Deepfake: tra responsabilità civile e penale

A cura di Avv. Beatrice Donati

Il termine deepfake indica, di solito, un contenuto audio, video o fotografico generato o alterato mediante sistemi di intelligenza artificiale, in modo da rappresentare una persona mentre pronuncia frasi, compie gesti o si trova in situazioni mai realmente verificatesi. 

La particolarità del fenomeno non risiede soltanto nella falsità del contenuto, ma nella sua elevata verosimiglianza, poiché l'immagine, la voce o i movimenti del soggetto possono essere riprodotti con un grado di realismo tale da rendere difficile, almeno per un osservatore non esperto, distinguere il falso dal vero.

Il tema è divenuto particolarmente rilevante perché i deepfake possono essere utilizzati in contesti molto diversi. Nella maggior parte dei casi problematici, essi incidono su diritti della personalità, quali immagine, reputazione, identità personale, riservatezza e protezione dei dati personali. In altri casi possono essere impiegati per commettere frodi, truffe informatiche, condotte estorsive, diffamatorie o lesive della libertà morale della persona. 

Si pensi al video falsamente attribuito a un professionista nel quale egli sembra pronunciare dichiarazioni offensive, oppure alla clonazione della voce di un dirigente aziendale utilizzata per ordinare un bonifico urgente a un dipendente.

Dal punto di vista normativo, la disciplina dei deepfake non è affidata a una sola disposizione. Essa si colloca all'incrocio tra diritto civile, diritto penale, protezione dei dati personali e regolamentazione europea dell'intelligenza artificiale. In ambito europeo, il Regolamento (UE) 2024/1689, noto come AI Act, ha previsto obblighi di trasparenza per taluni contenuti generati o manipolati artificialmente, compresi i deepfake, imponendo che in determinate ipotesi la natura artificiale del contenuto sia resa riconoscibile. Sul piano interno, la legge 23 settembre 2025, n. 132 ha introdotto specifiche disposizioni in materia di intelligenza artificiale e, per quanto qui rileva, ha inserito nel codice penale il nuovo art. 612-quater c.p.

Il deepfake, tuttavia, non è di per sé sempre illecito. La mera creazione di un contenuto artificiale può rimanere giuridicamente neutra quando avviene per finalità lecite, trasparenti e non lesive, ad esempio in ambito cinematografico, artistico, didattico o satirico, purché siano rispettati il consenso dell'interessato, i limiti del diritto d'autore, la normativa sulla protezione dei dati personali e gli obblighi informativi previsti. Il problema giuridico sorge, di solito, quando il contenuto è diffuso senza consenso, è idoneo a trarre in inganno i destinatari e provoca un danno ingiusto alla persona rappresentata.

Sotto il profilo civile, la vittima di un deepfake può agire per ottenere la cessazione della condotta lesiva, la rimozione del contenuto e il risarcimento del danno subito. La base generale della responsabilità civile è rappresentata dall'art. 2043 c.c., secondo cui chi cagiona ad altri un danno ingiusto con dolo o colpa è tenuto al risarcimento. 

Nei casi di deepfake possono inoltre venire in rilievo l'art. 10 c.c., relativo all'abuso dell'immagine altrui, e gli artt. 96 e 97 della legge 22 aprile 1941, n. 633, che disciplinano l'esposizione, la riproduzione e la pubblicazione del ritratto di una persona.

Nella maggior parte dei casi, il danno civile derivante da deepfake riguarda la sfera non patrimoniale. Può trattarsi di danno alla reputazione, danno all'immagine, sofferenza morale, pregiudizio alla vita relazionale o compromissione della credibilità professionale. Secondo l'impostazione consolidata delle Sezioni Unite della Corte di Cassazione, il danno non patrimoniale è una categoria unitaria, risarcibile nei casi previsti dalla legge e quando sia leso in modo serio un diritto della persona costituzionalmente tutelato.[1] 

Nel caso di deepfake, la domanda risarcitoria dovrebbe quindi indicare in modo preciso quale diritto è stato leso, quale contenuto è stato diffuso, attraverso quali canali, per quanto tempo è rimasto accessibile e quali conseguenze concrete ha prodotto.

La quantificazione del danno non segue criteri automatici. Di solito, il giudice valuta la gravità della condotta, la durata della pubblicazione, il numero presumibile di visualizzazioni, il contesto in cui il contenuto è stato diffuso, la riconoscibilità della persona offesa, l'eventuale finalità denigratoria o fraudolenta e le conseguenze personali o professionali documentate.

Ad esempio, se un falso video attribuito a un libero professionista viene pubblicato su una piattaforma social e raggiunge 50.000 visualizzazioni, la richiesta risarcitoria potrebbe essere costruita valorizzando la diffusione del contenuto, l'incidenza sulla reputazione professionale, l'eventuale perdita di clienti e la necessità di sostenere spese per la rimozione, la consulenza tecnica e la tutela legale. 

In un caso del genere, una domanda potrebbe comprendere, a titolo meramente esemplificativo, euro 2.000 per spese tecniche e legali documentate, euro 5.000 per perdita economica provata da incarichi non confermati e una somma ulteriore per danno non patrimoniale, da liquidarsi equitativamente dal giudice.

Quando il deepfake comporta anche un trattamento illecito di dati personali, può assumere rilievo il Regolamento (UE) 2016/679, noto come GDPR. L'immagine del volto, la voce, i dati biometrici e gli elementi identificativi della persona sono dati personali quando consentono di identificare direttamente o indirettamente il soggetto. 

Se il contenuto è creato, archiviato, pubblicato o diffuso senza una valida base giuridica, l'interessato può chiedere la cancellazione, la limitazione del trattamento, l'opposizione all'ulteriore diffusione e, nei casi previsti, il risarcimento del danno. In concreto, la vittima può rivolgersi al titolare del sito o della piattaforma, inviare una richiesta formale di rimozione e, se necessario, presentare reclamo al Garante per la protezione dei dati personali.

Sul piano penale, la disciplina è stata rafforzata dalla legge n. 132/2025, che ha introdotto l'art. 612-quater c.p., rubricato "Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale". La norma punisce chi cagiona un danno ingiusto a una persona mediante cessione, pubblicazione o altra diffusione, senza consenso, di immagini, video o voci falsificati o alterati con sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità. 

La pena prevista è la reclusione da uno a cinque anni. Il delitto è di solito punibile a querela della persona offesa; si procede tuttavia d'ufficio se il fatto è connesso con altro delitto procedibile d'ufficio, oppure se è commesso nei confronti di persona incapace, per età o infermità, o di una pubblica autorità a causa delle funzioni esercitate.

La nuova disposizione non sembra colpire la semplice creazione privata del contenuto, ma la sua cessione, pubblicazione o diffusione non consensuale, quando ne derivi un danno ingiusto. 

Questo significa che, nella maggior parte dei casi, sarà necessario accertare non solo l'esistenza del deepfake, ma anche la condotta di diffusione, l'assenza del consenso, l'idoneità ingannatoria del contenuto e il danno arrecato alla persona offesa. 

Per esempio, se un soggetto crea un audio falso con la voce di un collega e lo invia in una chat aziendale per far credere che questi abbia pronunciato frasi offensive nei confronti del datore di lavoro, la condotta potrebbe rientrare nel nuovo art. 612-quater c.p., qualora siano provati l'uso dell'intelligenza artificiale, la diffusione non autorizzata, l'idoneità a ingannare e il danno ingiusto.

Accanto al nuovo reato, possono continuare a rilevare fattispecie penali tradizionali. Se il deepfake offende la reputazione di una persona comunicando con più soggetti, può astrattamente configurarsi la diffamazione ex art. 595 c.p., eventualmente aggravata dall'uso di un mezzo di pubblicità. 

Se il contenuto serve a far credere che l'autore sia un'altra persona, può venire in rilievo la sostituzione di persona ex art. 494 c.p. Se la clonazione della voce o dell'immagine viene utilizzata per ottenere denaro, può configurarsi la truffa ex art. 640 c.p. In presenza di contenuti sessualmente espliciti, può assumere rilievo l'art. 612-ter c.p., relativo alla diffusione illecita di immagini o video sessualmente espliciti, fermo restando che l'applicazione concreta dipende dalle caratteristiche del contenuto, dalla sua destinazione alla sfera privata, dal consenso e dalle modalità di diffusione.

Per quanto riguarda le richieste risarcitorie, la vittima dovrebbe di solito raccogliere prove sia del fatto illecito sia delle conseguenze subite. 

Sono utili, ad esempio, le comunicazioni ricevute da terzi, le disdette di clienti, le segnalazioni al datore di lavoro, le richieste di chiarimento, le spese sostenute per assistenza tecnica, consulenza legale, supporto psicologico o attività di reputazione digitale. In assenza di un danno patrimoniale documentato, resta possibile chiedere il risarcimento del danno non patrimoniale, ma la domanda deve essere costruita in modo specifico, evitando richieste generiche o meramente assertive.

Un esempio numerico può aiutare a comprendere il metodo. Se un deepfake diffamatorio resta online per dieci giorni, viene condiviso da più profili e determina la perdita documentata di un contratto professionale del valore di euro 3.500, la vittima potrà chiedere il ristoro di tale perdita, oltre al rimborso delle spese documentate e al danno non patrimoniale. Se, invece, non vi è una perdita economica provata, la domanda potrà concentrarsi sulla lesione dell'immagine, della reputazione e dell'identità personale, con liquidazione equitativa rimessa al giudice. In entrambi i casi, la qualità della prova incide in modo rilevante sull'esito della controversia.

In sintesi, il deepfake rappresenta una forma di alterazione digitale che può assumere rilievo civile, penale e privacy. 

La tutela della vittima passa, nella maggior parte dei casi, attraverso la rimozione del contenuto, la querela ove ne ricorrano i presupposti, l'eventuale azione risarcitoria e la documentazione tecnica della falsificazione. Il nuovo art. 612-quater c.p. ha introdotto una fattispecie specifica per la diffusione illecita di contenuti generati o alterati con sistemi di intelligenza artificiale, ma l'inquadramento concreto richiede sempre una valutazione del contenuto, delle modalità di diffusione, del danno prodotto e delle prove disponibili.

[1] Cass. civ., Sez. Unite, 11 novembre 2008, n. 26972, in materia di danno non patrimoniale.