California AI Transparency Act: scattano gli obblighi di filigrana e rilevazione

Dal 2 agosto 2026 la California AI Transparency Act (CAITA) è operativa. La SB 942, emendata dalla AB 853 e firmata lo scorso ottobre, definisce «covered provider» qualsiasi entità che offra un sistema di intelligenza artificiale generativa accessibile nello Stato con oltre un milione di visitatori o utenti mensili. A questi soggetti il legislatore impone un pacchetto di misure tecniche precise: la messa a disposizione gratuita di uno strumento pubblico di rilevamento — chiunque può caricarvi un file o incollare un URL e sapere se quel contenuto esce da quel sistema, anche via API, senza che il fornitore possa conservare i dati personali di chi lo interroga — l'opzione per l'utente di apporre un'etichetta visibile (manifest disclosure) e, soprattutto, l'inserimento di una «latent disclosure» permanente nei contenuti generati. Questa filigrana digitale deve includere il nome del provider, la versione del sistema, la data e ora di creazione e un identificativo univoco, rendendo il file tecnicamente tracciabile e deve essere rilevabile dallo strumento di verifica del provider stesso.

Il meccanismo sanzionatorio delineato dal testo è rigido. Ogni giorno di inadempimento costituisce una violazione separata, punita con una sanzione civile di 5.000 dollari. L'azione legale compete all'Attorney General della California, ai city attorney o ai county counsel, con la possibilità per la parte vittoriosa di ottenere il rimborso delle spese legali. La responsabilità si estende contrattualmente lungo la catena distributiva: se un licenziatario terzo modifica il sistema per rimuovere le disclosure, il provider è tenuto a revocare la licenza entro 96 ore. È un approccio che cerca di blindare la provenienza del contenuto a monte, affidando ai creatori il controllo sull'uso a valle delle loro tecnologie.

L'architettura normativa prevede un calendario di espansione progressiva. Se il 2 agosto segna l'avvio per i fornitori di base, dal 1° gennaio 2027 gli obblighi di rilevamento e conservazione dei dati di provenienza toccheranno alle «large online platform» con oltre due milioni di utenti unici mensili e alle piattaforme di hosting, che non potranno distribuire consapevolmente sistemi privi delle etichette richieste. Un anno dopo, nel 2028, l'onere ricadrà sui produttori di dispositivi di cattura, che dovranno offrire l'opzione di inserire la latent disclosure attiva per impostazione predefinita. Mentre l'Europa, con l'articolo 50 dell'AI Act, impone l'informazione al lettore, la California impone anche l'infrastruttura tecnica per verificarla.

Non mancano però le incertezze applicative. Al momento non risultano dati verificabili sull'effettiva adesione dei fornitori alle nuove specifiche. Non risultano finora azioni sanzionatorie avviate dall'Attorney General. Un tracker di policy digitale descrive l'entrata in vigore come accompagnata da un periodo di tolleranza fino al 1° gennaio 2027, lettura che non coincide con quella degli studi legali consultati, secondo cui il 2 agosto 2026 è la data operativa piena per i covered providers mentre il 1° gennaio 2027 riguarda le nuove categorie introdotte dalla AB 853. Nel testo di legge l'espressione non compare. Inoltre, il perimetro della legge potrebbe essere ridisegnato dalla SB 1000, attualmente in esame al Senato, che propone di eliminare la soglia del milione di utenti e di modificare la natura degli strumenti di verifica. Resta infine aperto il problema tecnico dei modelli a pesi aperti (open-weight), dove la possibilità di modificare i pesi a valle potrebbe rendere inefficaci le garanzie imposte dalla legge alla fonte.

— Olya