DeepNude è legale in Italia? Cosa dice la legge

L'articolo 26 della legge sull'intelligenza artificiale ha inserito nel codice penale l'art. 612-quater, «Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale»: «Chiunque cagiona un danno ingiusto ad una persona, cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante l'impiego di sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità, è punito con la reclusione da uno a cinque anni».

Quattro elementi devono esserci tutti: una condotta di diffusione e non di semplice produzione; l'assenza del consenso; un contenuto falsificato con l'IA e insieme credibile; un danno ingiusto effettivamente provocato, dove l'imbarazzo generico non basta e il pregiudizio alla reputazione o al lavoro sì. La stessa legge ha aggiunto una circostanza aggravante comune quando i sistemi di IA «per la loro natura o per le modalità di utilizzo, abbiano costituito mezzo insidioso» o abbiano ostacolato la difesa. Si procede a querela della persona offesa, ma d'ufficio «se il fatto è connesso con altro delitto per il quale si deve procedere d'ufficio ovvero se è commesso nei confronti di persona incapace, per età o per infermità, o di una pubblica autorità a causa delle funzioni esercitate». La norma è in vigore dal 10 ottobre 2025, come risulta dalla scheda della legge 132/2025 in Gazzetta Ufficiale, e non copre fatti anteriori. Cosa renda un'immagine credibile fino a quel punto dipende dal meccanismo: cosa fa il modello alla fotografia che riceve.

È il punto che genera più equivoci. Il 612-quater non colpisce chi produce un'immagine e la tiene per sé: la condotta punita è la cessione, la pubblicazione, la diffusione. Da qui molti concludono che finché il file resta sul proprio dispositivo non ci sia alcun problema, e non è così.

La fotografia di una persona è un suo dato personale, e caricarla su un servizio per ricavarne un'altra immagine è un trattamento che ha bisogno di una base giuridica. L'avvertimento che il Garante ha rivolto agli utilizzatori di questi servizi, reso noto con il comunicato dell'8 gennaio 2026, dice proprio questo: senza il consenso degli interessati, l'uso di tali strumenti e la diffusione dei contenuti così generati possono determinare «oltre a possibili fattispecie di reato» gravi violazioni dei diritti fondamentali, con le relative conseguenze sanzionatorie. Sono due binari distinti: quello penale si attiva con la diffusione e il danno, quello amministrativo già con il trattamento privo di titolo.

Il 612-quater non ha sostituito nulla: è stato inserito subito dopo una norma che esisteva già dal 2019 e che copre il caso opposto, cioè le immagini vere. L'art. 612-ter, introdotto dall'articolo 10 della legge 69/2019, punisce chi invia, consegna, cede, pubblica o diffonde immagini o video sessualmente espliciti «destinati a rimanere privati» senza il consenso delle persone rappresentate, con la reclusione da uno a sei anni e la multa da 5.000 a 15.000 euro.

La distinzione pratica è semplice: se il contenuto ritrae davvero quella persona si guarda al 612-ter, se è stato fabbricato o alterato con l'IA al 612-quater. Due dettagli ricorrono spesso. Il secondo comma del 612-ter colpisce anche chi ha soltanto ricevuto il materiale e poi lo rilancia per nuocere: la catena delle condivisioni non è un porto sicuro. E la pena è aumentata quando i fatti sono commessi «attraverso strumenti informatici o telematici». Come si interrompe una catena già partita sta in i canali che bloccano la diffusione di un'immagine intima.

Qui l'impianto cambia del tutto. L'art. 600-quater.1 del codice penale, inserito dall'articolo 4 della legge 38/2006, estende le norme degli artt. 600-ter e 600-quater c.p. al materiale che «rappresenta immagini virtuali realizzate utilizzando immagini di minori degli anni diciotto o parti di esse», con pena diminuita di un terzo.

La definizione di immagine virtuale che la norma stessa dà descrive con vent'anni di anticipo quello che produce un modello generativo: «immagini realizzate con tecniche di elaborazione grafica non associate in tutto o in parte a situazioni reali, la cui qualità di rappresentazione fa apparire come vere situazioni non reali». Non serve alcuna diffusione e non serve alcuna querela. Nessun caso limite e nessuna eccezione: che l'immagine di partenza sia pubblica o che il risultato non venga mostrato a nessuno non sposta niente. Nel dubbio, quel materiale non si conserva e non si inoltra, nemmeno per segnalarlo: si trasmettono indirizzi e schermate. La linea che ci siamo dati sta in le regole che applichiamo quando c'è di mezzo un minore.

Le norme viste finora colpiscono chi usa o diffonde un'immagine; il regolamento europeo sull'intelligenza artificiale guarda invece allo strumento. Il Regolamento (UE) 2026/1744, l'«omnibus» sull'IA in vigore dal 27 luglio 2026, ha aggiunto all'articolo 5 — quello delle pratiche vietate — i sistemi di IA che generano contenuti sessualmente espliciti e intimi non consensuali o materiale pedopornografico. La Commissione europea lo elenca fra le misure a tutela dei diritti fondamentali nella nota sull'entrata in vigore dell'omnibus.

Il divieto si applica dal 2 dicembre 2026, come indica il calendario di attuazione pubblicato dalla Commissione. Per le pratiche vietate dall'articolo 5 il regolamento prevede le sanzioni amministrative più alte: fino a 35 milioni di euro o, per un'impresa, fino al 7% del fatturato mondiale annuo, se superiore. Il divieto non prende il posto del diritto penale: chi diffonde un finto nudo continua a rispondere del 612-quater, e chi lo fa con l'immagine di un minore del 600-quater.1.

Il secondo fronte riguarda chi questi servizi li offre, e in Italia si è mosso prima del diritto penale. Il 1° ottobre 2025 il Garante ha ordinato in via d'urgenza a una delle applicazioni più note della categoria di fermare il trattamento dei dati di chi la usa dall'Italia, con effetto immediato. Nel testo l'Autorità richiama i considerando 133 e 134 del regolamento europeo sull'IA, quelli sull'obbligo di marcare gli output e di rendere riconoscibile l'origine artificiale di un contenuto.

Quegli obblighi si applicano dal 2 agosto 2026. L'articolo 50 del regolamento impone a chi fornisce il sistema di marcare i contenuti sintetici in formato leggibile dalle macchine; per i sistemi già sul mercato prima di quella data il termine è il 2 dicembre 2026. A chi usa il sistema in un'attività professionale chiede di dichiarare che un deep fake è stato generato o manipolato. L'uso puramente personale resta fuori dal regolamento, non dal codice penale. Sul nostro lato la dichiarazione è scritta a mano, immagine per immagine: cosa dichiariamo sulle illustrazioni di queste pagine.

C'è infine l'accesso. Chi rende disponibile materiale sessualmente esplicito al pubblico italiano deve accertare la maggiore età di chi entra, con sanzioni fino a 250.000 euro se non lo fa. Secondo la scheda AGCOM sull'attuazione dell'art. 13-bis del decreto Caivano, l'obbligo vale dal 12 novembre 2025 per i gestori stabiliti in Italia o fuori dall'Unione europea e dal 1° febbraio 2026 per quelli stabiliti in un altro Stato dell'Unione, con diffida ad adeguarsi entro venti giorni e, se non basta, provvedimenti di blocco. Perché una schermata con un clic non basti sta in perché il sito chiede di confermare l'età.