Un contenuto creato con l’intelligenza artificiale può essere satirico e, nello stesso tempo, ledere l’identità e la dignità della persona rappresentata. È il principio che emerge dal recente intervento del Garante per la protezione dei dati personali sui filmati deepfake nei quali immagine e voce del giornalista Enrico Mentana erano state manipolate per attribuirgli dichiarazioni mai pronunciate.
Il provvedimento n. 577 del 23 luglio 2026, reso noto con il comunicato del 7 agosto 2026, offre indicazioni importanti non soltanto per il mondo dell’informazione, ma anche per aziende, professionisti, gestori di pagine social e cittadini. L’uso di immagini, voce e sembianze altrui mediante sistemi di IA non diventa automaticamente lecito perché accompagnato dalla parola “deepfake” o presentato come satira.
Il caso esaminato dal Garante
Il procedimento ha riguardato alcuni servizi televisivi nei quali l’immagine reale di Enrico Mentana, collocata nel consueto studio del telegiornale, era stata associata mediante strumenti di intelligenza artificiale a un doppiaggio e a dichiarazioni predisposte dagli autori del programma. I filmati erano stati diffusi anche online e attraverso i canali social.
La società editrice aveva richiamato la libertà di satira e aveva sostenuto di avere informato il pubblico della natura artificiale dei contenuti. Il Garante ha però attribuito rilievo alle caratteristiche concrete dei filmati: il loro realismo, la plausibilità delle dichiarazioni, il contesto professionale autentico e la difficoltà, per uno spettatore medio o poco attento, di percepire immediatamente la manipolazione.
Secondo l’Autorità, proprio questa combinazione poteva indurre il pubblico a ritenere autentiche parole mai pronunciate, con un rischio concreto per l’identità personale, la reputazione e la corretta informazione.
Immagine e voce sono dati personali
Una fotografia, un filmato e una registrazione vocale possono identificare una persona e costituiscono quindi dati personali. Anche la loro trasformazione mediante un algoritmo è un trattamento soggetto al Regolamento generale sulla protezione dei dati.
Il problema non riguarda soltanto il reperimento iniziale dell’immagine o della voce. Occorre valutare anche la successiva elaborazione, la finalità perseguita, il contesto nel quale il contenuto viene presentato, il pubblico raggiunto e le conseguenze prevedibili per l’interessato.
Nel caso esaminato, il Garante ha accertato la violazione dell’articolo 5 del GDPR, che impone i principi di liceità, correttezza e trasparenza, e dell’articolo 25, relativo alla protezione dei dati fin dalla progettazione e per impostazione predefinita. R.T.I. è stata ammonita ed è stato vietato l’ulteriore utilizzo dei dati del giornalista con le modalità contestate, salva la conservazione necessaria per eventuali esigenze giudiziarie.
Satira e libertà di espressione non sono diritti senza limiti
Il provvedimento non afferma che i deepfake siano sempre vietati, né che la satira debba rinunciare agli strumenti offerti dall’innovazione tecnologica. Ribadisce però che la libertà di espressione deve essere bilanciata con i diritti fondamentali, la dignità e la riservatezza della persona rappresentata.
La valutazione deve essere concreta. Una caricatura palesemente irreale è diversa da un filmato che riproduce fedelmente volto, ambiente professionale e modalità comunicative di un soggetto, attribuendogli affermazioni verosimili. Quanto più il contenuto appare autentico, tanto maggiore è il rischio di inganno e più rigorose devono essere le cautele.
Assume rilievo anche il modo in cui il contenuto circola. Un’avvertenza presente all’inizio di una trasmissione può non accompagnare gli estratti successivamente condivisi sui social, visualizzati fuori contesto o ripubblicati da terzi.
Perché un semplice disclaimer può non bastare
Scrivere “contenuto generato con IA” non sana automaticamente qualsiasi utilizzo di immagini e voci altrui. L’informazione deve essere chiara, evidente, tempestiva e comprensibile per il pubblico concretamente raggiunto.
Nel giudizio del Garante hanno pesato la scarsa percepibilità dell’alterazione e l’insufficienza delle avvertenze rispetto a un pubblico medio o poco attento. La trasparenza non può quindi ridursi a una formula collocata in una descrizione, in un titolo o in un passaggio che l’utente potrebbe non vedere.
Prima della diffusione occorre chiedersi:
- la natura artificiale del contenuto è immediatamente riconoscibile?
- l’avvertenza rimane visibile anche negli estratti e nelle condivisioni?
- le parole attribuite alla persona possono apparire autentiche?
- il contesto utilizzato rafforza l’inganno?
- sono stati valutati i possibili effetti sulla dignità, sulla reputazione e sull’attività professionale dell’interessato?
Gli obblighi di trasparenza dell’AI Act
Il quadro è oggi completato dal Regolamento europeo sull’intelligenza artificiale. Dal 2 agosto 2026 trovano applicazione anche gli obblighi dell’articolo 50 dedicati alla trasparenza dei sistemi e dei contenuti generati o manipolati artificialmente.
Chi utilizza un sistema di IA per creare o manipolare immagini, audio o video che costituiscono un deepfake deve rendere noto che il contenuto è stato generato o alterato artificialmente. Per opere manifestamente artistiche, creative, satiriche o fittizie il regolamento prevede modalità informative che non ostacolino la fruizione dell’opera; ciò non elimina, tuttavia, il dovere di trasparenza né l’applicazione del GDPR e delle altre tutele della persona.
È importante distinguere i due piani. Il provvedimento del Garante è fondato sui principi del GDPR e sulle caratteristiche specifiche dei filmati contestati. L’AI Act aggiunge obblighi destinati a rendere riconoscibili i contenuti artificiali, ma non costituisce un’autorizzazione generale all’impiego della voce o dell’immagine altrui.
Come può tutelarsi la vittima di un deepfake
Chi scopre un contenuto manipolato che utilizza il proprio volto o la propria voce dovrebbe anzitutto conservarne la prova: indirizzo web, data, schermate, filmato e indicazione degli account che lo hanno pubblicato. La tempestività è importante perché i contenuti possono essere rimossi, modificati o replicati altrove.
A seconda del caso, è possibile:
- chiedere al responsabile e alla piattaforma la rimozione o la limitazione della diffusione;
- esercitare i diritti previsti dal GDPR;
- presentare reclamo al Garante per la protezione dei dati personali;
- ricorrere al giudice per tutelare immagine, identità, onore e reputazione e chiedere il risarcimento del danno;
- valutare, nei casi più gravi, la presenza di condotte penalmente rilevanti.
La scelta dello strumento dipende dal contenuto, dalla finalità, dall’ampiezza della diffusione e dal pregiudizio prodotto. Non ogni manipolazione integra automaticamente un illecito penale o dà luogo a un risarcimento, ma la qualificazione come satira non impedisce una verifica giuridica rigorosa.
Le cautele per aziende, media e creatori di contenuti
Il caso mostra che la conformità deve essere progettata prima della pubblicazione. Imprese, redazioni e professionisti che impiegano sistemi generativi dovrebbero adottare procedure interne per verificare la provenienza dei materiali, la base giuridica del trattamento, i diritti delle persone rappresentate, la chiarezza delle avvertenze e i rischi derivanti dalla successiva circolazione sui social.
La valutazione non può limitarsi alla qualità tecnica del risultato. Un contenuto estremamente realistico può essere proprio quello che richiede le maggiori garanzie. Trasparenza, protezione dei dati fin dalla progettazione e controllo umano diventano quindi elementi essenziali della comunicazione responsabile.
Una regola che va oltre il singolo caso
La decisione segna un passaggio importante: l’innovazione degli strumenti espressivi non riduce le tutele riconosciute alla persona. Satira e creatività restano libertà fondamentali, ma devono confrontarsi con una tecnologia capace di rendere credibile ciò che non è mai accaduto.
Per questo, nel valutare un deepfake, non basta domandarsi se il contenuto sia tecnicamente artificiale o formalmente accompagnato da un’etichetta. Occorre verificare se il pubblico possa comprenderne davvero la natura e se siano rispettati identità, dignità e diritti della persona rappresentata.
Rossi, Copparoni & Partners assiste persone, professionisti ed enti nella tutela dei dati personali, dell’identità e della reputazione, nonché nella valutazione preventiva dei rischi connessi all’impiego dell’intelligenza artificiale.
Fonti: Garante per la protezione dei dati personali, provvedimento n. 577 del 23 luglio 2026 e comunicato stampa del 7 agosto 2026; Regolamento (UE) 2016/679; Regolamento (UE) 2024/1689.
