Deepfake e contenuti IA: perché il problema riguarda tutti

I sistemi di intelligenza artificiale generativa sono oggi in grado di produrre contenuti audio, immagini, video e testi di qualità tale da rendere progressivamente impossibile, per un osservatore medio, distinguere il contenuto sintetico da quello autentico.

Questo non è solo un problema tecnico. È un problema che mina la fiducia nell’ecosistema informativo, alimenta la disinformazione su scala industriale e apre nuovi spazi per frodi, impersonificazioni e manipolazioni commerciali.

Il legislatore europeo ha risposto con l’articolo 50 del Regolamento (UE) 2024/1689 — noto come AI Act — che pone in capo a due categorie di soggetti obblighi distinti e complementari in materia di trasparenza dei contenuti artificiali.

Chi è obbligato dall’articolo 50 AI Act: fornitori e deployer a confronto

L’articolo 50, paragrafo 2, obbliga i fornitori — chi sviluppa e immette nel mercato dell’Unione sistemi di IA generativa — a garantire che gli output dei propri sistemi siano marcati in formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente.

L’articolo 50, paragrafo 4, obbliga invece i deployer — chi utilizza sistemi di IA per generare o manipolare contenuti destinati alla diffusione pubblica — a rendere noto al pubblico l’origine artificiale dei deepfake e del testo pubblicato su questioni di interesse pubblico. I deepfake sono definiti nell’AI Act come contenuti che assomigliano a persone, oggetti, luoghi o entità esistenti e si presentano falsamente autentici o veritieri.

Il Code of Practice del 10 giugno 2026: come dimostrare la conformità all’AI Act

Il 10 giugno 2026 la Commissione europea ha pubblicato il Code of Practice on Transparency of AI-Generated Content, il documento che traduce gli obblighi di cui sopra in misure operative concrete. La tempistica non è casuale: il Codice è arrivato a meno di due mesi dal 2 agosto 2026, data in cui gli obblighi di trasparenza dell’articolo 50 diventeranno giuridicamente vincolanti per la quasi totalità dei sistemi di IA in circolazione nell’Unione europea.

L’adesione al Codice è volontaria. Chi lo sottoscrive — assumendo la qualifica di Signatory — può avvalersi delle sue misure per dimostrare in modo semplificato la propria conformità all’AI Act davanti alle autorità di vigilanza, riducendo gli oneri amministrativi e ottenendo maggiore certezza del diritto in tutta l’Unione.

Il documento si articola in due sezioni: la prima dedicata ai fornitori (art. 50(2) e (5)), la seconda ai deployer (art. 50(4) e (5)).

Obblighi di marcatura dei contenuti IA: watermark, metadati e rilevamento

I fornitori di sistemi di IA generativa devono implementare soluzioni tecniche che rendano i propri output identificabili come artificiali. Il Codice stabilisce che, allo stato attuale, nessuna tecnica singola è in grado di soddisfare da sola i requisiti di legge: per questo impone un approccio multilivello, basato su almeno due tecniche complementari.

Il primo livello sono i metadati firmati digitalmente. Quando il contenuto generato dall’intelligenza artificiale è in un formato che supporta l’allegazione di metadati — un file audio, un’immagine, un video, un documento — il fornitore deve registrare in quei metadati l’informazione sull’origine artificiale, con firma digitale e marcatura temporale, in modo sicuro e a prova di manomissione.

Il secondo livello è il watermark impercettibile. Si tratta di una marcatura invisibile all’utente, incorporata nel contenuto in modo da essere difficilmente separabile dalla sua rappresentazione digitale — ai pixel di un’immagine, ai campioni audio di un file sonoro. A differenza dei metadati, il watermark sopravvive a una serie di alterazioni tipiche del contenuto IA.

Il Codice prevede anche una misura opzionale: il fingerprinting o logging, che consente al fornitore di mantenere un registro dei contenuti generati dal proprio sistema di IA, verificabile successivamente per risalire all’origine di un dato output.

A queste misure di marcatura si affianca l’obbligo di rendere disponibile una soluzione di rilevamento — liberamente accessibile — che permetta a deployer, ricercatori, autorità e utenti di verificare se un contenuto è stato generato o manipolato dal sistema di IA. Le autorità di vigilanza, le organizzazioni di fact-checking e la società civile devono sempre potervi accedere gratuitamente e senza limiti di volume.

Il Codice definisce anche quattro requisiti di qualità che marcatura e rilevamento devono soddisfare complessivamente: efficacia (l’utente deve capire i risultati), affidabilità (il sistema distingue i contenuti artificiali da quelli autentici), robustezza (la marcatura resiste alle alterazioni ordinarie e agli attacchi deliberati) e interoperabilità (le soluzioni dialogano tra sistemi diversi). Per quest’ultimo requisito il Codice fissa una scadenza specifica: il 2 febbraio 2027.

Etichettatura dei deepfake: come funziona l’icona “AI” obbligatoria

Chi utilizza sistemi di IA per generare o manipolare deepfake, o testo pubblicato su questioni di interesse pubblico, deve rendere visibile — e immediatamente percepibile — l’origine artificiale del contenuto IA.

Il Codice individua nell’icona ufficiale dell’Unione europea — sviluppata dall’AI Office e disponibile gratuitamente — lo strumento principale per adempiere a quest’obbligo. L’acronimo ‘AI’ in maiuscolo ne è l’elemento visivo obbligatorio, affiancabile da un’etichetta testuale: ‘AI GENERATED’ per i contenuti interamente prodotti dall’IA, ‘AI MODIFIED’ per i contenuti parzialmente manipolati.

Quanto al posizionamento, l’icona deve essere collocata in modo da garantire il riconoscimento immediato, senza richiedere un’interazione volontaria dell’utente. Per i video deve comparire all’inizio e almeno dopo le interruzioni pubblicitarie; per i contenuti audio privi di schermo è obbligatorio un avviso uditivo in apertura; per i testi pubblicati l’icona va posizionata prima del contenuto, sopra il titolo o nell’intestazione.

Quando non si applica l’obbligo di etichettatura: le tre eccezioni

In coerenza con l’articolo 50, paragrafo 4, dell’AI Act, il Codice prevede tre eccezioni all’obbligo di etichettatura dei contenuti generati dall’intelligenza artificiale.

La prima riguarda le opere artistiche, creative, satiriche o finzionali. L’obbligo di disclosure non viene meno, ma si attenua: l’etichetta deve restare chiara e distinguibile senza però pregiudicare la fruizione dell’opera. È ammessa una collocazione contestuale — nella descrizione accompagnatoria, nei titoli di coda, all’ingresso di una mostra — purché percepibile alla prima esposizione.

La seconda eccezione riguarda i casi autorizzati dalla legge per finalità investigative o di pubblica sicurezza: l’obbligo non si applica quando l’uso del sistema di IA serve a rilevare, prevenire, indagare o perseguire penalmente reati.

La terza — applicabile al solo testo pubblicato — esclude dall’obbligo di etichettatura il testo generato dall’IA che abbia subito un processo di revisione umana o di controllo editoriale effettivo, a condizione che una persona fisica o giuridica assuma la responsabilità editoriale per la pubblicazione. Il controllo umano diventa, sul piano normativo, un’alternativa alla marcatura formale.

Cosa fare per il 2 agosto 2026: le scadenze operative

Il Codice di buone pratiche del 10 giugno 2026 rappresenta il primo documento sistematico di attuazione degli obblighi di trasparenza imposti dall’AI Act ai soggetti che operano con sistemi di IA generativa. La sua rilevanza pratica è duplice: da un lato, traduce prescrizioni normative di elevata complessità tecnica — come i requisiti di efficacia, robustezza e interoperabilità delle soluzioni di marcatura — in obblighi operativi misurabili e verificabili; dall’altro, fornisce uno strumento di compliance che gli operatori possono adottare per documentare la propria conformità in modo uniforme in tutta l’Unione europea.

Per i professionisti e le imprese che operano nei settori dell’intrattenimento, dei media, della comunicazione e della produzione di contenuti digitali — settori nei quali i sistemi di IA generativa sono già ampiamente diffusi — il Codice costituisce un punto di riferimento imprescindibile. Chi intende utilizzare sistemi di IA per generare o manipolare contenuti destinati al pubblico deve oggi interrogarsi non soltanto sulla legittimità dell’utilizzo alla luce del diritto d’autore e dei diritti connessi, ma anche sull’adempimento degli obblighi di trasparenza imposti dall’AI Act e, per chi vi aderisce, dal Codice: un livello di compliance che si affianca e si intreccia, senza sostituirsi, alle tutele garantite da altri rami dell’ordinamento