image-disclosure.
È in revisione per la directory ufficiale di WordPress; nel frattempo si installa dal pacchetto del repository.
In ogni caso anche se il vostro e-commerce non è WordPress il controllo ed il fix si può fare comunque: mandateci l’indirizzo di una scheda prodotto e verifichiamo se i tag sopravvivono alla vostra pipeline.
Da dove partire
Se pubblicate immagini generate con l’AI, tre verifiche bastano per capire dove siete.
Aprite uno dei file che avete online con uno strumento che legga i metadati e cercate il campo DigitalSourceType: se non c’è, la marcatura si è persa per strada.
Guardate la scheda prodotto come la vede un cliente e chiedetevi se al primo sguardo capisce che il modello non esiste: se serve scorrere o cliccare, non basta.
E rileggete il contratto con chi vi produce le immagini: se la parola deployer non compare, è il momento di aggiungerla.
Su tutte e tre possiamo dare una mano. Scriveteci.