Deepfake illecito: quando è reato e cosa prevede l’AI Act

Un deepfake può mostrare una persona mentre pronuncia parole che non ha mai detto o compie azioni mai avvenute. La diffusione di questi contenuti può violare i suoi diritti e, in determinate circostanze, costituire reato.

L’articolo 612-quater del Codice penale, introdotto dalla Legge 132/2025, punisce la diffusione senza consenso di contenuti falsificati o alterati mediante intelligenza artificiale, idonei a ingannare sulla loro autenticità e che provocano un danno ingiusto. L’articolo 50 dell’AI Act prevede inoltre obblighi di trasparenza per i deepfake.

Cos’è il deepfake

Il termine deepfake nasce dalla fusione di “deep learning” e “fake”. Indica contenuti multimediali, immagini, video o audio, generati o manipolati attraverso sistemi di intelligenza artificiale, capaci di riprodurre in modo estremamente realistico l’aspetto, i movimenti e la voce di una persona.

L’AI Act dà una definizione precisa all’articolo 3, punto 60:

“Un’immagine o un contenuto audio o video generato o manipolato dall’IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero a una persona.”

La Legge italiana n. 132/2025 non utilizza esplicitamente il termine “deepfake”, ma descrive la stessa fattispecie parlando di 

“immagini, video o voci falsificati o alterati mediante l’impiego di sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità”.

Due elementi caratterizzano il deepfake dal punto di vista giuridico:

1. L’origine artificiale: il contenuto deve essere stato generato o modificato tramite sistemi di AI, non con semplici software di fotoritocco tradizionale
2. L’idoneità a ingannare: il risultato deve essere sufficientemente realistico da poter essere scambiato per autentico da una persona ragionevole. Un contenuto palesemente falso, satirico o grossolano non rientra nella definizione.

Il reato di deepfake: cosa prevede l’articolo 612-quater

L’articolo 612-quater del Codice penale disciplina l’illecita diffusione di contenuti generati o alterati mediante intelligenza artificiale.

Perché si configuri il reato, devono ricorrere tutte le condizioni:

• Falsificazione o alterazione mediante IA: il contenuto deve essere stato generato o modificato attraverso sistemi di intelligenza artificiale.
• Capacità di ingannare: immagini, video o registrazioni vocali devono essere idonei a essere scambiati per autentici.
• Assenza di consenso: la cessione, pubblicazione o diffusione avviene senza il consenso della persona interessata.
• Diffusione del contenuto: la norma comprende la cessione, la pubblicazione e le altre modalità con cui il materiale viene trasmesso a terzi.
• Danno ingiusto: dalla condotta deve derivare un danno alla persona interessata.

Pensiamo alla pubblicazione di un video manipolato nel quale un professionista sembra pronunciare dichiarazioni mai rese, subendo un danno alla reputazione.

Oppure la diffusione non consensuale di immagini intime artificialmente generate utilizzando le sembianze di una persona.

Quali pene sono previste per il reato di deepfake

L’articolo 612-quater prevede la reclusione da uno a cinque anni.

La pena viene determinata dal giudice considerando le circostanze del fatto e i criteri generali previsti dal Codice penale.

La diffusione di un deepfake non esclude la punibiità per  altre condotte penalmente rilevanti, come la diffamazione o le minacce, quando ricorrono i presupposti.

Quando è necessaria la querela e quando si procede d’ufficio

Il reato di deepfake è procedibile a querela della persona offesa.

La legge prevede la procedibilità d’ufficio quando:

• Il fatto è connesso a un altro delitto per il quale si deve procedere d’ufficio
• La persona offesa è incapace per età o infermità
• Il reato è commesso nei confronti di una pubblica autorità a causa delle funzioni esercitate.

Negli altri casi, la persona offesa deve presentare querela entro il termine previsto dalla legge.

La querela permette di richiedere l’accertamento delle responsabilità penali. Restano inoltre disponibili, quando ne ricorrono i presupposti, gli strumenti di tutela civile per ottenere la cessazione della condotta e il risarcimento dei danni subiti.

Deepfake e AI Act: gli obblighi di trasparenza

L’articolo 50 dell’AI Act stabilisce obblighi di trasparenza per determinati contenuti generati o manipolati mediante intelligenza artificiale. Le disposizioni, applicabili dal 2 agosto 2026, riguardano anche i deepfake.

Il regolamento distingue gli obblighi dei fornitori (provider) da quelli degli utilizzatori (deployer). I fornitori devono prevedere, nei casi stabiliti dalla norma, sistemi di marcatura che permettano di riconoscere i contenuti generati artificialmente. I deployer che producono o manipolano immagini, video e audio classificabili come deepfake devono invece informare il pubblico della loro origine artificiale.

Quando bisogna dichiarare che un contenuto è artificiale

L’articolo 50, paragrafo 4, dell’AI Act obbliga chi utilizza sistemi di intelligenza artificiale per creare o manipolare deepfake a informare il pubblico che il contenuto è artificiale.

L’informazione deve essere chiara, riconoscibile e accessibile fin dalla prima esposizione al contenuto.

Per esempio, se un’azienda pubblica un video in cui una persona conosciuta sembra pronunciare dichiarazioni mai rese, deve dichiarare che il filmato è stato generato o manipolato con l’AI. La comunicazione può comparire direttamente nel video; nel caso di una registrazione audio, deve essere adattata a un contenuto che viene ascoltato.

L’obbligo di informare il pubblico spetta al deployer, mentre il fornitore del sistema AI deve prevedere, nei casi stabiliti dalla normativa, una marcatura tecnica che permetta di riconoscere i contenuti artificiali.

L’articolo 50 prevede anche obblighi di trasparenza per determinati testi generati con l’AI e pubblicati per informare il pubblico su questioni di interesse generale.

Eccezioni e contenuti artistici o satirici

Per le opere o i programmi manifestamente artistici, creativi, satirici, fittizi o analoghi, l’AI Act prevede modalità di comunicazione compatibili con la fruizione del contenuto.

Anche in questi casi deve essere dichiarata la presenza di materiali generati o manipolati artificialmente, ma l’informazione può essere fornita senza compromettere la rappresentazione dell’opera.

Per esempio, un video satirico che riproduce artificialmente la voce di un personaggio pubblico può richiedere una comunicazione adattata al formato e alla natura del contenuto.

La disciplina europea sulla trasparenza si affianca alle norme sul diritto di satira, che tutelano determinate forme di espressione artistica e critica entro i limiti riconosciuti dall’ordinamento.

La finalità satirica non esclude eventuali responsabilità per la lesione dei diritti della persona rappresentata.

L’articolo 50 contempla inoltre un’eccezione per gli utilizzi autorizzati dalla legge nell’ambito dell’accertamento, della prevenzione, delle indagini e del perseguimento 

Obblighi dell’AI Act e responsabilità penale: quando si applicano entrambi

La diffusione di un deepfake può comportare sia la violazione degli obblighi di trasparenza dell’AI Act sia una responsabilità penale ai sensi dell’articolo 612-quater del Codice penale.

Si pensi a un’azienda che pubblica un video nel quale un professionista sembra promuovere un prodotto senza aver mai rilasciato quelle dichiarazioni. Anche se il video viene dichiarato come generato con l’AI, la sua diffusione può costituire reato, qualora ricorrano tutti gli elementi previsti dall’articolo 612-quater.

Al contrario, un deepfake realizzato con le necessarie autorizzazioni può essere lecito, ma richiedere comunque la dichiarazione della sua origine artificiale prevista dall’AI Act.

Le due disposizioni si possono, quindi, applicare allo stesso comportamento, purché ricorrano i rispettivi presupposti.

Deepfake, privacy e diritto all’immagine

La creazione e la diffusione di deepfake possono coinvolgere diversi diritti della persona, anche al di fuori delle ipotesi previste dal Codice penale.

Deepfake e dati personali: quando si applica il GDPR

Per generare un deepfake che riproduce una persona, possono essere utilizzate fotografie, video e registrazioni vocali. Quando queste informazioni permettono di identificare direttamente o indirettamente qualcuno, costituiscono dati personali ai sensi del GDPR.

La manipolazione mediante intelligenza artificiale non elimina questa qualificazione. Anche la creazione di un contenuto sintetico può comportare operazioni di trattamento soggette alla normativa europea.

Chi utilizza immagini o registrazioni altrui deve quindi verificare la base giuridica del trattamento, le finalità perseguite e gli obblighi informativi applicabili.

Il consenso è una delle basi giuridiche previste dall’articolo 6 del GDPR, ma non è l’unica. La sua necessità dipende dal trattamento effettuato e dalle altre disposizioni che tutelano la persona interessata.

Una disciplina specifica riguarda i dati biometrici.

Il GDPR definisce biometrici i dati personali ottenuti mediante un trattamento tecnico specifico delle caratteristiche fisiche, fisiologiche o comportamentali di una persona, che ne consentono o confermano l’identificazione univoca.

Per esempio, utilizzare una fotografia per realizzare un video artificiale comporta il trattamento di un dato personale quando il soggetto è identificabile. Se l’immagine viene elaborata attraverso un sistema di riconoscimento facciale per identificare univocamente la persona, possono applicarsi anche le disposizioni sui dati biometrici previste dal GDPR.

Quando il trattamento di dati biometrici è finalizzato all’identificazione univoca della persona, l’articolo 9 prevede una protezione rafforzata, con condizioni specifiche che si aggiungono alla base giuridica richiesta dall’articolo 6.

La responsabilità del trattamento deve essere valutata anche quando immagini e registrazioni vengono elaborate attraverso servizi AI forniti da terzi, distinguendo il ruolo dell’utilizzatore da quello della piattaforma.

Il diritto all’immagine e la tutela della voce

L’articolo 10 del Codice civile e gli articoli 96 e 97 della Legge 633/1941 disciplinano la tutela dell’immagine e le condizioni della sua esposizione, riproduzione e pubblicazione.

In linea generale, la pubblicazione del ritratto richiede il consenso della persona interessata, salvo le eccezioni previste dalla legge, tra cui determinate esigenze informative, culturali o di interesse pubblico.

L’autorizzazione deve essere valutata anche rispetto alle finalità per le quali è stata concessa.

Il consenso alla pubblicazione di una fotografia non autorizza la sua manipolazione mediante intelligenza artificiale. Una persona potrebbe aver consentito l’utilizzo del proprio ritratto per una campagna pubblicitaria, senza aver autorizzato la creazione di un video in cui le vengono attribuite dichiarazioni mai rese.

Per questo, anche quando esiste una liberatoria per l’utilizzo di immagini e video, è necessario verificarne il contenuto e i limiti.

La tutela può riguardare anche la riproduzione artificiale della voce, soprattutto quando viene utilizzata per attribuire a una persona dichiarazioni inesistenti o per sfruttarne l’identità a fini commerciali.

Le aziende che utilizzano questi materiali devono prestare attenzione anche alla provenienza delle immagini. Nel caso dei contenuti UGC riutilizzati dai brand, l’autorizzazione dell’autore non coincide necessariamente con quella della persona rappresentata.

L’utilizzo illecito delle sembianze o della voce altrui può comportare richieste di cessazione della condotta e di risarcimento del danno.

Gli interventi del Garante Privacy sui deepfake

Con il provvedimento n. 789 del 18 dicembre 2025, il Garante per la protezione dei dati personali ha rivolto un avvertimento agli utilizzatori di servizi AI che permettono di generare immagini, video e registrazioni audio a partire dal volto o dalla voce di altre persone.

L’Autorità ha richiamato le responsabilità derivanti dal trattamento dei dati personali utilizzati per creare questi contenuti, con riferimento ai principi di liceità, correttezza e trasparenza previsti dal GDPR.

Il provvedimento affronta anche i rischi per l’autodeterminazione informativa, quando una persona viene rappresentata attraverso contenuti che le attribuiscono parole o comportamenti mai espressi.

La disponibilità di uno strumento capace di riprodurre artificialmente un volto o una voce non costituisce un’autorizzazione a utilizzare i dati di altre persone.

L’avvertimento del Garante non equivale a una sanzione generalizzata per chi utilizza applicazioni di generazione AI. Eventuali violazioni devono essere accertate considerando le operazioni effettuate e le responsabilità dei soggetti coinvolti.

Per aziende e professionisti, il provvedimento richiama la necessità di verificare le condizioni di utilizzo delle immagini e delle registrazioni prima di impiegarle nella produzione e diffusione di contenuti artificiali.

Deepfake nel marketing e nella comunicazione aziendale

L’intelligenza artificiale permette ad aziende e agenzie di realizzare video pubblicitari, ricostruire ambientazioni e riprodurre voci e immagini attraverso contenuti sintetici.

Queste applicazioni possono essere utilizzate nella comunicazione commerciale, ma richiedono verifiche giuridiche quando rappresentano persone riconoscibili o attribuiscono loro dichiarazioni e comportamenti mai avvenuti.

Prima della pubblicazione, è necessario verificare i diritti sui materiali utilizzati, le autorizzazioni disponibili e gli eventuali obblighi di trasparenza.

Deepfake e testimonial virtuali nella pubblicità

Un’azienda può utilizzare un personaggio interamente inventato per promuovere prodotti e servizi. Se l’avatar non riproduce una persona esistente e non può essere scambiato per la rappresentazione autentica di qualcuno, generalmente non rientra nella definizione di deepfake prevista dall’AI Act.

La situazione cambia quando l’intelligenza artificiale viene utilizzata per riprodurre il volto o la voce di una persona riconoscibile, attribuendole dichiarazioni o comportamenti mai avvenuti.

Si pensi a uno spot nel quale un professionista viene rappresentato mentre consiglia un prodotto senza aver mai partecipato alla campagna. Quando esiste una collaborazione commerciale, il contratto con il testimonial deve disciplinare anche le autorizzazioni all’utilizzo dell’immagine e della voce, comprese eventuali elaborazioni mediante intelligenza artificiale.

La finalità pubblicitaria non esclude l’applicazione delle norme sui deepfake. Se la diffusione avviene senza consenso e provoca un danno ingiusto, possono ricorrere anche gli altri presupposti del reato previsto dall’articolo 612-quater del Codice penale.

Copyright e utilizzo commerciale dei contenuti AI

Prima di utilizzare immagini, video o registrazioni generate con AI, l’azienda deve esaminare le condizioni del servizio e i diritti relativi ai materiali impiegati.

Le verifiche riguardano principalmente:

• Materiali originali: fotografie, registrazioni, video e opere utilizzati per produrre il contenuto
• Licenze della piattaforma: condizioni che disciplinano l’impiego commerciale degli output
• Diritti di terzi: presenza di opere protette, marchi o altri elementi riconducibili a soggetti esterni
• Tutela del contenuto finale: possibilità di riconoscere una protezione autoriale in relazione al contributo creativo umano.

Le autorizzazioni previste dalla piattaforma non escludono eventuali violazioni dei diritti di terzi. Un’immagine generata nel rispetto delle condizioni del servizio potrebbe, ad esempio, riprodurre elementi protetti dal diritto d’autore.

Le regole sulla violazione del copyright devono quindi essere considerate anche quando la produzione del contenuto avviene attraverso strumenti generativi.

Le verifiche prima della pubblicazione

Le aziende che utilizzano deepfake nella comunicazione commerciale possono integrare le verifiche giuridiche nelle procedure per l’approvazione dei contenuti.

Prima della diffusione è opportuno controllare:

1. Autorizzazioni: disponibilità dei diritti necessari per utilizzare immagini, voci e materiali originali.
2. Trasparenza: applicabilità degli obblighi previsti dall’articolo 50 dell’AI Act.
3. Condizioni contrattuali: limiti stabiliti dai fornitori degli strumenti AI e dagli accordi con clienti o testimonial.
4. Correttezza pubblicitaria: assenza di dichiarazioni, testimonianze o rappresentazioni capaci di indurre in errore i destinatari.
5. Responsabilità: individuazione delle persone incaricate di verificare e approvare il contenuto.

Quando la produzione di deepfake pubblicitari viene affidata a un’agenzia esterna, il contratto di web marketing dovrebbe stabilire chi acquisisce le autorizzazioni per l’utilizzo delle immagini e delle voci, chi verifica i contenuti generati con l’AI e come vengono ripartite le responsabilità tra agenzia e cliente.

Queste procedure permettono di individuare eventuali problemi prima della diffusione dei contenuti, quando è ancora possibile intervenire senza dover gestire richieste di rimozione o contestazioni.

Come tutelarsi in caso di deepfake illecito

Chi scopre che la propria immagine o voce è stata utilizzata per creare e diffondere un deepfake può chiedere la rimozione del contenuto e valutare le azioni legali disponibili.

Conservare le prove e richiedere la rimozione

Quando un deepfake viene pubblicato online, la prima cosa da fare è raccogliere le informazioni che permettono di identificarlo e documentarne la diffusione.

Possono essere utili:

• Indirizzi web: URL delle pagine sulle quali è presente il contenuto
• Screenshot: immagini della pubblicazione con data, nome dell’account e altre informazioni disponibili
• Comunicazioni: messaggi ricevuti, eventuali minacce e richieste collegate alla diffusione
• Informazioni sulla circolazione: elementi che permettono di ricostruire dove e da chi il materiale è stato condiviso.

Quando sono coinvolte immagini intime o persone minorenni, è preferibile rivolgersi tempestivamente alle autorità, evitando di scaricare, inoltrare o condividere ulteriormente il materiale.

La persona interessata può segnalare il contenuto alla piattaforma che lo ospita e richiederne la rimozione attraverso le procedure disponibili. Se è possibile identificare il responsabile della pubblicazione, può inoltre rivolgergli una richiesta di cessazione della diffusione.

Querela e tutela civile

Quando la diffusione presenta gli elementi del reato previsto dall’articolo 612-quater del Codice penale, la persona offesa può presentare querela alle autorità competenti.

La querela deve rispettare i termini stabiliti dalla legge. Nei casi espressamente previsti dall’articolo 612-quater, il procedimento può essere avviato anche d’ufficio.

La tutela penale può affiancarsi a quella civile. La persona danneggiata può richiedere, quando ne ricorrono i presupposti, un provvedimento per interrompere la condotta illecita e il risarcimento dei danni subiti.

L’azione più appropriata dipende dalla natura della violazione, dalla diffusione del materiale e dalle conseguenze per la persona rappresentata.

Reclamo al Garante Privacy

Se la creazione o la diffusione del deepfake comporta un trattamento illecito di dati personali, l’interessato può esercitare i diritti previsti dal GDPR.

Può inoltre presentare un reclamo al Garante per la protezione dei dati personali, esponendo i fatti e fornendo gli elementi disponibili sulla possibile violazione.

L’Autorità esamina il reclamo nell’ambito delle proprie competenze e può adottare le misure previste dall’articolo 58 del GDPR, comprese la limitazione o il divieto di determinati trattamenti, quando ne ricorrono le condizioni.

Il reclamo al Garante, la querela e l’azione civile rispondono a finalità differenti. Possono essere valutati anche in relazione allo stesso episodio, secondo i diritti violati e la tutela richiesta.

Intelligenza artificiale e tutela dei diritti

Le tecnologie che permettono di riprodurre artificialmente immagini e voci offrono nuove possibilità alla comunicazione e alla produzione di contenuti. Il loro utilizzo richiede però il rispetto dei diritti delle persone rappresentate e delle disposizioni che disciplinano la diffusione dei materiali.

Legal for Digital sostiene un utilizzo responsabile ed etico dell’intelligenza artificiale, nel quale le possibilità offerte dalla tecnologia siano accompagnate dalla conoscenza delle responsabilità giuridiche.

Questo orientamento caratterizza l’attività dello studio nella consulenza alle imprese digitali, con attenzione alla protezione dei dati personali, alla proprietà intellettuale e alla tutela dei diritti delle persone.

Il deepfake è un problema di oggi e riguarda anche te

Fino a poco tempo fa i deepfake sembravano uno scenario futuribile, qualcosa che “prima o poi” avrebbe generato problemi.
La Legge 132/2025 ha cambiato tutto: oggi esiste un reato specifico, con pene fino a cinque anni, e una responsabilità che colpisce anche chi condivide un contenuto senza averne verificato l’origine.

E il penale, paradossalmente, è solo una parte del problema.

Negli ultimi due anni, una serie di episodi ha portato i deepfake al centro dell’attenzione mediatica, e ha trasformato il tema in un campo minato per chiunque operi nel digitale.
Immagini intime false di Taylor Swift hanno raggiunto 47 milioni di visualizzazioni su X prima dell’intervento della piattaforma.
Rose Villain ha denunciato la diffusione di foto di nudo generate a partire dalle sue immagini pubbliche.
Una diciannovenne di Foggia ha trovato poster con il proprio volto “nudificato” sui muri della città.

E non serve essere una celebrity: basta avere un volto online.

Il rischio reputazionale: la sanzione più grave

Nella maggior parte dei casi la sanzione più immediata non arriva dal tribunale, ma dall’opinione pubblica.

Essere anche solo associati, direttamente o indirettamente, alla diffusione di un contenuto manipolato può generare un danno d’immagine enorme: con clienti, partner, colleghi, community.

L’AI generativa non è più uno spazio senza regole. Ogni immagine, ogni video, ogni contenuto sintetico che entra nei flussi di lavoro aziendali porta con sé un rischio legale, reputazionale, commerciale che prima non esisteva.

La differenza tra chi subirà questa transizione e chi la gestirà sta nella capacità di agire prima che il problema si presenti. Non quando arriva la querela. Non quando il Garante apre un’istruttoria. Non quando un cliente chiede spiegazioni. Prima.

Chi ha già policy, procedure e contratti aggiornati non sta solo evitando sanzioni. Sta dimostrando al mercato di essere un interlocutore serio in un settore dove la credibilità si costruisce anche così.

Legal for Digital supporta agenzie, e-commerce e professionisti nella costruzione di un approccio strutturato all’AI: policy, formazione, revisione contrattuale, integrazione con il GDPR e gestione dei rischi.

Se vuoi capire quali sono i punti di esposizione della tua attività e come metterli in sicurezza, scrivici.

Domande frequenti sui deepfake illeciti