← Tutti gli approfondimenti REGOLE E ADEMPIMENTI

Chatbot: dal 23 ottobre non dichiararsi bot ha una multa. Cosa rischi davvero

Dal 23 ottobre 2026 l’obbligo di dire che si sta parlando con un assistente automatico ha, in Italia, un’autorità che controlla e una multa scritta nel decreto. Se la tua azienda rientra nella definizione di PMI (più sotto), il tetto da 15 milioni non descrive il tuo caso: cosa dice il testo, cosa può succedere se sbagli di poco e cosa fare oggi.

Se il chatbot del tuo sito, o del tuo numero WhatsApp, risponde ai clienti senza dire che è un chatbot, dal 23 ottobre 2026 in Italia c’è un’autorità che può occuparsene e un decreto che scrive quanto può costare. L’obbligo non è nuovo: vale dal 2 agosto 2026. Quello che arriva il 23 ottobre sono l’autorità, l’ACN, e le sanzioni nazionali.

Questa guida ti dice cosa dice il decreto negli articoli che tratta, perché, se la tua azienda rientra nella definizione di PMI (più sotto), il numero che gira, «fino a 15 milioni», non è il tuo, cosa succede se la violazione è lieve e cosa controllare oggi, in dieci minuti. Riporto cosa dice la norma e cosa farei io.

Cosa è cambiato il 23 ottobre, e cosa no

Il decreto è il D.Lgs. 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 e in vigore dal 23 ottobre 2026. Adegua l’Italia al regolamento europeo sull’intelligenza artificiale: dice quali autorità vigilano e come si sanziona.

L’obbligo che ci interessa è un altro, ed è europeo. L’articolo 50, paragrafo 1, del Regolamento (UE) 2024/1689 chiede che i sistemi di intelligenza artificiale pensati per interagire direttamente con le persone siano fatti in modo che chi scrive sappia di parlare con un’intelligenza artificiale. Secondo il paragrafo 5, l’informazione va data al più tardi alla prima interazione, in modo chiaro e distinguibile. Se è ovvio per una persona ragionevolmente informata non serve dirlo, ma la FAQ della Commissione europea, aggiornata al 24 luglio 2026, chiede di leggere questa eccezione in modo restrittivo. Tutto questo vale dal 2 agosto 2026, e lo racconto per intero in Chatbot e AI Act: cosa devi sapere prima di installarne uno.

Una cautela, dalla stessa FAQ: l’obbligo riguarda i sistemi di intelligenza artificiale che interagiscono con le persone, e tra i criteri c’è che il sistema sia pensato per uno scambio genuino a due vie, non solo per raccogliere dati o dare risposte automatiche. Un semplice menu a pulsanti senza intelligenza artificiale, a mio avviso, non rientra: se hai dubbi, dichiararti conviene. Un chatbot che conversa con i clienti, anche solo per raccogliere contatti, resta nel caso.

Chi controlla. Per i sistemi di intelligenza artificiale in generale, l’articolo 5 del decreto indica l’ACN come autorità di vigilanza del mercato, salvo i casi di competenza dell’Ufficio europeo per l’IA (per esempio i sistemi delle grandi piattaforme). Banca d’Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio nei rispettivi settori finanziario e assicurativo, e il Garante per la protezione dei dati limitatamente a quanto previsto dall’articolo 74, paragrafo 8, del regolamento. L’AgID è l’autorità di notifica (articolo 4) e per un chatbot non è l’autorità di vigilanza. Per un chatbot di assistenza o di raccolta contatti l’interlocutore è, a mia lettura, l’ACN: negli articoli 19-25 il decreto rinvia all’articolo 50 e non descrive i chatbot.

Chi è obbligato. L’obbligo dell’articolo 50, paragrafo 1, è del «fornitore»: chi sviluppa il sistema, o lo fa sviluppare, e lo mette in servizio con il proprio nome o marchio (articolo 3, punto 3). Se usi il chatbot di un fornitore che lo vende con il suo marchio, il fornitore è lui e tu sei chi lo usa. Se lo fai sviluppare e lo pubblichi con il tuo nome, il fornitore sei tu. In ogni caso chiedi al fornitore, per iscritto, che il primo messaggio dichiari che è un assistente automatico.

Quanto rischi davvero: se sei una PMI, il numero grosso non è il tuo

Per chi non rispetta gli obblighi dell’articolo 50, l’articolo 23 del decreto (comma 2) prevede una sanzione fino a 15 milioni di euro oppure, se è più alto, fino al 3% del fatturato mondiale totale annuo dell’esercizio precedente. Quel «se è più alto» riguarda le grandi aziende: è per loro che la percentuale può superare la cifra fissa.

Il comma 7 dice che per le piccole e medie imprese (PMI), microimprese incluse, e per le start-up innovative (le società che la legge italiana qualifica come tali) la sanzione si determina con il criterio dell’articolo 99, paragrafo 6, del regolamento europeo, cioè vale il più basso fra la cifra fissa e la percentuale. La definizione europea di PMI è questa: meno di 250 addetti e un fatturato fino a 50 milioni di euro oppure un bilancio fino a 43 milioni. La microimpresa ha meno di 10 addetti e fatturato o bilancio fino a 2 milioni.

Con un fatturato fino a 50 milioni il 3% è al massimo 1,5 milioni, sotto i 15. La definizione ammette anche PMI con fatturato più alto (se il bilancio resta sotto i 43 milioni), ma per far scattare il tetto fisso di 15 milioni servirebbe un fatturato sopra i 500 milioni: per una PMI il tetto è, in pratica, il 3% del fatturato.

Dal 27 luglio 2026 il regolamento europeo è stato modificato dal Regolamento (UE) 2026/1744: il criterio del più basso vale anche per le piccole imprese a media capitalizzazione (articolo 99, paragrafo 6 bis): sono le imprese che superano i limiti delle PMI senza essere grandi, come definite dalla raccomandazione UE 2025/1099. L’obbligo dell’articolo 50, paragrafo 1, non è cambiato. Il raccordo con il decreto è in «Fonti e limiti».

Tre esempi ipotetici, solo per fare il conto: con 100.000 euro di fatturato il tetto è 3.000 euro, con 500.000 è 15.000, con 2.000.000 è 60.000.

È un tetto, non una tariffa: dice dove si ferma la sanzione, non quanto sarà. Per fissare l’importo il decreto chiede all’autorità di guardare ai criteri dell’articolo 99, paragrafo 7, del regolamento e alla natura, sostanziale o formale, dell’obbligo violato. Fra i criteri europei ci sono la gravità e la durata della violazione, quante persone ha toccato, la dimensione dell’operatore, la collaborazione con l’autorità, se è stata voluta o per colpa e cosa si è fatto per ridurre il danno.

Cosa non c’è, negli articoli 19-25: nessuna tabella che dica «un bot senza dichiarazione vale tot euro». Per il procedimento il decreto (articolo 24, commi 2 e 3) rimanda a regolamenti dell’ACN e dell’AgID.

Se sbagli di poco: avvertimento o ordine di rimediare

Fra i poteri delle autorità ci sono anche gli avvertimenti (articolo 19, comma 2). E per le violazioni di «scarsa offensività o pericolosità» l’articolo 22 dà un’alternativa alla multa: possono ordinare di eliminare l’infrazione e di non ripeterla, indicando le misure da prendere e un termine. Oppure, se la violazione è già cessata, possono fare una dichiarazione pubblica che indica la violazione e chi l’ha commessa. Se l’ordine non viene rispettato nel termine, si applica la multa dell’articolo 23, e l’importo può essere aumentato fino a un terzo rispetto a quello previsto per la violazione originaria, fermi restando i massimali.

Tre cose da leggere con attenzione:

• È una facoltà. Il testo dice che l’autorità può rimediare invece di multare, non che deve.
• «Lieve» non è definito. Il decreto rinvia ai criteri con cui si fissa l’importo. Il testo non dice se un bot senza la riga di apertura sarebbe trattato come lieve.
• La dichiarazione pubblica ha un nome sopra. Non è una multa in denaro, ma il decreto la qualifica comunque come sanzione e indica chi ha sbagliato. E i provvedimenti sanzionatori sono pubblicati per estratto sul sito dell’autorità, salvo i casi di pubblicazione in forma anonima (articolo 24, comma 4).

Cosa ne ricavo, ed è una lettura mia: rimediare in fretta conviene comunque, perché cosa si è fatto per ridurre il danno e se si è collaborato fanno parte dei criteri con cui si pesa una violazione.

Cosa fare oggi, in dieci minuti

• 1. Apri il chatbot come lo apre un cliente. Sul sito e su ogni altro canale in cui risponde, WhatsApp compreso, e leggi il primo messaggio. Dice che è un assistente automatico?
• 2. Se non lo dice, aggiungi la riga. Per esempio: «Ciao, sono un assistente automatico. Se preferisci, scrivi “operatore” e ti passo una persona». La dichiarazione è l’obbligo; offrire il passaggio a una persona è buona prassi. Va nel primo messaggio, non nella privacy policy.
• 3. Evita nome e foto da persona vera che lascino pensare di parlare con un essere umano. È buona prassi, non un obbligo previsto dagli articoli trattati qui.
• 4. Se il bot lo gestisce un fornitore, chiedi per iscritto che il primo messaggio sia così, e da quando.
• 5. Conserva una schermata del primo messaggio, con la data. È un consiglio mio, non un obbligo: può aiutare a mostrare che il bot era a posto e da quando.

Fonti e limiti

• Fonti. Il testo si basa sugli articoli 1, 4, 5 e 19-25 del decreto, come pubblicati su Normattiva (22 ottobre 2026), sul Regolamento (UE) 2024/1689 e sul Regolamento (UE) 2026/1744 su EUR-Lex, e sulla FAQ della Commissione sull’articolo 50 (aggiornata al 24 luglio 2026). Gli altri articoli del decreto non sono trattati, comprese le parti su lavoro, professioni, sanità e pubblica amministrazione.
• Piccole imprese a media capitalizzazione. Il regolamento europeo le prevede dal 27 luglio 2026; come si raccordi il decreto 179 non è verificato.
• Chi usa un sistema altrui. Il testo qui trattato non chiarisce come il decreto tratti chi usa un chatbot che ha un altro come fornitore.
• L’ACN per i chatbot. È una lettura mia: il decreto rinvia all’articolo 50 e non descrive i chatbot.
• Sanzioni e controlli. Alla data del 22 ottobre 2026, da una ricerca sul web (non presso l’autorità), non risultano sanzioni già applicate né prassi pubblicata dell’ACN.
• Il tuo caso particolare. Settori regolamentati, bot che selezionano candidati o valutano il credito, dati delicati: serve un parere legale. Questo testo non è consulenza legale.