Normativa
Deepfake e responsabilità 231: perché documentare l’origine di foto, video e audio tutela l’azienda
La diffusione illecita di contenuti manipolati con l’intelligenza artificiale può coinvolgere anche la responsabilità dell’impresa. Documentare l’origine dei materiali audiovisivi, conservarne l’integrità e rendere tracciabili le elaborazioni diventa un presidio concreto. LOCUS consente di costruire questa evidenza fin dall’acquisizione.
Una voce può sembrare quella di un amministratore delegato. Un video può attribuire a un dipendente parole mai pronunciate. Una fotografia può mostrare una persona in una situazione mai avvenuta. Per l’azienda, il problema riguarda sia i falsi che subisce sia i contenuti che produce, commissiona e diffonde.
Quando nasce una contestazione, dichiarare che «il nostro materiale è autentico» serve a poco se manca una documentazione verificabile. Occorre poter ricostruire come il file è stato acquisito, quali dati lo accompagnano, quali elaborazioni ha subito e quale versione è stata autorizzata alla diffusione.
Che cosa cambia nella responsabilità 231
Dal 30 settembre 2026 il D.Lgs. 160/2026 ha inserito nel D.Lgs. 231/2001 l’art. 25-vicies. La disposizione richiama due reati: l’omessa adozione di misure di sicurezza e l’alterazione illecita dei sistemi di IA ad alto rischio, previste dall’art. 437-bis c.p., e l’illecita diffusione di contenuti generati o alterati con IA, prevista dall’art. 612-quater c.p. Per quest’ultimo la sanzione pecuniaria dell’ente va da 200 a 700 quote; per il primo da 600 a 1.000. Fonte: D.Lgs. 160/2026, art. 15 (Normattiva).
| Norma | Reato presupposto | Sanzione all’ente |
|---|---|---|
| art. 437-bis c.p. | Omessa adozione di misure di sicurezza e alterazione illecita dei sistemi di IA ad alto rischio | da 600 a 1.000 quote |
| art. 612-quater c.p. | Illecita diffusione di contenuti generati o alterati con IA | da 200 a 700 quote |
| art. 9 e art. 13 D.Lgs. 231/2001 | Entrambi i reati (art. 9, comma 2, lett. b-e) | sanzioni interdittive, alle condizioni di legge |
Il 612-quater, già introdotto dalla L. 132/2025, richiede la cessione, pubblicazione o diffusione senza consenso di immagini, video o voci falsificati o alterati con IA, idonei a ingannare sulla loro genuinità, e un danno ingiusto alla persona. La pena per l’autore è da uno a cinque anni; si procede di regola a querela, con le eccezioni previste dalla norma. La semplice produzione di un contenuto sintetico non integra automaticamente questo reato. Fonte: L. 132/2025, art. 26.
La responsabilità dell’azienda richiede inoltre i criteri dell’art. 5: un reato commesso nel suo interesse o a suo vantaggio da un soggetto apicale o sottoposto alla sua direzione o vigilanza. Il coinvolgimento di un’agenzia esterna non basta, da solo, a imputare il fatto al committente. Fonte: D.Lgs. 231/2001, art. 5.
Sono previste anche misure interdittive, applicabili alle condizioni di legge: sospensione o revoca di autorizzazioni, licenze o concessioni funzionali all’illecito, divieto di contrattare con la PA, esclusione da agevolazioni e divieto di pubblicizzare beni o servizi. Fonti: artt. 9 e 13 del D.Lgs. 231/2001.
Dove nasce il rischio in azienda
I processi da esaminare sono quelli in cui immagini e registrazioni passano tra persone, reparti e fornitori:
- Marketing e comunicazione: testimonianze simulate attribuite a clienti reali, volti inseriti in campagne, voci ricreate senza autorizzazione.
- Attività commerciale: approvazioni o dichiarazioni attribuite a persone che non le hanno mai espresse.
- Gestione del personale: registrazioni manipolate utilizzate nelle controversie di lavoro.
- Fornitori esterni: materiali affidati ad agenzie e partner senza istruzioni sulle elaborazioni consentite e sui controlli prima della diffusione.
Sono scenari da valutare alla luce di tutti gli elementi del reato, non un elenco di condotte sempre penalmente illecite. I controlli devono comunque precedere la diffusione: rimuovere un contenuto può limitarne le conseguenze, ma non elimina un danno già prodotto.
L’origine del materiale come presidio aziendale
Il primo passaggio operativo è conservare un materiale di partenza verificabile. Chi lo ha acquisito? Con quale dispositivo e modalità? Quali informazioni temporali e di posizione sono disponibili? Il file presentato oggi coincide con quello conservato inizialmente?
Questo presidio aiuta l’azienda in due direzioni. Internamente, permette di distinguere il materiale acquisito dalle versioni elaborate e di collegare ciascuna pubblicazione alle autorizzazioni pertinenti. All’esterno, mette a disposizione un riferimento documentato quando circolano contenuti manipolati o viene contestata l’integrità di un file.
Gli obblighi di trasparenza dell’art. 50 dell’AI Act, compresa la dichiarazione della natura artificiale dei deepfake nei casi previsti, restano un piano distinto. Un’etichetta non sostituisce il consenso e non ricostruisce il percorso del materiale originale. Fonte: Commissione europea, art. 50.
Che cosa ottiene l’azienda quando acquisisce con LOCUS
LOCUS è lo strumento di AcquisizioniForensi.it per acquisire foto, video e audio e conservarli in un pacchetto di evidenze verificabili. La documentazione nasce nel flusso di acquisizione e viene collegata al materiale attraverso impronte crittografiche, un manifest firmato e marche temporali.
Al termine dell’acquisizione, l’azienda ottiene un pacchetto da conservare e, quando necessario, consegnare al proprio legale, a un consulente o a chi deve verificare il materiale. Insieme alla foto, al video o alla registrazione audio, il pacchetto raccoglie le informazioni sull’acquisizione, il report e gli elementi necessari a controllare i file. La struttura BagIt organizza questi elementi e consente di verificarne completezza e integrità.
Il valore per l’azienda emerge da ciò che ciascun elemento permette di dimostrare.
Il materiale di partenza resta disponibile
Per confrontare una pubblicazione con il materiale acquisito serve poter recuperare quest’ultimo. Nel pacchetto fotografico esaminato per questo articolo, LOCUS conserva l’originale nativo HEIC della fotocamera, una conversione JPEG e una copia elaborata con watermark. Il manifest identifica esplicitamente l’originale più fedele e distingue la copia elaborata.
Per il cliente significa poter fornire sia il materiale di partenza sia la versione predisposta per la consultazione, senza confonderli. Foto, video e audio seguono lo stesso principio di acquisizione documentata e protezione attraverso impronte, manifest e marche temporali, con file e metadati propri di ciascun formato.
L’origine è accompagnata da informazioni verificabili
Il pacchetto documenta la modalità di cattura, il dispositivo, i riferimenti temporali e la posizione rilevata, secondo i dati disponibili. Nel campione fotografico, il manifest indica una cattura diretta tramite la fotocamera dell’iPhone e identifica l’API utilizzata; conserva inoltre i parametri della fotocamera e i dati GPS.
Queste informazioni sono raccolte nel manifest, il documento che descrive l’acquisizione e le impronte dei media, firmato automaticamente con la chiave Ed25519 del dispositivo. La verifica della firma permette di controllare che le informazioni firmate siano rimaste integre. Per l’azienda, il risultato è un materiale accompagnato dalla documentazione del proprio percorso di acquisizione, utilizzabile per ricostruirne la provenienza. La firma del dispositivo non equivale alla firma digitale qualificata di una persona.
Si può controllare se il file è cambiato
LOCUS calcola le impronte crittografiche dei file: valori che consentono di confrontare il materiale presentato in seguito con quello identificato nel pacchetto. Se un file viene modificato, il confronto con l’impronta conservata permette di rilevare la differenza. Il controllo riguarda anche la documentazione elencata nel manifest delle impronte.
Nel bundle esaminato, tutte le impronte dei 12 file del contenuto probatorio corrispondono, compresa quella dell’originale HEIC. Sono risultate valide anche la firma Ed25519 del manifest e la firma della provenance LOCUS-PROV incorporata nella copia JPEG. Quest’ultima è una descrizione di provenienza proprietaria, ispirata a C2PA/JUMBF.
Per il cliente, questo significa poter rispondere con un controllo ripetibile alla domanda: «È lo stesso file che avete acquisito e conservato?». Le versioni successivamente montate, ritoccate o elaborate potranno essere mantenute come derivati, collegandole al materiale di partenza nella procedura aziendale.
L’originale e la documentazione hanno un riferimento temporale qualificato
La marca temporale qualificata InfoCert è applicata al manifest delle impronte dei file che costituiscono il contenuto probatorio del pacchetto, tecnicamente chiamato payload. Nel campione verificato, questo elenco comprende l’originale HEIC, le copie JPEG, il manifest firmato, il report PDF e gli altri file del payload.
La marca collega quindi a una data e un’ora anche l’originale e la documentazione dell’acquisizione, attraverso le rispettive impronte. L’azienda può dimostrare che quei file esistevano già al momento attestato dalla marca e controllare che quelli esibiti successivamente corrispondano a quelli identificati allora. Nel pacchetto analizzato, la marca InfoCert e le due marche RFC 3161 Sectigo sul media e sul manifest JSON hanno superato la verifica crittografica.
La marca qualificata ha un preciso effetto giuridico: l’art. 41, paragrafo 2, del regolamento eIDAS le riconosce una presunzione di accuratezza della data e dell’ora e di integrità dei dati associati. La marcatura del manifest delle impronte estende il collegamento temporale ai file che esso identifica, purché le impronte siano verificate. Fonte: regolamento eIDAS, artt. 41 e 42.
Il pacchetto indica il prestatore della marca e l’eventuale ricorso a una marca non qualificata, così chi verifica può conoscere il riferimento temporale effettivamente ottenuto. La data attestata dal prestatore è quella della marcatura; il momento della ripresa è documentato dai dati di acquisizione e dal loro collegamento alla successiva sigillatura.
Le evidenze possono essere consegnate e verificate da un terzo
Il report PDF rende consultabili le informazioni dell’acquisizione. Il pacchetto completo conserva i file su cui ripetere i controlli: un consulente, il legale o la controparte possono verificarli anche offline con LOCUS Validator, senza dipendere dalla sola descrizione fornita dall’azienda.
Per conservare questa possibilità, l’impresa deve archiviare il pacchetto completo insieme alle autorizzazioni e alle successive versioni del materiale. Il report facilita la lettura; il pacchetto mette a disposizione le evidenze che sostengono quella lettura.
Un esempio: l’intervista aziendale
L’azienda registra con LOCUS un’intervista a un proprio dirigente. Conserva il pacchetto di acquisizione insieme alle autorizzazioni pertinenti. Il video destinato alla campagna viene montato, eventualmente elaborato con IA, verificato e approvato secondo la procedura interna.
Se in seguito circola una versione con parole diverse, l’azienda dispone della registrazione acquisita, dei dati che ne documentano l’origine e delle impronte che permettono di controllarne l’integrità. La marca sul manifest delle impronte fornisce il riferimento temporale del materiale conservato. Il pacchetto può essere consegnato a un consulente per confrontare la registrazione con il contenuto contestato.
Conservando anche le versioni intermedie e finali, le autorizzazioni e le decisioni di approvazione, l’azienda può ricostruire che cosa ha effettivamente diffuso. Il beneficio è avere già disponibili gli elementi del confronto quando nasce la contestazione.
LOCUS documenta l’acquisizione; la procedura aziendale collega l’acquisizione alle elaborazioni e alle decisioni di pubblicazione. Lo stesso principio vale per foto di prodotti, interventi pubblici dei vertici, registrazioni audio e documentazione tecnica di cantieri, impianti e immobili.
Il valore dell’evidenza, con i suoi confini
Un archivio di acquisizioni verificabili può contribuire a documentare l’applicazione dei controlli. Non dimostra, da solo, l’efficacia dell’intero Modello 231: l’esclusione della responsabilità resta legata alle condizioni degli artt. 6 e 7, diverse per soggetti apicali e sottoposti. Fonti: art. 6 e art. 7.
LOCUS rende verificabili l’integrità dei file e la documentazione della loro acquisizione. Non è un rilevatore universale di deepfake e non certifica che la scena ripresa sia vera: anche una ripresa di uno schermo o di una scena preparata resta una ripresa. La posizione è un dato rilevato dal dispositivo; i consensi e la liceità degli impieghi restano responsabilità di chi acquisisce e utilizza il materiale.
Usare LOCUS significa ottenere foto, video e audio accompagnati dalle evidenze della loro acquisizione: materiale conservato, dati di provenienza, impronte verificabili, report e marche temporali di cui il pacchetto dichiara natura e prestatore. Inserite in una procedura aziendale, queste evidenze aiutano a ricostruire il percorso dei contenuti e a sostenere documentalmente la loro origine quando viene contestata.
Scopri LOCUS e le modalità di verifica dei pacchetti di acquisizione.