Deepfake: quando un volto rubato diventa reato

Il 96% dei deepfake che circolano online ha natura sessuale. Di questi, quasi tutti ritraggono donne. Non è una stima da talk show: è il dato che torna, anno dopo anno, nei report internazionali sulla violenza digitale — e che in Italia, dall’autunno 2025, ha trovato finalmente una risposta penale autonoma.

Una ragazza di ventidue anni apre Instagram alle sette di mattina. Un messaggio privato, un link, tre screenshot. Il volto è il suo, ripreso da una foto innocua di tre anni fa. Il corpo no. La voce, in un altro file, ripete frasi che non ha mai pronunciato. Non è un «scherzo di montaggio»: è un deepfake, costruito in pochi minuti con strumenti gratuiti, e già inoltrato a colleghi e conoscenti. La domanda che le arriva, insieme alla nausea, è sempre la stessa: «È illegale? E adesso che faccio?»

Dal 10 ottobre 2025 la risposta non è più un mosaico di diffamazione, privacy e fortune processuali. La legge 23 settembre 2025, n. 132 — la legge-quadro italiana sull’intelligenza artificiale — ha inserito nel codice penale l’articolo 612-quater: «Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale». È il reato che molti chiamano, per brevità, reato di deepfake.

Un deepfake non è qualsiasi filtro. È un contenuto — immagine, video o voce — falsificato o alterato con sistemi di IA in modo da sembrare autentico. Il volto di una persona finisce su un corpo altrui; una voce clonata dice cose mai dette; un video politico inventa dichiarazioni. La tecnologia è diventata banale: bastano foto pubbliche e un’app. Il danno, invece, no. Chi lo subisce perde reputazione, lavoro, relazioni, sonno. Chi è già bersaglio di odio — donne, persone LGBTQIA+, persone razzializzate, figure pubbliche — paga un prezzo più alto, perché il falso viaggia sugli stessi canali dell’hate speech e del razzismo online.

Cosa punisce, nel concreto, l’art. 612-quater? La norma non criminalizza il solo fatto di «creare» un deepfake in privato. Punisce chi, senza consenso della persona ritratta, cede, pubblica o altrimenti diffonde immagini, video o voci falsificati o alterati con IA, idonei a indurre in inganno sulla loro genuinità, cagionando un danno ingiusto. La pena è la reclusione da uno a cinque anni. Tre pezzi vanno tenuti insieme: assenza di consenso, idoneità a ingannare, danno. Se manca uno dei tre, la fattispecie non si chiude — ma altri reati (diffamazione, trattamento illecito di dati, 612-ter) possono comunque entrare in gioco.

La procedibilità è, di regola, a querela della persona offesa. Si procede d’ufficio se il fatto è connesso a un altro delitto perseguibile d’ufficio, oppure se la vittima è incapace per età o infermità, oppure se è una pubblica autorità colpita a causa delle funzioni esercitate. In pratica: per la maggior parte delle persone private serve presentare querela; per minori, persone incapaci e autorità pubbliche la macchina penale può partire anche senza.

Molti confondono deepfake e revenge porn. Non sono la stessa cosa. L’articolo 612-ter c.p. — introdotto dal Codice Rosso — sanziona la diffusione non consensuale di immagini o video sessualmente espliciti reali. L’articolo 612-quater riguarda contenuti artificiali o alterati con IA, anche quando non sono a sfondo sessuale: un falso video politico, una voce clonata per truffa, un montaggio diffamatorio bastano, se ingannevoli e dannosi. Quando il deepfake è sessuale, le due norme possono concorrere: il falso non «salva» chi lo diffonde, e il contenuto intimo non esclude l’uso dell’IA. Per chi ha vissuto ricatti, inseguimenti o diffusione di materiale intimo, il quadro si intreccia anche con lo stalking e le tutele contro le molestie reiterate.

Perché importa l’angolo antirazzista e di genere? Perché la violenza digitale non colpisce a caso. Le donne sono 27 volte più esposte degli uomini agli abusi online secondo stime UN Women riprese nel dibattito europeo; in Italia la Polizia postale ha registrato migliaia di reati online contro le donne, con cyberstalking in aumento. I deepnude di cantanti, attrici, giornalista e politiche italiane hanno riempito siti cercatissimi — un dominio segnalato dal Corriere era consultato dell’ordine del milione di volte al mese. Accanto alle celebrity ci sono ragazze senza nome, compagne di classe, colleghe, attiviste. Quando al genere si somma l’origine etnica, il colore della pelle o l’essere migrante, il deepfake diventa un’arma di umiliazione intersezionale: non solo «nuda», ma «straniera», «diversa», «da espellere» — lo stesso lessico che alimenta xenofobia e razzismo nei commenti.

La legge 132/2025 non nasce nel vuoto. Si collega all’AI Act europeo (regolamento UE 2024/1689), che impone obblighi di trasparenza sui contenuti sintetici, e al Digital Services Act, che chiede alle grandi piattaforme di valutare i rischi sistemici — inclusa la violenza di genere online. Ma le norme europee non sostituiscono la querela in Questura: spiegano perché un post può essere rimosso più in fretta, non chi paga in carcere. Per le vittime, la catena pratica resta italiana: prove, segnalazione, querela, rimozione.

Cosa fare, in ordine, se scopri un deepfake di te stesso o di un minore di cui hai la responsabilità. Primo: non cancellare tutto nell’impulso. Come nel cyberbullismo, le prove sono il terreno su cui si costruisce tutto il resto. Screenshot con data, ora, URL, profilo mittente; salvataggio del file video o audio; elenco di chi ha inoltrato. Secondo: chiedere la rimozione alla piattaforma (strumenti di report per «nudità non consensuale», «deepfake», «impersonificazione»). Terzo: valutare con un avvocato o allo sportello della Polizia postale se integrare querela per 612-quater, 612-ter, diffamazione o altro. Quarto: se c’è rischio immediato — ricatto, minacce, diffusione a scuola o sul lavoro — non aspettare «che passi»: documentazione e autorità nello stesso giorno.

Per i minori il percorso si affianca a scuola e Garante privacy, come nelle guide sul bullismo online: referente antibullismo, dirigente, istanza di oscuramento. Un deepfake di una ragazza di quattordici anni non è «scherzo da corridoio»: è materiale che può restare nei dispositivi dei compagni per anni. I genitori che minimizzano («tanto è falso») non proteggono: lasciano che il falso circoli come vero nel gruppo WhatsApp della classe.

Sul lavoro, un deepfake può costare un contratto, una candidatura, una reputazione professionale costruita in dieci anni. Le aziende che ricevono segnalazioni di contenuti falsi su dipendenti dovrebbero avere procedure chiare: non «guardiamo se è vero» in chat di corridoio, ma supporto alla persona, conservazione delle prove, collaborazione con le autorità se richiesto. La discriminazione sul posto di lavoro e l’odio online spesso si tengono per mano: un falso video sessuale o razzista può diventare il pretesto per isolare chi era già bersaglio di microaggressioni.

Ciò che la norma non fa — e va detto senza retorica — è cancellare i deepfake già in rete. La rimozione completa è spesso impossibile: copie private, canali esteri, mirror. Il 612-quater serve a punire e a dissuadere, non a ripristinare il mondo precedente allo screenshot. Per questo la prevenzione conta: limitare foto pubbliche ad alta risoluzione, attivare allerte Google sul proprio nome, formare studenti e redazioni a riconoscere voci e volti sintetici. L’educazione ai media non è un optional da open day: è la prima linea quando un algoritmo replica un volto in trenta secondi.

Chi diffonde «per ridere» o «per far vedere quanto è bravo il tool» non è fuori dalla norma se il contenuto è ingannevole e produce danno. L’intento scherzoso non cancella il dolo generico richiesto dalla fattispecie. Allo stesso modo, condividere un deepfake «per denunciare lo scandalo» senza contesto chiaro rischia di amplificarlo: diventa veicolo, non antidoto. Meglio segnalare, documentare, denunciare — non inoltrare al gruppo dei colleghi.

Il quadro, messo in fila, è questo: il deepfake è falso tecnologico con faccia umana; l’art. 612-quater punisce la diffusione dannosa senza consenso; il revenge porn resta sul materiale reale; le donne e le minoranze restano i bersagli privilegiati; le prove vengono prima della cancellazione emotiva. Per chi vuole inquadrare anche l’odio motivato da razza, etnia o religione, la guida su come denunciare un crimine d’odio resta il complemento naturale quando il deepfake si intreccia a campagne d’odio organizzate.

Restano zone grigie. Un montaggio ironico riconoscibile come falso può non «indurre in inganno»; un danno solo emotivo, senza ricadute documentabili, può rendere più difficile la prova in giudizio; un server estero può rallentare le richieste di rimozione. Non sono scuse per chi diffonde: sono i punti in cui avvocato e autorità fanno la differenza tra una querela solida e una denuncia generica. Chi ha subito minacce coordinate, doxxing o campagne d’odio razzista legate al video falso non deve scegliere tra «reato tecnologico» e «reato d’odio»: può farli valere insieme, con prove ordinate.

La ragazza dei messaggi delle sette non ha bisogno di un saggio sull’IA. Ha bisogno di sapere che la legge, finalmente, ha un nome per quello che le è successo — e che quel nome porta fino a cinque anni di reclusione per chi ha premuto «condividi» sul suo volto rubato.

Un volto clonabile in pochi clic non è più fantascienza da laboratorio: è un rischio quotidiano, e da ottobre 2025 è anche un reato tipizzato. L'art. 612-quater non restituisce la notte insonne a chi ha visto se stesso in un video mai girato, ma mette un confine: il falso che inganna e ferisce non è «solo internet».

Cosa ricordare. Uno: salvare prove prima di cancellare. Due: 612-quater (deepfake IA) e 612-ter (materiale sessuale reale) sono distinti e possono concorrere. Tre: la querela è la regola; per minori e autorità pubbliche si può procedere d'ufficio. Quattro: piattaforme, Polizia postale e avvocato lavorano in parallelo, non in alternativa.

FAQ – Domande frequenti

Cos'è il reato di deepfake in Italia?

È l'art. 612-quater c.p., introdotto dalla legge 132/2025: punisce chi, senza consenso, diffonde immagini, video o voci alterati con IA, idonei a ingannare sulla genuinità e tali da cagionare un danno ingiusto. Pena: reclusione da 1 a 5 anni.

Creare un deepfake è reato oppure solo diffonderlo?

La norma tipizza cessione, pubblicazione o diffusione che causano danno. Generare in privato senza diffusione non rientra nella fattispecie principale, ma altri illeciti (privacy, minaccia, ricatto) possono comunque configurarsi a seconda dei fatti.

Qual è la differenza tra deepfake e revenge porn?

Il revenge porn (612-ter) riguarda materiale sessuale reale diffuso senza consenso. Il deepfake (612-quater) riguarda contenuti falsificati o alterati con IA, anche non sessuali. Se il deepfake è sessuale, le due norme possono applicarsi insieme.

Cosa fare subito se scopro un deepfake su di me?

Conservare screenshot, URL e file; segnalare alla piattaforma; valutare querela in Questura o Polizia postale; se è coinvolto un minore, attivare anche scuola e, se serve, Garante privacy. Non inoltrare il contenuto «per far vedere».

Approfondimenti consultati: Gazzetta Ufficiale — Legge 23 settembre 2025, n. 132 (25G00143), Normattiva — Legge 23 settembre 2025, n. 132, Altalex — Art. 612-quater c.p. e tutela penale contro i deepfake, Giustizia Insieme — Profili penalistici della legge n. 132/2025, Corriere della Sera — Reato di deepfake: in cosa consiste, Regolamento (UE) 2024/1689 — AI Act e UN News — Deepfake abuse and protection gaps (2026).