Deepfake e identità digitale: cosa prevede la nuova legge italiana nel 2026

Non bastava il vecchio repertorio delle bufale, delle clip decontestualizzate, dei montaggi da sottoscala e dei falsi profili. Adesso c’è la versione industriale della manipolazione: il deepfake generato dall’intelligenza artificiale, quello che ti prende la faccia, la voce, i movimenti, perfino l’intonazione da telegiornale, e li usa contro di te. Non più soltanto per fare la solita porcheria virale, ma per spostare reputazioni, soldi, consenso, fiducia pubblica. E siccome il giocattolo è diventato abbastanza potente da far saltare un principio elementare — cioè che una persona dovrebbe almeno possedere il proprio volto — il Senato sta esaminando un disegno di legge che prova a mettere qualche paletto.

Il testo è il DDL S. 1644, dedicato alla tutela dell’identità personale nell’uso di tecnologie di intelligenza artificiale. Sulla carta, l’idea è semplice e perfino ragionevole: se un algoritmo può rifarti faccia e voce in modo credibile, allora faccia e voce non possono più essere trattate come materia prima libera. Devono tornare a essere quello che sono sempre state: parte della persona. E qui sta il punto politico, culturale e perfino filosofico della questione. Per anni la rete ci ha abituati a pensare che tutto ciò che è tecnicamente copiabile sia, in fondo, anche socialmente disponibile. Il deepfake porta questa logica a compimento: non ti ruba un dato, ti ruba la presenza.

Che cosa prevede davvero il disegno di legge

Il DDL parte da un principio netto: ogni persona fisica avrebbe un diritto esclusivo sul proprio nome, sulla propria immagine, sulla propria voce, sull’espressione facciale e sulla propria identità visiva e sonora, anche quando questi elementi vengono riprodotti, simulati o modificati tramite AI. Tradotto: non conta più soltanto la fotografia rubata o il video autentico diffuso senza permesso. Conta anche la replica sintetica, quella costruita da zero ma abbastanza realistica da sembrare vera.

Il secondo passaggio è ancora più importante, perché entra nel vivo del problema: sarebbe vietato riprodurre, imitare, simulare o diffondere l’identità di una persona mediante intelligenza artificiale senza un consenso esplicito, informato e documentato. Qui il legislatore prova a evitare il solito balletto all’italiana del “eh ma era una parodia”, “eh ma era per scherzo”, “eh ma era satira”. Infatti il testo precisa che il divieto si applicherebbe anche a usi artistici, satirici o parodistici quando da quell’uso derivi un danno alla reputazione, alla dignità o all’integrità della persona rappresentata.

È la parte che farà discutere di più, perché il confine tra tutela dell’identità e libertà di espressione non è un dettaglio da nota a piè di pagina. È il cuore della faccenda. Se una norma viene scritta male, rischia di difendere i cittadini dai deepfake e, insieme, di offrire ai potenti un altro randello contro critica, satira e controinformazione. Se invece viene scritta bene, può distinguere tra manipolazione dannosa e libertà creativa. Ma quella distinzione non si fa con gli slogan: si fa con i criteri, con la giurisprudenza e con testi normativi che non sembrino usciti da una riunione tra ufficio stampa e panico morale.

Il DDL introduce poi una novità non banale: la presunzione di danno. In pratica, se l’immagine o la voce di una persona vengono usate senza autorizzazione tramite sistemi di AI, il danno si presume salvo prova contraria. È un cambio di impostazione molto forte. Finora, nel mondo digitale, la vittima doveva spesso inseguire il danno come si inseguono i fantasmi: dimostrare l’offesa, misurarne gli effetti, rincorrere la diffusione, spiegare perché un contenuto “falso ma virale” abbia prodotto un danno reale. Qui il meccanismo si ribalta: non tocca più solo alla persona lesa farsi processualmente in quattro, ma a chi ha diffuso o creato il contenuto dimostrare che quel danno non c’è stato.

Non solo. La persona colpita avrebbe diritto alla rimozione immediata del contenuto da ogni piattaforma, a una rettifica pubblica e al risarcimento del danno materiale e morale. In parallelo, chi diffonde contenuti audiovisivi generati o alterati da sistemi di AI che riproducono sembianze umane dovrebbe segnalarne in modo chiaro e visibile la natura artificiale. Non è una fantasia sovranista di giornata: è la direzione già tracciata dall’AI Act europeo, che impone obblighi di trasparenza per i deepfake e per certi contenuti generati o manipolati con finalità informative.

Perché non basta dire “mettiamo un’etichetta”

C’è sempre un momento, in queste discussioni, in cui qualcuno se ne esce con la soluzione da bar dello sport istituzionale: “Basta obbligare a scrivere che è generato con l’AI”. Certo. Come no. E magari pensiamo pure di fermare le truffe con un adesivo fluorescente. La verità è che il labeling è necessario, ma non sufficiente. Serve per i contenuti leciti, per gli usi professionali, per i casi in cui un soggetto opera in chiaro e accetta il gioco delle regole. Ma il grosso del problema, soprattutto nei casi più tossici, non arriva dai produttori diligenti: arriva da chi punta proprio sull’inganno.

Per questo il DDL affianca all’obbligo di trasparenza un’altra leva: le piattaforme dovrebbero prevedere strumenti di segnalazione e blocco rapido dei contenuti, su richiesta dell’interessato. È una logica coerente anche con il Digital Services Act: non un potere magico di cancellazione immediata, ma un sistema in cui gli intermediari non possano più fingere di essere soltanto tubi neutri mentre intanto monetizzano qualunque contenuto riesca a trattenere attenzione.

Il problema, infatti, non è solo il falso. È il mercato del falso. Il deepfake prospera perché trova un ecosistema perfetto: piattaforme che premiano l’engagement, algoritmi che spingono ciò che sorprende, utenti che condividono prima di capire, e un’economia dell’attenzione che trasforma ogni shock in valore. È lo stesso meccanismo che abbiamo raccontato parlando di economia dell’attenzione, di algoritmi social e del vero potere degli algoritmi: la menzogna digitale non corre da sola, viene spinta da un’infrastruttura che ha tutto l’interesse a farla correre.

Ecco perché questa legge, se vuole funzionare, non può limitarsi a dire “tu non puoi falsificare la faccia di un altro”. Deve anche rispondere a una domanda più scomoda: cosa succede quando quella falsificazione viene premiata dal sistema? Quando il contenuto lesivo non è solo creato, ma raccomandato? Quando in poche ore un audio finto o un video fasullo finiscono in migliaia di feed, nei gruppi Telegram, nei repost su X, nei tagli verticali su TikTok, nei reel “informativi” fatti da nessuno per nessuno ma visti da tutti?

Tra reato, identità e libertà: il nodo politico vero

L’Italia non parte da zero. Con la legge 132/2025 ha già messo mano alla materia dell’intelligenza artificiale e, sul piano penale, ha aperto la strada a un contrasto specifico contro la diffusione illecita di contenuti generati o alterati tramite AI. Ma quel primo intervento, pur importante, non bastava a ricomporre il puzzle. Restavano pezzi sparsi tra codice penale, privacy, diritto all’immagine, responsabilità civile, piattaforme e obblighi di trasparenza. Il DDL 1644 prova a fare una cosa più ambiziosa: trasformare la difesa contro i deepfake in una difesa dell’identità personale.

Ed è qui che la questione diventa molto più grande dei deepfake. Perché se il diritto comincia a riconoscere che volto, voce e identità sintetica sono beni da proteggere in modo autonomo, allora si apre un nuovo capitolo del rapporto tra persona e ambiente digitale. Non stiamo più parlando solo del diritto a non essere diffamati. Stiamo parlando del diritto a non essere ricostruiti artificialmente come oggetti comunicativi altrui.

È un passaggio enorme. Per anni internet ha trasformato l’identità in materiale estraibile: dati, immagini, tracce comportamentali, frammenti linguistici. L’AI generativa fa il salto successivo: da quel materiale non si limita a profilarti, ma può rigenerarti. Può produrre un tuo doppio plausibile. Può farlo parlare, testimoniare, insultare, truffare, sedurre, ricattare, mentire. E più gli strumenti diventano accessibili, più questo potere esce dai laboratori e finisce nelle mani di chiunque abbia una connessione, un movente e cinque minuti liberi.

Naturalmente resta la domanda più delicata: chi decide quando un contenuto sintetico lede davvero dignità e reputazione? Chi valuta il rapporto tra satira e danno? Chi controlla che la rimozione rapida non diventi scorciatoia per zittire contenuti scomodi ma leciti? Sono domande serie. E sarebbe infantile fingere che non esistano. Ma è altrettanto infantile dire il contrario, cioè che siccome il bilanciamento è difficile allora tanto vale non fare nulla. Sarebbe come sostenere che, visto che la diffamazione a volte si confonde con la critica, aboliamo direttamente ogni tutela. Comodo, soprattutto per chi vive di ambiguità.

La verità è che i deepfake stanno spingendo il diritto a rincorrere una mutazione profonda della sfera pubblica. Lo avevamo già visto con i rischi dell’intelligenza artificiale, con i limiti dell’AI e con il problema dei deepfake nel dibattito pubblico: quando la falsificazione diventa perfetta, la fiducia non crolla soltanto sul contenuto falso. Crolla sul contenuto vero. Tutto diventa contestabile, tutto diventa sospetto, tutto può essere liquidato con la formula perfetta del nostro tempo: “Tanto ormai non si capisce più niente”.

Ed è proprio questo il rischio più pericoloso. Non il singolo video taroccato, per quanto devastante. Ma l’ambiente cognitivo che i deepfake costruiscono. Un ambiente in cui la prova visiva smette di valere, la voce smette di essere traccia, l’immagine smette di testimoniare. Un ambiente in cui non vincono i più credibili, ma i più rapidi, i più emotivi, i più manipolatori. E in un sistema del genere, la libertà non aumenta: diminuisce. Perché se non puoi più distinguere il reale dal sintetico, finisci per consegnarti a chi urla più forte o a chi controlla meglio i canali di distribuzione.

Per questo il DDL 1644 merita attenzione, ma non deferenza automatica. Va preso sul serio, migliorato dove serve, blindato contro gli abusi interpretativi e reso compatibile con libertà di espressione, informazione e satira autentica. Però una cosa la dice con chiarezza, e su quella non c’è molto da ironizzare: nell’era dell’AI generativa, l’identità personale non può restare una terra di nessuno.

Il vero bersaglio dei deepfake non è solo la tua immagine, ma la possibilità stessa di fidarti di ciò che vedi e senti. E quando ti rubano la fiducia nel reale, non ti stanno solo ingannando, ti stanno facendo Gaslighting.