La parola deepfake evoca il video del politico che dice cose che non ha detto. Ma nella definizione dell'AI Act il perimetro è molto più largo, e ci finisce dentro roba che in agenzia si fa tutti i giorni senza pensarci.
Il regolamento parla di contenuti — immagini, audio o video — generati o manipolati con l'IA che assomigliano a persone, oggetti, luoghi o eventi reali e che apparirebbero autentici a una persona. Non serve l'intento di ingannare. Basta la somiglianza e la verosimiglianza.
L'obbligo, in una riga
Chi utilizza un sistema di IA che genera o manipola contenuti che costituiscono un deepfake deve dichiarare che il contenuto è stato generato o manipolato artificialmente. È l'articolo 50, applicabile dal 2 agosto 2026. La sanzione arriva fino a 15 milioni o al 3% del fatturato mondiale.
Nota bene: l'obbligo è di chi utilizza, non solo di chi produce lo strumento. Se l'agenzia genera il video, l'obbligo scatta per l'agenzia; se lo pubblica il cliente, riguarda anche lui in quanto lo sta mettendo davanti al pubblico.
Cosa ci finisce dentro, davvero
Il testimonial generato che sembra una persona reale. La voce sintetica clonata da quella di un dipendente o di un attore. Il video di prodotto in cui il volto di qualcuno è stato sostituito o ringiovanito. La foto di un evento che non è mai avvenuto ma che sembra un reportage. La ricostruzione fotorealistica di un luogo reale con dettagli inventati.
Non ci finiscono dentro le illustrazioni palesemente artificiali, gli stili grafici non fotorealistici, i contenuti in cui è chiaro a chiunque che non si sta guardando la realtà.
C'è un'attenuazione per i contenuti manifestamente artistici, creativi, satirici o di finzione: lì l'obbligo di trasparenza si adatta, e la dichiarazione va data in modo che non ostacoli l'opera. Ma adattato non vuol dire eliminato.
In Italia c'è anche il codice penale
E qui si smette di parlare di multe amministrative. La legge 132/2025, in vigore dal 10 ottobre 2025, ha introdotto l'articolo 612-quater del codice penale: illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale.
Punisce chi cagiona un danno ingiusto cedendo, pubblicando o comunque diffondendo, senza consenso, immagini, video o voci falsificati o alterati con l'IA e idonei a indurre in inganno sulla loro genuinità. Pena: reclusione da uno a cinque anni. Si procede a querela della persona offesa, salvo i casi in cui la legge prevede la procedibilità d'ufficio.
Servono due elementi insieme: il danno ingiusto e la lesione concreta di un diritto della persona rappresentata — reputazione, dignità, vita privata, identità personale.
E dal 2 dicembre 2026 arrivano i divieti nuovi
Il Digital Omnibus, il Regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026, ha introdotto nuovi divieti in materia di deepfake a contenuto sessuale non consensuale e di materiale di abuso su minori generato con IA. Applicabili dal 2 dicembre 2026.
I divieti stanno nel piano più alto della piramide, quello dell'articolo 5: lì non si discute di adempimenti, si discute di illecito. E le sanzioni sono quelle massime, fino a 35 milioni o al 7% del fatturato mondiale.
Come si dichiara in pratica
Per un video: dichiarazione all'inizio, e se il contenuto è lungo o viene ritagliato per i social, una sovrimpressione persistente. Per l'audio: dichiarazione vocale iniziale, non solo scritta nella descrizione. Per le immagini: didascalia adiacente, non nel footer della pagina.
Regola pratica che vale più di ogni check-list: la dichiarazione deve viaggiare col contenuto. Se il tuo video finisce ritagliato in una storia da quindici secondi e la dichiarazione era solo nei primi tre, il pubblico non l'ha vista.
E prima di tutto questo: se stai usando volto o voce di una persona reale, serve il consenso, per iscritto, con ambito e durata definiti. È la cosa che ti salva dal penale, ed è quella che vedo saltare più spesso quando si va di fretta.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Un deepfake dichiarato è un effetto speciale. Uno non dichiarato, in Italia, può essere un reato. La distanza fra le due cose è una riga di testo.
Domande frequenti
Un testimonial generato dall’IA va dichiarato?
Se appare come una persona reale in modo verosimile, sì: rientra nella definizione di deepfake dell'articolo 50 e va dichiarato come contenuto generato artificialmente.
Serve il consenso per clonare la voce di un dipendente?
Sì. La voce è un dato personale e la clonazione senza consenso espone a profili sia privacy sia penali. Il consenso va raccolto per iscritto, con finalità, ambito di utilizzo e durata definiti.
La satira è esente dall'obbligo?
Per i contenuti manifestamente artistici, creativi o satirici la trasparenza va garantita in modo proporzionato, senza ostacolare l'opera. L'esenzione totale non esiste, e non copre comunque i contenuti che ledono la reputazione di persone reali.