Deepfake e satira, dal Garante uno stop che parla a tutti. Ammonita R.T.I. per alcuni video su Enrico Mentana

Deepfake e satira: il Garante mette dei paletti

 

Nel corso di alcuni servizi di Striscia la Notizia, l’immagine reale di Enrico Mentana, ripresa nello studio dal quale conduce il TG La7, è stata alterata nella sua genuinità mediante un doppiaggio realizzato con sistemi di intelligenza artificiale. Al giornalista venivano così attribuite dichiarazioni mai pronunciate, inserite nel contesto autentico del suo telegiornale.

Mentana ha presentato reclamo al Garante ai sensi dell’art. 77 del GDPR, sostenendo che molte persone avessero ritenuto autentici i video e producendo, a sostegno della propria posizione, i commenti di scherno e di offesa comparsi sui social. Il Garante ha successivamente considerato tali messaggi come un elemento idoneo a confermare il rischio che i contenuti venissero percepiti come reali.

R.T.I. si è difesa richiamando il diritto di satira, il carattere notoriamente sarcastico della trasmissione, le avvertenze inserite nei servizi e l’acquisizione in licenza da La7 dei filmati utilizzati. Il Garante ha ricondotto il trattamento all’esercizio della libertà di espressione e alle altre forme di manifestazione del pensiero disciplinate dagli artt. 136-139 del Codice privacy, tra le quali rientra anche la satira.

Questo significa che un trattamento del genere può essere lecito anche senza il consenso della persona rappresentata, ma solo se vengono rispettati i suoi diritti, le libertà fondamentali e la dignità. La qualificazione satirica del contenuto non determina, quindi, un’esenzione generale dalla normativa sulla protezione dei dati.

Nel caso esaminato, il Garante ha attribuito particolare rilievo al realismo della rappresentazione, all’uso dell’immagine reale del giornalista nel vero studio televisivo e alla plausibilità delle dichiarazioni attribuitegli. Questi elementi rendevano l’alterazione difficilmente percepibile e aumentavano il rischio che il contenuto diventasse veicolo di disinformazione.

Le avvertenze utilizzate da R.T.I. non sono state ritenute sufficientemente chiare per un pubblico medio o poco attento. Secondo l’Autorità, il contesto avrebbe richiesto comunicazioni più esplicite e maggiormente evidenti nei diversi momenti della messa in onda, in modo da raggiungere anche chi si fosse collegato a trasmissione già iniziata. Ne è derivato l’accertamento della violazione dell’art. 5 GDPR, relativo ai principi di liceità, correttezza e trasparenza, e dell’art. 25, sulla protezione dei dati fin dalla progettazione e per impostazione predefinita.

Trattandosi di una questione giuridica nuova, connessa all’impiego di tecnologie di recente introduzione nell’ambito dell’intrattenimento e dell’espressione artistica, il Garante ha ritenuto proporzionato adottare un ammonimento anziché una sanzione pecuniaria.

L’Autorità ha inoltre vietato l’ulteriore trattamento dei dati di Mentana con le modalità contestate, fatta salva la loro mera conservazione per un eventuale utilizzo in sede giudiziaria. R.T.I. deve comunicare, entro trenta giorni dalla ricezione del provvedimento, le iniziative intraprese per darvi completa attuazione.

 

Le misure adottate in sintesi

Misura	Riferimento normativo	Effetto pratico
Ammonimento	Art. 58, par. 2, lett. b), GDPR	Richiamo formale per le violazioni degli artt. 5 e 25 GDPR; nessuna sanzione pecuniaria, in ragione della novità della questione
Divieto di ulteriore trattamento	Art. 58, par. 2, lett. f), GDPR	Vietato l’ulteriore trattamento dei dati del reclamante con le modalità contestate; consentita la mera conservazione per un eventuale utilizzo in sede giudiziaria
Annotazione nel registro interno	Art. 57, par. 1, lett. u), GDPR e art. 17 del regolamento del Garante n. 1/2019	Annotazione delle misure adottate nel registro interno dell’Autorità
Invito a riscontro	Artt. 157 Codice privacy e 58, par. 1, lett. a), GDPR	Entro 30 giorni dalla ricezione del provvedimento R.T.I. deve comunicare le iniziative intraprese; il mancato riscontro è sanzionabile ai sensi dell’art. 83, par. 5, lett. e), GDPR

Fonte: Garante per la protezione dei dati personali, provvedimento n. 577 del 23 luglio 2026 (doc. web 10281021).

 

L’inosservanza del divieto può inoltre comportare l’applicazione della sanzione penale prevista dall’art. 170 del Codice privacy e della sanzione amministrativa prevista dall’art. 83, par. 5, lett. e), GDPR.

 

Un principio che supera il caso televisivo

La vicenda non riguarda soltanto il mondo della televisione. Quando un’impresa, un ente pubblico o un professionista utilizza un sistema di IA per generare o manipolare un contenuto che rappresenta una persona fisica identificata o identificabile, deve verificare se il trattamento dei relativi dati personali rispetti il GDPR.

Occorre tuttavia evitare generalizzazioni. Non ogni contenuto generato dall’IA contiene dati personali e non ogni alterazione artificiale costituisce un deepfake. L’AI Act definisce deepfake un’immagine o un contenuto audio o video generato o manipolato dall’IA che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero.

Il provvedimento del Garante è stato adottato il 23 luglio 2026 e si fonda sul GDPR e sul Codice privacy. L’art. 50 dell’AI Act, divenuto applicabile dal 2 agosto 2026, costituisce un ulteriore e autonomo livello di disciplina.

In particolare, l’art. 50, par. 4, impone ai deployer di sistemi di IA che generano o manipolano immagini, audio o video costituenti deepfake di rendere noto che il contenuto è stato generato o manipolato artificialmente. Per le opere o i programmi manifestamente artistici, creativi, satirici o fittizi, l’obbligo è limitato a una rivelazione adeguata dell’esistenza del contenuto artificiale, senza ostacolare l’esposizione o il godimento dell’opera. Gli obblighi dei deployer non si applicano alle persone fisiche che usano i sistemi nell’ambito di un’attività puramente personale e non professionale.

L’informazione deve essere chiara e distinguibile e deve essere fornita non oltre il momento della prima interazione o esposizione. Il Regolamento non impone, in termini generali, una ripetizione continua dell’avvertenza. Tuttavia, nei contesti in cui il pubblico può accedere al contenuto in momenti diversi o attraverso estratti e frammenti separati, può risultare necessario ripetere o mantenere l’avvertenza affinché l’informazione resti effettivamente percepibile.

Il Digital Omnibus non ha rinviato questo obbligo dei deployer. Il termine del 2 dicembre 2026 riguarda il diverso obbligo tecnico di marcatura previsto dall’art. 50, par. 2, per i fornitori di sistemi di IA, compresi i sistemi per finalità generali, che generano contenuti sintetici in formato audio, immagine, video o testo e che erano stati immessi sul mercato prima del 2 agosto 2026.

 

Le verifiche da effettuare prima della pubblicazione di un deepfake

Verifica	Cosa fare
Identificabilità	Verificare se il contenuto rappresenta una persona fisica identificata o identificabile e se può apparire autentico o veritiero
Riconoscibilità	Rendere chiaramente riconoscibile la natura artificiale del contenuto, tenendo conto del pubblico, del canale e delle modalità concrete di fruizione
Valutazione preventiva	Valutare realismo, contesto, dichiarazioni attribuite, diffusione prevedibile e possibili conseguenze su dignità, reputazione e identità personale
Documentazione	Documentare le misure adottate in applicazione dei principi di correttezza, trasparenza e protezione dei dati fin dalla progettazione
Estratti e ricondivisioni	Verificare che l’avvertenza resti visibile anche negli estratti, nei video brevi e nei contenuti ricondivisi sui canali controllati dall’organizzazione
Gestione delle contestazioni	Predisporre un canale rapido e assicurare che gli eventuali interventi di rimozione riguardino tutti i canali direttamente controllati; la successiva rimozione può limitare la prosecuzione degli effetti, ma non elimina la necessità di valutare la liceità del trattamento già effettuato

Fonte: Elaborazione iSimply sul provvedimento del Garante n. 577 del 23 luglio 2026 e sull’art. 50 del Regolamento (UE) 2024/1689.

 

Il punto centrale del provvedimento non è vietare la satira realizzata con l’intelligenza artificiale. È impedire che il realismo tecnologico e il contesto di diffusione rendano indistinguibile il contenuto artificiale da quello autentico, con conseguenze sulla persona rappresentata e sull’affidabilità dell’informazione.

In questo caso il Garante ha tenuto conto della novità della questione e ha adottato un ammonimento. Nei casi futuri, con il progressivo consolidamento delle regole e delle prassi applicative, il carattere innovativo della tecnologia potrebbe avere un peso minore nella determinazione delle misure correttive.

 

Enrico Capirone – Presidente iSimply srl, DPO

 

Fonti ufficiali: Garante per la protezione dei dati personali, provvedimento n. 577 del 23 luglio 2026 (doc. web 10281021); comunicato stampa del 7 agosto 2026 (doc. web 10281135); Regolamento (UE) 2024/1689, art. 50, come modificato dal Regolamento (UE) 2026/1744.

 

 

 

 

Nota volontaria di trasparenza sull’uso dell’intelligenza artificiale. Questo contenuto è stato predisposto con il supporto di strumenti di IA generativa ed è stato sottoposto a revisione umana sostanziale, verifica delle fonti ufficiali e controllo editoriale. iSimply srl detiene la responsabilità editoriale della pubblicazione. L’art. 50, par. 4, del Regolamento (UE) 2024/1689 prevede un obbligo di trasparenza per i testi generati o manipolati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico. Il medesimo paragrafo esclude tale obbligo quando il contenuto generato dall’IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione. iSimply sceglie comunque di rendere trasparente l’impiego di strumenti di IA nel processo redazionale.