Il rischio rappresentato dai deepfake non deve essere sottovalutato. Purtroppo, la normativa e i controlli conseguenti non sembrano in grado di arginare il problema, con sempre nuove applicazioni che, soprattutto nei confronti dei minori, rappresentano strumenti inadatti al target reale che può accedervi. Siamo davanti a una sfida, o meglio, una battaglia, che soltanto un robusto approccio culturale (integrato e multilivello) può immaginare di poter affrontare.  

Nel mese di ottobre il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento effettuato tramite il servizio ClothOff, gestito dalla società AI/Robotics Venture Strategy 3 Ltd., con sede nelle Isole Vergini Britanniche in quanto condotto in violazione della normativa in materia di protezione dei dati personali. ClothOff offre un servizio di intelligenza artificiale generativa che consente agli utenti di caricare fotografie di persone vestite per ottenere immagini manipolate in cui i soggetti appaiono nudi o parzialmente svestiti.  

Il Garante ha accertato che le misure previste dalla società erano solo formali e non effettive: il sistema non impediva né l’accesso dei minori né il caricamento di immagini di soggetti minorenni, in violazione dei principi di liceità, correttezza e accountability (art. 5 GDPR). È stata inoltre ritenuta inadeguata l’etichettatura dei contenuti: il watermark “Fake” era poco visibile e facilmente rimovibile, rendendo le immagini verosimili, in violazione degli obblighi di trasparenza e protezione dei dati by design e by default nonché delle prescrizioni dell’AI Act, con seri rischi per la dignità e la reputazione delle persone ritratte. 

L’applicazione Clothoff costituisce un classico esempio di tecnologia di deepfake o, più specificamente, di deepnude. Il termine “deepfake” nasce dalla fusione di “deep learning” e “fake”, indicando contenuti multimediali generati o manipolati tramite tecniche avanzate di intelligenza artificiale   per apparire autentici. 

L’AI Act fornisce una definizione specifica di deepfake. L’articolo 3 (60) definisce i deepfake come «contenuti di immagini, audio o video generati o manipolati dall’intelligenza artificiale che assomigliano a persone, oggetti, luoghi, entità o eventi esistenti e che potrebbero apparire falsamente a una persona come autentici o veritieri». 

La nascita dei deepfake è fissata convenzionalmente alla fine del 2017, quando un anonimo gruppo con lo pseudonimo Deepfakes pubblicò su Reddit i primi video falsi di natura pornografica utilizzando immagini e video di star di Hollywood. Da allora le tecnologie alla base dei deepfake si sono evolute in modo esponenziale, rendendo queste manipolazioni sempre più realistiche e difficili da individuare anche per gli osservatori più esperti, tanto che il Garante, già nel 2020, aveva messo in guardia dai rischi, richiamando l’attenzione su come tale tecnologia possa essere strumento diffusione di fake news, cyberbullismo, pornografia illegale e pedopornografia e – più in generale - per attività telematiche illecite. 

Secondo un recente rapporto del Servizio di ricerca del Parlamento Europeo, si prevede che nel 2025 saranno condivisi circa 8 milioni di deepfake, mentre Europol stima che entro il 2026 fino al 90% dei contenuti presenti in rete potrebbe essere generato artificialmente, poiché i deepfake si diffondono rapidamente su social media, app di messaggistica e piattaforme video, rendendo sempre più sottile il confine tra realtà e finzione.  

In questo quadro si innesta l’introduzione, attraverso la legge 132/2025 recante Disposizioni e deleghe al Governo in materia di intelligenza artificiale entrata in vigore il 10 ottobre scorso, dell’articolo 612 quater del codice penale. 

La norma introduce il nuovo reato di illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale, punendo con la reclusione da uno a cinque anni chi diffonde, senza consenso, immagini, video o voci falsificate o manipolate tramite IA, quando ne derivi un danno ingiusto alla persona. La sua portata è innovativa perché qualifica l’uso dell’IA come elemento tipico della fattispecie, riconoscendo autonomia penale ai contenuti deepfake. In questo modo il legislatore prende atto della specificità tecnica e offensiva del fenomeno — capace di incidere direttamente su dignità, onore e reputazione — evitando il ricorso a interpretazioni forzate di reati pensati per fattispecie diverse (come revenge porn o diffamazione). 

Resta tuttavia evidente che, nonostante i progressi tecnologici nella rilevazione e nel contrasto dei deepfake, il fenomeno continua a evolvere più rapidamente della capacità di risposta del legislatore e delle autorità di controllo. Questa asimmetria impone un approccio integrato e multilivello, che non si esaurisca nella repressione penale. Accanto alle norme giuridiche, sono indispensabili educazione digitale, governance algoritmica responsabile ed etica d’impresa, fondate su trasparenza, accountability e tutela della persona. Solo una strategia che affianchi alle sanzioni un rafforzamento della consapevolezza sociale — soprattutto tra bambini e adolescenti — può ridurre in modo efficace i rischi per reputazione, sicurezza e diritti fondamentali.