Deepfake nell’AI Act: cos’è e quando va dichiarato
Pubblicata il
Un deepfake è un contenuto di immagini, audio o video generato o manipolato dall’intelligenza artificiale (AI) che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero a una persona. La definizione è nell’articolo 3, punto 60, del Regolamento (UE) 2024/1689 (AI Act), sulle definizioni.
Due elementi, entrambi necessari: la somiglianza a qualcosa di reale, e l’apparenza di autenticità. Un’illustrazione fantasiosa non è un deepfake per quanto sia generata dall’AI. Una foto verosimile di una persona che esiste, in un luogo dove non è mai stata, lo è.
Quali sono i due regimi dell’AI Act sul deepfake?
Il deepfake compare in due punti del regolamento, che è bene non confondere.
Trasparenza (articolo 50, paragrafo 4, dell’AI Act): il deployer che genera o manipola un deepfake deve rendere noto che il contenuto è stato generato o manipolato artificialmente. Si applica dal 2 agosto 2026. Per contenuti manifestamente artistici, creativi, satirici o analoghi l’obbligo si riduce a una divulgazione che non ostacoli la fruizione dell’opera.
Divieto (articolo 5 dell’AI Act): l’Omnibus digitale sull’AI — il Regolamento (UE) 2026/1744, che ha modificato l’AI Act a luglio 2026 — ha introdotto due nuove pratiche vietate. È vietato immettere sul mercato, mettere in servizio o usare un sistema di AI che genera o manipola immagini, video e audio realistici delle parti intime di una persona riconoscibile, o di una persona riconoscibile che partecipi ad atti sessualmente espliciti, senza il suo consenso liberamente prestato, specifico, informato e inequivocabile. È altrettanto vietato per il materiale di abuso sessuale su minori.
Il divieto è costruito in modo asimmetrico. Per il fornitore scatta se la generazione di quel materiale è la finalità prevista del sistema, oppure se è un risultato ragionevolmente prevedibile e riproducibile e il sistema non ha misure di sicurezza adeguate a impedirlo. Per il deployer scatta solo se usa il sistema proprio per generare quel materiale: usare uno strumento generalista per scopi leciti non ricade nel divieto, nemmeno se quello strumento è sprovvisto delle garanzie che il fornitore avrebbe dovuto mettere.
Perché il divieto sul deepfake riguarda anche chi non ne produce?
Perché il divieto colpisce anche il semplice uso, e le sanzioni dell’articolo 5 dell’AI Act sono le più alte del regolamento. Un’organizzazione che mette a disposizione strumenti generativi senza alcun presidio su come vengono usati non sta correndo un rischio teorico: sta rispondendo di ciò che accade sotto la propria autorità.
Cosa non è un deepfake?
Non è deepfake il contenuto generato che non richiama nulla di reale. Il miglioramento tecnico di un’immagine esistente — cambiare sfondo, alzare il contrasto, aggiungere un titolo — che non aumenta l’esposizione delle parti intime ritratte né altera la natura degli atti rappresentati non esce per questo dalla definizione: il regolamento lo esclude solo dal divieto sui contenuti intimi non consensuali dell’articolo 5 dell’AI Act.
Domande frequenti
Un avatar di sintesi che legge un mio testo è un deepfake AI?
Se assomiglia a una persona reale, sì, e va dichiarato. Se è un personaggio inventato, no.
La satira è esente dall’obbligo di dichiarare un deepfake AI?
Non dall’obbligo, ma dalla forma: la divulgazione deve esserci senza compromettere la fruizione dell’opera.
Il divieto dei deepfake AI intimi vale già?
Non per le due nuove pratiche introdotte dall’Omnibus (articolo 5, paragrafo 1, primo comma, lettere b bis e b ter, dell’AI Act): si applicano dal 2 dicembre 2026, per l’articolo 113, lettera a, dell’AI Act. Il resto dell’articolo 5 dell’AI Act si applica dal 2 febbraio 2025; l’obbligo di trasparenza dell’articolo 50, paragrafo 4, dell’AI Act dal 2 agosto 2026.