DeepNude è legale in Italia? Cosa dice la legge

L'articolo 26 della legge sull'intelligenza artificiale ha inserito nel codice penale l'art. 612-quater, rubricato «Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale». Il testo è questo: «Chiunque cagiona un danno ingiusto ad una persona, cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante l'impiego di sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità, è punito con la reclusione da uno a cinque anni».

Quattro elementi devono esserci tutti: una condotta di diffusione e non di semplice produzione; l'assenza del consenso; un contenuto falsificato con l'IA e insieme credibile, capace di ingannare sulla propria autenticità; un danno ingiusto effettivamente provocato, dove l'imbarazzo generico non basta e il pregiudizio alla reputazione o al lavoro sì. La stessa legge ha aggiunto una circostanza aggravante comune, valida per qualunque reato, quando i sistemi di IA «per la loro natura o per le modalità di utilizzo, abbiano costituito mezzo insidioso» o abbiano ostacolato la difesa.

Si procede a querela della persona offesa, ma d'ufficio «se il fatto è connesso con altro delitto per il quale si deve procedere d'ufficio ovvero se è commesso nei confronti di persona incapace, per età o per infermità, o di una pubblica autorità a causa delle funzioni esercitate». La norma è in vigore dal 10 ottobre 2025, come risulta dalla scheda della legge 132/2025 in Gazzetta Ufficiale, e non copre fatti anteriori.

È il punto che genera più equivoci. Il 612-quater non colpisce chi produce un'immagine e la tiene per sé: la condotta punita è la cessione, la pubblicazione, la diffusione. Da qui molti concludono che finché il file resta sul proprio dispositivo non ci sia alcun problema, e non è così.

La fotografia di una persona è un suo dato personale, e caricarla su un servizio per ricavarne un'altra immagine è un trattamento che ha bisogno di una base giuridica. L'avvertimento che il Garante ha rivolto agli utilizzatori di questi servizi, reso noto l'8 gennaio 2026, dice proprio questo: senza il consenso degli interessati, l'uso di tali strumenti e la diffusione dei contenuti così generati possono determinare «oltre a possibili fattispecie di reato» gravi violazioni dei diritti fondamentali, con le relative conseguenze sanzionatorie.

Due binari distinti, con presupposti diversi: quello penale si attiva con la diffusione e il danno, quello amministrativo già con il trattamento privo di titolo.

Il 612-quater non ha sostituito nulla: è stato inserito subito dopo una norma che esisteva già dal 2019 e che copre il caso opposto, cioè le immagini vere. L'art. 612-ter, introdotto dall'articolo 10 della legge 69/2019, punisce chi invia, consegna, cede, pubblica o diffonde immagini o video sessualmente espliciti «destinati a rimanere privati» senza il consenso delle persone rappresentate, con la reclusione da uno a sei anni e la multa da 5.000 a 15.000 euro.

La distinzione pratica è semplice: se il contenuto ritrae davvero quella persona si guarda al 612-ter, se è stato fabbricato o alterato con l'IA al 612-quater. Due dettagli del 612-ter ricorrono spesso. Il secondo comma colpisce anche chi ha soltanto ricevuto il materiale e poi lo rilancia per nuocere: la catena delle condivisioni non è un porto sicuro. E la pena è aumentata quando i fatti sono commessi «attraverso strumenti informatici o telematici», cioè nella situazione ordinaria di queste vicende.

Qui l'impianto cambia del tutto, e conviene saperlo prima. L'art. 600-quater.1 del codice penale, inserito dall'articolo 4 della legge 38/2006, estende le norme sulla pornografia minorile al materiale che «rappresenta immagini virtuali realizzate utilizzando immagini di minori degli anni diciotto o parti di esse», con pena diminuita di un terzo.

La definizione di immagine virtuale che la norma stessa dà descrive con vent'anni di anticipo quello che produce un modello generativo: «immagini realizzate con tecniche di elaborazione grafica non associate in tutto o in parte a situazioni reali, la cui qualità di rappresentazione fa apparire come vere situazioni non reali». Non serve alcuna diffusione e non serve alcuna querela: si esce dai reati contro la libertà morale e si entra in un altro capitolo del codice. La linea che ci siamo dati sta in le regole che applichiamo quando c'è di mezzo un minore.

Il secondo fronte riguarda chi questi servizi li offre, e in Italia si è mosso prima del diritto penale. Il 1° ottobre 2025 il Garante ha ordinato in via d'urgenza a una delle applicazioni più note della categoria di fermare il trattamento dei dati di chi la usa dall'Italia, con effetto immediato e nei confronti della società che la gestisce. Nel testo l'Autorità richiama i considerando 133 e 134 del regolamento europeo sull'intelligenza artificiale, quelli sull'obbligo di marcare gli output e di rendere riconoscibile l'origine artificiale di un contenuto.

Quegli obblighi oggi sono direttamente applicabili: l'articolo 50 del regolamento impone a chi fornisce il sistema di marcare i contenuti sintetici in formato leggibile dalle macchine e, a chi li mette in circolazione, di rendere noto che sono artificiali. Vale anche per una persona fisica, non solo per le aziende.

C'è infine l'accesso. Dal 12 novembre 2025 chi rende disponibili contenuti pornografici al pubblico italiano deve accertare la maggiore età di chi entra, con sanzioni fino a 250.000 euro se non lo fa. La scheda sull'attuazione dell'art. 13-bis del decreto Caivano indica il passaggio successivo: diffida ad adeguarsi entro venti giorni e, se non basta, provvedimenti per il blocco del sito. Perché una schermata con un clic non basti sta in perché il sito chiede di confermare l'età.