L’analisi del panorama del crimine “comune” in Italia (come anche quello world wide) degli ultimi anni evidenzia una chiara trasformazione strutturale e sostanziale in continua evoluzione. Secondo le analisi condotte dall’Istat, mentre i reati di strada che hanno caratterizzato il secolo scorso, come i furti in abitazione o le rapine, mostrano indici di contrazione o, comunque, di stabilizzazione, la criminalità si sta spostando verso lo spazio virtuale (cybercrime). Non si tratta, tuttavia, di un semplice trasferimento di sede. L’ingresso nello scenario criminale dell’Intelligenza Artificiale generativa, infatti, ha mutato la qualità dell’offesa derivante dal reato.
La frode informatica non è più il risultato di un’azione individuale isolata, ma è spesso il frutto di una vera e propria industrializzazione del crimine
Come sottolineato dal Rapporto Clusit 2026, l’adozione di modelli avanzati (come i Large Language Models – LLM) ha permesso ai gruppi criminali di superare le barriere linguistiche, rendendo i tentativi di truffa estremamente persuasivi e difficilmente distinguibili dalle comunicazioni reali. Questi strumenti tecnologici consentono di creare comunicazioni ingannevoli (phishing, truffe romantiche, etc.) in qualsiasi lingua con una qualità così elevata da renderle praticamente indistinguibili da quelle genuine, eliminando, ad esempio, gli errori grammaticali che in passato rappresentavano uno dei campanelli d’allarme del tentativo di frode. La possibilità di creare perfetti cloni vocali o video (deepfakes) utilizzati per ingannare privati cittadini, vertici aziendali e istituzioni, fa sì che le truffe commesse mediante le cosiddette “identità sintetiche” siano in costante crescita. L’analisi che emerge dalle relazioni periodiche della Polizia Postale rivela che la frode informatica non è più il risultato di un’azione individuale isolata, ma è spesso il frutto di una vera e propria industrializzazione del crimine.
Nel 2026 gli attacchi cyber con finalità di frode o estorsione sono aumentati del 35% rispetto al triennio precedente
Il Rapporto Clusit 2026 conferma la tendenza: gli attacchi cyber con finalità di frode o estorsione sono aumentati del 35% rispetto al triennio precedente. L’uso illecito dei deepfake copre una gamma molto ampia di comportamenti criminali oltre alla truffa, tra i quali la diffamazione telematica, mediante la diffusione sui social network di video falsi per screditare, ad esempio, vip o politici; il cyberbullismo e il revenge porn “sintetico”, che utilizzano immagini manipolate per umiliare o intimidire; la manipolazione di mercato, ad esempio tramite la diffusione di video falsi di soggetti in posizione apicale che annunciano scandali finanziari e, infine, l’estorsione digitale che viene perseguita con la minaccia di diffondere contenuti compromettenti (artificialmente creati ma identici alla realtà) in cambio di denaro. Il Rapporto IOCTA (Internet Organised Crime Threat Assessment) di Europol del 2025, dal titolo “Steal, Deal and Repeat: How Cybercriminals Trade and Exploit Your Data” evidenzia come le nuove tecnologie abbiano abbattuto i costi d’ingresso nel panorama criminale: strumenti che un tempo richiedevano competenze informatiche di alto livello sono ora accessibili a tutti attraverso piattaforme di “Crime-as-a-Service”. Questo ha portato ad un aumento verticale degli attacchi basati sulla manipolazione, dove l’IA funge da catalizzatore per un’interazione ingannevole e quasi indistinguibile dalla realtà.
Il cyberbullismo e il revenge porn “sintetico” utilizzano immagini manipolate per umiliare o intimidire
Al fine di rispondere almeno ad una parte delle nuove crescenti esigenze dell’ordinamento, la Legge 23 settembre 2025 n.132 ha introdotto nel Codice penale l’articolo 612 quater, che punisce «chiunque diffonde contenuti generati o alterati con sistemi di intelligenza artificiale, idonei a indurre in inganno, causando un danno ingiusto». L’oggetto della nuova fattispecie di reato è l’illecita diffusione di contenuti generati o alterati artificialmente. La norma punisce chiunque diffonda, senza il consenso dell’interessato, immagini, video o registrazioni vocali creati o anche solo manipolati tramite IA, atti a trarre in errore sulla loro autenticità, arrecando un danno ingiusto alla persona offesa. La norma, inserita tra i delitti contro la libertà morale, è volta a tutelare la reputazione personale, l’identità digitale e il diritto dell’individuo al controllo sulla propria immagine sintetica. La pena va da uno a cinque anni di reclusione e la perseguibilità è d’ufficio se il fatto è commesso nei confronti di soggetti vulnerabili o figure pubbliche. Si tratta di una importante innovazione normativa che pone l’Italia tra i primi Paesi europei a disciplinare espressamente il fenomeno.
La natura intrinsecamente tecnologica della manipolazione mediante IA richiedeva un intervento del legislatore
Fino alla fine del 2024, il sistema penale italiano ha affrontato il crescente fenomeno dei deepfake attraverso un faticoso adattamento ai casi concreti delle fattispecie preesistenti, quali la sostituzione di persona o la diffamazione. L’attività spesso necessitava di uno sforzo interpretativo. Ad esempio, applicando l’art.494 C.p. nel contesto di un attacco condotto tramite deepfake voice, il giurista doveva chiedersi se la simulazione di tratti biometrici via software, dematerializzata, potesse integrare la condotta di “sostituzione di persona” richiesta dalla norma. La natura intrinsecamente tecnologica della manipolazione mediante IA richiedeva un intervento del legislatore. Con l’entrata in vigore della Legge n.132/2025 e l’introduzione dell’art.612 quater C.p., l’ordinamento ha finalmente riconosciuto l’autonomia lesiva della creazione di “identità sintetiche”, definendo un nuovo perimetro di tutela per la libertà morale e la dignità individuale, proteggendo il cittadino dalla proiezione deformata della propria immagine e della propria voce nello spazio digitale. Si noti bene, non è punita la semplice creazione del contenuto digitale (che potrebbe rientrare nel campo artistico o satirico), ma la sua diffusione finalizzata a cagionare un danno ingiusto. La condotta assume rilevanza penale quando il prodotto tecnologico diventa uno strumento di inganno così raffinato da rendere praticamente impossibile per il destinatario medio distinguerlo dal reale, ledendo irreparabilmente la reputazione o la privacy della vittima.
Non è punita la semplice creazione del contenuto digitale, ma la sua diffusione finalizzata a cagionare un danno ingiusto
La Legge n.132/2025 ha introdotto anche un’aggravante comune correlata all’uso di sistemi di IA (prevista al n.11 decies dell’art.61 C.p.) valorizzando la maggiore insidiosità di un reato commesso con l’utilizzo dell’IA, nonché sottolineando l’evidenza che l’Intelligenza Artificiale riduca fortemente le possibilità di difesa della vittima. Parallelamente, l’articolo 640 ter C.p. rimane la colonna portante della repressione dei crimini digitali. La norma punisce chiunque alteri il funzionamento di un sistema o intervenga senza diritto su dati e informazioni. Le relazioni della Polizia Postale indicano che la maggior parte delle frodi telematiche non avviene attraverso l’alterazione tecnica dei sistemi, bensì attraverso la manipolazione del fattore umano per ottenere accessi “legittimi” al sistema. In questo senso, l’IA non agisce contro il server, ma contro la mente dell’utilizzatore della tecnologia, portando ad una rideterminazione del concetto di “intervento senza diritto” sui dati, che deve necessariamente ricomprendere anche la captazione del consenso attraverso il camuffamento algoritmico.
Solo il 15-20% delle frodi informatiche subite dai privati viene effettivamente denunciato
Questa breve analisi non può prescindere dai numeri forniti dal CNAIPIC – il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche. Nel corso del 2025, le denunce per frode informatica ai sensi dell’art.640 ter C.p. sono sensibilmente aumentate, con una crescita specifica di casi di vishing (voice phishing) potenziato da IA. Ciononostante, un aspetto riportato anche dai dati Istat riguarda il cosiddetto numero oscuro (dark figure) del cybercrime. Nonostante i numeri crescenti, si stima che solo il 15-20% delle frodi informatiche subite dai privati venga effettivamente denunciato. Una vastissima parte dei reati informatici rimane sommersa, non arrivando mai alla denuncia. Ciò accade spesso per il modesto valore della singola frode o per il senso di impotenza della vittima dinanzi a un aggressore ignoto, spesso in-identificabile. Se, infatti, il numero di frodi telematiche è aumentato del 42% nell’ultimo triennio, il tasso di identificazione degli autori del reato è bassissimo: solo il 12% degli agenti viene smascherato e ciò anche a causa della natura transnazionale delle infrastrutture di attacco. Dal punto di vista della politica criminale, questo ovviamente crea un vuoto di deterrenza.
Finché il tasso di identificazione dei colpevoli resterà basso, l’autore del reato percepirà il crimine informatico come un’attività ad alto rendimento e basso rischio
Seppur le riforme legislative del 2024 e 2025 hanno tentato di colmare i vuoti di tutela e inasprito le pene per chi utilizza l’IA a scopi criminali, la strada per arginare i fenomeni di cybercrime è ancora lunga. Le analisi criminologiche dimostrano che l’aumento della sanzione edittale ha scarso effetto se non è accompagnato dalla percezione della certezza della pena. Finché il tasso di identificazione dei colpevoli resterà basso – come confermano i report del Ministero dell’Interno – il potenziale autore del reato percepirà il crimine informatico come un’attività ad alto rendimento e basso rischio.
Related Posts
