# Regole di sicurezza per AI companion nel 2026: cosa fare

> SB 243 della California, la legge di New York sui companion, l'AI Act europeo e lo studio della FTC, con date e fonti, in una checklist per chi crea AI companion.

Source: https://whasp.ai/it/blog/regole-sicurezza-ai-companion-2026 · 2026-10-20

## In breve

- La SB 243 della California (in vigore dal 1° gennaio 2026) e l'Article 47 di New York (dal 5 novembre 2025) richiedono entrambi un protocollo per ideazione suicidaria e autolesionismo; New York richiede anche un avviso «non è una persona» all'inizio e almeno ogni tre ore.
- L'articolo 50(1) dell'AI Act europeo impone ai chatbot di dire che si sta parlando con un'AI dal 2 agosto 2026, al più tardi alla prima interazione, con sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale.
- Lo studio della FTC su sette società che offrono chatbot companion, aperto l'11 settembre 2025, non è una legge, ma le sue domande mostrano cosa ti chiederà un regolatore.
- Queste regole seguono il tuo prodotto e il luogo in cui vivono gli utenti, non il canale di messaggistica, quindi un companion su WhatsApp è coperto come uno in un'app.
- Il modo più economico per essere in regola è un solo insieme di abitudini: dire che è un'AI, gestire l'autolesionismo, controllare l'età prima che la chat inizi e tenere i registri di entrambi.

Quattro cose definiscono le regole sugli AI companion a ottobre 2026. La SB 243 della California e la legge di New York sugli AI companion richiedono un protocollo per l'autolesionismo e la dichiarazione di AI. L'AI Act europeo impone ai chatbot di dire di essere AI dal 2 agosto 2026. La FTC sta studiando i chatbot companion. Gli obblighi comuni sono pochi: dire che è un'AI, gestire l'autolesionismo, proteggere i minori, rispettare gli opt-out. Non è una consulenza legale.

## Quali regole sugli AI companion sono in vigore a ottobre 2026?

Quattro testi di legge regolano direttamente gli AI companion o i chatbot che parlano con le persone. Ognuno ha il suo presupposto, quindi controlla dove vivono i tuoi utenti.

| Norma | In vigore | Obbligo principale per un companion |
| --- | --- | --- |
| SB 243 della California (Business and Professions Code, sezioni da 22601 a 22605) | 1° gennaio 2026 | Avviso AI, protocollo per l'autolesionismo, tutele per i minori, relazioni annuali dal 1° luglio 2027 |
| Article 47 del General Business Law di New York | 5 novembre 2025 | Protocollo per l'autolesionismo con rinvio ai servizi di crisi, e avviso «non è una persona» all'inizio e ogni tre ore |
| AI Act dell'UE, articolo 50(1) | 2 agosto 2026 | Progettare il sistema in modo che le persone siano informate di interagire con un'AI |
| Legge italiana 132/2025, articolo 4 | 10 ottobre 2025 | Consenso del genitore per l'accesso all'AI dei minori di 14 anni |

Lo studio della FTC non è una norma, quindi ha una sezione a parte più sotto. Anche altri Stati e Paesi si stanno muovendo; questo articolo copre i testi qui sopra.

A nessuna di queste leggi importa il canale. Un companion che scrive da un numero WhatsApp è coperto come uno dentro un'app.

## Cosa richiede la SB 243 della California?

La SB 243 della California regola chi gestisce piattaforme di chatbot companion. Il governatore Newsom l'ha [firmata il 13 ottobre 2025](https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202520260SB243), ed è diventata le sezioni da 22601 a 22605 del Business and Professions Code.

Un chatbot companion è un sistema di AI con un'interfaccia in linguaggio naturale che dà risposte adattive, simili a quelle umane, e può soddisfare i bisogni sociali di un utente. Sono esclusi i bot usati solo per assistenza clienti, operazioni interne, produttività o supporto tecnico, così come i personaggi dei giochi limitati agli argomenti del gioco e i semplici assistenti vocali. Un operatore è chiunque metta a disposizione di un utente in California una piattaforma di chatbot companion.

Gli obblighi:

- **Avviso AI.** Se una persona ragionevole potrebbe essere indotta a credere di parlare con un essere umano, mostra un avviso chiaro e ben visibile che il chatbot è generato artificialmente e non è umano.
- **Protocollo per l'autolesionismo.** Non lasciare che il chatbot dialoghi con gli utenti se non mantieni un protocollo per prevenire contenuti su ideazione suicidaria, suicidio e autolesionismo. Include un rinvio ai servizi di crisi, e devi pubblicarne i dettagli sul tuo sito.
- **Minori noti.** Dichiara che stanno parlando con un'AI, mostra per impostazione predefinita un promemoria di pausa almeno ogni tre ore e prendi misure ragionevoli perché il chatbot non produca immagini sessualmente esplicite né inviti il minore ad avere condotte sessuali.
- **Avvertenza.** Dì agli utenti, in qualsiasi formato, che i chatbot companion potrebbero non essere adatti ad alcuni minori.
- **Relazioni.** Dal 1° luglio 2027, ogni anno comunica all'Office of Suicide Prevention quante notifiche di rinvio ai servizi di crisi hai inviato l'anno precedente e quali sono i tuoi protocolli. Nella relazione non vanno dati personali.

L'applicazione è affidata ai privati. Chi ha subito un danno concreto (injury in fact) può agire in giudizio per ottenere un'ingiunzione, il maggiore tra il danno effettivo e $1.000 per violazione, più le spese legali.

## Cosa richiede la legge di New York sugli AI companion?

L'[Article 47 del General Business Law](https://www.nysenate.gov/legislation/laws/GBS/A47) di New York, «Artificial Intelligence Companion Models», è arrivato con il bilancio statale del 2025, [firmato il 9 maggio 2025](https://www.nysenate.gov/legislation/bills/2025/S3008). È entrato in vigore il 180° giorno successivo, il 5 novembre 2025.

La definizione è più stretta di quella della California. Un AI companion simula una relazione umana o simile a quella umana, sostenuta nel tempo, facendo tre cose: conserva informazioni sulle interazioni passate per personalizzare la conversazione, pone di propria iniziativa domande basate sulle emozioni e mantiene un dialogo su questioni personali. Sono esclusi assistenza clienti, ricerca, supporto tecnico e strumenti interni. Un personaggio che ricorda la settimana del tuo utente e gli chiede come si sente è dentro la definizione.

Si applicano due obblighi:

- **Protocollo (sezione 1701).** È illegale gestire o fornire un AI companion senza sforzi ragionevoli per rilevare e affrontare l'ideazione suicidaria e l'autolesionismo. Quando il companion li rileva, deve avvisare l'utente e indirizzarlo a un servizio di crisi come la linea 988, una linea di crisi via SMS o un altro servizio appropriato.
- **Avviso (sezione 1702).** All'inizio di ogni interazione, e almeno ogni tre ore in un'interazione che continua, il companion deve dichiarare, a voce o per iscritto, che l'utente non sta comunicando con un essere umano. L'avviso iniziale non deve essere ripetuto più di una volta al giorno.

La legge viene fatta rispettare dal procuratore generale, con sanzioni civili fino a $15.000 al giorno.

## Cosa richiede l'UE a un AI companion?

L'AI Act impone ai fornitori di progettare i sistemi di AI che parlano con le persone in modo che queste siano informate di avere a che fare con un'AI. È l'articolo 50(1) del [Regolamento (UE) 2024/1689](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). L'obbligo cade solo quando è ovvio per una persona ragionevolmente informata, attenta e avveduta. L'articolo 50(5) dice che l'informazione deve essere chiara e fornita al più tardi alla prima interazione.

L'articolo 50 [si applica dal 2 agosto 2026](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai). Il Digital Omnibus on AI, in vigore dal 27 luglio 2026, ha concesso ai sistemi già sul mercato tempo fino al 2 dicembre 2026, ma solo per la marcatura leggibile dalle macchine dei contenuti generati dell'articolo 50(2). Ha lasciato intatto l'articolo 50(1). Il fornitore è chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato con il proprio nome, quindi un marchio di companion che chiama l'API di un modello è con ogni probabilità il fornitore del proprio prodotto. Le sanzioni per una violazione della trasparenza arrivano a 15 milioni di euro o al 3% del fatturato mondiale, se superiore, e per le piccole imprese al più basso dei due.

Un personaggio con nome e foto da persona, che scrive da un contatto come un amico, è un caso debole per l'eccezione dell'«ovvio». Dichiaralo.

Altre due norme europee incidono già oggi sui companion:

- **Protezione dei dati.** Le chat con un companion rivelano salute, sentimenti e vita sessuale, che sono categorie particolari ai sensi dell'articolo 9 del GDPR e richiedono un'eccezione come il consenso esplicito. Il 19 maggio 2025 il Garante per la protezione dei dati personali ha annunciato una [sanzione da 5 milioni di euro](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10132048) a Luka Inc., la società dietro Replika, per l'assenza di una base giuridica individuata, per un'informativa privacy inadeguata e per la mancanza di verifica dell'età (a febbraio 2023).
- **Minori in Italia.** La [Legge 132/2025](https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg), in vigore dal 10 ottobre 2025, richiede il consenso di un genitore perché i minori di 14 anni accedano alle tecnologie di AI. Dai 14 ai 17 anni un minore può dare il consenso se le informazioni fornite sono facili da trovare e da capire.

## Cosa sta esaminando la FTC?

L'11 settembre 2025 la Federal Trade Commission ha [ordinato a sette società](https://www.ftc.gov/news-events/news/press-releases/2025/09/ftc-launches-inquiry-ai-chatbots-acting-companions) di riferire sui loro prodotti di AI companion: Alphabet, Character Technologies, Instagram, Meta Platforms, OpenAI, Snap e xAI. La Commissione ha votato 3 a 0. Gli ordini si basano sulla Section 6(b), che consente studi ad ampio raggio senza una finalità specifica di applicazione della legge.

Le domande sono un elenco di ciò che qualsiasi regolatore chiederà a chi crea un companion:

- come guadagni dal coinvolgimento (engagement)
- come crei e approvi i personaggi
- come testi e monitori gli effetti negativi, soprattutto sui minori
- come informi utenti e genitori dei rischi e dei trattamenti dei dati
- come fai rispettare i limiti di età e le tue regole
- come usi o condividi le informazioni personali delle chat

Al 19 ottobre 2026 la pagina della FTC sullo studio mostra gli ordini e nessun risultato. Rispondi subito per iscritto a quelle domande sul tuo prodotto.

## Qual è la checklist per chi crea un companion?

Sette abitudini soddisfano il nucleo comune di queste leggi. In ogni caso prendi la regola più severa e applicala a tutti gli utenti.

1. **Dì che è un'AI in tre punti.** La riga «info» del profilo, il primo messaggio e un promemoria almeno ogni tre ore in una chat che continua. Su whasp il profilo (nome fino a 25 caratteri, info fino a 139) si imposta con `PATCH /v1/numbers/{number}`, e i promemoria girano nel tuo codice.
2. **Costruisci il percorso per l'autolesionismo prima del lancio.** Rileva nella tua pipeline le espressioni di ideazione suicidaria o di autolesionismo, interrompi il gioco di ruolo, indirizza al 988 negli Stati Uniti o a un servizio locale altrove, e testalo con formulazioni reali.
3. **Conta e registra.** Annota ogni rinvio ai servizi di crisi e ogni dichiarazione con l'ora. La relazione annuale della California richiede il numero dei rinvii dal 1° luglio 2027, e un registro è la tua prova se qualcuno ti cita in giudizio.
4. **Controlla l'età prima che la chat inizi.** Chiedila alla registrazione, prima di mostrare il link che apre la chat. Un numero di messaggistica non può verificare l'età; la tua registrazione sì. Applica le tutele per i minori a chiunque sai essere sotto i 18 anni, e il consenso di un genitore dove la legge lo richiede.
5. **Mostra l'avvertenza per i minori**, cioè che i chatbot companion potrebbero non essere adatti ad alcuni minori, nella pagina di registrazione.
6. **Pubblica il tuo protocollo** sul tuo sito. La California lo richiede.
7. **Rispetta le disiscrizioni e le richieste di cancellazione.** [Opt-out e consenso su WhatsApp per gli agenti AI](https://whasp.ai/it/blog/opt-out-consenso-whatsapp-agenti-ai) copre STOP, registri e conservazione.

Su whasp il profilo del numero porta la prima dichiarazione e tutto il resto vive nel tuo webhook, perché whasp fa passare i messaggi e non ne conserva nessuno sui suoi server. Il tuo archivio contiene la cronologia, quindi [la memoria della conversazione](https://whasp.ai/it/blog/memoria-conversazione-agente-ai-whatsapp) è anche il punto in cui avviene la cancellazione. Metti la riga «sono un'AI» anche nel tuo system prompt, come spiega [il prompt per WhatsApp](https://whasp.ai/it/blog/agente-ai-whatsapp-prompt-formattazione).

## Cosa fare adesso

Scrivi quali regole attivano i tuoi utenti: California, New York, UE, minori. Applica le sette abitudini prima del tuo primo utente. Le regole di WhatsApp sull'AI nella sua Business Platform sono una questione a parte, trattata in [il tuo bot AI è ammesso sulla WhatsApp Business API](https://whasp.ai/it/blog/bot-ai-ammesso-whatsapp-business-api). Per tutto il percorso fino al lancio, vedi [come creare un AI companion su WhatsApp](https://whasp.ai/it/blog/creare-ai-companion-whatsapp).

Questo articolo descrive i testi delle leggi al 19 ottobre 2026. Non è una consulenza legale e le leggi cambiano. Fai rivedere il tuo prodotto a un avvocato prima di lanciarlo al pubblico.

## Domande

### La SB 243 della California si applica a un AI companion su WhatsApp?

Sì, se è un chatbot companion offerto a utenti in California. La legge copre qualsiasi operatore che metta a disposizione di un utente in California una piattaforma di chatbot companion e non dice nulla sul canale. I bot usati solo per assistenza clienti, operazioni interne o produttività sono esclusi.

### Devo dire agli utenti che il mio AI companion è un'AI?

Nell'UE sì, a meno che non sia ovvio, dal 2 agosto 2026. A New York, all'inizio di ogni interazione e almeno ogni tre ore. In California, quando una persona ragionevole potrebbe pensare che sia umano, e sempre per gli utenti che sai essere minorenni. Dirlo ovunque è più semplice.

### Quali sono le sanzioni per chi viola queste leggi?

In California chi subisce un danno può fare causa per il maggiore tra il danno effettivo e $1.000 per violazione, più le spese legali. A New York il procuratore generale può chiedere fino a $15.000 al giorno. Con l'AI Act, una violazione della trasparenza può arrivare a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore.

### L'indagine della FTC sugli AI companion è una legge?

No. È uno studio ai sensi della Section 6(b) del FTC Act, avviato l'11 settembre 2025 con ordini a sette società. Non ha una finalità sanzionatoria propria, ma mostra le domande che interessano ai regolatori: coinvolgimento, test dei danni, limiti di età e dati delle chat.

### Gli adolescenti hanno bisogno del consenso dei genitori per usare un AI companion?

Dipende dal Paese. La Legge 132/2025 italiana richiede il consenso di un genitore sotto i 14 anni. Il GDPR fissa a 16 anni l'età predefinita per il consenso ai servizi online, e ogni Paese UE può abbassarla a 13. La SB 243 della California aggiunge tutele per i minori noti al posto di una regola sul consenso.