Intelligenza artificiale e responsabilità penale: i nuovi rischi a Milano
L’intelligenza artificiale non è più soltanto uno strumento tecnologico. È diventata un moltiplicatore di rischio penale.
A Milano, dove finanza, impresa, reputazione digitale e innovazione si muovono a velocità elevata, l’uso illecito dell’IA apre scenari completamente nuovi: voci clonate, video manipolati, deepfake diffamatori, truffe costruite su identità artificiali, campagne di phishing sempre più credibili e contenuti digitali difficili da distinguere dal reale.
Il problema non è solo la tecnologia.
Il problema è il modo in cui la tecnologia viene usata per ingannare, danneggiare o sostituirsi a qualcuno.
In questo scenario, il ruolo dell’avvocato penalista a Milano cambia: non basta conoscere la norma penale, bisogna capire come nasce il dato digitale, come si conserva la prova, come si dimostra l’autenticità di un contenuto e quando, invece, una prova apparentemente forte può essere contestata.
Il nuovo fronte penale dell’IA: deepfake, identità e danno
La disciplina italiana sull’intelligenza artificiale ha introdotto una svolta significativa nel diritto penale. Il riferimento centrale è la Legge 23 settembre 2025, n. 132, dedicata alle disposizioni in materia di intelligenza artificiale.
Il testo ufficiale è consultabile qui:
https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025;132
Uno dei punti più rilevanti è l’introduzione del nuovo art. 612-quater c.p., relativo alla diffusione illecita di contenuti generati o alterati con sistemi di intelligenza artificiale. La norma mira a colpire immagini, video o voci falsificate, diffuse senza consenso e idonee a indurre in inganno sulla loro autenticità.
La differenza rispetto al passato è enorme.
Prima il problema era dimostrare la falsità di un contenuto. Oggi il problema è dimostrare chi lo ha generato, con quale sistema, da quale dispositivo, con quale finalità e con quale danno concreto.
È proprio qui che la responsabilità penale diventa più complessa: il contenuto falso può essere tecnicamente sofisticato, ma il processo deve comunque fondarsi su prove verificabili.
La nuova aggravante: quando l’IA rende il reato più insidioso
La legge introduce anche una circostanza aggravante per i reati commessi mediante sistemi di intelligenza artificiale quando questi strumenti rendono la condotta più insidiosa, ostacolano la difesa della vittima o aggravano le conseguenze del fatto.
Questo significa che l’IA non è vista solo come “mezzo tecnico”, ma come fattore che può aumentare la gravità del reato.
Pensiamo a una truffa: una telefonata sospetta può essere riconosciuta come tale. Ma una voce perfettamente clonata, che riproduce tono, inflessione e ritmo di una persona conosciuta, riduce drasticamente la capacità della vittima di difendersi.
Lo stesso vale per un video deepfake di un manager, di un professionista o di una persona nota: se appare credibile, può produrre danni immediati su reputazione, mercato, relazioni personali e decisioni economiche.
La truffa del finto video: il caso Gabanelli e Intesa Sanpaolo
Un caso concreto mostra bene il problema. Nel 2026 è circolato un falso contenuto video che simulava una trasmissione televisiva con Milena Gabanelli, Bruno Vespa e l’amministratore delegato di Intesa Sanpaolo, utilizzato per promuovere una presunta piattaforma di trading online.
La vicenda è ricostruita qui:
https://www.open.online/2026/05/28/gabanelli-intesa-sanpaolo-porta-porta-truffa-trading-fact-check/
Il punto penalistico è evidente: il deepfake non serve solo a “falsificare” un’immagine. Serve a trasferire fiducia.
La vittima non viene convinta da un anonimo messaggio pubblicitario, ma da un contenuto che sembra provenire da persone note e autorevoli.
In casi di questo tipo possono entrare in gioco più ipotesi: truffa, sostituzione di persona, diffusione illecita di contenuti generati con IA, diffamazione, oltre a profili di responsabilità legati alla manipolazione della reputazione digitale.
Per l’avvocato penalista, la domanda diventa: il contenuto era idoneo a trarre in inganno? Chi lo ha diffuso? Chi ha gestito la campagna pubblicitaria? Chi ha tratto profitto? Quali piattaforme hanno ospitato e rilanciato il contenuto?
La responsabilità, nel mondo dell’IA, raramente è lineare.
Phishing e IA: quando il messaggio sembra vero
Un secondo caso utile riguarda le truffe via SMS collegate a falsi avvisi di pagamento incompleto su servizi di trasporto pubblico, compresi messaggi che simulavano comunicazioni ATM.
La notizia è riportata qui:
https://tg24.sky.it/cronaca/2026/05/25/truffa-rischio-multa-atac-atm
In apparenza si tratta di phishing “classico”. In realtà, l’intelligenza artificiale rende questi messaggi sempre più credibili: testi più corretti, loghi meglio riprodotti, pagine clone più realistiche, comunicazioni costruite per generare urgenza.
La vittima clicca perché il messaggio sembra istituzionale.
Inserisce dati bancari perché la pagina sembra autentica.
Autorizza un pagamento perché teme una sanzione.
Dal punto di vista penale, possono emergere frode informatica, accesso abusivo, indebita utilizzazione di strumenti di pagamento e, nei casi più strutturati, associazione per delinquere.
Per la vittima, il tempo è decisivo: blocco delle carte, denuncia, conservazione del messaggio, URL, screenshot, ricevute e dati bancari.
Per l’indagato, invece, il punto difensivo è verificare se vi sia davvero prova di partecipazione alla creazione del sito, alla gestione del dominio, alla ricezione delle somme o al riciclaggio successivo.
Un conto è essere intestatari di un’utenza.
Un altro è essere autore del reato.
Sostituzione di persona e identità sintetica
L’intelligenza artificiale rende più semplice creare identità digitali credibili: profili fake, voci clonate, fotografie realistiche, video manipolati.
Il reato di sostituzione di persona, previsto dall’art. 494 c.p., assume quindi una nuova centralità.
Il riferimento normativo ufficiale è questo:
https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1930-10-19;1398~art494
La sostituzione non riguarda più soltanto chi usa nome e foto altrui per aprire un profilo social. Può riguardare chi crea una presenza digitale quasi indistinguibile dal vero, usata per truffare, screditare, manipolare o compromettere la reputazione di un’altra persona.
La difesa, in questi casi, deve lavorare sull’elemento soggettivo: finalità, consapevolezza, vantaggio perseguito, danno prodotto. Non ogni uso creativo o satirico di un contenuto digitale è automaticamente reato. Ma quando il contenuto è idoneo a ingannare e produce un danno, il rischio penale diventa concreto.
Prova digitale e IA: lo screenshot non basta più
Il processo penale sull’intelligenza artificiale si gioca soprattutto sulla prova.
Un video può essere falso.
Una voce può essere clonata.
Una chat può essere manipolata.
Uno screenshot può essere incompleto o alterato.
Per questo, la prova digitale deve essere acquisita in modo corretto: copia forense, metadati, hash, marca temporale, conservazione dell’URL, individuazione dei log, verifica del dispositivo e catena di custodia.
Lo screenshot, da solo, rischia di essere un indizio fragile. Può servire per avviare l’attività difensiva o investigativa, ma non sempre basta per sostenere un’accusa o una richiesta risarcitoria.
È qui che l’avvocato penalista deve collaborare con consulenti tecnici informatici: il dato digitale va cristallizzato prima che venga cancellato, modificato, oscurato o replicato altrove.
Sequestro dello smartphone: il limite della copia integrale
Nei procedimenti legati a IA, deepfake e truffe digitali, smartphone e computer diventano spesso il centro dell’indagine.
Ma il sequestro di un dispositivo non può trasformarsi in una perquisizione illimitata della vita digitale dell’indagato. Il principio di proporzionalità impone che l’acquisizione dei dati sia collegata al reato contestato, limitata nel tempo e nei contenuti.
Questo profilo è decisivo.
Dentro uno smartphone non ci sono solo prove: ci sono conversazioni private, dati sanitari, fotografie, documenti di lavoro, informazioni bancarie e rapporti personali.
Una difesa efficace deve verificare se il decreto di sequestro sia motivato, se la copia forense sia stata perimetrata, se siano state usate keyword coerenti con l’accusa e se siano stati acquisiti dati estranei al procedimento.
Nel diritto penale digitale, anche la prova deve rispettare limiti.
Imprese e manager: l’IA come rischio 231 e reputazionale
Per le aziende milanesi, l’intelligenza artificiale apre un ulteriore fronte: quello della governance.
Una truffa basata su clonazione vocale del CEO o su video manipolati di un dirigente può generare bonifici, accessi indebiti, danni reputazionali e crisi interne. In questi casi non conta solo individuare l’autore esterno, ma anche verificare se l’impresa avesse protocolli interni adeguati: doppia autorizzazione, verifica telefonica, limiti di pagamento, procedure anti-phishing, formazione del personale.
L’IA, dunque, non crea solo un rischio per la vittima individuale. Crea un rischio organizzativo.
Per questo lo Studio Penale Boccia può intervenire anche in chiave preventiva: aggiornamento dei modelli organizzativi, protocolli aziendali, gestione delle emergenze digitali e difesa nei procedimenti penali che derivano da frodi tecnologiche.
Vittime di deepfake e truffe IA: cosa fare subito
Chi scopre un deepfake, una voce clonata, un falso profilo o una truffa costruita con IA deve agire rapidamente.
La prima cosa da evitare è cancellare tutto per paura o imbarazzo.
La seconda è rispondere in modo impulsivo all’autore.
La terza è limitarsi a una denuncia generica.
Servono prove: link, messaggi, file originali, nomi dei profili, URL, ricevute di pagamento, dati bancari, screenshot accompagnati da acquisizione tecnica, segnalazioni alle piattaforme e ricostruzione cronologica.
Una querela ben strutturata può orientare subito le indagini. Una denuncia generica rischia invece di arrivare quando il contenuto è già stato rimosso, replicato o spostato su server esteri.
Indagati per reati con IA: difendersi dalla prova apparente
Chi viene indagato per un reato commesso con IA non deve sottovalutare la forza apparente della prova digitale.
Un contenuto può sembrare riconducibile a una persona, ma essere stato generato da terzi.
Un account può essere intestato a un soggetto, ma usato da altri.
Un IP può indicare una connessione, non necessariamente l’autore materiale.
Un file può trovarsi su un dispositivo senza essere stato creato o diffuso consapevolmente dall’indagato.
La difesa deve quindi lavorare su autenticità, attribuzione, dolo e idoneità offensiva del contenuto.
Nel nuovo reato di deepfake, ad esempio, non basta che il contenuto sia alterato: occorre che sia diffuso senza consenso, che sia idoneo a ingannare e che provochi un danno ingiusto.
Sono passaggi tecnici, ma decisivi.
Milano e IA: il penale entra nell’era della prova sintetica
L’intelligenza artificiale ha cambiato il modo di commettere reati, ma anche il modo di difendersi.
A Milano, i nuovi procedimenti penali non riguardano più soltanto “cosa è accaduto”, ma anche se ciò che vediamo, ascoltiamo o leggiamo sia davvero accaduto.
La frontiera è questa: distinguere il reale dal sintetico, il dato autentico dal dato manipolato, la responsabilità individuale dall’automazione tecnologica.
Lo Studio Penale Boccia interviene in questa zona di confine, dove diritto penale, informatica forense, reputazione digitale e responsabilità d’impresa si incontrano.
Lo Studio Penale Boccia, con sede a Milano e operante su tutto il territorio nazionale, offre assistenza legale specializzata nei procedimenti penali che coinvolgono prove digitali, reati informatici e nuove tecnologie, affiancando privati, professionisti e imprese con un approccio tecnico, strategico e altamente qualificato.
Indirizzo: Milano, via Solferino 24 (MM Moscova – Linea Verde)
Telefono: +39 0287177638
Email: info@studiopenaleboccia.it
Perché nel processo penale dell’intelligenza artificiale non basta guardare un contenuto.
Bisogna provarne l’origine.
Fonti esterne
- https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025;132
- https://www.gazzettaufficiale.it/eli/id/2024/07/12/32024R1689/oj
- https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1930-10-19;1398~art494
- https://www.open.online/2026/05/28/gabanelli-intesa-sanpaolo-porta-porta-truffa-trading-fact-check/
- https://tg24.sky.it/cronaca/2026/05/25/truffa-rischio-multa-atac-atm
