Dal 2 dicembre 2026 in tutta l'Unione europea è vietato mettere sul mercato o usare sistemi di IA che creano immagini, video o audio intimi o sessualmente espliciti di persone riconoscibili senza il loro consenso, e sistemi che generano materiale pedopornografico. Lo prevedono due nuove lettere dell'art. 5 dell'AI Act, introdotte dal Digital Omnibus, con sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale.
Il bersaglio principale sono le cosiddette app «nudify», che spogliano digitalmente una persona partendo da una foto normale. Ma il divieto riguarda anche software generici senza protezioni adeguate e, sul fronte dell'uso, chiunque li impieghi per quello scopo. Vediamo cosa dice il testo, chi è responsabile e cosa deve fare un'azienda.
| Scheda rapida | |
|---|---|
| Norma | Art. 5, paragrafo 1, lettere b bis) e b ter), e paragrafi 1 bis e 1 ter dell'AI Act, inseriti dal Reg. (UE) 2026/1744 |
| Si applica dal | 2 dicembre 2026 |
| Cosa è vietato | Sistemi che generano contenuti intimi o sessuali non consensuali di persone riconoscibili; sistemi che generano materiale pedopornografico |
| Chi risponde | Fornitori, se il sistema è destinato a quello o manca di salvaguardie ragionevoli; utilizzatori, se lo usano per generare quei contenuti |
| Sanzione | Fino a 35 milioni € o 7% del fatturato mondiale (art. 99 AI Act, art. 23 D.Lgs. 179/2026) |
| Testo ufficiale | EUR-Lex, Reg. (UE) 2026/1744 |
Cosa vietano esattamente le nuove regole?
Le due nuove lettere dell'art. 5 vietano l'immissione sul mercato, la messa in servizio o l'uso di un sistema di IA che:
- b bis) genera o manipola immagini, video, audio realistici o materiale analogo che mostrano le parti intime di una persona riconoscibile, o la ritraggono in atti sessualmente espliciti, senza il suo consenso libero, specifico, informato e inequivocabile per quella generazione o manipolazione;
- b ter) genera o manipola materiale pedopornografico come definito dalla direttiva 2011/93/UE, salvo le cause di giustificazione previste dal diritto nazionale.
Il consenso richiesto è molto preciso: deve riguardare proprio quella generazione. Aver pubblicato una foto sui social o averla consegnata per un altro scopo non vale come consenso.
Il divieto colpisce anche ChatGPT, Gemini e gli altri generatori generici?
Dipende da come sono costruiti. Il nuovo paragrafo 1 bis dell'art. 5 distingue due casi per i fornitori. Il sistema è vietato solo se:
- generare quei contenuti è la sua finalità prevista (è il caso tipico delle app di nudificazione); oppure
- progettazione, addestramento e funzioni rendono quel risultato ragionevolmente prevedibile e riproducibile senza modifiche tecniche significative, e il sistema non ha misure di sicurezza ragionevoli e adeguate per impedirlo in modo affidabile, tenendo conto degli abusi prevedibili, né procedure per correggere gli usi impropri segnalati.
Un generatore generico con filtri efficaci e una gestione seria delle segnalazioni non è vietato. Lo diventa se lascia produrre questi contenuti con facilità e il fornitore non interviene.
Il paragrafo 1 ter chiarisce inoltre che non è manipolazione vietata la modifica che non aumenta l'esposizione delle parti intime ritratte e non cambia la natura degli atti eventualmente ritratti. I normali ritocchi di luce, sfondo o colore restano leciti.
Esempi pratici: cosa è vietato e cosa no?
| Situazione | Vietato dal 2 dicembre 2026? | Perché |
|---|---|---|
| App che promette di «spogliare» chiunque partendo da una foto | Sì | La generazione di immagini intime è la finalità prevista del sistema |
| Generatore di immagini che produce nudi realistici di persone reali con una semplice richiesta, senza filtri | Sì, per il fornitore | Risultato prevedibile e riproducibile senza salvaguardie ragionevoli |
| Generatore con filtri efficaci che qualcuno riesce ad aggirare con trucchi elaborati, e il fornitore corregge il problema | Di norma no, per il fornitore | Il sistema ha misure ragionevoli e procedure di correzione; resta responsabile chi lo usa per quello scopo |
| Ritocco di una foto aziendale: luce, sfondo, abbigliamento più formale | No | Non aumenta l'esposizione di parti intime |
| Immagini artistiche di nudo di una modella maggiorenne che ha dato un consenso specifico a quella generazione | No per l'AI Act | Il consenso libero, specifico, informato e inequivocabile esclude il divieto della lettera b bis) |
Chi usa queste app rischia qualcosa?
Sì. Per chi usa il sistema (il deployer, nel linguaggio dell'AI Act) l'uso è vietato quando lo si impiega al fine di generare o manipolare quei contenuti. Un'agenzia di comunicazione, un fotografo, un'azienda che usa un generatore di immagini per il marketing sono responsabili se lo usano per produrre immagini intime di persone reali senza consenso.
In Italia, poi, la diffusione di questi contenuti è già reato: la Legge 132/2025 ha introdotto l'art. 612-quater del codice penale, che punisce con la reclusione da 1 a 5 anni chi diffonde senza consenso immagini, video o voci falsificati con l'IA causando un danno ingiusto. Restano applicabili anche GDPR, diffamazione e le norme penali sulla pornografia minorile. Abbiamo approfondito il tema nella guida su quando i contenuti generati con l'IA vanno dichiarati.
Quanto costa violare i nuovi divieti?
| Norma | Conseguenza |
|---|---|
| AI Act, art. 99 e D.Lgs. 179/2026, art. 23, comma 1 | Sanzione amministrativa fino a 35 milioni € o, se superiore, 7% del fatturato mondiale annuo; per le PMI l'importo più basso |
| Codice penale, art. 612-quater | Reclusione da 1 a 5 anni per la diffusione illecita di contenuti generati o alterati con l'IA |
| GDPR | Fino a 20 milioni € o 4% del fatturato per trattamento illecito dei dati della persona ritratta |
| Rapporto di lavoro | Provvedimenti disciplinari fino al licenziamento per il dipendente che crea o diffonde questi contenuti |
Il D.Lgs. 179/2026 applica la sanzione amministrativa «salvo che il fatto costituisca reato»: se c'è un reato, prevale la via penale. Le sanzioni amministrative sono irrogate in Italia dalle autorità di vigilanza del mercato, ACN in testa.
Perché un'azienda che non sviluppa software dovrebbe preoccuparsi?
Per tre motivi concreti:
- Strumenti in uso: reparti marketing e comunicazione usano spesso generatori di immagini scelti in autonomia, a volte gratuiti e poco controllati. Se uno di questi non ha salvaguardie, l'azienda sta usando un sistema che dal 2 dicembre potrebbe essere fuori legge.
- Persone: un deepfake intimo di una collega creato con il telefono aziendale può configurare una molestia sul lavoro, oltre che un reato. Il datore di lavoro deve prevenirlo e reagire.
- Prodotti: se vendi un'app, un sito o un servizio con funzioni di generazione o modifica di immagini, anche basato su modelli di terzi, potresti essere considerato fornitore e dover dimostrare di avere salvaguardie adeguate.
Se integri modelli di altri nel tuo prodotto, non dare per scontato che i filtri del fornitore del modello bastino. Verifica cosa succede nella tua interfaccia, conserva la documentazione delle prove fatte e chiedi per contratto al fornitore come gestisce questi rischi.
Cosa fare entro il 2 dicembre 2026
- Fai l'inventario dei generatori di immagini, video e voce usati in azienda, compresi quelli attivati dai singoli reparti, e preferisci strumenti business con condizioni contrattuali chiare.
- Aggiorna la policy interna con un divieto esplicito di creare contenuti intimi o sessuali di persone reali e qualsiasi contenuto che coinvolga minori. Trovi uno schema nella guida alla policy aziendale sull'IA.
- Prepara un canale di segnalazione e una procedura di risposta rapida: rimozione dei contenuti, tutela della vittima, conservazione delle prove, eventuale denuncia.
- Se sei fornitore, testa il prodotto contro gli abusi prevedibili e documenta filtri e procedure di correzione.
- Forma il personale su cosa è vietato e sui reati collegati: è anche parte dell'obbligo di alfabetizzazione dell'art. 4. Controlla gli altri punti con la checklist gratuita.
Vuoi che i tuoi dipendenti sappiano cosa è vietato prima che succeda? Con l'abbonamento AI ACT ITALIA hai la formazione del personale con attestato e il manuale operativo con checklist e scadenze: scopri i servizi.