Codice UE sulla marcatura IA: l’elenco dei firmatari è uscito, il vostro fornitore c’è?

Oggi, 31 luglio 2026, la Commissione europea ha pubblicato l’elenco dei firmatari del codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA. Era atteso «prima» del 2 agosto ed è arrivato con due giorni di margine: circa 190 organizzazioni, di cui 83 alla Sezione 1 (fornitori) e 152 alla Sezione 2 (deployer). L’articolo 50, paragrafi 2, 4 e 5 del regolamento (UE) 2024/1689 si applica da domenica 2 agosto 2026. Per quasi tutte le imprese il primo giorno lavorativo utile è lunedì 3: restano poche ore per fare una verifica che fino a ieri era impossibile.

Che cosa dice l’elenco, e che cosa non dice

È una tabella a due colonne con le sole ragioni sociali. Nessun prodotto, nessun sistema, nessuna data di firma, nessun perimetro d’uso. Sommando le due colonne si contano 235 firme per 190 organizzazioni: 45 nomi compaiono in entrambe le sezioni — è un conteggio nostro sull’elenco pubblicato oggi, la Commissione non lo dichiara.

Fra gli esempi di Sezione 1 la Commissione cita Aleph Alpha, Anthropic, Black Forest Labs, Cohere, Google, Meta, Microsoft, Mistral, OpenAI e Synthesia; per la Sezione 2 Bulgari, Fastweb, Getty Images, Iberdrola, Lenovo e Lufthansa. Nell’elenco completo della Sezione 2 compaiono anche la Corte dei conti europea, la Banca nazionale della Romania, il consiglio provinciale di Barcellona e il consiglio della contea di Harghita: firmare la Sezione 2 è un atto da utilizzatore, non da fornitore di tecnologia, e alcune istituzioni pubbliche lo hanno già fatto. La Commissione aggiunge che circa metà dei firmatari sono imprese piccole e recenti, e che tutti saranno invitati a due gruppi di lavoro in partenza a settembre 2026.

Perché il nome nell’elenco non risponde alla vostra domanda

Tre ragioni, tutte scritte nei documenti della Commissione.

La prima: la Sezione 1 non è riservata a chi è obbligato. Le Q&A sulla firma precisano che possono sottoscriverla anche i fornitori di modelli generativi e i fornitori di soluzioni tecniche di marcatura e rilevamento, pur «non essendo direttamente vincolati dall’obbligo dell’articolo 50, paragrafo 2». Trovare un nome in Sezione 1 non prova che il sistema che avete comprato ricada nell’articolo 50, paragrafo 2, né che la marcatura sia già attiva su quel sistema.

La seconda: la firma impegna un’entità giuridica, e l’elenco riporta solo quella. Se il vostro contratto è con una società del gruppo diversa da quella che compare in tabella, l’elenco non dice nulla su di voi.

La terza: le firme sono condizionate. Le stesse Q&A: «le firme sono condizionate a una valutazione di adeguatezza positiva da parte della Commissione e del consiglio per l’IA, come indicato nel modulo di firma». E l’adesione resta un modo per dimostrare la conformità, non la conformità stessa: è il punto delle linee guida del 20 luglio, che abbiamo letto per intero il 29.

Se il fornitore non c’è

Prima cosa, la più facile da sbagliare: l’assenza oggi non è un rifiuto. La pagina della Commissione scrive che il codice «resta aperto alla firma» e che l’elenco «viene aggiornato con i nuovi firmatari su base continuativa». Chi ha consegnato il modulo dopo le 18:00 CEST del 27 luglio semplicemente non è nell’elenco iniziale.

Seconda cosa: che cosa si aspetta la Commissione da un non firmatario. I non firmatari «restano responsabili del rispetto degli obblighi di trasparenza dell’articolo 50» e «devono essere pronti a dimostrare la conformità con altri mezzi adeguati»; «dovrebbero essere in grado di spiegare e documentare come le misure scelte assicurano la conformità»; «potrebbero dover effettuare un’analisi degli scostamenti, confrontando le proprie misure con quelle del codice»; e «potrebbero essere soggetti a un numero maggiore di richieste di informazioni o di accesso da parte delle autorità competenti».

Tradotto in una riga da mandare al fornitore: la domanda non è «perché non avete firmato», è «mandatemi l’analisi degli scostamenti e la documentazione delle misure».

Cosa mettere per iscritto entro lunedì

Quale entità giuridica ha firmato e quale sezione, nella dicitura esatta con cui compare nell’elenco.
Quali dei sistemi che ci fornite ricadono nell’articolo 50, paragrafo 2, da quale data ne marcate gli output e con quanti livelli di marcatura.
Dove sta la soluzione di rilevamento gratuita e se l’esito della verifica è scaricabile in forma firmata digitalmente: sono impegni della Sezione 1, riassunti qui il 26 luglio.
Se il sistema era già sul mercato prima del 2 agosto: la regola transitoria porta la marcatura dell’articolo 50, paragrafo 2 al 2 dicembre 2026. Attenzione: le Q&A aggiornate al 29 luglio la descrivono ancora come una proposta «se adottata», mentre il regolamento (UE) 2026/1744 è stato pubblicato. Non regolatevi sulla FAQ: fatevi dire per iscritto quale lettura applica il fornitore. In ogni caso i vostri obblighi di deployer del paragrafo 4 partono il 2 agosto, senza proroga.
Se non hanno firmato: l’analisi degli scostamenti, in un documento datato e firmato da chi ha titolo per impegnare la società.

C’è una sesta cosa, e non riguarda il fornitore. L’elenco vive su una pagina web che per esplicita ammissione «viene aggiornata su base continuativa», e una pagina che cambia non è una prova. Il giorno in cui fate la verifica salvatene una copia datata — la pagina della Commissione ha una funzione di stampa in PDF — e archiviatela accanto al nome dell’entità, alla sezione e all’ora del controllo. Fra due anni, davanti a un’autorità di vigilanza del mercato, la domanda non sarà «era nell’elenco», ma «che cosa avete verificato, quando, e come lo dimostrate».

Perché non c’è un atto da citare in Gazzetta

L’anomalia va spiegata, perché genera confusione nei capitolati. L’articolo 50, paragrafo 7 prevedeva che la Commissione potesse approvare i codici con un atto di esecuzione. Le Q&A registrano il cambiamento: «la procedura per la valutazione di adeguatezza dei codici di buone pratiche è stata modificata dall’Omnibus IA» e ora «un’unica valutazione di adeguatezza con un parere della Commissione, previa consultazione del consiglio per l’IA, produce gli stessi effetti giuridici».

Conseguenza pratica: nella Gazzetta ufficiale dell’Unione europea non troverete un atto che approva il codice. Trovate un parere e una pagina web. Chi scrive una clausola contrattuale non può rinviare a un atto che non esiste: deve rinviare al codice per nome e versione, e alla verifica documentata dell’adesione. Le linee guida del 20 luglio ricordano il massimale sanzionatorio — 15 milioni di euro o il 3% del fatturato mondiale annuo totale, il maggiore dei due — ma il rischio quotidiano è un altro: arrivare a un controllo con una convinzione al posto di un documento.

Dove finiscono le prove

Le evidenze che contano sono tre: l’output marcato, la ricevuta della verifica di rilevamento, la copia datata dell’elenco. Esistono davvero solo se restano dove potete leggerle, conservarle ed esibirle senza chiedere permesso a nessuno. Per questo lavoriamo in due sole modalità: on-premise, nell’ambiente del cliente; oppure cloud dedicato, ambiente riservato al singolo cliente, con accesso tramite VPN dedicata, data center in Italia e locali presidiati direttamente da noi. In entrambe, i registri restano vostri.

Il ragionamento su che cosa cambia nella dipendenza dal fornitore quando modelli e infrastruttura stanno altrove lo abbiamo raccolto in una pagina dedicata; il modo in cui teniamo insieme registri, ruoli e conformità è descritto nella governance dell’IA.

Vi serve, per lunedì, l’elenco dei vostri fornitori con sezione firmata, entità giuridica esatta e data della verifica? Scriveteci.