L'Italia punisce il deep fake che danneggia e protegge solo l'opera che ha un autore umano

Cosa vale e da quando

La legge 23 settembre 2025, n. 132, è in vigore dal 10 ottobre 2025. È una legge dello Stato e quindi vincola. Si interpreta e si applica in conformità al regolamento (UE) 2024/1689, l'AI Act (L. 132/2025, art. 1, comma 2). Dichiara di non produrre obblighi nuovi rispetto al regolamento per i sistemi e i modelli di IA (L. 132/2025, art. 3, comma 5). Il D.Lgs. 7 ottobre 2026, n. 179, pubblicato in Gazzetta l'8 ottobre 2026, attua la delega: stabilisce i poteri delle autorità e le sanzioni (D.Lgs. 179/2026, art. 2). Anche il decreto è vincolante. Si applica ai soggetti indicati dall'art. 2, par. 1, del regolamento (D.Lgs. 179/2026, art. 2, comma 2). Questo materiale non contiene strumenti volontari o interpretativi, come codici di buone pratiche o linee guida: tutto ciò che segue è norma obbligatoria.

L'etichetta «IA» non c'è

Nessuno degli articoli della legge impone di apporre un bollino «IA» su un'immagine, uno spot o un doppiaggio sintetico. La legge esclude anzi obblighi ulteriori rispetto al regolamento (L. 132/2025, art. 3, comma 5). Per chi produce, gli obblighi di trasparenza restano quindi quelli europei. Il decreto punisce la violazione dell'art. 50 del regolamento con una multa fino a 15 milioni di euro o, se superiore, fino al 3% del fatturato mondiale annuo (D.Lgs. 179/2026, art. 23, comma 2). Questo materiale non riporta il testo dell'art. 50: per sapere cosa chiede va letto il regolamento.

Informazione e dati personali

L'art. 4 fissa principi vincolanti che interessano soprattutto chi lavora per l'informazione o fa documentari:

• l'uso dell'IA nell'informazione non deve ledere la libertà e il pluralismo dei media, la libertà di espressione e l'obiettività, la completezza, l'imparzialità e la lealtà dell'informazione (L. 132/2025, art. 4, comma 1);
• i dati personali trattati con l'IA, compresi volti e voci, vanno trattati in modo lecito, corretto e trasparente e solo per finalità compatibili con quelle della raccolta (L. 132/2025, art. 4, comma 2);
• le informative sul trattamento vanno scritte in un linguaggio chiaro e semplice (L. 132/2025, art. 4, comma 3);
• sotto i 14 anni serve il consenso di chi esercita la responsabilità genitoriale; tra i 14 e i 18 anni il minore può consentire da solo, se le informative sono facilmente accessibili e comprensibili (L. 132/2025, art. 4, comma 4).

Un esempio: una ricostruzione generata inserita in un servizio d'inchiesta deve restare leale verso il pubblico. Un casting con minori per un training di voce richiede le firme giuste.

Il deep fake come reato: art. 612-quater c.p.

La legge introduce nel codice penale il delitto di «illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale» (L. 132/2025, art. 26, comma 1, lett. c). Il reato richiede quattro elementi insieme:

• una condotta: cedere, pubblicare o diffondere in altro modo;
• un oggetto: immagini, video o voci falsificati o alterati con l'IA e idonei a ingannare sulla loro genuinità;
• l'assenza del consenso della persona rappresentata;
• un danno ingiusto a quella persona.

La pena è la reclusione da uno a cinque anni (L. 132/2025, art. 26, comma 1, lett. c). Un esempio concreto: far circolare in rete un video con il volto e la voce clonati di un attore che non ha dato il consenso, in modo verosimile e con un danno alla sua reputazione.

Di regola si procede su querela della persona offesa. Si procede invece d'ufficio in tre casi: se il fatto è connesso a un altro delitto perseguibile d'ufficio, se la vittima è incapace per età o infermità, oppure se è una pubblica autorità colpita a causa delle sue funzioni (L. 132/2025, art. 26, comma 1, lett. c). Il testo non chiarisce se un'avvertenza visibile, del tipo «contenuto generato», basti a escludere l'idoneità a ingannare.

Le altre norme penali

La legge aggiunge un'aggravante comune: aver commesso il fatto con l'IA, quando questa è stata un mezzo insidioso, ha ostacolato la difesa o ha aggravato le conseguenze del reato (L. 132/2025, art. 26, comma 1, lett. a). Inasprisce anche alcune pene quando si usa l'IA. Ingannare per ostacolare i diritti politici è punito con la reclusione da due a sei anni (L. 132/2025, art. 26, comma 1, lett. b). L'aggiotaggio è punito con la reclusione da due a sette anni (L. 132/2025, art. 26, comma 2). La manipolazione del mercato è punita con la reclusione da due a sette anni e una multa da 25.000 euro a 6 milioni (L. 132/2025, art. 26, comma 4). Per una casa di produzione il rischio concreto riguarda i contenuti politici o finanziari commissionati: un falso comunicato video di un amministratore delegato rientra in questo quadro.

Diritto d'autore: serve l'autore umano

La legge sul diritto d'autore protegge ora le «opere dell'ingegno umano». La protezione vale anche quando l'opera è creata con l'aiuto dell'IA, purché sia il risultato del lavoro intellettuale dell'autore (L. 132/2025, art. 25, comma 1, lett. a). Ne segue che un'immagine ottenuta con un solo prompt, senza un contributo creativo riconoscibile, rischia di non essere protetta. Il testo non dice quanto contributo umano basti: non indica né un numero di iterazioni né un tipo di intervento.

La legge introduce anche l'art. 70-septies. Riprodurre ed estrarre testi e dati da opere a cui si ha accesso legittimo, in rete o in banche dati, per addestrare o usare modelli di IA, anche generativa, è consentito nei limiti degli artt. 70-ter e 70-quater (L. 132/2025, art. 25, comma 1, lett. b). Questo materiale non riporta quei due articoli. Chi estrae in violazione di quelle regole commette un reato previsto dall'art. 171 della legge sul diritto d'autore, anche se usa sistemi di IA (L. 132/2025, art. 26, comma 3). Un esempio: addestrare un LoRA interno su un archivio di immagini scaricato fuori dalle condizioni consentite.

Chi vigila

AgID e ACN sono le Autorità nazionali per l'IA (L. 132/2025, art. 20, comma 1). I ruoli sono distinti:

• AgID promuove l'innovazione ed è l'autorità di notifica degli organismi che verificano la conformità (L. 132/2025, art. 20, commi 1-2; D.Lgs. 179/2026, artt. 4 e 13);
• ACN vigila sul mercato, ispeziona, sanziona ed è il punto di contatto unico con l'UE (L. 132/2025, art. 20, comma 2; D.Lgs. 179/2026, artt. 5, 6 e 15);
• Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio del settore finanziario (D.Lgs. 179/2026, art. 5, comma 1, lett. b);
• il Garante privacy vigila nei limiti dell'art. 74, par. 8, del regolamento (D.Lgs. 179/2026, art. 5, comma 1, lett. c).

Restano ferme le competenze del Garante e dell'AGCOM come Coordinatore dei Servizi Digitali (L. 132/2025, art. 20, comma 4). Un Comitato di coordinamento presso la Presidenza del Consiglio raccorda le autorità (L. 132/2025, art. 20, comma 3).

Come parte un controllo

L'ACN avvia un procedimento in quattro casi: dopo la segnalazione di un incidente grave, dopo un reclamo non manifestamente infondato, su segnalazione di un'altra autorità oppure d'ufficio (D.Lgs. 179/2026, art. 16, comma 2). Chiunque può presentare un reclamo. Se lo invia all'autorità sbagliata, il reclamo viene trasmesso d'ufficio a quella competente (D.Lgs. 179/2026, art. 18, comma 1). La procedura dei reclami presentati all'ACN è stabilita con decreto del direttore generale (D.Lgs. 179/2026, art. 18, comma 2).

Quanto costa sbagliare

Le multe si applicano salvo che il fatto costituisca reato (D.Lgs. 179/2026, art. 23):

• pratiche vietate dall'art. 5 del regolamento: fino a 35 milioni di euro o al 7% del fatturato mondiale (comma 1);
• violazione di obblighi tra cui quelli dell'art. 50: fino a 15 milioni o al 3% (comma 2);
• informazioni inesatte, incomplete o fuorvianti date alle autorità: fino a 7,5 milioni o all'1% (comma 3);
• violazione degli artt. 27 e 86: fino a 1 milione o allo 0,5% (comma 4).

Per fissare l'importo l'autorità valuta i criteri dell'art. 99, par. 7, del regolamento e se l'obbligo violato è sostanziale o formale (comma 6). Per PMI, microimprese e start-up innovative vale il criterio dell'art. 99, par. 6 (comma 7), che questo materiale non riporta.

Per le violazioni di scarsa offensività l'autorità può scegliere un'alternativa alla multa. Può ordinare di eliminare l'infrazione entro un termine oppure, se l'infrazione è cessata, pubblicare una dichiarazione sulla violazione e sul responsabile (D.Lgs. 179/2026, art. 22, comma 1). Se l'ordine non viene rispettato scatta la multa, aumentata fino a un terzo (D.Lgs. 179/2026, art. 22, comma 2). La sanzione arriva con un provvedimento motivato, dopo la contestazione degli addebiti. Il provvedimento viene pubblicato per estratto sul sito dell'autorità, salvo i casi in cui è prevista la pubblicazione anonima (D.Lgs. 179/2026, art. 24, commi 1 e 4).

Equo compenso

Il professionista che usa l'IA può vedersi modulare l'equo compenso in base alla classe di rischio del sistema utilizzato (D.Lgs. 179/2026, art. 49, comma 1). I parametri saranno fissati entro dodici mesi dall'entrata in vigore del decreto (D.Lgs. 179/2026, art. 49, comma 2).

Attenzione

Questo estratto è informazione, non un parere legale. Si basa sul testo della legge 23 settembre 2025, n. 132 (in vigore dal 10 ottobre 2025) e del D.Lgs. 7 ottobre 2026, n. 179 (GU n. 234 dell'8 ottobre 2026), nelle parti riportate. Prima di decidere su un caso concreto, verificate i testi aggiornati e il regolamento (UE) 2024/1689.