Questa settimana il tema è arrivato da quattro direzioni diverse. Una proposta di legge sulla tutela della voce e dell’immagine degli artisti — una proposta, non ancora una norma. La notizia che la Presidente del Consiglio ha fatto registrare la propria voce per difendersi dalla clonazione. Un convegno a Genova sui deepfake utilizzati come prova in tribunale. E, a Bari, un processo simulato all’intelligenza artificiale, tra diagnosi errate, deepfake e tutela dei minori.
Da tutte e quattro le vicende emerge la stessa affermazione, spesso ripetuta come una rassicurazione: ormai il deepfake è reato.
È vero. Ma è soltanto metà di quello che serve sapere.
L’articolo 612-quater del codice penale, introdotto dalla legge 132 del 23 settembre 2025, si intitola «Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale».
Punisce con la reclusione da uno a cinque anni chi «cagiona un danno ingiusto ad una persona» cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, «immagini, video o voci falsificati o alterati mediante l’impiego di sistemi di intelligenza artificiale», quando siano «idonei a indurre in inganno sulla loro genuinità».
C’è però un secondo comma, che quasi nessuno cita. Il delitto è punibile a querela della persona offesa. Si procede d’ufficio soltanto in tre casi:
Detto in modo diretto: fuori da queste tre ipotesi, la macchina non si muove se non è la persona colpita a metterla in moto.
Non è un dettaglio procedurale. È la differenza fra una tutela che esiste e una tutela che funziona.
Lo stesso intervento legislativo del 2025 ha introdotto anche una circostanza aggravante all’articolo 61 del codice penale: l’aver commesso il fatto impiegando sistemi di intelligenza artificiale, quando questi costituiscono un mezzo insidioso, ostacolano la difesa o aggravano le conseguenze del reato.
Non riguarda soltanto i deepfake, ma qualunque reato commesso in quelle condizioni. Eppure, anche di questa previsione si parla pochissimo.
L’8 ottobre il Garante per la protezione dei dati personali ha riepilogato il proprio lavoro su questo fronte. Vale la pena leggere quel resoconto per quello che è: un elenco di interventi concreti, non di semplici dichiarazioni di principio.
Nell’ottobre 2025, nei confronti di un servizio di nudificazione, il Garante ha disposto una limitazione provvisoria del trattamento. A dicembre è seguito un avvertimento rivolto a tutti i titolari che utilizzano servizi di generazione basati su voci o immagini di persone reali.
Un’altra vicenda ha riguardato un sistema integrato in un social network. L’istruttoria, aperta nel gennaio 2026, è poi confluita nell’autorità irlandese per ragioni di competenza e si è conclusa con la disattivazione della funzione.
C’è infine il caso del giornalista Enrico Mentana. Nel luglio 2026, a seguito di un suo reclamo, il Garante ha rivolto un ammonimento a R.T.I. per alcuni filmati nei quali immagine e voce del giornalista erano state manipolate, attribuendogli dichiarazioni mai pronunciate.
Le avvertenze sulla natura artificiale dei video sono state ritenute insufficienti: avrebbero dovuto essere «sufficientemente chiare, evidenti e comprensibili per tutti i telespettatori». Il Garante ha inoltre affermato che l’impiego di queste tecniche, anche a fini satirici, «deve rispettare la dignità delle persone e i princìpi di liceità, correttezza e trasparenza».
Quattro interventi, rimedi diversi, nessuno di natura penale.
Mentre la conversazione pubblica si concentra quasi esclusivamente sull’introduzione del reato, le iniziative concrete di tutela si sono sviluppate anche su un altro terreno: quello della protezione dei dati personali.
Dal 2 dicembre 2026 il Regolamento (UE) 2026/1744 aggiunge all’articolo 5 dell’AI Act due nuove pratiche vietate.
La prima riguarda i sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile, oppure di persone riconoscibili in atti sessualmente espliciti, senza un consenso libero, specifico, informato e inequivocabile.
La seconda riguarda i sistemi che generano materiale di abuso sessuale su minori.
La differenza rispetto alla norma penale italiana sta nel bersaglio dell’intervento.
L’articolo 612-quater guarda a chi diffonde il contenuto. Il divieto europeo, invece, si rivolge a chi immette sul mercato o utilizza il sistema che lo genera.
Sono due strumenti distinti, che intervengono in momenti diversi. Il primo punisce una diffusione illecita già avvenuta; il secondo agisce più a monte, sul sistema utilizzato per produrre determinati contenuti, prima ancora che questi vengano diffusi.
Non esiste una procedura valida per ogni situazione. L’ordine delle azioni dipende dal caso concreto, dalla natura del contenuto e dalle circostanze in cui è stato diffuso.
Ci sono però alcune indicazioni che valgono quasi sempre. E la prima è anche la più urgente.
Conserva le prove prima di chiedere la rimozione. URL, data e ora, schermate complete, informazioni sul profilo che ha diffuso il contenuto. Le rimozioni possono funzionare, ma quando un contenuto scompare rischia di sparire anche ciò che serve a dimostrare l’accaduto.
Ricorda che esistono tre strade distinte, che non si escludono a vicenda: la segnalazione alla piattaforma, il reclamo al Garante per la protezione dei dati personali e la querela. Le prime due non precludono la terza.
Attenzione ai termini per presentare querela. Un termine esiste e non è lungo. Quale sia esattamente, e se nel caso specifico si proceda invece d’ufficio, è una delle prime domande da rivolgere a un avvocato. Non a un motore di ricerca, e nemmeno a noi.
Se la persona colpita è un minore, la legge non aspetta la querela. È uno dei casi nei quali si procede d’ufficio.
Se domani cominciasse a circolare un contenuto falso che ti riguarda, sapresti a chi rivolgerti per primo? E se la risposta è no, da cosa dipende? Dal fatto che nessuno ti ha spiegato come funzionano davvero questi strumenti di tutela, oppure dal fatto che abbiamo tutti preferito credere che bastasse dichiarare il deepfake un reato?
Fonti: art. 612-quater c.p., introdotto dalla legge 23 settembre 2025, n. 132; Garante per la protezione dei dati personali, newsletter dell’8 ottobre 2026 e provvedimento del 23 luglio 2026; Regolamento (UE) 2026/1744.
Articoli correlati
Capita spesso: si cerca un’informazione recente, si aprono cinque schede di Google, si confrontano articoli che dicono cose leggermente diverse e, dopo venti minuti, non
Due settimane fa, su queste pagine, abbiamo scritto che dal 30 settembre esiste in Italia un reato che riguarda l’intelligenza artificiale, e abbiamo chiesto a
Se in queste settimane hai letto che l’intelligenza artificiale sta chiudendo ai giovani le porte del primo lavoro, non hai letto una cosa falsa. Hai
Da oggi, 30 settembre 2026, in Italia esiste un reato che riguarda l’intelligenza artificiale. Nei giorni scorsi la notizia è circolata soprattutto in una forma:
L’integrazione dell’intelligenza artificiale nei processi produttivi genera spesso il timore di una progressiva sostituzione dell’essere umano. Tuttavia, i dati delineano uno scenario diverso: circa un
Sempre più spesso, durante le riunioni strategiche o di aggiornamento aziendale, emergono sigle come LLM, RAG o prompt. Non si tratta più di un linguaggio
