Il falso dichiarato: deepfake e obblighi di trasparenza nell'articolo 50 dell'AI Act

Mi chiamo Thibault, esercito a Bruxelles, e da qualche anno il mio lavoro consiste nel tradurre in obblighi concreti l'ansia regolatoria europea sull'intelligenza artificiale. Questa settimana voglio parlarvi di una norma che tutti citano e pochi hanno letto fino in fondo: l'articolo 50 dell'AI Act, quello sui deepfake e sulla trasparenza dei contenuti sintetici. È una norma che parte da un'intuizione giusta — il falso va dichiarato — e arriva a un paradosso che il legislatore conosceva benissimo e ha deciso di ignorare: chi ha intenzione di ingannare non appone etichette. Ci arriveremo. Prima, il diritto.

Una premessa di calendario, perché a Bruxelles il calendario è sostanza: gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026, in forza dell'articolo 113 del Regolamento (UE) 2024/1689. Non è più un orizzonte: è tra quattro giorni. Chi sviluppa o utilizza sistemi generativi e non ha ancora affrontato il tema della marcatura sta già respirando l'aria della non conformità.

Cos'è un deepfake per il legislatore europeo

L'AI Act non si limita a evocare il fenomeno: lo definisce. L'articolo 3, punto 60, descrive il deepfake come «un'immagine o un contenuto audio o video generato o manipolato dall'IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero a una persona». Leggetela due volte, perché ogni parola pesa.

Primo: la definizione copre immagini, audio e video, ma non il testo. Il testo sintetico ha una disciplina propria, più blanda, di cui dirò. Secondo: serve la somiglianza con qualcosa di esistente — una persona reale, un luogo reale, un evento reale. Il drago generato dall'IA non è un deepfake; il video del ministro che pronuncia parole mai dette lo è. Terzo, ed è il cuore: il criterio dell'apparenza ingannevole. Il contenuto deve apparire «falsamente autentico o veritiero» a una persona. È un test di percezione, non di tecnica: non conta quale modello ha generato il file, conta se un osservatore lo scambierebbe per realtà. Il che significa che la qualifica di deepfake è mobile — ciò che nel 2023 ingannava chiunque, oggi si smaschera a occhio nudo; ciò che oggi si genera in trenta secondi, tra un anno sarà indistinguibile dal vero.

Notate anche cosa la definizione non richiede: l'intento malevolo. Il deepfake dell'AI Act è una categoria neutra. Il video parodico, la ricostruzione storica, lo spot pubblicitario con l'attore ringiovanito: tutti deepfake, ai sensi del Regolamento. La malizia non è elemento costitutivo; è la trasparenza, non il divieto, la risposta scelta dal legislatore. L'AI Act non vieta i deepfake. Li obbliga a presentarsi.

Due obblighi, due soggetti: chi marca e chi dichiara

L'articolo 50 costruisce un sistema a due livelli, e confonderli è l'errore più comune che vedo nei pareri che mi passano sulla scrivania.

Primo livello: il fornitore. L'articolo 50, paragrafo 2, impone a chi fornisce sistemi di IA che generano contenuti sintetici — audio, immagini, video e qui sì, anche testo — di garantire che gli output siano marcati in un formato leggibile meccanicamente e rilevabili come artificialmente generati o manipolati. È la marcatura tecnica, invisibile all'occhio umano ma leggibile dalle macchine: metadati, watermark crittografici, firme di provenienza. La norma pretende che le soluzioni tecniche siano «efficaci, interoperabili, solide e affidabili nella misura in cui ciò sia tecnicamente possibile», tenendo conto dello stato dell'arte, dei costi e delle specificità dei tipi di contenuto. Quel «nella misura in cui ciò sia tecnicamente possibile» è la valvola di sfogo che i fornitori invocheranno in ogni contenzioso: perché la verità tecnica è che il watermarking robusto è un problema aperto. Gli standard di provenienza come C2PA/Content Credentials si basano su metadati firmati che una semplice ricompressione o uno screenshot possono eliminare; i watermark statistici incorporati nel contenuto, come quelli della famiglia SynthID, resistono meglio ma non sono invulnerabili alla manipolazione deliberata (dettagli tecnici e grado di robustezza: da verificare). L'articolo 50, paragrafo 7, affida all'Ufficio per l'IA il compito di incoraggiare codici di buone pratiche a livello di Unione per l'attuazione degli obblighi di rilevazione ed etichettatura, con possibili atti di esecuzione della Commissione; lo stato di avanzamento di questi codici alla data in cui scrivo è, appunto, (da verificare).

Secondo livello: il deployer, cioè chi utilizza il sistema e diffonde il contenuto. L'articolo 50, paragrafo 4, impone a chi genera o manipola immagini, audio o video che costituiscono un deepfake di rendere noto che il contenuto è stato artificialmente generato o manipolato. Qui la disclosure non è più leggibile dalle macchine: è rivolta agli esseri umani. L'etichetta, la dicitura, l'avviso visibile. E il paragrafo 5 precisa che l'informazione va fornita in modo chiaro e distinguibile al più tardi al momento della prima esposizione al contenuto — non nella pagina delle condizioni d'uso, non in un tooltip che nessuno apre.

Per il testo, il regime è più sottile: l'obbligo di disclosure scatta solo quando il testo generato dall'IA è pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico, e cade quando il contenuto ha subito una revisione umana e una persona fisica o giuridica se ne assume la responsabilità editoriale. Tradotto: il giornale che usa l'IA come strumento redazionale, con controllo umano e responsabilità editoriale, non deve etichettare ogni articolo. La content farm che pubblica testo sintetico senza revisione, sì. È una norma scritta pensando alla disinformazione, non alla letteratura.

Le eccezioni: l'arte, la satira, la polizia

Tre valvole, tutte nell'articolo 50, paragrafo 4 (e, per la marcatura tecnica, nel paragrafo 2).

La prima è la creazione artistica. Quando il deepfake fa parte di un'opera manifestamente artistica, creativa, satirica, fittizia o analoga, l'obbligo di trasparenza non sparisce ma si attenua: si riduce alla dichiarazione dell'esistenza di contenuti generati, «in modo adeguato che non ostacoli la visualizzazione o la fruizione dell'opera». Il legislatore ha capito che stampigliare un banner su ogni fotogramma di un film ucciderebbe l'opera. Ma quell'avverbio — manifestamente — è un campo minato ermeneutico. La satira che funziona è precisamente quella che per qualche secondo sembra vera. Il confine tra la parodia manifesta e il falso che si ripara dietro l'etichetta della parodia sarà tracciato dai giudici, caso per caso, e prevedo che sarà uno dei fronti più litigiosi dell'intero articolo 50.

La seconda eccezione è l'uso autorizzato dalla legge per finalità di accertamento e perseguimento di reati: le forze dell'ordine possono generare contenuti sintetici non marcati quando la legge lo consente — si pensi alle operazioni sotto copertura digitali. Comprensibile, ma da maneggiare con cura: è lo Stato che si riserva il diritto di fabbricare falsi credibili mentre lo vieta ai cittadini, e la storia insegna che le eccezioni di law enforcement tendono ad allargarsi.

La terza, sul versante della marcatura tecnica, riguarda i sistemi con funzione assistiva di editing standard, che non alterano sostanzialmente i dati di input: il filtro che corregge la luce non trasforma la fotografia in contenuto sintetico. Sensato, ma anche qui il criterio dell'alterazione «sostanziale» aspetta di essere riempito di contenuto.

Le piattaforme: dove l'AI Act incontra il DSA

L'articolo 50 si ferma a chi genera e a chi diffonde. Ma il deepfake diventa pericoloso quando viraleggia, e la viralità è affare delle piattaforme — cioè del Digital Services Act. I due regolamenti sono ingranaggi della stessa macchina, e conviene guardarli insieme.

Per le piattaforme di dimensioni molto grandi, il DSA impone la valutazione dei rischi sistemici (articolo 34) — tra cui gli effetti negativi sul discorso civico e sui processi elettorali — e le conseguenti misure di mitigazione (articolo 35). E il catalogo dell'articolo 35 contiene una lettera scritta come se il legislatore avesse davanti agli occhi esattamente il nostro tema: tra le misure figura garantire che un'immagine, un audio o un video generato o manipolato, che assomiglia a persone o eventi esistenti e appare falsamente autentico, sia distinguibile mediante indicazioni ben visibili quando presentato sulle interfacce, oltre a fornire agli utenti una funzionalità per segnalare tali contenuti. In altre parole: il fornitore marca a monte (AI Act), il deployer dichiara (AI Act), la piattaforma rende visibile e segnalabile a valle (DSA). Tre anelli di una catena che funziona solo se nessuno si spezza.

Sul terreno elettorale la Commissione ha alzato ulteriormente l'asticella: le linee guida sull'integrità dei processi elettorali per le grandi piattaforme, adottate nella primavera 2024, raccomandano specificamente l'etichettatura dei contenuti generati dall'IA e misure rafforzate nei periodi elettorali (contenuto puntuale delle raccomandazioni: da verificare). Non sono formalmente vincolanti, ma nel sistema DSA lo scostamento dalle linee guida va giustificato, e nessuna piattaforma sotto indagine ha voglia di spiegare a Bruxelles perché ha fatto di testa propria.

Quando il falso colpisce: i casi e i rimedi

Perché tutta questa architettura? Perché i danni sono già arrivati, e non sono ipotesi di scuola.

Sul fronte elettorale, il caso di scuola è slovacco: alla vigilia delle elezioni parlamentari del 2023, a urne quasi aperte e in pieno silenzio elettorale, circolò un audio sintetico che simulava la voce di un leader di partito mentre discuteva presunti brogli (da verificare). Il tempismo era l'arma: nessuna possibilità di smentita efficace prima del voto. Negli Stati Uniti, le robocall con la voce clonata del presidente Biden che invitavano gli elettori del New Hampshire a non votare alle primarie del 2024 hanno portato a sanzioni milionarie da parte del regolatore delle comunicazioni contro l'ideatore (da verificare). Sul fronte delle imprese, il caso più citato è quello della società di ingegneria Arup: un dipendente della sede di Hong Kong avrebbe autorizzato bonifici per circa 25 milioni di dollari dopo una videoconferenza in cui tutti i partecipanti — direttore finanziario compreso — erano ricostruzioni deepfake (da verificare). E già nel 2019 si segnalava il caso di un amministratore delegato indotto a trasferire circa 220.000 euro da una voce clonata che imitava il suo superiore (da verificare). La truffa al CEO, che i penalisti conoscono da anni, ha semplicemente cambiato motore.

Quando il deepfake danneggia, l'articolo 50 non è il rimedio: è una norma di conformità, non di tutela della vittima. I rimedi stanno altrove, e qui il confronto con l'ordinamento italiano — che i lettori di questa bacheca conoscono meglio del mio — è istruttivo. Primo binario: la tutela dell'immagine. L'articolo 10 del codice civile e gli articoli 96 e 97 della legge sul diritto d'autore vietano l'esposizione e la pubblicazione del ritratto altrui senza consenso, fuori dei casi consentiti; norme scritte per la fotografia, ma la giurisprudenza le ha già piegate a ogni riproduzione delle sembianze, e il volto sintetico è pur sempre il mio volto. Secondo binario: il GDPR. Il deepfake di una persona identificata è trattamento di dati personali — spesso senza base giuridica, spesso in violazione dei principi di correttezza ed esattezza dell'articolo 5 — e apre la strada ai poteri correttivi dell'autorità e al risarcimento ex articolo 82; il Garante italiano si è già mosso contro servizi di spogliazione sintetica delle immagini (da verificare). Terzo binario: il penale. Diffamazione ex articolo 595 c.p., sostituzione di persona ex 494 c.p., truffa, estorsione. E l'Italia ha fatto un passo che a Bruxelles molti guardano con interesse: la recente legge nazionale sull'intelligenza artificiale avrebbe introdotto nel codice penale una fattispecie specifica di illecita diffusione di contenuti generati o manipolati con IA idonei a indurre in inganno, con pena detentiva e aggravanti (estremi e formulazione esatta: da verificare). Se confermata nei termini che circolano, sarebbe tra le prime incriminazioni europee costruite espressamente sul deepfake, e non sulla rilettura di fattispecie nate per altri mondi.

L'enforcement e il paradosso del truffatore onesto

Chi controlla? Per i sistemi ordinari, le autorità nazionali di vigilanza del mercato designate da ciascuno Stato membro; per i modelli di IA per finalità generali, l'Ufficio per l'IA presso la Commissione. Le sanzioni per la violazione dell'articolo 50 arrivano, ai sensi dell'articolo 99, paragrafo 4, fino a 15 milioni di euro o al 3 per cento del fatturato mondiale annuo, se superiore. Non è la fascia più alta dell'AI Act — quella è riservata alle pratiche vietate — ma non è denaro da bar. L'identità delle autorità designate nei singoli Stati membri e la loro effettiva operatività alla data di applicazione: da verificare, e temo che in più di una capitale la risposta sarà imbarazzante.

E ora il paradosso, quello promesso in apertura. Tutto l'impianto dell'articolo 50 — marcatura, disclosure, etichette — presuppone un soggetto che vuole conformarsi. Il fornitore serio marcherà. Il creativo dichiarerà. La piattaforma etichetterà. E il truffatore? Il truffatore userà un modello open source fatto girare su hardware proprio, o un servizio ospitato in una giurisdizione che dell'AI Act ignora perfino l'esistenza, e produrrà contenuti senza watermark, senza metadati, senza etichette. La marcatura è un obbligo che grava, per costruzione, su chi non è il problema. Peggio: rischia di generare un effetto perverso che i teorici della sicurezza conoscono bene. Se il pubblico si abitua all'idea che il contenuto sintetico è etichettato, l'assenza di etichetta diventerà un implicito certificato di autenticità — e il falso non marcato sarà più credibile di prima. È il paradosso del truffatore onesto: pretendiamo la confessione da chi non ha nulla da confessare, e regaliamo a chi mente un pubblico ancora più disarmato.

Questo non rende l'articolo 50 inutile. Crea una base di provenienza per l'ecosistema legittimo, dà alle piattaforme un segnale tecnico su cui costruire la moderazione, offre al giudice un parametro di condotta. Ma chiunque vi venda la marcatura come soluzione al problema dei deepfake vi sta vendendo un ombrello contro un'inondazione. La partita vera si giocherà altrove: sulla rilevazione forense indipendente dai watermark, sulla velocità delle piattaforme nel degradare la viralità del falso, sulla cooperazione penale internazionale, e — non ho paura di dirlo — sull'educazione di un pubblico che deve disimparare a credere ai propri occhi.

Vi lascio con la domanda che a Bruxelles nessuno vuole mettere a verbale: quando l'etichetta «generato dall'IA» sarà ovunque sui contenuti innocui e mai sui contenuti ostili, avremo protetto i cittadini dall'inganno — o avremo insegnato loro a fidarsi esattamente dei falsi che contano?