Provvedimenti n. 789 del 18/12/2025

Avvertimento sull’uso di servizi IA per la generazione di contenuti basati su voce e immagini di terzi

Il Garante per la protezione dei dati personali interviene d’ufficio con un avvertimento rivolto ai soggetti che, in qualità di titolari o responsabili del trattamento, utilizzano servizi di intelligenza artificiale capaci di generare contenuti audio, fotografici o audiovisivi partendo dalla voce o dalle immagini reali di persone terze. Il provvedimento mira a segnalare i rischi privacy connessi al fenomeno dei deepfake e a richiamare gli obblighi del GDPR e del Codice privacy.

Contesto e presupposti dell’intervento

L’Autorità rileva la diffusione sul mercato di servizi che consentono agli utenti di impiegare voci e immagini di persone, anche note, per creare contenuti artificiali che possono essere successivamente condivisi sulle principali piattaforme social. Tali strumenti si basano su tecnologie di intelligenza artificiale idonee a manipolare la realtà e a produrre deepfake.

Il Garante osserva che, in tali casi, la voce e l’immagine di una persona possono essere utilizzate per attribuirle parole, pensieri o comportamenti non corrispondenti alla sua effettiva volontà e coscienza, con conseguenze dirette sulla sua autodeterminazione informativa e sulla libertà decisionale.

Qualificazione dei dati e ambito di applicazione del GDPR

Il provvedimento precisa che voce e immagini rientrano nella nozione di dato personale ai sensi dell’art. 4, punto 1, GDPR, poiché consentono l’identificazione diretta o indiretta della persona fisica interessata. L’Autorità evidenzia inoltre che tali elementi possono assumere, in presenza dei requisiti previsti, natura di dati biometrici ai sensi dell’art. 4, punto 14, GDPR, quando siano oggetto di trattamento tecnico specifico finalizzato all’identificazione univoca.

Ne deriva che, nei casi in cui il trattamento coinvolga dati biometrici o comunque categorie particolari di dati, non è sufficiente verificare una base giuridica ex art. 6 GDPR, ma occorre anche riscontrare una delle condizioni di liceità di cui all’art. 9, par. 2, GDPR.

Rischi per i diritti e le libertà degli interessati

Il Garante richiama il considerando 39 GDPR, secondo cui le persone devono essere sensibilizzate ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali. Nel caso di specie, tale esigenza è ritenuta particolarmente urgente per la presenza di rischi elevati per soggetti terzi che, verosimilmente, non sono neppure a conoscenza del trattamento dei loro dati.

L’Autorità richiama anche il considerando 75 GDPR, soffermandosi sui possibili danni fisici, materiali e immateriali derivanti da trattamenti suscettibili di causare discriminazioni, furto o usurpazione di identità, perdite finanziarie, pregiudizi reputazionali, perdita di riservatezza e altri danni economici o sociali significativi. Nel caso dei deepfake, tali rischi risultano amplificati dalla possibilità di impiego dei contenuti artefatti per frodi, diffamazione o sostituzione di persona.

Obblighi di liceità, trasparenza e data protection by design

Il provvedimento richiama il principio secondo cui i fornitori di servizi di generazione di contenuti artificiali devono considerare la protezione dei dati sin dalla fase di sviluppo, progettazione, selezione e utilizzo dei propri prodotti e servizi. In questo senso, il Garante richiama il considerando 78 e l’art. 25 GDPR, relativi alla protezione dei dati fin dalla progettazione e per impostazione predefinita.

Sul piano operativo, l’Autorità ritiene che l’uso di tali servizi, quando avvenga senza un’idonea condizione di liceità e senza che agli interessati siano state fornite informazioni corrette e trasparenti, possa integrare una violazione degli artt. 5, par. 1, lett. a), 6 e 9 GDPR.

Avvertimento e pubblicazione del provvedimento

Ai sensi dell’art. 58, par. 2, lett. a), GDPR e dell’art. 154, comma 1, lett. f), del Codice privacy, il Garante adotta un avvertimento rivolto a tutte le persone fisiche e giuridiche che utilizzano servizi di generazione di contenuti basati sull’intelligenza artificiale partendo da voci o immagini reali di terze persone.

L’Autorità dispone inoltre, ai sensi dell’art. 154-bis, comma 3, del Codice privacy, la pubblicazione del provvedimento nella Gazzetta Ufficiale della Repubblica italiana.