Testo originariamente pubblicato su LinkedIn. I riferimenti temporali e normativi sono quelli del post originale.
Deepfake e 231: l’impresa può essere vittima. Ma può anche rispondere ai sensi del d.lgs. 231/2001.
Siamo abituati a considerare l’impresa come vittima del deepfake: la voce clonata dell’amministratore che dispone un pagamento o il falso video di un dirigente.
Pensiamo, però, al caso opposto: un’impresa utilizza il volto o la voce di un personaggio noto per promuovere un prodotto senza autorizzazione, oppure manipola le dichiarazioni di un concorrente per danneggiarne la reputazione.
Qui il deepfake diventa un rischio penale generato nell’interesse dell’impresa. L’art. 612-quater c.p., già vigente, punisce chi cagiona un danno ingiusto cedendo, pubblicando o diffondendo, senza consenso, immagini, video o voci falsificati o alterati mediante IA e idonei a ingannare sulla loro genuinità.
La mera generazione, senza successiva (i) cessione, pubblicazione o diffusione, (ii) senza danno ingiusto e con (iii) il consenso della persona ritratta non realizza la condotta tipica. La fattispecie riguarda immagini, video e voci, non i testi generati mediante IA, salva l’applicabilità di altre disposizioni.
Dal 2 agosto l’art. 50, par. 4, dell’AI Act impone ai deployer di sistemi di IA che generano o manipolano deepfake di dichiararne la natura artificiale o manipolata.
Ma trasparenza e consenso operano su piani diversi. L’etichettatura non equivale al consenso. Può incidere sull’idoneità del contenuto a ingannare, ma non rende automaticamente lecito l’utilizzo dell’immagine o della voce altrui.
Quando scatta la responsabilità 231?
Il nuovo art. 25-vicies, nel testo approvato definitivamente e ancora in attesa di pubblicazione, include il 612-quater tra i reati presupposto, con una sanzione da 200 a 700 quote e alcune sanzioni interdittive.
Occorrerà accertare: - il reato commesso da un apicale o sottoposto, eventualmente in concorso con soggetti esterni; - l’interesse o il vantaggio dell’ente (che scatta ad esempio per incrementare le vendite, evitare il costo di un testimonial o danneggiare un concorrente); - un’autonoma colpa di organizzazione.
E se il contenuto è prodotto da un’agenzia?
L’esternalizzazione non rende automaticamente responsabile il committente, ma neppure lo esonera quando il deepfake sia richiesto, approvato o consapevolmente diffuso all’interno dell’organizzazione.
Il presidio 231 non può ridursi a un generico divieto. Servono regole su consenso e diritti, approvazione dei contenuti sintetici, controllo delle agenzie, tracciabilità delle decisioni e gestione delle segnalazioni.
Il vero rischio non è soltanto non riconoscere un deepfake. È non sapere chi abbia deciso di utilizzarlo - e nell’interesse di chi.
Leggi il post originale su LinkedIn
Torna al blog