Conformità Digital Services Act per l'AI
Ultimo aggiornamento: 8 aprile 2026 · 8 min di lettura · Revisionato dal team di compliance Audact · Regolamento (UE) 2022/2065
Il DSA disciplina le piattaforme online e i servizi intermediari. Se la tua AI viene distribuita su una Piattaforma Online di Grandi Dimensioni (WhatsApp, Instagram, Facebook), sei soggetto sia alle regole della piattaforma DSA che agli obblighi di trasparenza dell'EU AI Act.
Cos'è il DSA?
Il Digital Services Act (Regolamento 2022/2065) è il quadro dell'UE per la responsabilità delle piattaforme online. È entrato in vigore nel novembre 2022 ed è completamente applicabile dal 17 febbraio 2024. Gli obblighi VLOP/VLOSE si applicano dall'agosto 2023.
Il DSA copre i servizi intermediari — piattaforme che ospitano, trasmettono o memorizzano nella cache contenuti di terze parti. Sanzioni massime: fino al 6% del fatturato annuale globale.
Obblighi di trasparenza Digital Services Act Article 14
L'Article 14 richiede a ogni fornitore di un servizio intermediario di esporre, in un linguaggio chiaro e inequivocabile, le eventuali restrizioni che impone ai contenuti generati dagli utenti — incluse le politiche di moderazione dei contenuti, le procedure, gli strumenti e la revisione umana applicata. Per i fornitori che utilizzano processi decisionali algoritmici o moderazione basata sull'AI, i termini devono descrivere esplicitamente i parametri di tali sistemi. Le informazioni devono essere accessibili pubblicamente, leggibili da macchina e aggiornate ogni volta che le regole cambiano.
In pratica l'Article 14 alza lo standard probatorio per qualsiasi stack di moderazione AI: le aziende devono essere in grado di mostrare, a posteriori, quale policy era in vigore, quali erano i parametri del modello e come sono state gestite le decisioni contestate. I log ancorati crittograficamente stanno rapidamente diventando il de facto standard per soddisfare questo onere.
VLOP vs PMI ai sensi del Digital Services Act
Il DSA applica un regime proporzionale. Le micro e piccole imprese (meno di 50 dipendenti e €10M di fatturato) sono esenti dagli obblighi più pesanti, incluso quello di pubblicare relazioni di trasparenza e di conformarsi al processo dei segnalatori affidabili. Le piattaforme online che superano tali soglie raccolgono obblighi di notifica e azione, gestione interna dei reclami e dichiarazione dei motivi. Le Piattaforme Online di Grandi Dimensioni — quelle con 45 milioni o più di destinatari mensili medi nell'UE — affrontano il regime completo: valutazioni annuali del rischio sistemico, audit indipendenti, accesso ai dati per i ricercatori, protocolli di crisi e una funzione di conformità dedicata.
È fondamentale notare che l'esenzione PMI non si estende alla trasparenza dell'AI Act: una PMI esente che gestisce un chatbot rivolto ai clienti deve comunque la divulgazione dell'Article 50. Al contrario, un VLOP deve trattare i contenuti generati dall'AI ai sensi di entrambi il regime di rischio DSA e dell'AI Act — i due regimi si sommano, non si sostituiscono.
DSA vs. EU AI Act — distinzione chiave
Un equivoco comune: il DSA non contiene un articolo specifico sulla divulgazione dei chatbot. L'obbligo di informare gli utenti che stanno interagendo con l'AI deriva dall'EU AI Act Article 50 (efficace dal 2 agosto 2026).
I due regolamenti sono complementari:
- AI Act Article 50 = divulgazione chatbot («stai parlando con un'AI») — si applica a tutti i deployer
- DSA = trasparenza della piattaforma, moderazione dei contenuti, rischio sistemico — si applica ai servizi intermediari e alle piattaforme
La conformità a uno non copre l'altro.
VLOP — Piattaforme Online di Grandi Dimensioni
La Commissione Europea ha designato più VLOP tra cui:
- WhatsApp (designato come VLOP)
- Facebook, Instagram, YouTube, TikTok, X/Twitter
- LinkedIn, Snapchat, Amazon, Apple App Store
- Google Play, Google Maps, Google Shopping
- Booking.com, Pinterest, Zalando, Temu, Shein
ChatGPT NON è designato come VLOP — la Commissione è ancora in deliberazione, nonostante ChatGPT abbia oltre 120M di utenti mensili UE (ben al di sopra della soglia dei 45M).
Cosa significa per i deployer AI
Se distribuisci un chatbot AI sul tuo sito web che genera i propri contenuti, il DSA probabilmente non si applica a te direttamente (non sei un intermediario che ospita contenuti di terze parti). Il tuo obbligo deriva dall'AI Act.
Se distribuisci un chatbot AI su un VLOP (WhatsApp, Instagram, Facebook Messenger), la piattaforma porta gli obblighi VLOP (valutazioni del rischio sistemico, rapporti di trasparenza). Devi conformarti ai termini della piattaforma e a qualsiasi regolamentazione settoriale applicabile.
Applicazione DSA e poteri del Coordinatore
L'applicazione ai sensi del DSA è bipartita. La Commissione Europea ha poteri di supervisione esclusivi sui VLOP e VLOSE designati, con la possibilità di avviare indagini di propria iniziativa, condurre ispezioni, richiedere documenti interni, intervistare il personale, imporre misure provvisorie e infine sanzionare fino al 6% del fatturato annuale globale. I pagamenti periodici di penalità fino al 5% del fatturato giornaliero medio globale possono essere applicati per la non conformità continuativa.
Ogni Stato membro ha nominato un Coordinatore dei Servizi Digitali nazionale (nei Paesi Bassi: ACM; in Irlanda: Coimisiún na Meán) per vigilare su tutti gli altri intermediari stabiliti nel suo territorio. I CSD possono ordinare la rimozione di contenuti, sospendere i recidivi, certificare i segnalatori affidabili e rimettere i casi transfrontalieri al Comitato europeo per i Servizi Digitali. I deployer AI dovrebbero mappare il paese di stabilimento e identificare il CSD rilevante prima che arrivi qualsiasi lettera di applicazione.
Applicazione DSA in azione
- X/Twitter multato per violazioni della trasparenza ai sensi del DSA (2025)
- Incidente chatbot Grok (fine 2025): l'AI ha generato immagini illegali, innescando i primi importanti procedimenti di applicazione DSA relativi ai chatbot
- La Commissione ha ordinato a X di conservare tutti i dati relativi a Grok fino alla fine del 2026
Come aiuta Audact
- Conformità AI Act Article 50: Audact applica la divulgazione dei chatbot su tutti i canali — il principale obbligo di trasparenza per i deployer AI
- Governance mediata dalla piattaforma: Quando la tua AI opera su VLOP (WhatsApp, Messenger), Audact valida la conformità con le policy dei contenuti specifiche della piattaforma (Brevetto P32)
- Prove di moderazione dei contenuti: Audit trail crittografico per ogni interazione AI, a supporto dei requisiti di trasparenza DSA
- Verifica della filigrana: Verifica che i contenuti generati dall'AI siano correttamente filigranati secondo i requisiti del Codice di Condotta (Brevetto P39)
Domande frequenti
Il DSA richiede la divulgazione dei chatbot?
No. L'obbligo di divulgazione dei chatbot deriva dall'EU AI Act Article 50, non dal DSA. I due sono complementari e la conformità a uno non copre l'altro.
Chi deve conformarsi al DSA?
Servizi intermediari e piattaforme online che ospitano, trasmettono o memorizzano nella cache contenuti di terze parti. Le Piattaforme Online di Grandi Dimensioni (VLOP) affrontano obblighi aggiuntivi.
Quali sono le sanzioni massime?
Fino al 6% del fatturato annuale globale per violazioni gravi.
Cosa succede se la mia AI gira su un VLOP come WhatsApp?
La piattaforma porta gli obblighi VLOP. Devi conformarti ai termini della piattaforma e a qualsiasi regola specifica del settore applicabile alla tua distribuzione.
Confronta le leggi di compliance AI dell'UE
| Legge | Scadenza | Chi | Sanzione |
|---|---|---|---|
| EU AI Act Art. 50 | 2 ago 2026 | Tutti i deployer AI nell'UE | €7,5M / 1,5% fatturato |
| NL Telecomwet | 1 lug 2026 | Marketing outbound a consumatori NL | €900k / 10% fatturato |
| GDPR | In vigore | Qualsiasi responsabile del trattamento di dati personali UE | €20M / 4% fatturato |
| DSA | In vigore (feb 2024) | Intermediari e VLOP | 6% fatturato globale |
| ePrivacy | In vigore | Mittenti di comunicazioni elettroniche | Varia per Stato membro |
Risorse di compliance correlate
Avvertenza: Questa pagina è solo a scopo informativo e non costituisce consulenza legale. Consulta un consulente legale qualificato per i tuoi specifici obblighi di compliance.