In sintesi

Il Garante della Privacy ha ammonito l'editore di "Striscia la Notizia", R.T.I. S.p.A., e ha imposto il divieto di riutilizzare i deepfake del giornalista Enrico Mentana con le modalità contestate. Il programma aveva utilizzato l'intelligenza artificiale per creare video satirici con l'immagine di Mentana che veicolavano notizie inventate, e il Garante ha rilevato che questi contenuti non erano stati presentati in modo sufficientemente chiaro per far capire a tutti che fossero falsi, violando i principi di correttezza e trasparenza del GDPR.

Cosa fare

Se la vostra azienda crea o diffonde contenuti con intelligenza artificiale che riproducono persone reali, assicuratevi che sia sempre evidente che si tratta di un contenuto falso o manipolato.
Utilizzate avvisi e disclaimer molto chiari, ben visibili e che rimangano sullo schermo o nel testo per tutta la durata del contenuto, sia in TV che sui siti internet e social media.
Valutate l'impatto che questi contenuti possono avere sulla reputazione delle persone coinvolte e sulla percezione del pubblico.

Cosa evitare

Non date per scontato che il pubblico capisca che un contenuto è un deepfake, anche se il programma è noto per la satira.
Non create deepfake così realistici da confondersi facilmente con la realtà, specialmente se la persona è riconoscibile nel suo ambiente professionale.
Non usate disclaimer piccoli, poco visibili o che appaiono solo all'inizio o alla fine del video, ma devono essere costantemente presenti.

Contesto

Il provvedimento riguarda un reclamo presentato dal sig. Enrico Ettore Mentana contro R.T.I. - Reti Televisive Italiane S.p.A., editore del programma “Striscia la Notizia”. Il reclamante ha lamentato l'indebito utilizzo della propria immagine, riprodotta tramite sistemi di intelligenza artificiale (deepfake), per creare servizi satirici in cui compariva nel ruolo di Direttore del TG di La7. I video, che presentavano un copione scritto dagli autori del programma e il logo del TG di La7, sono stati diffusi sul mezzo televisivo, nel sito internet e sui canali social del programma, e sulla piattaforma Mediaset Infinity. Il reclamante ha sostenuto che la condotta fosse andata oltre il corretto esercizio del diritto di satira, generando disinformazione e ledendo la sua reputazione, dato che molte persone hanno creduto i video fossero reali. Ha evidenziato la scarsità e l'inefficacia dei disclaimer iniziali sull'uso del deepfake. R.T.I. ha giustificato l'operato come esercizio del diritto di satira, asserendo di aver acquisito i diritti di utilizzo delle immagini da LA7 e di aver sempre fornito avvertenze sull'uso dell'intelligenza artificiale, successivamente rafforzate. La società ha inoltre sottolineato la natura satirica notoriamente riconosciuta del proprio programma e l'utilizzo del deepfake per fini leciti di parodia, richiamando l'evoluzione tecnologica nel campo dell'imitazione e le deroghe per il giornalismo e la libertà di espressione.

La decisione

Il Garante ha ritenuto che il trattamento configurasse una violazione dei principi di liceità, correttezza e trasparenza (art. 5 GDPR) e della protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25 GDPR). L'Autorità ha rilevato che l'immagine reale del reclamante, ripresa nel suo contesto professionale, è stata alterata tramite deepfake con un doppiaggio che non rendeva chiaramente percepibile l'alterazione. Le dichiarazioni attribuite, sebbene satiriche, non apparivano sufficientemente esagerate da renderne evidente la falsità a una visione immediata. Il contesto professionale del giornalista ha amplificato il rischio di disinformazione e pregiudizio all'identità personale e alla reputazione. Il Garante ha concluso che l'utilizzo dei dati non fosse rispondente al principio di correttezza e che, a ciò si aggiungesse l'insufficiente chiarezza dei disclaimer per un pubblico medio o poco attento, soprattutto nei vari momenti di messa in onda. Per queste violazioni, il Garante ha disposto nei confronti di R.T.I. Reti Televisive Italiane S.p.A. il divieto di ulteriore trattamento dei dati del reclamante con le modalità descritte, eccettuata la mera conservazione per fini giudiziari. Ha inoltre applicato la misura dell'ammonimento per l'inosservanza delle disposizioni sul trattamento dei dati, in particolare per le misure necessarie a garantire liceità, correttezza e trasparenza, riconoscendo la novità della questione giuridica legata all'uso di strumenti tecnologici di recente introduzione in contesti di espressione artistica. L'Autorità ha invitato R.T.I. a comunicare entro trenta giorni le iniziative intraprese per dare attuazione al provvedimento.

Ratio decidendi La motivazione giuridica chiave è che, pur rientrando il trattamento nell'ambito della libertà di espressione e del diritto di satira (disciplinati dagli artt. 136-139 del Codice), questo non ha rispettato i principi di liceità, correttezza e trasparenza (Art. 5 GDPR) e di protezione dei dati fin dalla progettazione (Art. 25 GDPR). L'uso di un deepfake che alterava in modo non palesemente riconoscibile l'immagine di un noto giornalista nel suo contesto professionale, veicolando messaggi inventati, ha reso il trattamento 'insidioso' e potenzialmente veicolo di disinformazione. La mancanza di disclaimer sufficientemente chiari e visibili, adatti a un pubblico eterogeneo, ha impedito agli interessati di percepire la natura artificiale del contenuto, non soddisfacendo l'obbligo di trasparenza e correttezza. Il Garante ha evidenziato che la notorietà del programma satirico non esime dal garantire che l'alterazione sia immediatamente percepibile, specialmente quando incide sull'identità e la reputazione di una persona.

Articoli GDPR violati

Articolo	Descrizione	Rilevanza
5 par.1 lett.a GDPR	Principi di liceità, correttezza e trasparenza: i dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell'interessato.	la creazione e diffusione di deepfake del reclamante, pur a fini satirici, senza disclaimer sufficientemente chiari e con modalità che rendevano il contenuto verosimile, hanno violato la correttezza e trasparenza, impedendo agli interessati di percepire la natura manipolata del contenuto.
25 GDPR	Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita: il titolare del trattamento deve mettere in atto misure tecniche e organizzative adeguate, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso, al fine di attuare in modo efficace i principi di protezione dei dati e integrare nel trattamento le necessarie garanzie.	la società non ha adottato misure tecniche e organizzative adeguate fin dalla progettazione per garantire che l'utilizzo del deepfake fosse percepibile come falso da un pubblico ampio, non tutelando efficacemente i diritti del reclamante e i principi generali di protezione dei dati.

Misure imposte

Divieto di ulteriore trattamento dei dati del reclamante con le modalità descritte; Ammonimento; Comunicare le iniziative intraprese entro 30 giorni

Sanzione

Il Garante ha disposto un divieto di ulteriore trattamento dei dati del reclamante con le modalità descritte, eccettuata la mera conservazione per fini giudiziari. Ha inoltre applicato la misura dell'ammonimento nei confronti di R.T.I. Reti Televisive Italiane S.p.A. per l'inosservanza delle disposizioni relative al trattamento dei dati, con particolare riguardo alle misure per assicurare il rispetto dei principi generali di liceità, correttezza e trasparenza. La motivazione per l'ammonimento è la novità della questione giuridica derivante dall'applicazione di strumenti tecnologici di recente introduzione e il loro utilizzo in programmi di intrattenimento riconducibili all'espressione artistica.

Termini: entro trenta giorni dalla data di ricezione del presente provvedimento per comunicare le iniziative

Implicazioni pratiche

Questo provvedimento evidenzia le delicate implicazioni dell'uso di tecnologie come i deepfake nel contesto mediatico, anche quando finalizzate alla satira. È un monito per le aziende produttrici di contenuti che utilizzano l'intelligenza artificiale per manipolare immagini o voci di personaggi pubblici. La notorietà del programma o del personaggio non legittima un uso indiscriminato che possa ingenerare disinformazione o ledere la reputazione. Il Garante sottolinea l'importanza di una chiara e immediata percepibilità della natura artificiale o manipolata del contenuto, soprattutto quando il contesto di presentazione è realistico e può trarre in inganno il pubblico. Le misure di trasparenza devono essere adeguate alle conoscenze tecnologiche del pubblico medio e devono essere costantemente visibili per chiunque acceda al contenuto in qualsiasi momento. La protezione dei dati fin dalla progettazione (privacy by design) implica che si considerino i rischi di pregiudizio per gli interessati e per i fruitori del contenuto sin dalle prime fasi di ideazione e produzione.

Azioni da fare

Assicurare che l'utilizzo di deepfake o contenuti generati con IA sia immediatamente e inequivocabilmente riconoscibile come tale da un pubblico ampio
Implementare disclaimer chiari, visibili e persistenti in ogni fase di diffusione del contenuto (TV, web, social media)
Valutare l'impatto di tali trattamenti sui diritti e le libertà degli interessati, in particolare sulla reputazione e l'identità personale
Adottare misure tecniche e organizzative adeguate per garantire i principi di liceità, correttezza e trasparenza fin dalla progettazione

Errori da evitare

Non presupporre che la notorietà del programma o del personaggio renda superflui disclaimer espliciti
Non sottovalutare l'impatto della disinformazione o della percezione di realtà su un pubblico non esperto di tecnologia
Non confondere il diritto di satira con un diritto illimitato di manipolare l'immagine altrui senza adeguate salvaguardie
Non limitare i disclaimer a canali o momenti specifici della diffusione, trascurando la visione parziale o l'accesso differito

Domande di self-assessment

L'azienda utilizza tecnologie di IA per creare contenuti che manipolano immagini o voci di persone reali?
Sono presenti disclaimer chiari, visibili e persistenti che informano il pubblico sulla natura artificiale dei contenuti?
Abbiamo valutato i potenziali rischi per la reputazione e l'identità degli interessati derivanti da tali trattamenti?
Le nostre misure tecniche e organizzative garantiscono che i principi di liceità, correttezza e trasparenza siano rispettati fin dalla progettazione di tali contenuti?

Riferimenti

Normativa nazionale: D.Lgs. 196/2003 · Legge sul diritto d'autore art. 97

Note

Il provvedimento menziona il Regolamento (UE) 2024/1689 sull'intelligenza artificiale (AI Act) e l'applicazione dei relativi obblighi informativi a partire dal 2 agosto 2026, evidenziando che l'azienda non era ancora obbligata, ma che le sue azioni erano comunque insufficienti per il GDPR attuale. Questo anticipa le future normative in materia di AI.