Deepfake e immagini sessuali, boom di foto manipolate: come proteggersi sui social

Immaginate di pubblicare sul social X una foto di vacanza in montagna, con voi e i vostri figli. Sotto, tra i commenti al vostro post, dopo qualche minuto compare la stessa foto modificata dall’intelligenza artificiale. Tutti apparite ora in bikini, in pose sessuali. Bambini compresi. La commissione europea e autorità della Francia hanno scritto indignate a X, di proprietà del miliardario Elon Musk e il miliardario ha dovuto fare marcia indietro. L’8 gennaio il Garante privacy italiano ha fatto un provvedimento invece di avviso agli utenti che usino in questo modo l’intelligenza artificiale.

Le mosse del garante Privacy

L’Autorità ha ricordato che “l’utilizzo di tali strumenti e la diffusione dei contenuti così generati, tramite social media o altri servizi digitali e applicazioni di messaggistica, possono determinare, oltre a possibili fattispecie di reato, in assenza del consenso degli interessati, gravi violazioni dei diritti e delle libertà fondamentali delle persone coinvolte, con tutte le conseguenze, anche sanzionatorie, previste dalla normativa europea in materia di protezione dei dati personali”.

L’avviso è rivolto non solo agli utenti Grok – l’AI integrata in X – ma anche a quelli di Chatgpt e Clothoff (servizio specializzato nel togliere i vestiti alle persone ritratte in foto).§

Con lo stesso provvedimento, il Garante ha inoltre richiamato i fornitori di tali servizi alla necessità di progettare, sviluppare e rendere disponibili applicazioni e piattaforme in modo tale da garantire che gli utenti possano utilizzarle nel rispetto della disciplina privacy.

Il Garante ha infatti appurato che tutti questi servizi di AI rendono molto facile l’uso illecito di immagini di terze persone. Questi contenuti AI si chiamano “deepfake” e possono essere anche audio-video, riproducendo la voce delle persone per far loro dire cose inventate, con il loro stesso timbro vocale.

I dubbi sull’impegno delle piattaforme

C’è in realtà più di qualche dubbio che le piattaforme siano interessate ad arginare il fenomeno. Dopo lo scandalo, X per ora ha limitato il servizio di AI per le immagini agli abbonati paganti. Al tempo stesso Musk si è vantato su X del successo dell’iniziativa, in termini di aumentato engagement degli utenti sul social. Il sesso, si sa, vende. Nel frattempo, però, se non consensuale infrange parecchie leggi. Vale anche per i deepfake. Ci sono quindi tutele legali per le vittime, anche se non molto agevoli da percorre.

Cosa si rischia

“Chi fa deepfake non consensuali corre rischi su tre piani: penale, civile e privacy”, riassume l’avvocato Antonino Polimeni. “Partiamo dal penale, perché è quello che spaventa di più. Se il deepfake viene diffuso e crea un danno, oggi c’è un reato specifico: la diffusione di contenuti generati o alterati con intelligenza artificiale senza consenso”, dice Polimeni.

Conferma il giurista Fulvio Sarzana: “il reato è nel nuovo art 612 quater del codice penale, come introdotto dalla nuova legge italiana 132/2025 sull’intelligenza artificiale, che è entrata in vigore il 10 ottobre 2025”.,

La pena prevista arriva fino a cinque anni di reclusione. Accanto a questo, il reato che scatta più spesso è la diffamazione aggravata tramite internet o strumenti di messaggistica e qui la pena è da sei mesi a tre anni. Tradotto: “se io creo un’immagine falsa e la mando a colleghi, amici, compagni di classe, o la pubblico su un social, posso finire in un procedimento penale vero, con il rischio concreto di una condanna. Se poi il contenuto viene usato per ricattare, si entra nell’estorsione e lì le pene salgono molto. Se riguarda minori, il quadro è ancora più duro, perché si entra nell’ambito della pornografia minorile, con pene altissime e un approccio di tolleranza zero”, dice Polimeni.

Concorda l’avvocato Marco Martorana: “Dal punto di vista penale, la pubblicazione di immagini sessualmente esplicite può integrare il reato di revenge porn (art. 612-ter c.p.), anche se le immagini sono artificialmente create. La legge considera l'effetto lesivo sulla dignità della persona, indipendentemente dal mezzo. Inoltre, la diffusione su social media può comportare diffamazione aggravata (art. 595, comma 3 c.p.) e, nei casi più gravi, atti persecutori (art. 612-bis c.p.). La recente Legge 23 settembre 2025, n. 132 ha introdotto l'art. 612-quater, che punisce la diffusione non consensuale di contenuti alterati tramite IA. È stata anche aggiunta una circostanza aggravante per i reati commessi con l'uso di sistemi di intelligenza artificiale”.

“Sul civile, la regola è semplice”, aggiunge Polimeni. “L’immagine e la dignità della persona sono protette dalla legge. Se io metto il volto di qualcuno su un corpo nudo e lo diffondo, sto violando il diritto all’immagine e alla riservatezza e posso essere condannato a risarcire il danno. A questo si aggiunge il danno da diffamazione, che viene liquidato autonomamente quando il contenuto lede la reputazione della persona, come accade quasi sempre in questi casi”. “I giudici liquidano cifre che possono andare da qualche migliaio di euro fino a decine di migliaia, in base a quanto è grave l’offesa e a quanto si è diffusa (ipotizziamo, in base alle raccolte di giurisprudenza, un gruppo di Whatsapp di 10 persone, una immagine di una persona non nota ma conosciuta dai componenti del gruppo, un risarcimento che può arrivare a 23-30 mila euro)”, spiega.

Le violazioni della privacy

Poi c’è il tema privacy, che molti sottovalutano. Il Garante ha appena ribadito che generare contenuti usando immagini o voci reali di terze persone è trattamento di dati personali. Quindi: “se lo fai senza una base giuridica e senza informare correttamente l’interessato, rischi provvedimenti correttivi e sanzioni amministrative. Chi agisce con un’organizzazione alle spalle (piattaforme, gruppi strutturati, canali, siti, attività anche solo “semi-professionali”) è molto più esposto, perché entra pienamente nel mirino dell’Autorità, con multe che, nei casi più gravi, possono arrivare fino a 20 milioni di euro o al 4% del fatturato, oltre a ordini di blocco e rimozione”.

E il singolo cittadino? “La distinzione più realistica non è tra azienda” e privato, ma tra mi è rimasto solo sul telefono e l’ho condiviso”, spiega Polimeni. “Se un singolo cittadino crea un deepfake e lo manda a qualcuno, anche solo a due persone, entra già nella zona di rischio. Non serve essere un’organizzazione. Il fatto che sia “uno scherzo” non è una difesa. E il fatto che l’immagine sia falsa conta poco, perché l’offesa nasce dall’attribuire a una persona reale un contenuto sessuale che non le appartiene”.

In pratica, chi lo fa rischia tre cose molto concrete: un procedimento penale con pene anche detentive, un risarcimento danni che può pesare parecchio, e l’obbligo di rimuovere tutto, spesso in tempi rapidi e con costi legali. E c’è un elemento che aggrava tutto: la velocità di diffusione. Una volta che il contenuto circola, anche se lo togli, il danno resta e la responsabilità pure.

Come tutelarsi

“Questi comportamenti, nella maggior parte dei casi, integrano reati perseguibili a querela, quindi presentare denuncia è un passaggio fondamentale, anche perché abbiamo un termine di tre mesi. Questo serve ad attivare l’indagine penale e, soprattutto, a cristallizzare subito i fatti”, spiega Polimeni.

Il consiglio è anche quello di raccogliere le prove (screenshot, link, date, nomi dei soggetti coinvolti), mostrare i contenuti a persone che potrebbero testimoniare e avviare immediatamente le segnalazioni alle piattaforme. Oggi questo tipo di contenuti rientra chiaramente tra quelli illegali o gravemente lesivi dei diritti delle persone e, se la segnalazione è ben documentata, le piattaforme possono intervenire rapidamente, nota Polimeni.

Un ruolo decisivo potrebbero svolgerlo i cosiddetti segnalatori attendibili. Si tratta di soggetti qualificati, previsti dal diritto europeo, riconosciuti dalle autorità pubbliche (in Italia dall’Agcom) proprio per individuare e segnalare contenuti illegali come deepfake, pornografia non consensuale e violazioni dell’immagine. Le loro segnalazioni hanno una corsia preferenziale presso le piattaforme e vengono trattate con priorità. In casi come questi, dove ogni ora conta, rivolgersi a un segnalatore attendibile può portare alla rimozione del contenuto in tempi molto più rapidi rispetto alle segnalazioni ordinarie.

Il messaggio chiave è questo: gli strumenti per fermare il danno esistono, sia sul piano penale sia su quello civile e operativo, ma il tempo è decisivo e prima si interviene, più si limita l’impatto sulla vita della persona coinvolta.

Poi ci sono le tutele privacy. “Il Garante Italiano – spiega Sarzana - è già competente dal 2017 a gestire le segnalazioni per cyberbullismo, intese come qualunque forma di pressione, aggressione, molestia, ricatto, ingiuria, denigrazione, diffamazione, furto d’identità, alterazione, acquisizione illecita, manipolazione, trattamento illecito di dati personali in danno di minorenni, realizzata per via telematica, nonché la diffusione di contenuti on line aventi ad oggetto anche uno o più componenti della famiglia del minore il cui scopo intenzionale e predominante sia quello di isolare un minore o un gruppo di minori ponendo in atto un serio abuso, un attacco dannoso, o la loro messa in ridicolo”.

Per far questo il minore che abbia compiuto 14 anni, o il genitore, in caso non li abbia compiuti, ha facoltà di inviare un reclamo al Garante per la protezione dei dati personali, il quale, entro quarantotto ore dal ricevimento della richiesta, provvede.

Il Garante privacy ha in proposito pubblicato un modello per la segnalazione/reclamo in materia di cyberbullismo, da compilare e inviare via e-mail all’Autorità.