Riconoscere immagini IA: perché l'IA è difficile da nascondere

Spesso sì. Sempre, no. Ogni metodo funziona in alcuni casi e fallisce in altri.

Un tempo, scovare l'IA voleva dire cercare mani strane. Gli ultimi modelli “non presentano quasi più errori”, osserva l'Ufficio federale della cibersicurezza svizzero, e così i principali fornitori ora marcano le immagini nel momento in cui le creano, in più punti insieme: nei pixel (un'etichetta visibile o una filigrana invisibile), nel file (Content Credentials firmate o un tag IPTC) e presso il fornitore (registri che il suo rilevatore può confrontare).

Questi livelli sono creati da soggetti diversi e si rompono in modi diversi: uno screenshot cancella i metadati, mentre le filigrane sono progettate per resistergli. Ecco perché un'immagine IA è difficile da nascondere. Nasconderla significa superare ogni livello, e spesso basta un solo segnale rimasto per far sorgere il dubbio.

Ogni livello si trova in un punto diverso e fallisce in un modo diverso. Nessuno basta da solo.

La provenienza funziona nei due sensi: alcune fotocamere firmano le foto vere. La Leica M11-P è stata presentata nel 2023 come la prima fotocamera con Content Credentials, e ogni JPEG della fotocamera del Google Pixel 10 le contiene.

Oggi la maggior parte delle immagini dei principali generatori ce l'ha, di solito invisibile. Ecco cosa dice di aggiungere ogni fornitore:

• Google: SynthID, progettato per resistere a “ritagli, filtri, cambi di frame rate o compressione con perdita”, più C2PA sulle immagini di Nano Banana Pro.
• OpenAI: C2PA dal 2024 e, da maggio 2026, anche SynthID, sulle immagini di ChatGPT, di Codex e della sua API.
• NVIDIA usa SynthID sui video di Cosmos, e Kakao lo ha annunciato per i suoi modelli di immagini e video dalla seconda metà del 2026.
• Meta: la sua filigrana “Content Seal” in ogni immagine di Muse Image, con un rilevatore in anteprima.
• Adobe: Content Credentials più TrustMark, una filigrana open source, e un'impronta digitale firmata.
• TikTok: sta testando una filigrana invisibile che solo TikTok può leggere, sui contenuti creati con i suoi strumenti IA e sui caricamenti che contengono C2PA.
• Midjourney: un tag ID nascosto in ogni immagine, secondo il suo centro assistenza, con uno strumento di verifica gratuito.
• Black Forest Labs (FLUX): C2PA sulla sua API e sui suoi strumenti online, una filigrana solo come opzione.

La Cina impone etichette visibili e nascoste sui contenuti IA dal 1° settembre 2025. Il punto debole: i modelli a pesi aperti eseguiti sul proprio computer possono non aggiungere alcuna marcatura, quindi nessuno strumento di verifica può dirti che un'immagine non marcata è vera.

L'articolo 50, paragrafo 2, dell'AI Act (regolamento (UE) 2024/1689) obbliga i fornitori di IA generativa a garantire che i loro output siano “marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente”, con soluzioni efficaci, interoperabili, solide e affidabili nella misura in cui ciò sia tecnicamente possibile. Si applica dal 2 agosto 2026; i sistemi generativi già sul mercato prima di quella data hanno tempo fino al 2 dicembre 2026.

Il Codice di buone pratiche sulla trasparenza dei contenuti generati dall'IA della Commissione (versione definitiva, 10 giugno 2026) rende tutto questo concreto. La Commissione elenca 95 firmatari della sezione dedicata ai fornitori. I loro impegni:

• almeno due livelli sulle immagini: metadati firmati e una filigrana impercettibile. Le sole impronte digitali o i soli registri “non sono considerati sufficienti”;
• nessuna rimozione: le loro condizioni d'uso vietano di rimuovere intenzionalmente le marcature;
• uno strumento di rilevamento gratuito, aperto al pubblico dove il pubblico può vedere i contenuti, e sempre gratuito e senza limiti per autorità, media, fact-checker, ricercatori e società civile;
• test di robustezza contro ricompressione, screenshot, ritagli, ridimensionamento, stampa e scansione, e attacchi che cercano di rimuovere o rigenerare la marcatura;
• rilevamento interoperabile delle filigrane entro il 2 febbraio 2027.

L'etichetta visibile è un obbligo distinto, per i deployer che usano l'IA a titolo professionale e pubblicano deep fake (articolo 50, paragrafo 4), e i metadati leggibili dalle macchine del fornitore non lo soddisfano. La nostra guida AI Act etichettatura IA spiega chi deve etichettare e quando.

Nessun passaggio da solo dà un verdetto. Annota cosa trova ciascuno e valutali insieme.

I metadati si perdono facilmente. Uno screenshot elimina Content Credentials e tag IPTC, e la maggior parte dei social li rimuove al caricamento: OpenAI ha definito C2PA “non una soluzione miracolosa”. La risposta della C2PA sono i “soft binding”, filigrane o impronte digitali che permettono a uno strumento di ritrovare online le credenziali.

Le filigrane si possono attaccare, con impegno. Gli attacchi di rigenerazione ricostruiscono l'immagine con un modello di IA. UnMarker, presentato all'IEEE Symposium on Security and Privacy nel 2025, richiede qualche minuto su una scheda grafica di fascia alta A100: contro sette sistemi di filigrana, il miglior tasso di rilevamento rimasto è stato del 43%, e un test informale riportato da The Register ha fatto scendere il rilevamento di SynthID dal 100% a circa il 21%. Anche i ritagli pesanti contano: quando Reuters ha ritagliato 40 immagini di Muse a circa un terzo o metà delle loro dimensioni, il rilevatore in anteprima di Meta, che aveva riconosciuto tutti i 40 originali, ne ha mancato il 55%. La rimozione richiede uno sforzo deliberato, i fornitori devono fare test per contrastarla, e il rilevamento continua a migliorare.

I rilevatori IA sbagliano nei due sensi. Nella verifica di NewsGuard dell'8 maggio 2026, cinque rilevatori hanno sbagliato il 13,3% dei verdetti su foto di guerra vere: uno ha segnalato come IA il 40% delle foto vere, e almeno uno strumento era in disaccordo con gli altri su 35 immagini su 45. In un preprint di settembre 2026, 12 rilevatori accademici hanno segnalato come IA tra il 17% e il 91% delle foto vere scattate con lo smartphone.

Le persone non sono giudici affidabili. Nel quiz “Real or Not” di Microsoft, circa 12.500 persone hanno dato il 62% di risposte giuste. Uno studio di dicembre 2025 ha misurato il 54% sulle immagini di Midjourney, appena meglio del lancio di una moneta; un altro ha trovato il 29% sulle immagini di FLUX.1-dev. I ritratti sono più facili dei paesaggi.

Anche le combinazioni non bastano. Un rapporto di Microsoft Research (gennaio 2026) ha rilevato che solo 20 combinazioni di metodi su 60 raggiungevano un'“autenticazione ad alta affidabilità”, e mette in guardia dagli attacchi che fanno sembrare falsi i contenuti veri.

Una filigrana assente non rende vera un'immagine: può venire da un modello che non marca, oppure essere stata ritagliata, catturata con uno screenshot o attaccata. E togliere un'etichetta non rende umana un'immagine IA. Il fornitore può conservare dei registri, le credenziali possono sopravvivere in un archivio online, una piattaforma può aver già etichettato il post, e i lettori attenti guardano ancora la scena.

Nascondere da dove viene un'immagine è difficile e facile da sbagliare, e i fornitori che firmano il Codice UE vietano nelle condizioni d'uso la rimozione delle loro marcature. Dirlo subito è la scelta onesta, e per i deep fake pubblicati a titolo professionale l'articolo 50, paragrafo 4, lo impone: la nostra guida Deepfake AI Act spiega quando un'immagine lo è.

Lo strumento Etichetta IA UE aggiunge alle tue immagini l'icona della Commissione europea (AI, AI GENERATED o AI MODIFIED), nel tuo browser, e può scrivere nel file il digital source type IPTC (“realizzata con l'IA” o “modificata con l'IA”). La guida Icone IA UE ti aiuta a scegliere quella giusta.