Il Garante ferma i deepfake di Striscia la Notizia su Enrico Mentana: avvertenze insufficienti
I video dicevano di essere artificiali, in quattro modi diversi. Per il Garante non bastava. Ventuno mesi dalla messa in onda all'ammonimento.
Il 7 agosto 2026 il Garante per la protezione dei dati personali ha ammonito R.T.I. Spa per alcuni servizi di Striscia la Notizia nei quali l’immagine e la voce di Enrico Mentana erano state ricostruite con l’intelligenza artificiale. Il finto direttore del Tg La7 pronunciava frasi mai dette, seduto nello studio da cui conduce ogni sera il telegiornale, logo della testata compreso.
I servizi non erano di ieri. Il più ripreso dai giornali, con il finto Mentana che attacca Stefano De Martino e Affari Tuoi, è del novembre 2024. Fra la messa in onda e la decisione sono passati ventuno mesi, e in mezzo c’è stata una diffida rimasta senza esito, poi un reclamo al Garante e uno scambio di memorie durato oltre un anno.
Guardare com’era fatto, prima di parlarne
Vale la pena vedere il formato. Sul sito di Striscia la rubrica Deepfake è ancora al suo posto, con decine di video costruiti allo stesso modo su altri volti noti: si vede in pochi secondi quanto è realistico il risultato e quanto è discreto l’avviso. I servizi con il finto Mentana, invece, dalle pagine del programma non si aprono più.
Nel caso in esame i video integrali erano finiti sul sito della trasmissione, rilanciati sui social e messi a disposizione su Mediaset Infinity. Quello che ha fatto scattare il reclamo, secondo la ricostruzione del fascicolo pubblicata da Byte.it, sono stati i commenti degli utenti: molti avevano preso quelle dichiarazioni per autentiche.
Quattro avvertenze, tutte ritenute inadeguate
Questa è la parte che interessa chi produce contenuti. R.T.I. non aveva ignorato il problema. Nella sua difesa ha elencato le avvertenze predisposte:
- un comunicato stampa diffuso prima della messa in onda;
- indicazioni nei titoli del servizio;
- note esplicative sotto ogni video pubblicato sul sito ufficiale;
- un sottopancia in sovraimpressione sulla piattaforma di streaming.
Il Garante le ha giudicate tutte insufficienti. La motivazione è la parte da appuntarsi. Le avvertenze vanno misurate sulle conoscenze tecnologiche di uno spettatore medio o distratto, non su quelle di chi il contenuto lo produce. E vanno ripetute nei vari momenti della messa in onda, perché chi si collega a programma iniziato l’avviso all’inizio non l’ha visto.
C’è anche un rilievo del reclamante che ha pesato: la parola “deepfake” resta estranea al vocabolario quotidiano di buona parte del pubblico televisivo. Un’etichetta che il destinatario non capisce non informa nessuno.
Perché il consenso non c’entra
Il Garante ha ricondotto il caso agli articoli da 136 a 139 del Codice privacy, quelli che coprono anche il diritto di satira e permettono di trattare i dati senza il consenso dell’interessato. La satira, in altre parole, il suo spazio ce l’ha e nessuno glielo tocca.
La rottura si è consumata sul come. L’alterazione era poco percepibile, le frasi attribuite sembravano vere a una visione immediata, mancava quel grado di esagerazione che segnala al pubblico la natura fittizia del contenuto. Lo studio televisivo del reclamante come sfondo ha reso il tutto più insidioso: era il contesto che certifica l’autenticità.
Da qui le due violazioni accertate: l’articolo 5 del GDPR, sui principi di liceità, correttezza e trasparenza, e l’articolo 25, sulla protezione dei dati fin dalla progettazione e per impostazione predefinita. Il secondo è quello che sposta il baricentro. Un obbligo che riguarda la progettazione e il comportamento predefinito non si soddisfa con un cartello aggiunto in montaggio: chiede che la decisione su come rendere riconoscibile la manipolazione venga presa mentre si progetta il contenuto.
La difesa che tira in ballo l’AI Act
Un passaggio merita attenzione perché lo sentiremo ancora. R.T.I. ha osservato che gli obblighi di informazione previsti dal regolamento europeo sull’intelligenza artificiale sono diventati applicabili solo dal 2 agosto 2026, quindi dopo i fatti contestati.
Osservazione corretta sul calendario, irrilevante sull’esito: il Garante ha applicato il GDPR, che valeva già nel 2024. Chi aspettava le nuove regole per adeguarsi scopre che le vecchie bastavano.
Sul resto l’Autorità è stata prudente. Ha scelto l’ammonimento invece della sanzione pecuniaria proprio per la novità della questione giuridica. R.T.I. ha trenta giorni per comunicare le iniziative prese, e lo stesso termine per fare opposizione davanti al giudice ordinario.
Cosa portarsi a casa
Se usate l’IA per produrre contenuti in cui compaiono persone reali, il volto e la voce di una persona sono suoi dati personali. La satira non è un lasciapassare: apre la porta al trattamento senza consenso. Proprio per questo alza l’asticella su tutto il resto.
Due domande, da farsi prima di girare. Uno spettatore distratto che incrocia il video di sfuggita su un telefono capisce che è finto? Se la risposta è no, chi ha preso quella decisione e con quale criterio?
Perché il provvedimento non punisce un errore di montaggio. Punisce un progetto.