Il rilevamento dei deepfake ha tre linee di difesa, e la prima è volontaria

Gli strumenti di rilevamento funzionano meglio di quanto la maggior parte delle persone presuma, e non è il fatto rassicurante che sembra. La provenienza basata su watermark offre un'accuratezza vicina al 100% quando un contrassegno è presente. Non offre nulla quando un generatore decide di non aggiungerne uno.

Questa asimmetria è l'intera forma del problema. Esiste una difesa a strati, e uno dei suoi strati dipende dalla cooperazione della parte che stai cercando di rilevare.

La conseguenza pratica è che l'accuratezza del rilevamento si presenta come tre numeri che descrivono tre meccanismi diversi, e il meccanismo che funziona meglio è quello con la portata più ristretta. Capire su quale meccanismo ci si sta affidando in un dato momento è la differenza tra una postura di sicurezza e una falsa sensazione della stessa.

Prima linea: la provenienza, che richiede consenso

SynthID di Google incorpora un segnale che sopravvive a ritaglio, rotazione, ridimensionamento e rumore aggiunto, perché il modulo di incorporamento e il rilevatore sono addestrati insieme contro un avversario che esegue esattamente quelle trasformazioni. Il rilevamento è integrato nell'app Gemini, e i partner che condividono le loro chiavi possono essere verificati tramite un servizio centrale. Anthropic ha annunciato il watermarking per l'output di Claude. Le aziende che adottano C2PA Content Credentials allegano dati di provenienza firmati ai file.

Quando un contrassegno è presente, l'accuratezza del rilevamento si avvicina al 100%, con un controllo che richiede millisecondi. La tecnologia è matura e gli standard esistono.

Il divario è l'adozione. L'AI Act dell'UE richiede etichette leggibili da macchina per determinati contenuti generati o manipolati dall'IA dal 2 agosto 2026, e avvisi visibili al pubblico per i deepfake. La conformità è disomogenea, e gli attori più motivati a produrre falsi convincenti non hanno alcun motivo per apporre volontariamente un'etichetta. I watermark e la provenienza aiutano gli attori onesti a dimostrare di essere onesti. Non raggiungono le persone che gestiscono campagne di disinformazione.

Seconda linea: il rilevamento degli artefatti, che degrada

Il rilevamento basato sugli artefatti cerca le tracce lasciate dal processo di generazione e raggiunge un'accuratezza dall'85% al 92% sui modelli su cui è stato addestrato. Il numero che conta è cosa succede quando incontra un modello che non ha mai visto. I classificatori addestrati su modelli di diffusione o vocoder specifici perdono circa il 40% delle loro prestazioni contro una nuova architettura; il tasso di errore uguale (equal error rate) sull'audio balza dal 3,8% nel dominio al 18,5% fuori dominio.

Quella degradazione è strutturale, non risolvibile. Ogni nuovo modello di generazione cambia la firma statistica su cui si basa il rilevamento, quindi il rilevatore lavora sempre partendo da una descrizione dell'ultima generazione di strumenti. I fornitori commerciali di rilevamento aggiornano le loro impronte entro pochi giorni dal lancio di un modello importante, il che è una corsa continua più che una soluzione.

L'informatica forense a livello di pixel cattura ancora casi reali. Luce su un prodotto incoerente con l'illuminazione di sfondo, pattern di rumore corrispondenti a un modello di diffusione noto, una frequenza di battito di ciglia di tre al minuto contro una media umana di quindici-venti, movimento delle labbra disallineato rispetto alla traccia audio di una frazione di secondo. Quei controlli funzionano, e falliscono contro il modello successivo che li corregge.

Terza linea: il comportamento di rete, che intercetta le campagne

Il terzo approccio smette di guardare il contenuto e inizia a guardare la distribuzione. Le campagne di disinformazione coordinate lasciano tracce nei modelli di pubblicazione, nei tempi di creazione degli account e nelle reti di condivisione, e l'analisi di rete raggiunge un'accuratezza dal 70% all'80% su operazioni su larga scala. È veloce e intercetta cose che il rilevamento degli artefatti manca.

Ha difficoltà con il caso che conta di più a livello individuale. Un singolo falso ben realizzato, distribuito tramite account ordinari, che imita attività umana organica, non ha alcuna firma di rete da trovare.

Dove ciascuna linea fallisce davvero

Metti le tre linee sulla stessa tabella e la forma del problema diventa chiara. La provenienza è quasi perfetta e volontaria. Il rilevamento degli artefatti è ampio e decade con ogni nuovo modello. L'analisi di rete è veloce e cieca al caso individuale.

Le modalità di fallimento si sommano. Un rilevatore di artefatti riaddestrato dopo il lancio di un modello è accurato contro quel modello e incerto contro il successivo, e il ciclo di aggiornamento del fornitore si misura in giorni mentre il ciclo di rilascio dei modelli si misura in settimane. Una piattaforma che si affida all'output del rilevatore come principale filtro corre un passo dietro un avversario che deve vincere una sola volta.

L'errore pratico più comune è trattare un punteggio di rilevamento come un verdetto. Un classificatore che riporta una probabilità del 98% di generazione sta riportando una somiglianza con i pattern su cui è stato addestrato. È un forte indizio, non una prova, e la differenza conta in qualsiasi contesto in cui la conseguenza è accusare una persona reale di frode o falsificazione.

I falsi positivi hanno un costo proprio. Un rilevatore che classifica erroneamente la musica di un gruppo musicale umano come interamente generata dall'IA ha detto a un artista professionista che il suo lavoro sembra fatto a macchina, il che è un problema reputazionale che nessuna statistica di accuratezza cattura. Man mano che i flussi di lavoro assistiti dall'IA diventano normali nei campi creativi, la popolazione di casi limite cresce, e con essa il numero di persone che possono essere segnalate erroneamente.

Cosa significa in pratica

Per una redazione o una piattaforma, la dottrina operativa è a strati. Filtrare i media in ingresso con uno strumento basato su API al momento dell'acquisizione. Abbinare il rilevamento automatico alla verifica umana per qualsiasi cosa ad alto rischio. Mantenere un database di note content farm di IA per contesto.

Il Pentagono ha riconosciuto lacune nella sua capacità di tracciare campagne di disinformazione abilitate dall'IA, il che suggerisce che persino il rilevamento governativo ben dotato di risorse è in ritardo rispetto al settore commerciale. Le tutele normative dell'UE sono state criticate come insufficienti contro attori sponsorizzati dallo Stato che adattano le loro tattiche.

L'audit di uno stack di rilevamento è una disciplina a sé. Uno strumento che riporta il suo intervallo di confidenza, il cutoff dei suoi dati di addestramento e le sue modalità di fallimento note è più utile di uno che riporta una singola percentuale, perché l'operatore può ragionare su quando fidarsi. I fornitori che pubblicano i loro tassi di falsi positivi e la loro cadenza di aggiornamento valgono più dei fornitori che pubblicano solo l'accuratezza.

Il riassunto onesto è che il rilevamento è uno strato in una difesa, non una risposta autonoma, e lo strato più forte è quello che dipende da persone che non hanno alcun incentivo ad aderire. Ciò lascia che la critica delle fonti, la reputazione degli editori e il giudizio dei singoli lettori facciano più lavoro di qualsiasi classificatore. Per il consumo abituale, la verifica completa di ogni immagine è impraticabile, e la domanda a cui le persone rispondono davvero centinaia di volte al giorno non è «è reale» ma «mi fido della sua provenienza».

La ricerca del NIST fa il punto dalla direzione opposta. La fiducia dipende da elementi di progettazione che aiutano gli utenti a interpretare le prestazioni del sistema, e non solo dalle prestazioni. La trasparenza è ciò che permette alle persone di fissare aspettative realistiche. E un sondaggio Capgemini del 2026 su 12.000 consumatori ha rilevato che il 67% si aspetta che le aziende indichino chiaramente quando un annuncio è stato generato dall'IA, il che suggerisce che il pubblico è pronto affinché la divulgazione sia la norma predefinita. Che lo siano i generatori è una questione diversa.

Il calendario normativo si muove in parallelo. L'AI Act dell'UE si applica dal 2 agosto 2026, richiedendo etichette leggibili da macchina per determinati contenuti generati dall'IA e avvisi visibili al pubblico per i deepfake e alcuni materiali di interesse pubblico. Anthropic ha annunciato il watermarking per l'output di Claude. Gli standard per identificare in modo affidabile l'output testuale e visivo dell'IA sono ancora in fase di sviluppo, il che significa che la conformità oggi si basa su metodi proprietari che non interoperano.