Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Immaginate di scoprire che qualcuno ha aperto un profilo social con le vostre foto, ha utilizzato le vostre credenziali bancarie per disporre pagamenti, oppure ha diffuso un video in cui la vostra voce è stata clonata dall'intelligenza artificiale. Tre scenari diversi, una domanda comune: è reato? E soprattutto, quale reato? La risposta oggi non è più scontata, perché il diritto penale italiano si trova in una fase di trasformazione accelerata. Il tema dell'identità digitale reato informatico è al centro di una pronuncia recente della Cassazione e di una legge che ha ridisegnato il quadro sanzionatorio con effetti diretti su chiunque operi in rete.
Prima e dopo: come cambiava (e come cambia) il quadro normativo
Per molti anni, il riferimento centrale per i reati di impersonificazione online è rimasto l'art. 494 del codice penale, concepito in un'epoca in cui l'identità era un fatto esclusivamente anagrafico e fisico. L'art. 494 c.p. punisce chiunque, al fine di procurare a sé o ad altri un vantaggio o di recare ad altri un danno, induca taluno in errore sostituendo illegittimamente la propria all'altrui persona, o attribuendo a sé o ad altri un falso nome, un falso stato, ovvero una qualità a cui la legge attribuisce effetti giuridici. La pena è la reclusione fino a un anno.
Già negli anni più recenti la giurisprudenza aveva compiuto uno sforzo interpretativo per adattare questa norma al mondo digitale. La Corte di Cassazione, con la sentenza n. 7808/2019, aveva affermato che integra il reato di sostituzione di persona il comportamento di chi crea un account su un sito online utilizzando le generalità altrui, poiché tale condotta è in grado di indurre altri in errore facendoli ritenere di avere a che fare con un interlocutore che è in realtà un soggetto diverso da quello reale. Una lettura estensiva, ma ancora confinata al perimetro del vecchio art. 494 c.p.
Il problema reale, tuttavia, stava altrove: la nozione di "identità digitale" era rimasta priva di una definizione normativa organica nel diritto penale. L'art. 640-ter, terzo comma, c.p. richiama la nozione di identità digitale senza fornirne una definizione normativa. Questa lacuna ha alimentato per anni un contenzioso giurisprudenziale su cosa dovesse intendersi per identità digitale penalmente rilevante: solo le credenziali rilasciate da soggetti pubblici (SPID, CIE)? Oppure anche quelle di home banking, di piattaforme private, di account di posta elettronica?
La sentenza Cass. pen., Sez. II, 9 luglio 2026, n. 25792: l'identità digitale si allarga
È su questo nodo che interviene la pronuncia più recente e più significativa del panorama attuale. La Corte di Cassazione, Sezione II penale, con la sentenza del 9 luglio 2026, n. 25792, affronta direttamente la questione, chiarendo che la nozione penalmente rilevante di identità digitale non è limitata agli strumenti di identificazione elettronica riconducibili ai sistemi pubblici, ma comprende anche credenziali predisposte da soggetti privati, purché idonee a identificare un determinato utilizzatore nell'ambito di un sistema informatico.
La motivazione della Corte è lucida e ancorata alla realtà dei fatti. L'identificazione della persona nell'ambiente digitale non si realizza più esclusivamente attraverso strumenti disciplinati dalla normativa pubblicistica: la progressiva digitalizzazione ha determinato la diffusione di una molteplicità di sistemi di autenticazione gestiti da soggetti privati, che consentono all'utente di accedere a servizi, impartire disposizioni e compiere operazioni produttive di effetti giuridici e patrimoniali. Limitare la nozione di identità digitale ai soli sistemi pubblici significherebbe escludere dall'ambito applicativo della disposizione una parte rilevante delle modalità attraverso cui oggi la persona opera nei sistemi informatici.
La pronuncia non crea nuove fattispecie penali — il rispetto del principio di legalità è esplicito — ma interpreta in chiave costituzionalmente orientata una norma già esistente, colmando la lacuna definitoria con un criterio funzionale: ciò che conta non è la natura pubblica o privata del soggetto che gestisce il sistema di autenticazione, bensì l'idoneità concreta di quella credenziale a identificare un determinato individuo.
Nello stesso solco si inserisce un'altra pronuncia recente: la Cassazione, con la sentenza n. 14918/2026, ha ribadito che l'uso di credenziali informatiche riconducibili all'identità digitale della vittima integra l'aggravante ex art. 640-ter, comma 3, c.p., e che l'abusivo utilizzo di codici informatici — quand'anche reperiti o ottenuti da soggetti terzi — integra tale aggravante qualora l'agente se ne avvalga allo scopo di conseguire per sé o per altri un ingiusto profitto. Il messaggio è chiaro: non è necessario aver rubato personalmente le credenziali; acquistarle da terzi sul mercato nero equivale, ai fini penali, allo stesso risultato.
Creare un profilo falso con le foto di qualcuno è reato in Italia? Sì. La condotta integra il reato di sostituzione di persona ex art. 494 c.p. ogniqualvolta l'agente utilizzi abusivamente l'immagine o le generalità altrui allo scopo di procurare a sé o ad altri un vantaggio o di recare un danno. Aprire un falso profilo sui social network può integrare il reato di sostituzione di persona, e il suo utilizzo può determinare la consumazione di altri reati. L'articolo 494 c.p. punisce sia chi si finge una persona diversa da quella reale, sia chi utilizza immagini altrui. La Cassazione ha precisato che per configurare il reato non è necessario che il vantaggio indebito abbia natura patrimoniale, potendo consistere in una qualsiasi utilità apprezzabile sotto il profilo giuridico.
Qual è la differenza tra furto di identità digitale e sostituzione di persona? Si tratta di due fattispecie che spesso si sovrappongono, ma che hanno presupposti e conseguenze distinte. La sostituzione di persona (art. 494 c.p.) tutela la fede pubblica e punisce il mendacio identitario, anche quando la vittima non subisce un danno patrimoniale diretto. Il furto di identità digitale, invece, rileva come aggravante del reato di frode informatica (art. 640-ter, comma 3, c.p.) e presuppone l'utilizzo abusivo di credenziali altrui per ottenere un profitto, quindi un danno economico concreto o potenziale. Le due fattispecie possono concorrere quando l'agente prima crea un profilo falso (art. 494) e poi lo usa per accedere a servizi e sottrarre risorse (art. 640-ter aggravato).
Cosa cambia con la nuova legge sull'intelligenza artificiale per i reati di identità online? La risposta è: molto. L'art. 612-quater c.p., introdotto dalla legge 23 settembre 2025, n. 132, rappresenta un tassello importante nel processo di adattamento del diritto penale all'era dell'intelligenza artificiale, dando risposta a un fenomeno — la diffusione di deepfake — che non poteva più essere lasciato esclusivamente alla combinazione di norme generali concepite per un mondo analogico.
La legge n. 132/2025 ha introdotto l'art. 612-quater nel codice penale, rubricato "Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale", in vigore dal 10 ottobre 2025, disegnando una fattispecie autonoma rispetto alla diffamazione e alla diffusione illecita di immagini sessualmente esplicite. La norma punisce con la reclusione da uno a cinque anni chi pubblica o diffonde, senza consenso, immagini, video o voci falsificati con sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità, cagionando un danno ingiusto alla persona ritratta.
Il profilo di maggiore interesse sistematico, tuttavia, riguarda l'aggravante comune. L'impiego dell'intelligenza artificiale per commettere reati — dalla sostituzione di persona alla diffamazione — non può più essere considerato un'attenuante legata alla natura "fittizia" del materiale prodotto: al contrario, l'uso dell'IA diventa un elemento che aggrava la responsabilità penale, aumentando esponenzialmente la capacità di inganno del colpevole e la pervasività del danno arrecato alla vittima. La legge nazionale sull'intelligenza artificiale introduce rilevanti modifiche al codice penale: prevede aggravanti — comuni e speciali — per i reati commessi mediante l'impiego di sistemi di AI e introduce la fattispecie autonoma dell'art. 612-quater c.p.
La collocazione del nuovo reato tra i delitti contro la persona, la configurazione come reato di danno e il riferimento espresso al consenso della persona ritratta confermano la volontà di porre al centro la tutela della dignità e dell'identità individuale, anche nella loro proiezione digitale.
Sotto il profilo procedurale, la procedibilità è a querela, salvo i casi di vittima incapace o di reato commesso contro una pubblica autorità a causa delle funzioni esercitate. Si procede d'ufficio quando il fatto risulta connesso ad altro delitto per il quale è prevista la procedibilità d'ufficio; la procedibilità automatica scatta inoltre se il contenuto manipolato colpisce persone incapaci per età o infermità, oppure pubbliche autorità nell'esercizio delle loro funzioni.
Sul piano pratico, chi scopre di essere vittima di un furto d'identità digitale o di un deepfake deve agire con tempestività: presentare querela entro tre mesi dalla scoperta del fatto (per le ipotesi procedibili a querela), raccogliere e conservare le prove digitali in modo corretto — screenshot con data e ora certificata, notifiche ricevute, URL della pagina — e rivolgersi immediatamente a un professionista con esperienza consolidata in diritto digitale e reati informatici per valutare la strada più efficace tra la via penale, civile e la segnalazione al Garante della Privacy.
Come ha scritto Rudolf von Jhering nel suo celebre saggio sulla lotta per il diritto: la difesa del proprio diritto è al tempo stesso un dovere verso la società, perché chi cede ai soprusi — anche quelli che avvengono in rete — contribuisce a indebolire il sistema normativo nel suo complesso.
Vigilantibus iura subveniunt: il diritto assiste chi veglia sui propri interessi. Nel mondo digitale, questa massima vale più che mai: le piattaforme cambiano, le tecnologie evolvono, ma il principio resta fermo. La sentenza n. 25792/2026 lo conferma operando dall'interno del sistema penale vigente, senza forzature, con una lettura costituzionalmente orientata che anticipa le sfide di un'identità sempre più fluida tra fisico e digitale. La vera domanda che il legislatore dovrà affrontare nei prossimi anni non è se punire il furto d'identità digitale — questa risposta c'è già — ma se il sistema delle fattispecie attuali reggerà alla pressione di tecnologie sempre più sofisticate, capaci di clonare non solo un profilo, ma una voce, un volto, una storia.
Redazione - Staff Studio Legale MP
