Deepfake: cosa dice la legge italiana e come difendersi

Dal 10 ottobre 2025 diffondere un deepfake che danneggia una persona è un reato autonomo in Italia. L’articolo 612-quater del codice penale, introdotto dalla legge 132/2025 sull’intelligenza artificiale, punisce con la reclusione da uno a cinque anni chi cede, pubblica o diffonde, senza consenso, immagini, video o voci falsificati o alterati con sistemi di intelligenza artificiale, idonei a trarre in inganno sulla loro genuinità, causando un danno ingiusto. A questa norma si affiancano le tutele che già esistevano: il diritto all’immagine, la protezione della voce e dei dati biometrici, il revenge porn per i deepfake sessuali e, dal 2026, gli obblighi europei di etichettatura dei contenuti artificiali.

Lo Studio Legale Difesa d’Autore si occupa di diritto all’immagine e di contenuti generati con l’intelligenza artificiale dal 2020. Questa guida spiega quali norme si applicano a un deepfake, chi risponde e cosa fare nelle prime ore.

Il nuovo reato: articolo 612-quater del codice penale

La norma ha quattro elementi. Il contenuto deve essere stato generato o alterato con sistemi di intelligenza artificiale: la fotografia ritoccata a mano o il montaggio tradizionale restano fuori e rientrano nelle fattispecie precedenti. Deve essere idoneo a ingannare sulla sua genuinità: la parodia dichiarata o il contenuto evidentemente artificiale non integrano il reato. Deve essere stato ceduto, pubblicato o diffuso senza il consenso della persona rappresentata. E deve aver causato un danno ingiusto, patrimoniale o non patrimoniale. Il reato è procedibile a querela della persona offesa, da presentare entro tre mesi; si procede d’ufficio quando la vittima è incapace o è un’autorità pubblica, oppure quando il fatto è connesso ad altro reato procedibile d’ufficio.

La stessa legge ha introdotto un’aggravante generale (articolo 61, n. 11-decies, c.p.) per ogni reato commesso con l’impiego di sistemi di intelligenza artificiale che ne abbiano agevolato la commissione o aumentato l’offensività: si applica, per esempio, alla sostituzione di persona dell’articolo 494 c.p. quando si usa un profilo con volto generato, o alla truffa commessa con una voce clonata.

I deepfake sessuali

I contenuti sessualmente espliciti generati con l’intelligenza artificiale a partire dal volto di una persona reale rientrano anche nell’articolo 612-ter c.p., il reato di diffusione illecita di immagini o video sessualmente espliciti, che la giurisprudenza e la riforma del 2025 applicano anche ai contenuti artificiali. La pena è la reclusione da uno a sei anni e la multa da 5.000 a 15.000 euro, con aggravanti se il fatto è commesso da partner o ex partner o con strumenti informatici. Le vittime hanno a disposizione la procedura d’urgenza del Garante per la protezione dei dati personali, che può ordinare il blocco preventivo dei contenuti alle piattaforme, e la segnalazione ai servizi di rimozione dei principali social. Il nostro servizio dedicato al revenge porn spiega il percorso.

Le tutele civili: immagine, voce, dati

Indipendentemente dal reato, la persona rappresentata in un deepfake può agire in sede civile su tre basi. L’articolo 10 del codice civile e gli articoli 96 e 97 della legge sul diritto d’autore vietano l’esposizione o la pubblicazione dell’immagine altrui senza consenso, fuori dai casi di notorietà e interesse pubblico, e consentono di chiedere al giudice la cessazione dell’abuso e il risarcimento. La voce è tutelata come attributo dell’identità personale: la Cassazione ha riconosciuto da tempo la risarcibilità dell’uso non autorizzato della voce di una persona riconoscibile, e il tema è tornato attuale con la registrazione di marchi vocali di cui abbiamo scritto a proposito del marchio vocale di Giusy Ferreri. Il volto e la voce sono inoltre dati biometrici ai sensi dell’articolo 9 del GDPR: il loro trattamento per generare un deepfake è illecito e apre al reclamo al Garante e al risarcimento ex articolo 82.

Per i personaggi pubblici, che non possono invocare la riservatezza per la propria immagine, resta pienamente tutelabile l’uso falsificato: la notorietà consente di pubblicare l’immagine reale per fini informativi, non di far dire o fare alla persona cose mai avvenute.

Gli obblighi di trasparenza dell’AI Act

Il regolamento europeo sull’intelligenza artificiale (regolamento UE 2024/1689) impone, con l’articolo 50, obblighi di trasparenza che riguardano direttamente i deepfake: chi genera o manipola immagini, audio o video che ricordano persone, luoghi o eventi reali deve dichiarare che il contenuto è stato generato o manipolato artificialmente, salvo le eccezioni per opere evidentemente creative o satiriche; i fornitori dei sistemi devono marcare gli output in formato leggibile dalle macchine. Questi obblighi si applicano dal 2 agosto 2026 e sono rilevanti anche in sede civile: un contenuto non etichettato è più facilmente qualificabile come idoneo a ingannare.

Chi risponde oltre all’autore

L’autore del deepfake risponde penalmente e civilmente. La piattaforma che lo ospita non risponde del contenuto in sé, ma è tenuta a rimuoverlo una volta ricevuta una segnalazione precisa, secondo l’articolo 16 del Digital Services Act, e risponde se non lo fa. Il servizio di generazione risponde quando viola i propri obblighi di trasparenza o di protezione dei dati: il Garante italiano ha già adottato provvedimenti d’urgenza contro applicazioni che generavano nudi artificiali. Chi ricondivide il contenuto sapendo che è falso risponde a sua volta della diffusione.

Cosa fare nelle prime ore

• Acquisire il contenuto con una copia forense o un verbale di constatazione, con URL, data e ora, prima di chiederne la rimozione
• Segnalare alla piattaforma indicando che si tratta di un contenuto generato artificialmente senza consenso, con riferimento all’articolo 612-quater c.p. e al DSA
• Per i contenuti sessuali, attivare la procedura d’urgenza del Garante
• Presentare querela entro tre mesi, con la documentazione raccolta
• Inviare una diffida all’autore, se identificabile, con richiesta di rimozione e di astensione
• Non rispondere né commentare il contenuto, perché ogni interazione ne aumenta la diffusione

Per le aziende, un deepfake del titolare o di un dipendente usato per truffe ai clienti richiede anche una comunicazione tempestiva ai clienti stessi e la denuncia per truffa o frode informatica. Il nostro servizio sui reati informatici copre questi casi.

Se hai trovato un video o un audio con il tuo volto o la tua voce che non hai mai registrato, inviaci il link senza condividerlo con altri. Mettiamo in sicurezza la prova e valutiamo insieme la strada più rapida per toglierlo dalla rete. Contattaci o prenota una valutazione gratuita.

Domande frequenti

Le domande che riceviamo da persone, creator e aziende colpite da contenuti generati o alterati con l’intelligenza artificiale.