Proteggersi dai deepfake: limitare, accorgersi, agire

Risorsa aggiuntiva per la lezione “Deepfake e furto di identità” — corso Anonimato Online

Per proteggersi dai deepfake non serve sparire da internet. Aiuta sapere tre cose: quanta parte del tuo volto e della tua voce è pubblica, come te ne accorgeresti se qualcuno li usasse e a chi rivolgerti se succede. Questa risorsa ti accompagna in tutte e tre, con calma e in proporzione alla tua vita.

A. Perché conta

In questo corso la privacy è decidere che cosa gli altri sanno di te; l’anonimato è poter agire senza che ciò che fai venga ricondotto a chi sei. Un deepfake rovescia questa seconda idea. Invece di nascondere un collegamento, ne inventa uno: un video, un’immagine o un audio che lega il tuo nome e il tuo volto a parole o gesti che non sono mai stati tuoi.

Il Garante per la protezione dei dati personali, l’autorità italiana per la privacy, lo dice in modo netto nel suo vademecum: «Quella realizzata con i deepfake è una forma particolarmente grave di furto di identità.» Un profilo falso con le tue foto, una clip in cui «tu» consigli un prodotto, un messaggio vocale a tuo nome: ognuno prende in prestito la fiducia che le persone hanno in te. Non sei responsabile dell’abuso di qualcun altro. Puoi però renderlo più difficile, accorgertene prima e reagire con un piano invece che nel panico.

Le truffe con voci clonate sono trattate nel corso Privacy Online (vedi i riquadri dopo la sezione D). Qui il centro è la tua identità: che cosa ti rende copiabile e che cosa fare se compare una copia.

Cosa dicono le fonti

Un articolo presentato nel 2019 alla International Conference on Computer Vision (ICCV), una conferenza scientifica con revisione tra pari, mostrava che il modello animato di una persona che parla si può ottenere da poche immagini, «potenzialmente anche da una sola» (traduzione nostra). Per il Garante, del resto, tra i dati che identificano direttamente una persona ci sono anche «le immagini»: una foto riconoscibile di te è un dato che ti riguarda.

Le autorità se ne occupano. Con una dichiarazione congiunta del 23/02/2026, 61 autorità per la protezione dei dati, tra cui il Garante, il Comitato europeo per la protezione dei dati (EDPB), il Garante europeo della protezione dei dati (EDPS) e la CNIL francese, hanno preso posizione sui sistemi di IA che generano immagini e video realistici di persone identificabili «a loro insaputa e senza il loro consenso» (traduzione nostra). Tra i danni nomina le immagini intime non consensuali e le rappresentazioni diffamatorie, e chiede meccanismi con cui le persone possano far rimuovere i contenuti dannosi.

In Italia, in una pagina dell’08/10/2026 che riassume i suoi interventi sui deepfake, il Garante ricorda che «l’impiego di deepfake, anche a fini satirici, deve rispettare la dignità delle persone». La stessa pagina richiama il reato introdotto nel codice penale dalla legge 23 settembre 2025, n. 132 (art. 612-quater, «Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale»): riguarda chi, senza consenso, diffonde immagini, video o voci falsificati con l’IA e capaci di ingannare, causando un danno ingiusto. Di regola si procede su querela della persona offesa.

Nell’Unione europea, l’articolo 50 del regolamento sull’intelligenza artificiale (AI Act), nel testo consolidato al 27/07/2026 pubblicato dalla Commissione, stabilisce che chi usa un sistema di IA per creare un deepfake lo dichiari: i «deployer» «rendono noto che il contenuto è stato generato o manipolato artificialmente». Le regole variano da Paese a Paese e cambiano in fretta: a novembre 2026 i punti di partenza più utili restano i canali delle piattaforme e, quando non bastano, le autorità della sezione H.

B. Concetti chiave: come proteggersi dai deepfake

Cinque idee, raccolte attorno ai tre verbi del titolo: limitare, accorgersi, agire.

Il materiale grezzo: ciò che ti rende copiabile

Un deepfake ha bisogno di un campione della persona che imita: foto o video nitidi del volto, registrazioni della voce. Più il materiale è pubblico, nitido e vario, più è facile lavorarci. Contano le immagini del profilo, i video pubblici in cui parli alla telecamera e le foto in cui ti hanno taggato altri.

Perché ti riguarda: Non controlli gli strumenti, ma decidi buona parte di ciò su cui possono lavorare. Il materiale grezzo è la parte del problema che sta nelle tue mani.

Limitare in proporzione, non a zero

Limitare non significa cancellare la tua vita online. Significa chiederti, per ogni contenuto pubblico, se deve esserlo davvero. Il Garante consiglia di «Evitare di diffondere in modo incontrollato immagini personali o dei propri cari», e la parola che conta è «incontrollato». Una pagina professionale può aver bisogno del tuo volto, mentre le foto delle vacanze raramente devono essere aperte a tutti.

Perché ti riguarda: L’obiettivo è meno materiale per gli sconosciuti, non meno vita per te. La proporzione rende la scelta sostenibile.

Il tuo pubblico fa parte della tua esposizione

Un contenuto impostato su «solo amici» resta visibile alle persone nella tua lista di amici. Un contatto accettato senza sapere chi c’è dietro può vedere, salvare e riusare ciò che condividi con loro.

Perché ti riguarda: Più il tuo pubblico è piccolo e conosciuto, più è corta la lista di chi può copiare il tuo volto o la tua voce senza doverli cercare.

Accorgersi presto: un avviso, non una veglia

Non puoi sorvegliare tutto internet, e non ti serve. Con Google Alert puoi ricevere avvisi via email «ogni volta che sono disponibili nuovi risultati» su un argomento: un avviso sul tuo nome, tra virgolette, funziona come un campanello discreto. Lo strumento di Google «Results about you», disponibile per gli adulti solo in alcuni Paesi, controlla se indirizzo di casa, numero di telefono o email compaiono nella Ricerca e può avvisarti quando trova nuovi risultati. Google precisa però che togliere un risultato dalla Ricerca non elimina l’informazione dal sito che la pubblica.

Perché ti riguarda: Senza un avviso, potresti sapere di un falso solo quando qualcun altro lo vede per caso. Prepararlo costa pochi minuti, una volta sola.

Agire: segnala come persona ritratta

Spesso le piattaforme chiedono che sia la persona impersonata a segnalare. Il modulo di Instagram per gli account che si fingono qualcun altro, valido anche per Threads, spiega in inglese che può agire solo sulle segnalazioni della persona impersonata o di un suo rappresentante autorizzato; chiede la foto di un documento d’identità, che dichiara di cancellare entro 30 giorni. Le linee guida sulla privacy di YouTube permettono di segnalare contenuti generati con l’IA, o comunque sintetici, che riproducono il tuo aspetto o la tua voce. Aiuta indicare l’URL del video e i minuti in cui compari.

Perché ti riguarda: La persona ritratta ha la richiesta più forte, e spesso l’unica che una piattaforma accetta. Il Garante suggerisce anche di non condividere un contenuto sospetto e di segnalarlo «come possibile falso alla piattaforma che lo ospita».

C. Un esempio concreto: Lucia e il video che non ha mai girato

Lucia ha 48 anni, è madre e usa ogni giorno i servizi online. Fa volontariato nella biblioteca del suo quartiere e ogni mese ne presenta gli eventi in un breve video sulla pagina pubblica della biblioteca. Il suo profilo personale mostra una foto nitida e sorridente.

Una sera un’amica le scrive: «Sei tu?». Il link apre un account nuovo con il nome e la foto di Lucia. L’unico video mostra il suo volto e la sua voce mentre promuove un corso online a pagamento, con un link per iscriversi.

Lucia non ha mai girato quel video: qualcuno l’aveva montato con le clip della biblioteca. Prima arriva l’imbarazzo, poi una domanda: e adesso che cosa faccio?

Che cosa è cambiato quando Lucia ha seguito un piano

• Ha fatto alcune schermate dell’account e del video e ha annotato il nome dell’account, il link e la data, prima di segnalare qualsiasi cosa.
• Ha usato il modulo della piattaforma per gli account falsi, come persona ritratta, allegando il documento d’identità richiesto.
• Ha scritto una breve nota ai suoi contatti: l’account con il suo nome non era suo, e non dovevano comprare niente attraverso quel link.
• Ha impostato un avviso sul suo nome tra virgolette.

Qualche giorno dopo l’account non c’era più. Lucia ha continuato a presentare gli eventi in video pubblici: quel lavoro le sta a cuore, e la scelta ora è consapevole. Ha spostato le foto personali e la lista di amici su un pubblico più ristretto e ha tolto alcuni contatti che non sapeva collocare. È cambiata soprattutto la sua fiducia: la prossima volta sa la strada.

D. Provaci tu: prepara il tuo kit di risposta ai deepfake (15 minuti)

Quattro passi. Alla fine avrai una breve nota da conservare; niente di ciò che trovi significa che hai sbagliato.

Passo 1 — Annota che cosa copierebbe per primo chi vuole fingersi te (4 minuti)

• Scrivi gli account in cui il tuo nome compare insieme a una tua foto nitida: sono ciò che un profilo falso copia per primo.
• Aggiungi i due o tre video o audio pubblici in cui sei più riconoscibile. Se hai fatto l’esercizio su voce e volto del corso Privacy Online, prendili da quell’elenco.
• Accanto a ciascuno, nota se lo vuoi pubblico o se non l’hai mai cambiato.

Passo 2 — Imposta un campanello (3 minuti)

Scegli almeno uno di questi due strumenti, proposti come esempi:

• Google Alert: scrivi il tuo nome e cognome tra virgolette nella casella e crea l’avviso. Con «Mostra opzioni» scegli ogni quanto ricevere le email.
• Results about you, nel tuo Account Google, se è disponibile per te: indica i recapiti che vuoi tenere d’occhio e attiva le notifiche per i nuovi risultati.

Passo 3 — Trova le strade per segnalare prima che servano (4 minuti)

• Per le due piattaforme che usi di più, cerca nel centro assistenza come segnalare un account che si finge te (nelle pagine in inglese, «impersonation») e salva il link al modulo.
• Annota che cosa chiede ciascun modulo. Alcuni vogliono la foto di un documento d’identità; altri, come la segnalazione per la privacy di YouTube, funzionano meglio con il link del video e i minuti in cui compari.
• Salva tutti i link in un solo posto, per esempio una nota sul telefono.

Passo 4 — Scrivi la tua nota di risposta (4 minuti)

Scrivi quattro righe brevi da seguire in una giornata storta:

1. Registra: schermata, nome dell’account, link, data. Fallo per primo, prima di segnalare.
2. Segnala: come persona ritratta, con il modulo salvato.
3. Avvisa: un messaggio ai tuoi contatti per dire che l’account o il video non sei tu.
4. Vai oltre: a chi rivolgerti se la piattaforma non aiuta (vedi la sezione H), soprattutto se ci sono minacce o se qualcuno chiede soldi a tuo nome.

Tienila con i link salvati: probabilmente non ti servirà mai, e va bene così.

Già trattato nel corso Privacy Online

Truffe con voce clonata: come i deepfake usano ciò che pubblichi
Spiega come le voci clonate vengono usate nelle truffe e come controllare che cosa rivela la tua voce pubblica; questa risorsa si concentra sui deepfake che si fingono te e su come segnalarli.

Parola d’ordine in famiglia: difenditi dalle truffe con l’IA
Prepara due abitudini per verificare una chiamata prima di fidarti; questa risorsa guarda all’altro lato, quando qualcuno usa il tuo volto o la tua voce per ingannare gli altri.

E. Video, articoli e altre risorse

Prima le fonti istituzionali italiane ed europee, poi le piattaforme. La dichiarazione congiunta e tre pagine delle piattaforme sono in inglese.

Fonti istituzionali italiane

Garante per la protezione dei dati personali — Deepfake – Vademecum
La scheda del 28/12/2020: perché un deepfake è una forma di furto di identità, come limitare la diffusione delle immagini e a chi rivolgersi.
https://garanteprivacy.it/garante/doc.jsp?ID=9512226

Garante per la protezione dei dati personali — Deepfake, cosa ha fatto il Garante Privacy
La pagina dell’08/10/2026 con gli interventi del Garante e il reato previsto dall’art. 612-quater del codice penale.
https://www.garanteprivacy.it/garante/doc.jsp?ID=10306949

Fonti europee

Garante europeo della protezione dei dati (EDPS) — Joint Statement on AI-Generated Imagery and the Protection of Privacy
La dichiarazione del 23/02/2026 di 61 autorità, tra cui il Garante, su immagini e video realistici di persone creati senza consenso (in inglese).
https://www.edps.europa.eu/system/files/2026-02/23-02-26_joint-statement-ai-generated-imagery_en.pdf

Commissione europea, AI Act Service Desk — Articolo 50: Obblighi di trasparenza per i fornitori e i deployers di determinati sistemi di IA
Il testo in italiano dell’obbligo di dichiarare i deepfake.
https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-50

Guide ufficiali delle piattaforme

Instagram Help Centre — Report an Impersonation Account on Instagram or Threads
Il modulo per segnalare un account che si finge te, e che cosa chiede (pagina in inglese).
https://help.instagram.com/contact/636276399721841

YouTube Help — YouTube Privacy Guidelines
Come presentare un reclamo per la privacy, anche per contenuti sintetici che riproducono il tuo aspetto o la tua voce (pagina in inglese).
https://support.google.com/youtube/answer/7671399?hl=it

Guida di Ricerca Google — Creare un avviso
Come ricevere un’email quando compaiono nuovi risultati sul tuo nome.
https://support.google.com/websearch/answer/4815696?hl=it

Google Search Help — Find and remove personal info in Google Search results
Come «Results about you» controlla i tuoi recapiti e ti avvisa dei nuovi risultati, dove è disponibile (pagina in inglese).
https://support.google.com/websearch/answer/12719076?hl=it

Link verificati a novembre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa si colloca nel Framework Cyber Welfare sul pilastro Consapevolezza, livello FL2 – Iniziato: capire come il tuo volto e la tua voce pubblici possono diventare un falso collegamento con la tua identità, e che cosa puoi farci.

Competenze

• Trovare i contenuti pubblici in cui il tuo volto è nitido o la tua voce si sente.
• Impostare un avviso sul tuo nome.
• Trovare il modulo di una piattaforma per segnalare un account falso o una violazione della privacy.

Consapevolezza

• Capire che un deepfake attacca la tua identità a parole o gesti che non sono mai stati tuoi.
• Sapere che le piattaforme spesso chiedono che la segnalazione arrivi dalla persona ritratta.
• Riconoscere che limitare il materiale è una questione di proporzione, non di sparire.

Comportamento Sicuro

• Scegliere il pubblico di ogni foto o video in cui sei riconoscibile.
• Registrare ciò che vedi prima di segnalarlo.
• Avvisare presto i tuoi contatti quando un account o un video con il tuo nome non sei tu.

G. Domande su cui fermarti

• Quali tuoi foto o video pubblici terresti pubblici anche adesso, sapendo che potrebbero essere copiati, e perché?
• Se stasera un’amica ti scrivesse «Sei tu?», quali sarebbero i tuoi primi tre passi?
• Chi, nella tua lista di amici, non sapresti nominare o collocare, e che cosa può vedere?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente qui.

1. Limita il materiale grezzo

• MS6 — Rendi privati i tuoi account social dove puoi, così foto e video arrivano alle persone che hai scelto e non a chiunque ti cerchi.
• MS7 — Limita chi può vedere il tuo account, le foto e i post cambiando le impostazioni privacy, a partire dai contenuti in cui il tuo volto è nitido o si sente la tua voce.
• R23 — Scegli di seguire solo persone conosciute sui social: il tuo cerchio decide chi ti vede: le persone nella tua lista di amici possono vedere, e salvare, ciò che condividi con gli amici.

Impegno minimo: oggi scegli una foto o un video pubblico in cui sei riconoscibile e restringine il pubblico, oppure decidi con consapevolezza di lasciarlo pubblico.

2. Preparati ad agire

• R29 — Controllare i messaggi inviati a tuo nome: cosa fare quando un contatto ti avvisa: se compare a tuo nome qualcosa che non hai fatto, avvisa presto i tuoi contatti.
• Tieni i link di segnalazione e la tua nota di risposta in un posto dove li ritrovi.

• Se la piattaforma non interviene, il Garante ricorda che, a seconda dei casi, ci si può rivolgere «alle autorità di polizia (ad esempio, alla Polizia postale) o al Garante per la protezione dei dati personali». Per il reato di diffusione illecita di contenuti generati con l’IA, di regola serve la querela della persona offesa.
• Se un falso è sessuale o intimo, rivolgiti subito a un aiuto specializzato: la Polizia Postale e, per gli adulti, lo strumento StopNCII.org della Revenge Porn Helpline, disponibile anche in italiano.

Impegno minimo: questa settimana imposta un avviso sul tuo nome e salva il modulo per gli account falsi della piattaforma che usi di più.

In breve

• Un deepfake è un falso collegamento tra la tua identità e qualcosa che non hai mai fatto; il Garante lo considera una forma grave di furto di identità.
• Per proteggersi dai deepfake si limita il materiale pubblico in proporzione: tieni ciò che conta per te, restringi il resto.
• Un avviso sul tuo nome e i moduli salvati trasformano uno shock in un piano.
• Se succede: registra, segnala come persona ritratta, avvisa i contatti e, se serve, rivolgiti alla Polizia Postale o al Garante.

Risorse correlate in questo corso

• Ricerca inversa di immagini: chi può trovarti da una foto
• Stilometria: come il tuo stile di scrittura può identificarti
• Usare i chatbot in modo anonimo: fin dove si può davvero

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.