In Europa togliere il nome del fotografo dai metadati di un’immagine per rivenderla è un reato, mentre cancellare la marcatura che la dichiara generata dall’IA non lo è. L’articolo 50 dell’AI Act obbliga chi appone il segno e ignora chi lo rimuove. Le filigrane reggono contro l’uso distratto, cedono davanti a chi ha interesse a eliminarle, e nessuna norma rende quell’eliminazione più costosa.
Su GitHub c’è un progetto pubblico che tiene un registro molto preciso. Annota, con date e parametri, i test con cui le immagini generate da Gemini e da ChatGPT, dopo il trattamento, smettono di risultare marcate sui verificatori ufficiali dei due fornitori. Il lavoro è documentato con la cura di un laboratorio, è stato aggiornato a fine settembre e in Europa nessuna norma lo vieta.
Dal 2 agosto l’articolo 50 dell’AI Act impone ai fornitori di sistemi generativi di marcare i propri output in un formato leggibile da una macchina; quelli già sul mercato prima di quella data hanno tempo fino al 2 dicembre. Il Digital Omnibus, il Regolamento (UE) 2026/1744, ha rinviato al 2027 e al 2028 gli obblighi per l’alto rischio e ha lasciato intatta la trasparenza, che diventa così l’unica norma dell’AI Act a incidere subito su una platea di massa.
Il dibattito si è concentrato su come marcare. Molta meno attenzione ha ricevuto una domanda che chiunque si occupi di sicurezza porrebbe per prima: che cosa succede a chi toglie il segno. La risposta è che non succede nulla, e questo dice molto su chi il sistema è stato progettato per gestire.
Indice degli argomenti
Watermarking e AI Act: chi deve marcare e chi può cancellare
L’architettura dell’articolo 50 distribuisce gli obblighi tra due figure. Il fornitore marca gli output (paragrafo 2), il deployer che pubblica un deepfake deve dichiararne la natura artificiale (paragrafo 4). Il Codice di condotta pubblicato dalla Commissione a giugno, giudicato adeguato da Commissione e AI Board e firmato da circa 190 organizzazioni, traduce l’obbligo in due livelli: metadati firmati secondo standard come C2PA e una filigrana impercettibile incorporata nel contenuto.
Per chi rimuove la marcatura il Codice prevede una sola misura: i fornitori devono vietarlo nei propri termini d’uso. È un controllo contrattuale, rivolto a un soggetto che per definizione i contratti non li rispetta.
Una via indiretta esiste. Un professionista che cancella la filigrana e pubblica un deepfake senza dichiararlo viola l’obbligo del paragrafo 4. Ma l’AI Act esclude dalla nozione di deployer chi usa l’IA nell’ambito di un’attività personale non professionale, e in ogni caso l’obbligo colpisce la pubblicazione, non la rimozione, e non raggiunge l’autore anonimo di una campagna di disinformazione.
Il legislatore italiano ha seguito la stessa logica: la legge 132/2025 ha introdotto il reato di illecita diffusione di contenuti generati o alterati con l’IA, l’articolo 612-quater del codice penale, che punisce il danno causato dalla diffusione. Della marcatura non si occupa.
Altrove la scelta è stata diversa. In Cina le Misure sull’etichettatura dei contenuti sintetici, in vigore dal 1° settembre 2025, vietano a qualsiasi organizzazione o individuo di cancellare, alterare, falsificare o nascondere in modo doloso le etichette, e vietano anche di fornire strumenti e servizi per farlo.
Il contesto non è paragonabile: quella norma si inserisce in un apparato di controllo dei contenuti che l’Europa non ha alcuna intenzione di replicare. Il confronto resta utile sul piano dell’architettura. Pechino regola sia chi produce il segno sia chi lo elimina, Bruxelles soltanto il primo.
La tutela dei metadati nel diritto d’autore: il precedente europeo
L’asimmetria colpisce di più se si guarda al diritto d’autore, dove l’Europa ha già affrontato un problema tecnicamente identico. La direttiva 2001/29, all’articolo 7, obbliga gli Stati a proteggere le «informazioni sul regime dei diritti»: i dati che identificano l’opera, l’autore e le condizioni d’uso, inseriti nel file o associati alla sua diffusione.
In Italia l’articolo 102-quinquies della legge sul diritto d’autore le definisce e l’articolo 171-ter, lettera h), punisce chi le rimuove o le altera abusivamente, se il fatto è commesso per uso non personale, con la reclusione da sei mesi a tre anni. L’oggetto è lo stesso: un insieme di metadati o un segnale incorporato che accompagna il contenuto e ne dichiara l’origine.
Perché allora la marcatura dell’IA resta senza tutela? Le informazioni sul regime dei diritti hanno un titolare, che le appone per difendere un interesse economico e ha ogni ragione per far valere la norma in tribunale. La marcatura imposta dall’articolo 50 non identifica alcun titolare.
Il contenuto che accompagna, se interamente generato da una macchina, con ogni probabilità non è nemmeno protetto: la stessa legge 132/2025 ha ribadito che il diritto d’autore tutela le opere dell’ingegno umano. La filigrana dell’IA è un’informazione senza proprietario: serve un interesse pubblico e non ha nessuno con l’incentivo a difenderla. Le regole nate per i titolari dei diritti non la coprono, e nessuno ne ha scritte di nuove.
I limiti tecnici del watermarking previsto dall’AI Act
L’assenza di tutela pesa perché la tecnica è fragile, e i documenti attuativi lo ammettono. Commissione e AI Board riconoscono che nessuna tecnica soddisfa oggi da sola i requisiti di efficacia, interoperabilità, solidità e affidabilità. Il Codice esenta dalla filigrana i testi sotto i 200 token, il formato di post e commenti, e lascia facoltativi i rilevatori forensi perché ancora immaturi.
La ricerca conferma il quadro. UnMarker, presentato all’IEEE Symposium on Security and Privacy 2025 dall’Università di Waterloo, rimuove le filigrane delle immagini senza conoscerne lo schema né interrogare il rilevatore. Uno studio dell’ETH di Zurigo presentato a ICML 2024 ha mostrato che con meno di 50 dollari di interrogazioni a un modello si può ricostruire la marcatura testuale, per poi rimuoverla o apporla su testi mai generati da quel modello. Anthropic, che da agosto marca il testo dei nuovi modelli Claude con una tecnica derivata da SynthID, scrive apertamente che una riscrittura completa elimina la filigrana.
In termini di modello di minaccia, la marcatura funziona contro l’utente distratto, che ricomprime un file o fa uno screenshot, e quasi per nulla contro l’avversario motivato, che può usare modelli open-weight in locale dove la filigrana non viene mai applicata.
In mezzo c’è il profilo decisivo: l’opportunista, che non ha competenze tecniche e si affida a uno strumento già pronto. È lì che si gioca la partita, perché è lì che si forma un mercato. Servizi online e strumenti open source che promettono di ripulire immagini e video da SynthID e C2PA compaiono già nei risultati dei motori di ricerca, corredati di guide passo per passo.
Rimozione delle filigrane: che cosa insegna il DRM
Il diritto d’autore offre anche la misura dei limiti di una tutela giuridica. Negli anni Duemila la protezione legale delle misure tecnologiche, il DRM, non impedì che le protezioni venissero aggirate: gli strumenti circolavano, e l’industria musicale finì per abbandonarle.
Ottenne però un risultato meno visibile e non trascurabile. L’elusione uscì dal circuito commerciale: niente prodotti in vendita nei negozi, niente servizi pubblicizzati, niente applicazioni negli store ufficiali. Chi voleva aggirare una protezione doveva cercarsi gli strumenti ai margini della rete, con un costo in tempo, competenze e rischio.
È esattamente il livello che conta per la marcatura dell’IA. Nessuna norma fermerà un servizio di intelligence straniero, così come nessuna filigrana lo fa. Una norma mirata può invece togliere dal mercato la rimozione come servizio e alzare il costo dell’attacco per l’opportunista, che è il profilo su cui la tecnica da sola fallisce. La legge non può rendere robusta una filigrana, ma può impedire che la sua rimozione diventi un prodotto.
La stessa esperienza indica anche che cosa evitare. Le norme anti-elusione americane hanno a lungo esposto ricercatori di sicurezza a contenziosi per aver studiato le protezioni che dovevano mettere alla prova. Una tutela della marcatura dovrebbe quindi colpire l’offerta commerciale di strumenti e la rimozione consapevole finalizzata alla diffusione ingannevole, con eccezioni esplicite per la ricerca, i test di robustezza e la tutela della riservatezza: un manifesto C2PA può contenere dati personali, e chi li cancella dalle proprie foto non sta facendo disinformazione.
Il veicolo può essere europeo, in occasione delle prossime revisioni dell’AI Act, oppure nazionale. Senza una norma di questo tipo, l’Agenzia per la cybersicurezza nazionale, che la legge 132/2025 indica come autorità di vigilanza del mercato per l’IA, potrà verificare che i fornitori marchino i propri output, ma non avrà alcuno strumento contro chi vende il servizio per cancellarli.
Contenuti autentici: chi dovrà certificare la propria origine
Se la marcatura del sintetico resta fragile e priva di tutela, è probabile che il mercato cerchi la soluzione dalla parte opposta: firmare all’origine il contenuto autentico. La direzione è già visibile, con fotocamere e smartphone che appongono credenziali C2PA al momento dello scatto e istituzioni che sperimentano la firma delle proprie comunicazioni.
In quello scenario il contenuto non firmato diventa sospetto per definizione, e l’onere della prova si sposta: non sarà più l’IA a dover dichiarare di esserci, ma la persona a dover dimostrare di essere stata lì.
È un esito con costi rilevanti. Esclude chi non dispone di dispositivi certificati e concentra la fiducia nella gestione delle chiavi di pochi produttori. Il caso Nikon ne ha già mostrato la fragilità: a fine agosto 2025 il produttore ha abilitato le credenziali C2PA sulla Z6 III, pochi giorni dopo un utente ha dimostrato che la fotocamera poteva firmare immagini che non aveva scattato, e Nikon ha dovuto revocare tutti i certificati emessi.
Tutelare il segno sul contenuto sintetico o costringere quello autentico a certificarsi: tra queste due strade c’è una scelta di politica pubblica, con conseguenze diverse su libertà, inclusione e sicurezza. Finora nessuno l’ha compiuta in modo esplicito.
Il 2 dicembre i cruscotti di conformità mostreranno percentuali di marcatura vicine al cento per cento, e quel numero misurerà la diligenza di chi collabora. Finché rimuovere il segno resterà gratuito e lecito, la scelta la farà il mercato, un servizio di pulizia alla volta.
Partecipa alla community