Deepfake: cos'è e come riconoscerlo

Cos'è un deepfake

La parola nasce dall'unione di deep learning (il tipo di intelligenza artificiale che lo rende possibile) e fake, falso. Sono video, foto e audio falsi creati con software di intelligenza artificiale che sovrappongono il volto di una persona sul corpo di un'altra, o che riproducono voce, tono e cadenza di qualcuno che quelle parole non le ha mai dette.

Non è più un lavoro da esperti con attrezzatura costosa: gli strumenti che li creano sono oggi alla portata di chiunque, ed è uno dei motivi per cui il fenomeno è cresciuto così in fretta.

I segnali per riconoscerlo (e perché non bastano da soli)

Prima di leggerli: questi segnali sono indicativi, non definitivi. I deepfake migliorano in continuazione, e un segnale che oggi funziona può smettere di funzionare fra un anno — è la stessa onestà che vale per il phishing: chi promette un elenco di trucchi infallibili sta vendendo una sicurezza che non esiste.

1. Il volto è curato, il resto no. Chi crea un deepfake mette quasi tutto lo sforzo sul viso: guarda invece la postura del corpo e le luci e le ombre dell'immagine, che restano spesso trascurate e fuori posto.
2. Il movimento degli occhi e il battito delle ciglia. Sono fra le cose più difficili da riprodurre artificialmente: occhi troppo fissi, che sbattono le palpebre in modo innaturale o troppo poco, sono un segnale.
3. I denti. La loro definizione è un altro dettaglio che l'IA fatica a rendere in modo naturale: bordi troppo uniformi o sfocati quando il resto del volto è nitido.
4. La sincronizzazione fra voce e labbra. Una perfetta corrispondenza fra quello che si sente e il movimento della bocca è difficile da ottenere, e uno scarto anche piccolo è un campanello d'allarme.

Come vengono usati per fare danno

I tre usi dannosi più diffusi, nello stesso ordine della fonte della Polizia Postale:

1. Contenuti pornografici non consensuali: il volto di una persona reale montato su un corpo che non è il suo, senza il suo consenso.
2. Disinformazione: video o audio di personaggi pubblici che dicono cose mai dette, costruiti per sembrare notizie vere.
3. Truffe e finti investimenti: la voce o il volto clonati di una persona conosciuta (un dirigente, un familiare, un volto noto) per convincere qualcuno a fare un bonifico o un investimento falso.

Cosa dice la legge italiana

Dal 10 ottobre 2025 è in vigore la Legge 132/2025, la prima legge italiana sull'intelligenza artificiale, che ha introdotto nel Codice Penale il nuovo reato di «illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale» (articolo 612-quater).

Punisce con la reclusione da 1 a 5 anni chi causa un danno ingiusto diffondendo, senza il consenso della persona interessata, immagini, video o voci falsificate con l'intelligenza artificiale e idonee a ingannare sulla loro genuinità. La Legge 132/2025 è descritta come la prima legge nazionale organica sull'intelligenza artificiale approvata in un Paese dell'Unione Europea — non come il primo reato specifico sui deepfake: la Francia ne ha uno dal maggio 2024.

Se sei vittima di un deepfake: cosa fare

Se hai scoperto un contenuto falso che ti ritrae, o che ritrae qualcuno che conosci, due strade — non alternative, si possono fare entrambe.

1. Querela alla Polizia Postale, ai Carabinieri o in Procura: di regola serve la querela della vittima, ma si procede d'ufficio (senza querela) se la vittima è minorenne o incapace, è una pubblica autorità, o se c'è un altro reato collegato. Si può consegnare di persona, tramite un incaricato, per raccomandata con firma autenticata, o depositarla in via telematica con un avvocato. Sul sito della Polizia Postale (commissariatodips.it) si può fare online solo una segnalazione, utile come prima pista per gli investigatori, ma che non sostituisce la querela.
2. Se il contenuto è sessualmente esplicito, segnalazione d'urgenza al Garante Privacy (servizi.gpdp.it): l'art. 144-bis del Codice della privacy prevede che il Garante decida entro 48 ore dalla segnalazione. La norma è nata per il revenge porn (contenuti intimi diffusi senza consenso) e non nomina espressamente i deepfake generati dall'IA: va usata, ma senza darla per certa al cento per cento.
3. Reclamo al Garante per la protezione dei dati personali (gpdp.it): il Garante segue da vicino il fenomeno e ha già agito contro piattaforme che generavano deepfake non consensuali, per esempio Clothoff nell'ottobre 2025 (un provvedimento sul trattamento dei suoi dati, con i poteri ordinari del Garante — diverso dal bloccare l'accesso alla piattaforma, vedi nota).