Dal 10 ottobre è reato: la legge 132/2025 contro i “deepfake” e l’uso illecito dell’IA

Da venerdì 10 ottobre entra in vigore la legge 132/2025, che introduce in Italia una nuova fattispecie penale contro la diffusione illecita di contenuti generati o manipolati con sistemi di intelligenza artificiale (IA). Si tratta del primo “delitto dell’IA” nel nostro ordinamento, con sanzioni da uno a cinque anni di reclusione.

La nuova normativa rappresenta un passo deciso del legislatore nel tentativo di arginare fenomeni crescenti come i video deepfake, i falsi audio manipolati e le campagne di disinformazione automatizzate, strumenti che possono ledere reputazioni, ricatti, inganni, persino l’integrità del dibattito pubblico.

Cosa prevede la legge

Articolo 612-quater del Codice Penale
La disposizione cardine istituisce il reato di “illecita diffusione di contenuti generati o manipolati artificialmente”, punito con reclusione da 1 a 5 anni. (Diritto.it)

La norma recita (nella sua formulazione attuale) che:

«Chiunque cagiona ad altri un danno ingiusto, mediante invio, consegna, cessione, pubblicazione o comunque diffusione di immagini o video di persone o di cose ovvero di voci o suoni in tutto o in parte falsi, generati o manipolati mediante l’impiego di sistemi di intelligenza artificiale, atti a indurre in inganno sulla loro genuinità o provenienza, è punito con la reclusione da uno a cinque anni.» (Diritto.it)

Tre elementi emergono in modo chiaro:

La norma è in linea di principio a querela della persona offesa, ma prevede casi in cui si procede d’ufficio:

• se il fatto è connesso con un altro reato già procedibile d’ufficio;
• se la vittima è incapace (minore, infermità);
• se il destinatario è una pubblica autorità danneggiata nell’esercizio delle sue funzioni. (Futuro Digitale)

Aggravanti e modifiche ad altri reati

La nuova legge interviene anche su altri articoli del Codice Penale, introducendo ulteriori strumenti per rafforzare la lotta agli illeciti connessi all’IA:

• Circostanza aggravante comune (art. 61 c.p.), inserendo il numero 11-decies: se un reato viene commesso mediante impiego di sistemi di IA che costituiscano mezzo insidioso, che ostacolino la difesa o aggravino l’offesa, la pena può essere aumentata. (Agenda Digitale)
• Modifiche all’art. 294 c.p. (attentati ai diritti politici): introduzione di una circostanza aggravante se l’inganno è commesso con l’ausilio dell’IA. (Adnkronos)
• Diritto d’autore: la normativa interviene anche nel campo della protezione del diritto d’autore, limitando il regime di generazione automatica di opere protette e disciplinando l’uso del machine learning e del mining di testi/dati. (Fisco e Tasse)
• Ambito tecnologico, privacy e regolamentazione: la legge stabilisce obblighi di trasparenza, limiti all’uso dei dati sensibili, divieti per minori al di sotto dei 14 anni senza consenso genitoriale, e il principio che i server che gestiscono sistemi AI in ambito pubblico debbano essere ubicati in territorio nazionale. (Punto Informatico)

Sfide interpretative e criticità

L’introduzione di questa normativa rappresenta certamente un passo innovativo, ma non mancano le questioni aperte — che renderanno l’interpretazione giuridica cruciale nei primi anni di applicazione.

• Norma “aperta” e pericolosa discrezionalità: la valutazione della “idoneità all’inganno” lascia spazio all’interpretazione del giudice, ponendo il rischio di eccessiva discrezionalità. (Agenda Digitale)
• Distinzione tra satira e illecito: casi di deepfake palesemente satirici o usati per scopi artistici/interventi critici potrebbero rientrare in zone grigie tra libertà d’espressione e illecito.
• Onere della prova tecnica: sarà essenziale accertare che il contenuto sia generato o manipolato da IA — servono perizie digitali, laboratori forensi, esperti tecnici.
• Nesso causale e danno da valutare caso per caso: anche contenuti non manifestamente offensivi possono integrare reato, se idonei a danneggiare la vittima.
• Responsabilità degli enti non esplicitata: la nuova fattispecie (art. 612-quater) non risulta per ora inclusa nella lista dei reati che generano responsabilità penale degli enti (art. 5 D.Lgs. 231/2001). (advant-nctm.com)
• Velocità del progresso tecnologico: le tecnologie IA si evolvono rapidamente, e la normativa rischia di essere rapidamente superata. Serve un framework di aggiornamento continuo.
• Compatibilità con i diritti costituzionali e con il diritto dell’UE: equilibrio tra tutela dell’individuo, pluralismo dell’informazione e libertà di espressione.

Cosa cambia “sul campo” e scenari probabili

• Ambito giornalistico e media: un video deepfake attribuito a un politico potrà essere perseguito penalmente, ma i media dovranno accertarsi prima della genuinità, o rischiare responsabilità (anche colposa) in caso di diffusione.
• Revenge porn, immagini intime, identità digitale: la norma diventa uno strumento per vittime di manipolazioni intime (deepfake erotici), soprattutto if usati per ricatti.
• Disinformazione elettorale: campagne di manipolazione con IA rivolte a influenzare il voto potranno essere oggetto di contestazione penale più severa grazie alle aggravanti sull’art. 294 c.p.
• Uso aziendale o speculazione finanziaria: immagini o audio falsi attribuiti a esponenti aziendali potrebbero generare oscillazioni di mercato; l’aggravante per uso di IA può rafforzare gli strumenti sanzionatori.
• Attività di contrasto digitale: le forze dell’ordine, i tribunali e i laboratori informatici dovranno aggiornare protocolli, strumenti, formazione tecnica.

Conclusione

La legge 132/2025 segna l’ingresso ufficiale del reato del deepfake nell’ordinamento italiano: un tentativo di dare risposte concrete alle sfide poste dall’IA in ambito di reputazione, privacy, sicurezza e politica. Tuttavia, il successo della norma dipenderà da come sarà interpretata e attuata: servono decreti attuativi chiari, linee guida tecniche, risorse per le strutture giudiziarie e un continuo aggiornamento per non restare indietro rispetto a tecnologie che cambiano rapidamente.