Il Regolamento europeo sull’intelligenza artificiale non è nato pensando al media planning, ma tocca il targeting pubblicitario in almeno tre punti concreti, e uno di questi diventa pienamente operativo tra pochi giorni. Vale la pena separare cosa è già in vigore, cosa lo diventa a breve, e cosa resta invece un’area grigia che la sola lettura del regolamento non risolve.
Il divieto di manipolazione
L’articolo 5 del regolamento vieta, dal febbraio 2025, l’uso di sistemi di intelligenza artificiale che ricorrono a tecniche subliminali o deliberatamente manipolative capaci di distorcere in modo sostanziale il comportamento di una persona, quando questo comporta un pregiudizio significativo e riduce concretamente la sua capacità di prendere una decisione informata. Vieta anche i sistemi che sfruttano le vulnerabilità legate a età, disabilità o condizione sociale ed economica per orientare il comportamento in modo dannoso.
Le linee guida della Commissione, pubblicate a febbraio 2025 per chiarire l’applicazione di questo divieto, distinguono in modo esplicito tra manipolazione illecita e le normali tecniche di persuasione commerciale: il divieto non colpisce indiscriminatamente il marketing o la persuasione pubblicitaria in quanto tali, ma resta comunque una soglia di danno la cui interpretazione concreta è ancora oggetto di dibattito tra gli operatori del diritto. Per chi pianifica campagne, il punto pratico è che un targeting aggressivo su pubblici vulnerabili — minori, persone in difficoltà economica identificate tramite segnali comportamentali — è l’area dove questo divieto rischia di intersecare pratiche di marketing già in uso, non un rischio puramente teorico.
La trasparenza sui contenuti generati
L’articolo 50 introduce obblighi di trasparenza che diventano pienamente applicabili dal 2 agosto 2026: chi fornisce sistemi capaci di generare o manipolare testo, immagini, audio o video deve implementare marcature tecniche leggibili da macchina che rendano riconoscibile l’origine artificiale del contenuto, mentre chi utilizza quei sistemi per produrre contenuti destinati al pubblico — comprese le agenzie che realizzano campagne — deve dichiararne in modo esplicito e visibile la natura artificiale, prima o al momento della prima esposizione.
Per chi pianifica campagne questo significa che un video con voce sintetica, un’immagine generata per un annuncio o un testo prodotto da un sistema conversazionale non possono più circolare senza una qualche forma di disclosure. Alcuni grandi gruppi pubblicitari si sono mossi in anticipo: WPP ha annunciato che tutti i contenuti generati dall’AI per le proprie campagne europee saranno protetti da watermark secondo lo standard C2PA, mesi prima della scadenza normativa, segnalando che la scelta di conformità precoce viene trattata anche come leva competitiva, non solo come adempimento. Le esenzioni restano circoscritte: contenuti chiaramente artistici, satirici o parodistici non rientrano nell’obbligo di etichettatura come deepfake.
Un caso specifico da tenere presente è la sintesi vocale: la clonazione della voce di una persona reale, anche quando autorizzata dalla persona stessa (ad esempio un testimonial), rientra nella definizione di contenuto deepfake e richiede comunque una disclosure esplicita.
Il problema della profilazione
Il riconoscimento delle emozioni e la categorizzazione biometrica ricevono un trattamento differenziato a seconda del contesto. Nei contesti di lavoro e istruzione, l’uso di questi sistemi è vietato in modo diretto dall’articolo 5. Fuori da questi contesti, i sistemi di categorizzazione biometrica sono di norma classificati come sistemi ad alto rischio, e chi li utilizza deve comunque informare le persone coinvolte prima o al momento dell’esposizione — un obbligo di trasparenza che si somma, in questo caso, ai requisiti più stringenti previsti per l’alto rischio.
La profilazione comportamentale per finalità pubblicitarie, quella su cui si basa la maggior parte del targeting oggi in uso, non rientra automaticamente tra le categorie ad alto rischio elencate nell’Allegato III del regolamento. Questo non significa che sia priva di vincoli: resta soggetta agli obblighi già previsti dal GDPR, incluso l’articolo 22 sulle decisioni basate unicamente su trattamento automatizzato, che richiede una base giuridica adeguata quando il targeting comporta un impatto significativo sulla persona.
Cosa invece resta incerto
Il quadro non è statico. Il 29 giugno 2026 il Consiglio dell’Unione europea ha dato il via libera definitivo al cosiddetto Digital Omnibus on AI, un pacchetto che posticipa alcune scadenze per i sistemi ad alto rischio — al 2 dicembre 2027 per i sistemi stand-alone, al 2 agosto 2028 per quelli integrati in prodotti già regolamentati — nel tentativo dichiarato di alleggerire il carico amministrativo sulle imprese senza toccare le tutele di fondo. Le linee guida definitive della Commissione sull’articolo 50 sono state pubblicate solo il 20 luglio 2026, a ridosso della scadenza di applicazione, il che lascia comprensibilmente poco tempo per un adeguamento organico da parte di chi pianifica campagne su larga scala.
Il criterio pratico, in questa fase, è documentare le scelte fatte — quali sistemi si usano, per quali finalità, con quale base giuridica per la profilazione — perché in caso di dubbio sulla classificazione di un sistema, l’approccio prudente indicato dagli stessi osservatori del settore è trattarlo secondo la categoria di rischio più alta tra quelle plausibili, non la più comoda.