Immaginate di aprire LinkedIn un lunedì mattina e trovare un video in cui la vostra voce — perfettamente riprodotta — annuncia le dimissioni dall'azienda in cui lavorate da vent'anni, o peggio, dichiara posizioni mai espresse su temi sensibili. Il video è falso, costruito da un algoritmo in pochi minuti. Eppure è già stato visto da centinaia di colleghi, clienti, partner. Il danno è reale, immediato, difficile da contenere. È questo il volto meno raccontato del deepfake: non quello pornografico, già al centro del dibattito pubblico, ma quello reputazionale e professionale, che colpisce chiunque abbia una presenza digitale riconoscibile.
Il nuovo reato di deepfake: cosa cambia con la Legge 132/2025
La Legge 132/2025 ha inserito nel Codice Penale un nuovo articolo, il 612-quater c.p., denominato "Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale". Pubblicata in Gazzetta Ufficiale il 25 settembre 2025 ed entrata in vigore il 10 ottobre 2025, questa legge fornisce un quadro normativo completo per regolare l'impiego dei sistemi di intelligenza artificiale nei diversi settori.
La norma prevede che "Chiunque cagiona un danno ingiusto ad una persona, cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante l'impiego di sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità, è punito con la reclusione da uno a cinque anni." Il delitto è punibile a querela della persona offesa.
Il legislatore ha voluto collocare la Legge 132/2025 nel continuum normativo che va dalla Convenzione di Istanbul del 2011, ratificata con legge 77/2013, fino alla legge 168/2023 sulle misure di contrasto alla violenza sulle donne e alla violenza domestica, rivelando che essa è pensata anche come strumento di tutela rafforzata nei contesti di violenza di genere, stalking digitale e violenza sessuale.
La scelta di politica criminale è chiara e condivisibile. Tuttavia, una lettura attenta della norma rivela un elemento strutturale di grande rilievo pratico, che quasi nessun commentatore ha messo a fuoco con sufficiente nettezza: il reato di cui all'art. 612-quater c.p. è costruito attorno all'evento del danno ingiusto. La formulazione del 612-quater, che lega la punibilità al risultato (danno ingiusto), lo distingue in modo significativo dall'art. 612-ter c.p. (secondo comma), il quale richiede un fine di nocumento specifico. La scelta di incriminare la causazione dell'evento dannoso nel 612-quater semplifica l'onere probatorio a carico dell'accusa rispetto all'intenzione ultima dell'autore, concentrandosi sulla causalità tra la diffusione del deepfake e il pregiudizio effettivamente subito dalla vittima.
Questo significa che, sul piano penale, non serve dimostrare il dolo specifico di nuocere: è sufficiente che il danno si sia verificato. È una scelta garantista per la vittima. Ma apre un problema simmetrico sul fronte civile: chi deve dimostrare cosa, e come si quantifica un danno che spesso è immateriale, diffuso nel tempo, e difficile da circoscrivere?
Va ricordato che la Legge 132/2025 interviene anche sulle circostanze aggravanti comuni, introducendo il nuovo n. 11-decies all'art. 61 c.p., che inasprisce la pena in tutti i reati commessi mediante l'impiego di sistemi di IA. Questo inasprimento vale anche quando il deepfake si innesta su fattispecie preesistenti: diffamazione a mezzo Internet ex art. 595 c.p., sostituzione di persona ex art. 494 c.p., trattamento illecito di dati personali ex art. 167 del Codice Privacy.
Il doppio binario e il nodo irrisolto del danno reputazionale
Il profilo che resta in penombra nel dibattito attuale è il percorso risarcitorio civile per deepfake a contenuto non sessuale. Quando il video falsificato mostra un imprenditore che mente ai propri soci, un professionista che insulta un cliente, o un politico locale che dichiara il falso, la vittima si trova a dover dimostrare un danno che il giudice civile chiede di provare con precisione, mentre il contenuto digitale si diffonde a una velocità che rende ogni prova sempre più parziale.
Il diritto all'immagine è tutelato dagli artt. 10 c.c. e 96-97 della Legge n. 633/1941 sul diritto d'autore, che già prima della Legge 132/2025 consentivano di agire in via inibitoria e risarcitoria contro l'uso non autorizzato dell'immagine altrui. La persona lesa può ottenere il risarcimento del danno derivante dall'utilizzo indebito della sua immagine, che concerne tanto il danno patrimoniale quanto quello non patrimoniale. Tuttavia, il deepfake non è tecnicamente una "fotografia" né un "ritratto" nel senso tradizionale: è una costruzione sintetica che somiglia alla persona reale senza esserne una rappresentazione diretta. La giurisprudenza consolidata sulla tutela dell'immagine deve dunque essere reinterpretata alla luce di questa alterità tecnologica.
La Cassazione Penale, Sez. V, sentenza n. 2112 del 17 gennaio 2025, ha chiarito che in tema di diffusione di riprese fraudolente, il delitto tutela non solo la libertà e segretezza delle comunicazioni private, ma anche l'onore e la reputazione degli interlocutori, precisando che "il diritto consiste nel non vedere carpite con l'inganno parole o esternazioni di qualsivoglia genere e nel non vederle diffuse senza consenso". Questo principio si estende naturalmente ai contenuti generati artificialmente. La pronuncia, pur non riguardando direttamente l'art. 612-quater (che non era ancora in vigore), offre un parametro interpretativo utile: la lesione non richiede che il contenuto sia reale, ma che la diffusione senza consenso privi la persona del controllo sulla propria narrazione pubblica.
Il legislatore ha chiarito un punto essenziale: anche se l'immagine è sintetica, creata interamente da un algoritmo, la lesione alla libertà sessuale e alla privacy della vittima è considerata reale, immediata e risarcibile. È caduto il pregiudizio secondo cui un contenuto sintetico non potesse ledere una persona reale: oggi il diritto riconosce che l'offesa alla reputazione e alla libertà individuale è effettiva e risarcibile, indipendentemente dalla natura artificiale del supporto utilizzato.
Un ulteriore fronte è quello probatorio. Il Tribunale di Modena ha chiariti l'onere della prova sui file digitali: per contestare messaggi o contenuti creati con l'IA serve una prova specifica. La sfida del presente risiede nella perfezione degli strumenti di IA generativa: mentre in passato le manipolazioni lasciavano tracce visibili o errori nei pixel, oggi i modelli avanzati creano contenuti perfettamente coerenti. Sul punto la Cassazione aveva già delineato, con ord. n. 37290/2022, che quando si nega l'esistenza dell'originale digitale, servono elementi indiziari idonei ad accreditare la falsità materiale: non basta la mera contestazione, serve un'analisi tecnica qualificata.
Il profilo della verifica tecnica è, nell'esperienza pratica, uno degli ostacoli più sottovalutati. La perizia di parte sulla falsità del contenuto ha un costo, richiede tempi, e i suoi esiti non sono mai certi al cento percento. Nel frattempo, il danno prosegue.
Il mancato inquadramento del deepfake nei sistemi AI ad alto rischio e la previsione di soli obblighi di "trasparenza" con ampie eccezioni (artistiche, satiriche, fittizie) non agevolmente interpretabili lasciano il deepfake come un istituto sprovvisto di particolari tutele preventive nell'ambito dell'AI Act. Ciò significa che, sul piano europeo, la risposta principale al fenomeno rimane affidata al diritto nazionale — e in Italia, per quanto riguarda il profilo civile extracontrattuale, all'interpretazione giurisprudenziale dell'art. 2043 c.c. e delle norme a tutela dei diritti della personalità.
Qui si annida il rischio pratico più sottovalutato: la vittima di un deepfake reputazionale che non integri anche un reato perseguibile o che non voglia percorrere la strada penale si trova a dover costruire da zero una domanda risarcitoria civile su un terreno normativo ancora instabile. Il giudice dovrà quantificare un danno non patrimoniale su basi che la giurisprudenza ha finora elaborato per la diffamazione a mezzo stampa o internet, ma non per contenuti interamente sintetici. Il collegamento analogico regge, ma espone a un margine di incertezza che l'avvocato non può ignorare.
La legge italiana sul deepfake si inserisce in un contesto europeo in evoluzione: il Regolamento UE sull'intelligenza artificiale (AI Act) impone ai produttori di contenuti sintetici l'obbligo di dichiararne la natura artificiale, mentre il Digital Services Act (DSA) rafforza la responsabilità delle piattaforme online nella rimozione tempestiva dei materiali illeciti. Questa architettura multilivello — norma penale nazionale, obblighi di trasparenza AI Act, responsabilità DSA delle piattaforme — in teoria offre alla vittima più leve. In pratica, agire contemporaneamente su tutti questi fronti richiede una strategia coordinata e tempestiva, che non si improvvisa dopo settimane dalla scoperta del contenuto.
La Legge n. 132/2025 prevede, all'art. 24, una delega per adottare entro dodici mesi ulteriori disposizioni finalizzate, tra le altre cose, alla previsione di strumenti, anche cautelari, per inibire la diffusione e rimuovere i contenuti illeciti. I decreti attuativi attesi entro ottobre 2026 potrebbero colmare i vuoti oggi esistenti sul fronte cautelare. Ma fino a quel momento, la vittima deve agire con gli strumenti disponibili, senza attendere una tutela più organica che non c'è ancora.
Vigilantibus iura subveniunt: il diritto aiuta chi veglia. Nel caso del deepfake, questo brocardo ha un significato letterale e urgente. Ogni ora di ritardo aggrava il danno, allarga la diffusione, complica il recupero delle prove digitali e riduce le chances di ottenere un provvedimento d'urgenza efficace.
Cosa fare in concreto, dunque? Prima cosa: documentare immediatamente — screenshot con timestamp, URL, numero di visualizzazioni, nomi degli account che hanno condiviso. È consigliabile conservare tutte le prove digitali (link, screenshot, copie del filmato, data e ora di pubblicazione) e non tentare di "replicare" il contenuto sui social, per evitare di amplificarlo ulteriormente. Seconda cosa: valutare se presentare querela ai sensi dell'art. 612-quater c.p. entro i termini di legge — la procedibilità a querela impone un termine di tre mesi dalla scoperta del reato, che decorre dal momento in cui la persona offesa ha avuto conoscenza effettiva del contenuto. Terza cosa: valutare parallelamente un ricorso d'urgenza ex art. 700 c.p.c. per inibitoria della diffusione, da affiancare alla denuncia al Garante Privacy quando il deepfake comporta trattamento illecito di dati personali, inclusa l'immagine. È possibile agire in sede civile per ottenere il risarcimento di tutti i danni morali e materiali derivanti dall'illecito, richiedere un ordine del giudice per bloccare la diffusione (necessario soprattutto se la piattaforma non ottempera spontaneamente) e rivolgersi al Garante Privacy se la diffusione viola i dati personali o l'immagine.
Il filosofo e giurista Luigi Ferrajoli ha scritto che il garantismo non riguarda solo l'imputato, ma è il modello complessivo di tutela dei diritti fondamentali di ciascuno rispetto al potere. Oggi quel potere non è solo quello dello Stato: è anche quello di un algoritmo che, in pochi secondi, può costruire e distribuire una menzogna che indossa il volto di una persona reale. La sfida del diritto digitale contemporaneo è esattamente questa: elaborare garanzie efficaci contro forme di violazione della persona che non lasciano tracce fisiche, ma producono danni sociali e psicologici tutt'altro che virtuali.
Il quadro normativo italiano, con l'introduzione dell'art. 612-quater c.p., ha compiuto un passo importante. Ma la partita più difficile — quella sul danno reputazionale non sessuale, sulla prova tecnica, sulla quantificazione del pregiudizio immateriale — si gioca ancora in un territorio dove la giurisprudenza deve ancora tracciare confini stabili. Chi si trova vittima di un deepfake oggi non può permettersi di aspettare che quei confini si consolidino.
Redazione - Staff Studio Legale MP
