Le leggi sui deepfake spiegate: normative globali e rischi legali

Si prevede che le frodi finanziarie basate sull'intelligenza artificiale generativa supereranno $ 40 miliardi entro 2027, in aumento rispetto ai 12.3 miliardi di dollari del 2023. Gran parte di questa crescita è riconducibile ai deepfake. Video, audio e immagini generati dall'intelligenza artificiale sono ormai in grado di imitare persone reali in modo così efficace da eludere i controlli di identità più elementari. Le autorità di regolamentazione se ne sono accorte. Leggi volte a contrastare la creazione, la distribuzione e l'individuazione dei deepfake sono ora in vigore negli Stati Uniti, nel Regno Unito, nell'UE e nella regione Asia-Pacifico, e se ne prevedono altre entro il 2026.

Per i team di compliance e i responsabili antifrode delle aziende regolamentate, questo non è più un rischio teorico. Le leggi sui deepfake creano obblighi legali concreti e, in alcune giurisdizioni, anche responsabilità penali. Questa guida mappa le leggi sui deepfake in tutto il mondo e spiega cosa significano per le aziende che si affidano alla verifica dell'identità.

Che cosa sono le leggi sui deepfake?

Leggi sui deepfake Si tratta di leggi o norme regolamentari che disciplinano la creazione, la distribuzione e l'utilizzo di contenuti multimediali sintetici generati dall'intelligenza artificiale. Nella maggior parte dei casi, si tratta di video, audio o immagini che ritraggono persone reali in scenari fittizi. Queste normative si collocano all'incrocio tra la regolamentazione dell'IA, il diritto alla privacy e la prevenzione delle frodi.

La maggior parte delle leggi sui deepfake finora emanate rientra in una di queste due tipologie. La prima si concentra sui contenuti dannosi, come immagini intime non consensuali, disinformazione politica e frodi basate sull'identità. La seconda si rivolge agli usi commerciali e istituzionali dei media sintetici generati dall'intelligenza artificiale, richiedendo etichettatura, meccanismi di consenso e trasparenza quando l'IA genera contenuti su persone reali.

Entrambe le tipologie comportano conseguenze in termini di conformità per le aziende regolamentate. Un istituto finanziario che elabora verifiche di identità senza controlli per rilevare volti sintetici può essere soggetto a controlli normativi in ​​base alla seconda tipologia, e a rischi penali in base alla prima, qualora tali volti siano collegati a coercizione o frode.

Comprendere la meccanica tecnica di come deepfakes lavoro Fornisce un utile contesto prima di esaminare il quadro giuridico di seguito.

Come vengono regolamentati i deepfake nel mondo?

Le leggi sui deepfake per il 2026 variano considerevolmente da paese a paese per ambito, obiettivi e modalità di applicazione. Alcune giurisdizioni si concentrano sulla responsabilità penale per i contenuti dannosi. Altre si focalizzano sugli obblighi di divulgazione civile per i media generati dall'intelligenza artificiale in contesti commerciali. Alcune si sono spinte oltre, integrando direttamente nella normativa gli standard tecnici di rilevamento. Ciò che le accomuna è una chiara traiettoria: l'era dei media sintetici incontrollati sta volgendo al termine.

Leggi Deepfake negli Stati Uniti

Le leggi statunitensi sui deepfake operano sia a livello federale che statale. A metà del 2025, 47 stati degli Stati Uniti avevano emanato una legislazione in materia di deepfake., con l'82% di tali leggi approvate nei due anni precedenti, il ritmo legislativo più rapido su qualsiasi argomento correlato all'IA in quel periodo.

A livello federale, il TAKE IT DOWN ActLa legge, firmata nel maggio 2025, criminalizza la pubblicazione non consensuale di immagini deepfake intime. Le leggi dei singoli stati si estendono ulteriormente a questo ambito.

Diversi stati hanno emanato leggi contro i deepfake utilizzati per interferire nelle elezioni, frodare finanziariamente e rubare identità. Texas, California e New York hanno ciascuno percorsi di applicazione della legge distinti per diverse categorie di danni.

Il quadro normativo in materia di applicazione della legge non è uniforme tra i vari stati. Le sanzioni variano dal risarcimento danni in sede civile alle accuse penali, a seconda dell'intento e della natura del contenuto sintetico coinvolto.

Leggi del Regno Unito sui deepfake

La principale legge britannica in materia di deepfake è la Sezione 138 del Data (Use and Access) Act 2025., entrata in vigore il 6 febbraio 2026. Essa criminalizza la creazione di immagini intime generate dall'intelligenza artificiale senza consenso, rendendo il Regno Unito una delle poche giurisdizioni a criminalizzare solo la creazione e non solo la distribuzione.

Insieme a ciò, Ofcom detiene l'autorità regolamentare sulle piattaforme online ai sensi della Legge sulla sicurezza online 2023Le piattaforme devono implementare sistemi per rilevare e rimuovere i contenuti deepfake prima che raggiungano gli utenti. Per le società di servizi finanziari regolamentate, la FCA ha segnalato nelle sue linee guida di vigilanza che i controlli biometrici per l'accesso ai servizi dovranno affrontare specificamente il problema dell'elusione del riconoscimento di vitalità nei deepfake.

L'Unione Europea e la legge sull'intelligenza artificiale

La legge europea sull'intelligenza artificiale (AI Act) è il quadro normativo più ampio attualmente in vigore in materia di deepfake. L'articolo 50 della legge impone obblighi di trasparenza ai sistemi di intelligenza artificiale che generano contenuti multimediali sintetici, tra cui l'obbligo di divulgare quando un contenuto è generato dall'IA. Tali obblighi si applicano ai fornitori e agli utilizzatori di modelli di intelligenza artificiale generici in grado di produrre deepfake.

Le sanzioni per la mancata osservanza delle disposizioni in materia di trasparenza possono arrivare fino a quindici milioni di euro o al 3% del fatturato annuo globale, a seconda di quale importo sia maggiore. ai sensi delle disposizioni sulla trasparenza dell'EU AI ActLe norme sulla trasparenza per chi distribuisce contenuti generati dall'intelligenza artificiale sono entrate in vigore nell'agosto del 2026.

Per verifica dell'identità Per i fornitori e i loro clienti, l'obbligo rilevante è quello di etichettatura e divulgazione quando si utilizza contenuto sintetico in un flusso di lavoro, compreso il dovere di rilevare e segnalare gli input generati dall'IA presentati durante la fase di onboarding.

Asia-Pacifico e oltre

La Cina adotta il quadro normativo più restrittivo in materia di etichettatura dei deepfake nella regione Asia-Pacifico. Le sue normative sulla sintesi profonda, in vigore dal gennaio 2023, richiedono il consenso prima di addestrare modelli di intelligenza artificiale sull'immagine di un individuo, l'inserimento obbligatorio di watermark nei contenuti sintetici e la verifica dell'identità reale degli utenti sulle piattaforme che ospitano contenuti multimediali sintetici.

L'Australia ha emanato un quadro normativo specifico per contrastare i danni causati dai deepfake nel 2024, estendendo la sua legge sulla sicurezza online (Online Safety Act) per includere i contenuti intimi generati dall'intelligenza artificiale, prevedendo sanzioni penali. A Singapore, i contenuti deepfake rientrano nella legge sulla protezione dalle falsità e dalla manipolazione online (Protection from Online Falsehoods and Manipulation Act - POFMA), che consente ai tribunali di ordinare la rimozione di contenuti falsificati. Le sanzioni per le aziende possono raggiungere un milione di dollari di Singapore.

Che implicazioni hanno le leggi sui deepfake per le aziende?

Le leggi sull'intelligenza artificiale che contrastano i deepfake impongono due distinte pressioni a qualsiasi organizzazione che elabori dati di identità o produca contenuti generati dall'IA. La prima è un obbligo di divulgazione ed etichettatura. La seconda è un obbligo di rilevamento e controllo. Entrambi gli obblighi sono ora di competenza dei team di compliance, e la maggior parte delle organizzazioni si trova attualmente nel divario tra l'obbligo legale e la preparazione tecnica.

Obblighi di etichettatura e divulgazione

Ai sensi della legge europea sull'intelligenza artificiale e di normative analoghe in fase di sviluppo in Corea del Sud e Brasile, le aziende che utilizzano sistemi di intelligenza artificiale per generare contenuti sintetici devono etichettare tali contenuti come generati dall'IA.

Per i team di marketing, comunicazione e produzione di contenuti, ciò introduce nuovi requisiti di flusso di lavoro che riguardano i metadati di divulgazione, gli standard di provenienza dei contenuti e le tracce di controllo per le risorse generate.

Per le aziende che dipendono dalla verifica dell'identità, l'obbligo di divulgazione funziona in senso inverso. Il sistema di onboarding deve rilevare e rifiutare gli input generati dall'intelligenza artificiale. Non farlo rischia di ammettere truffatori e di elaborare contenuti sui quali l'organizzazione non aveva alcun controllo documentato, il che, secondo le autorità di regolamentazione sia del Regno Unito che dell'UE, costituisce una violazione dei controlli.

Responsabilità penale e rischio di frode d'identità

Come i truffatori aggirano la verifica facciale In genere si tratta di attacchi di iniezione di deepfake, in cui video preregistrati o generati dall'intelligenza artificiale vengono inseriti nel flusso video della telecamera per simulare un controllo di vitalità. Nella maggior parte delle giurisdizioni con leggi sui deepfake, l'utilizzo di contenuti multimediali sintetici per impersonare qualcuno durante un processo di verifica dell'identità costituisce già frode ai sensi delle leggi penali vigenti.

La novità introdotta dalle nuove leggi è la specifica responsabilità penale per i deepfake. La creazione o il possesso di contenuti multimediali sintetici a scopo fraudolento possono ora comportare accuse penali distinte dal reato di frode in sé.

Per i responsabili della conformità, questo è un aspetto importante. Un'azienda che elabora o ignora i dati di identità generati dall'intelligenza artificiale potrebbe incorrere in responsabilità accessoria in alcune giurisdizioni, soprattutto laddove si possa dimostrare una negligenza intenzionale.

Come Shufti aiuta le aziende regolamentate a verificare l'assenza di deepfake

Le normative sui deepfake impongono due distinte pressioni agli istituti finanziari. La prima è di natura legale. Gli obblighi di divulgazione ed etichettatura previsti dalla legge europea sull'intelligenza artificiale e da normative analoghe impongono alle organizzazioni di individuare e segnalare le identità generate dall'IA. La seconda è di natura tecnica. Le aspettative degli esaminatori ora includono la capacità di rifiutare i volti sintetici prima che vengano esaminati da un essere umano.

Shufti's rilevamento deepfake and verifica del volto Affronta entrambi i problemi. La piattaforma copre oltre 56 vettori di attacco anti-spoofing, tra cui volti generati dall'IA, maschere 3D, attacchi di injection e replay video, con un tasso di falsi positivi (FAR) inferiore allo 0.001. Tale cifra è stata convalidata esternamente dal programma RIVR del Dipartimento della Sicurezza Interna nel 2025, il che significa che meno di 1 tentativo fraudolento su 1,000 supera il livello biometrico.

L'architettura supporta l'implementazione in loco per le istituzioni in cui i dati biometrici non possono uscire dalla propria infrastruttura, oltre a un sistema ibrido di intelligenza artificiale e revisione umana per i casi limite in cui il processo decisionale automatizzato da solo non è sufficiente.

Per i team di conformità che stanno costruendo una risposta difendibile alle leggi sull'IA deepfake, Rapporto Horizon Scan del FATF sui deepfake delinea ciò che le autorità di regolamentazione si aspettano ora dai sistemi di controllo di rilevamento degli istituti finanziari.