Un deepfake è un contenuto audio, video o visivo generato o manipolato con sistemi di intelligenza artificiale in modo da far apparire autentico qualcosa che non è avvenuto realmente. Può riprodurre il volto di una persona, imitarne la voce, modificarne i movimenti o inserirla in un contesto mai esistito.
Nel 2026 il tema non riguarda più solo video virali o personaggi famosi. Deepfake e voice cloning vengono utilizzati anche in truffe, impersonificazione di dirigenti, social engineering, frodi finanziarie, manipolazione dell’identità e tentativi di aggirare processi di verifica. Nel luglio 2026 Banca d’Italia ha pubblicato un nuovo avviso su contenuti falsi creati anche con tecniche deepfake e utilizzati per rendere credibili messaggi presumibilmente finalizzati a truffe.
La difesa non consiste nel cercare un singolo difetto visivo. La qualità dei contenuti sintetici rende sempre meno affidabili segnali come labiale imperfetto o voce metallica. La strategia corretta è verificare fonte, contesto e richiesta attraverso canali indipendenti, soprattutto quando sono coinvolti denaro, credenziali, dati sensibili o modifiche ai processi aziendali.
Deepfake: significato e differenza rispetto a un normale contenuto AI
Il termine deepfake combina deep learning e fake. In senso pratico indica un contenuto sintetico o manipolato che riproduce o altera l’identità, l’aspetto o la voce di una persona in modo tale da poter essere scambiato per autentico.
Non ogni immagine generata con AI è un deepfake. Un contenuto palesemente illustrativo di una persona inesistente è sintetico; diventa rilevante come deepfake quando la manipolazione fa apparire reale una persona, una dichiarazione o una situazione che non lo sono.
Tipologie di deepfake
- Video deepfake: sostituzione o ricostruzione del volto, lip-sync e alterazione dell’espressione.
- Deepfake audio e voice cloning: imitazione della voce per telefonate, note vocali o messaggi.
- Immagini deepfake: fotografie sintetiche o manipolate attribuite a persone reali.
- Deepfake in live mode: modifica in tempo reale di volto o voce durante una videochiamata o conversazione.
- Contenuti ibridi: combinazione di testo, audio, immagine e video per costruire una falsa identità credibile.
Perché i deepfake sono un rischio aziendale
Il deepfake è particolarmente efficace quando rafforza una tecnica di social engineering già credibile. Un attaccante può conoscere organigramma, fornitori, scadenze e ruoli aziendali e utilizzare una voce o un video sintetico per aumentare la pressione psicologica sulla vittima.
- CEO fraud e richieste urgenti di bonifico.
- Falsa modifica dell’IBAN di un fornitore.
- Impersonificazione di IT o help desk per ottenere reset password o modifica MFA.
- Finta videochiamata di un dirigente per ottenere documenti o informazioni riservate.
- Voice phishing e vishing potenziato da clonazione vocale.
- Frode reputazionale attraverso falsi video o dichiarazioni attribuite a manager e brand.
- Tentativi di elusione di processi di verifica dell’identità o controlli biometrici.
Come riconoscere un deepfake: cosa funziona davvero
Nel 2026 non è prudente basarsi solo sulla qualità audiovisiva. I contenuti migliori possono non mostrare artefatti evidenti. La verifica deve spostarsi dal “sembra vero?” al “posso confermare indipendentemente che sia vero?”.
- Verificare se il contenuto esiste sui canali ufficiali della persona o dell’organizzazione.
- Non usare il numero, il link o il contatto fornito nello stesso messaggio sospetto per effettuare la verifica.
- Per pagamenti, variazioni IBAN, reset account e accessi privilegiati usare un callback verso un contatto già noto o una procedura separata.
- Controllare incongruenze di contesto: urgenza anomala, richiesta di segretezza, bypass delle procedure, cambio improvviso di canale.
- Trattare audio e video come elementi di supporto all’identità, non come prova sufficiente di autenticità.
- Usare strumenti di detection e provenance quando disponibili, senza considerarli infallibili.
Deepfake Training e Security Awareness Per trasformare questi controlli in comportamenti ripetibili da finance, HR, help desk e management, consulta Deepfake Training e sicurezza aziendale oppure il Corso Phishing Awareness. |
Deepfake e vishing
Il voice cloning può essere usato all’interno di un attacco vishing, ma i due concetti non coincidono. Il vishing è una tecnica di phishing vocale; il deepfake audio è una tecnologia di manipolazione che può rendere più credibile la telefonata.
Approfondimento: Vishing: significato e funzionamento del phishing vocale
Deepfake e legge italiana: quando può diventare reato
Dal 10 ottobre 2025 è in vigore la Legge 23 settembre 2025 n. 132 sull’intelligenza artificiale. L’articolo 26 ha introdotto nel codice penale l’art. 612-quater, relativo all’illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale.
La norma non rende illegale qualunque deepfake. Può integrare il reato, in presenza delle condizioni previste dalla legge, la diffusione senza consenso di immagini, video o voci falsificati o alterati mediante AI, idonei a ingannare sulla loro genuinità, quando viene cagionato un danno ingiusto alla persona. La pena prevista è la reclusione da uno a cinque anni.
Restano inoltre applicabili le regole sulla protezione dei dati personali quando vengono trattate immagini, voce o altri dati riferibili a persone identificate o identificabili. Il Garante Privacy ha pubblicato specifici avvertimenti sui servizi che consentono di creare deepfake utilizzando voci o immagini reali di terzi.
AI Act: obblighi di trasparenza dal 2 agosto 2026
L’articolo 50 dell’AI Act è applicabile dal 2 agosto 2026. Le linee guida della Commissione europea chiariscono che i deployer di sistemi AI devono informare le persone quando sono esposte a deepfake mediante una divulgazione chiara e percepibile. Per contenuti artistici, creativi, satirici o analoghi l’obbligo viene adattato al contesto, senza eliminare la necessità di trasparenza.
Per le aziende questo introduce un secondo profilo di rischio: non solo difendersi dai deepfake malevoli, ma anche governare correttamente i contenuti sintetici prodotti internamente per marketing, comunicazione, formazione o customer experience.
Contromisure aziendali
- Doppia autorizzazione per bonifici, variazioni IBAN e pagamenti straordinari.
- Callback su numeri e contatti presenti in rubriche o procedure interne, non su quelli forniti nella richiesta.
- Workflow separati per reset password, modifica MFA e rilascio di privilegi.
- Formazione periodica su social engineering, vishing, phishing e impersonificazione AI.
- Segnalazione rapida al SOC/IT di telefonate, videochiamate e richieste anomale.
- MFA resistente al phishing e processi di identity verification proporzionati al rischio.
- Procedure di crisis communication per falsi video o contenuti reputazionali che coinvolgono dirigenti o brand.
Misurare il rischio umano Per verificare il comportamento reale degli utenti, affianca la formazione con campagne di Phishing Simulation e percorsi di Cybersecurity Awareness. |
FAQ sui deepfake
Che cos’è un deepfake?
È un contenuto audio, video o visivo generato o manipolato con intelligenza artificiale in modo da far apparire autentica una persona, una voce, una dichiarazione o una situazione che non corrisponde alla realtà.
Come si riconosce un deepfake?
Non esiste un singolo segnale affidabile. Occorre verificare fonte, contesto e richiesta tramite canali indipendenti, soprattutto quando sono coinvolti pagamenti, credenziali o dati sensibili.
Un deepfake è sempre illegale?
No. La liceità dipende da finalità, consenso, contesto e norme applicabili. In Italia l’art. 612-quater c.p. punisce, alle condizioni previste dalla legge, la diffusione senza consenso di contenuti falsificati o alterati con AI che cagionano un danno ingiusto e sono idonei a ingannare sulla genuinità.
Quali obblighi introduce l’AI Act sui deepfake?
Dal 2 agosto 2026 l’articolo 50 dell’AI Act prevede obblighi di trasparenza. I deployer devono informare le persone quando sono esposte a deepfake mediante una divulgazione chiara e percepibile.
Qual è la differenza tra deepfake audio e vishing?
Il deepfake audio è una tecnica di sintesi o clonazione della voce. Il vishing è un attacco di phishing attraverso la voce. Un attaccante può usare un deepfake audio per rendere più credibile un attacco vishing.
