C2PA e SynthID: dopo l'AI Act dell'UE, la provenienza dei media è un compito ingegneristico

Testi, immagini, audio e video generati dall'IA stanno diventando sempre più difficili da distinguere da opere create dall'uomo. Questo ha trasformato la provenienza da argomento di ricerca a requisito di pipeline, e le scadenze hanno iniziato a farsi vincolanti.

Gli obblighi di trasparenza dell'AI Act dell'UE ai sensi dell'articolo 50 si applicano dal 2 agosto 2026, con un periodo di tolleranza per la marcatura che corre fino al 2 dicembre 2026. L'India ha modificato le sue IT Rules nel febbraio 2026 per includere le informazioni generate sinteticamente. Contrassegnare i media generati è ormai qualcosa che un team deve implementare, non qualcosa di cui discutere.

Tre strumenti che rispondono a domande diverse

L'errore che fanno più spesso i team è trattare provenienza, watermarking e rilevamento come intercambiabili. Non lo sono, e falliscono in modi diversi.

La provenienza, nel senso di C2PA, è metadati firmati crittograficamente allegati a un file o a esso riferiti. Risponde a una domanda specifica: chi ha firmato questo, con quale strumento, e se è cambiato da allora. Il suo principale punto debole è che è facile da rimuovere. Uno screenshot, una ri-codifica o una piattaforma che elimina i metadati rimuovono il manifest.

Un watermark invisibile è un segnale incorporato nel contenuto stesso, che si tratti di pixel, campioni audio o scelte di token. Risponde a: è stato prodotto da un sistema che applica questo watermark. Il suo punto debole è che modifiche pesanti, riscritture o attacchi avversari possono indebolire o rimuovere il segnale, ed è di solito rilevabile solo dal rilevatore del fornitore stesso.

Un classificatore di rilevamento è un modello addestrato a indovinare se un contenuto è sintetico. Risponde a: sembra generato dall'IA? È probabilistico, deriva man mano che i generatori migliorano e produce falsi positivi su contenuti reali.

La distinzione chiave è che provenienza e watermark vengono applicati al momento della creazione da una parte collaborante. Il rilevamento viene applicato dopo a contenuti di chiunque, inclusi gli avversari, il che lo rende la forma di prova più debole, anche se l'unica opzione per contenuti che non sono mai stati contrassegnati.

Perché il solo rilevamento non basta

Il rilevamento è una corsa agli armamenti. I classificatori imparano gli artefatti dei generatori noti, e nuovi modelli, insieme a una semplice post-elaborazione, cambiano quegli artefatti. I falsi positivi danneggiano persone reali, perché foto reali modificate, video compressi e scrittura non nativa vengono segnalati. Quando questo diventa un problema di equità, un selfie autentico di un cliente viene rifiutato.

E un punteggio pulito non prova nulla. Il contenuto può provenire da un generatore che il modello non ha mai visto. L'indicazione pratica è trattare il rilevamento come un segnale di rischio, con revisione umana per decisioni consequenziali.

Come funziona davvero C2PA

La Coalition for Content Provenance and Authenticity pubblica uno standard tecnico aperto per registrare l'origine e la cronologia delle modifiche dei contenuti digitali. Il suo comitato direttivo include Adobe, Google, Microsoft, Meta, OpenAI, Amazon, Sony e la BBC, tra gli altri. La specifica si trova nella sua serie 2.x ed è revisionata regolarmente, quindi i progetti dovrebbero controllare la versione corrente invece di fissare una release.

L'unità centrale è il manifest C2PA, una struttura dati firmata crittograficamente che descrive la provenienza di un asset. Un manifest store può contenerne diversi, uno per ogni fase della vita dell'asset. Le asserzioni sono singole dichiarazioni sull'asset, con quelle standard che coprono azioni come creato o modificato, anche da un sistema di IA, oltre a ingredienti e miniature.

Entro la metà del 2026, OpenAI allega manifest C2PA a ogni immagine prodotta dai suoi modelli di immagini, e Google allega sia manifest C2PA sia watermark SynthID agli output della sua generazione di immagini e video. Firefly di Adobe fa lo stesso dal 2024. Il firmware delle fotocamere di Canon, Sony, Nikon e Leica ora scrive Content Credentials al momento della cattura, il che significa che la stessa infrastruttura che consente a una redazione di verificare una fotografia consente anche a un responsabile delle assunzioni di verificare una foto profilo.

Cosa fa SynthID in modo diverso

SynthID di Google DeepMind è una famiglia di tecnologie di watermarking che adatta il segnale a ciascun tipo di contenuto invece di usare un'unica tecnica per tutto. Le immagini ricevono un segnale distribuito su tutta l'immagine, così la normale qualità visiva è preservata e alcune trasformazioni comuni non lo cancellano. Il video distribuisce le informazioni del watermark attraverso i fotogrammi, aiutando un verificatore a esaminare una clip invece di un'area isolata. L'audio colloca il segnale all'interno del suono, inudibile ma rilevabile dalla macchina. Il testo fa sì che il modello sposti sottilmente le probabilità dei token, con un verificatore che esamina testo sufficiente per il pattern statistico atteso.

Il watermarking del testo è il caso più fragile. Una risposta breve può non contenere prove sufficienti. Parafrasi pesanti, traduzione o mescolanza di output di diversi modelli possono indebolire il pattern. Per questo un risultato negativo dovrebbe essere riportato come «nessun watermark supportato rilevato», anziché «scritto da un umano».

Cosa significa per un team che distribuisce media generati

Tre pratiche derivano dalle differenze tra gli strumenti.

Firma alla creazione e conserva l'originale. C2PA sopravvive a volte alla ri-codifica, ma i metadati vengono spesso eliminati a valle. L'unico registro affidabile della provenienza è il file che hai conservato.

Non trattare un watermark mancante come prova di paternità umana. Un segnale mancante può significare che il generatore non ne applica uno, che la modifica lo ha rimosso o che il rilevatore non era disponibile. Ognuno di questi è un fatto diverso.

Separa la domanda tecnica dalla domanda di verità. La crittografia C2PA aiuta a rivelare modifiche non autorizzate, ma non certifica di per sé che la rappresentazione di un prodotto sia accurata o che ogni affermazione in un manifest sia vera. La provenienza ti dice da dove viene un file. Non ti dice se il file è onesto.

Il mercato ha risposto a tutto questo. La spesa per watermarking e provenienza IA è stata valutata a circa 480 milioni di dollari nel 2025, con proiezioni superiori al 28 percento di crescita annua fino al 2034. Si tratta di spesa aziendale, non di adozione da parte dei consumatori, e riflette una realtà semplice: man mano che il costo di generare media diminuisce, il valore di dimostrare da dove provengono i media aumenta. I team che trattano la provenienza come infrastruttura di pipeline anziché come curiosità da laboratorio saranno quelli pronti quando le regole di marcatura diventeranno vincolanti.

Come si presenta una pipeline conforme

Tralasciando le astrazioni, un team che deve contrassegnare media generati ora ha bisogno di una sequenza specifica di passaggi, e ogni passaggio corrisponde a uno degli strumenti sopra.

Alla creazione, la pipeline firma l'output. Per le immagini prodotte tramite una grande API, questo avviene automaticamente: OpenAI allega un manifest C2PA a ogni immagine, Google allega sia un manifest sia un watermark SynthID, e Adobe fa lo stesso tramite Firefly. Un team che lavora tramite un fornitore minore potrebbe dover aggiungere il manifest da sé.

Durante la modifica, la pipeline preserva la catena. Ogni strumento che tocca l'asset dovrebbe aggiungere un'asserzione anziché sostituire il manifest, così la cronologia sopravvive. È qui che la maggior parte delle pipeline perde pezzi, perché uno strumento che ri-codifica il file può eliminare metadati che non comprende.

Alla distribuzione, la pipeline conserva l'originale. Le piattaforme eliminano abitualmente i metadati, ricomprimono i caricamenti e generano anteprime. Il file firmato che esce dal sistema di produzione è l'unico registro affidabile, e dovrebbe essere conservato indipendentemente da dove viene pubblicata l'immagine.

A livello umano, la pipeline etichetta. Un'etichetta visibile è la forma più semplice di divulgazione e quella che i regolatori si aspettano per certi usi. È anche quella più facilmente ritagliata via, motivo per cui si affianca ai segnali leggibili dalla macchina anziché sostituirli.

La distinzione che fanno i regolatori

L'articolo 50 dell'AI Act dell'UE e le IT Rules modificate dell'India tracciano entrambi una linea che è facile confondere in una discussione ingegneristica.

L'obbligo riguarda la trasparenza, non l'accuratezza. Un'immagine contrassegnata è certificata come generata o modificata da un processo identificato, e questo è tutto ciò che il contrassegno afferma. La distinzione conta perché determina a cosa serve un manifest. Registra la provenienza, cioè chi ha creato il file e come. Non garantisce il contenuto, cioè se ciò che il file raffigura è reale.

Sbagliare questa distinzione porta a un fallimento prevedibile. Un team tratta un valido Content Credential come prova che un'immagine è affidabile, quando la credenziale conferma solo che l'immagine proviene dal sistema da cui dichiara di provenire. Una foto manipolata con un manifest intatto è comunque una foto manipolata, e un manifest non rileva la manipolazione.

Il punto chiave per un team operativo

Ne derivano tre cose, e riguardano tutte la disciplina più che la tecnologia.

Tratta la marcatura come parte del passaggio di esportazione, non come un'aggiunta successiva. La provenienza viene applicata alla creazione, e adattarla a posteriori non è possibile per un asset già in circolazione.

Conserva l'originale, perché la copia che gli altri vedono di solito sarà privata dei metadati. Il manifest è utile solo se un team può produrre il file che lo contiene.

E separa la questione della provenienza da quella del rilevamento nel modo in cui il team parla dell'output. La provenienza ti dice da dove viene un file. Il rilevamento ti dice cosa un modello ipotizza su contenuti che non ha mai visto, che è l'affermazione più debole. Dirlo chiaramente, internamente e ai clienti, è ciò che mantiene un programma di conformità onesto su ciò che può e non può provare.