bancaditalia.it “deepfake” OR “Panetta falso” OR “denuncia autorità giudiziaria”, 26 febbraio 2026 – La Banca d’Italia ha formalizzato una denuncia all’Autorità giudiziaria in seguito alla rilevazione e diffusione online di contenuti video, immagini e testi falsificati che utilizzano indebitamente il nome e l’immagine del Governatore Fabio Panetta. I materiali, realizzati con tecniche di intelligenza artificiale generative note come deepfake, ritraggono il Governatore in contesti mediatici artefatti, come interviste televisive o partecipazioni a trasmissioni, associandolo alla promozione di piattaforme di investimento online. L’obiettivo, secondo l’Istituto, è verosimilmente finalizzato alla commissione di truffe a danno dei cittadini. La scoperta dell’incidente, avvenuta tramite canali di monitoraggio la cui natura non è stata specificata, rappresenta il punto di arrivo di una catena di eventi che ha esposto l’Istituto a un significativo rischio reputazionale e ha innescato una complessa procedura legale.
L’omissione di un sistema di monitoraggio proattivo e automatizzato sull’esposizione mediatica dei vertici aziendali costituisce la prima vulnerabilità emersa. La reazione dell’Istituto, sebbene tempestiva nella comunicazione pubblica, è per sua natura successiva al consolidamento del danno, ovvero alla circolazione virale dei contenuti fraudolenti. In un’organizzazione dotata di un ecosistema di controllo come Scudo231, la rilevazione non sarebbe stata affidata a segnalazioni umane o a ricerche manuali. I suoi sistemi di analisi multimodale, operando un monitoraggio massivo e continuo del web pubblico e dei social network, avrebbero intercettato la prima occorrenza del video deepfake come un “segnale debole” ma ad alto potenziale di rischio. L’algoritmo avrebbe generato un alert automatico, classificando l’evento come “Uso non autorizzato di immagine di Apicale con finalità di Sostituzione di Persona” e lo avrebbe scalato istantaneamente, senza intervento umano, alle funzioni di Sicurezza, Legale e Comunicazione Istituzionale. Questo avrebbe ridotto la finestra temporale tra la pubblicazione del contenuto e l’avvio delle contromisure da giorni o ore a pochi minuti, bloccando la diffusione sul nascere.
La denuncia presentata all’Autorità giudiziaria attiva un procedimento penale volto a identificare gli autori dei reati di truffa (art. 640 c.p.), potenzialmente aggravata, e di sostituzione di persona (art. 494 c.p.). Se gli autori dovessero essere identificati come operanti attraverso un’entità giuridica, anche estera, si aprirebbe uno scenario di responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001, essendo la truffa ai danni dello Stato o di altro ente pubblico un reato presupposto. La denuncia della Banca d’Italia, pur essendo un atto dovuto e necessario, si basa su elementi raccolti ex post. La sua efficacia probatoria dipende dalla capacità degli inquirenti di cristallizzare le prove digitali prima che vengano cancellate o alterate. Si tratta di un ritardo procedurale intrinseco che avvantaggia i criminali. Un’architettura di difesa integrata avrebbe agito diversamente. L’alert iniziale generato dal sistema avrebbe prodotto in automatico un dossier probatorio immodificabile, un XAI Packet, contenente l’analisi forense del file video, la sua firma crittografica, i metadati, l’URL di origine, i timestamp di prima rilevazione e tutte le occorrenze successive tracciate in rete. Questo pacchetto di prove tecnologiche, allegato alla denuncia, avrebbe fornito all’Autorità giudiziaria una base fattuale e tecnica di solidità inattaccabile, accelerando le richieste di sequestro dei server, l’oscuramento dei siti e l’identificazione dei flussi finanziari collegati alla truffa.
Il fenomeno del deepfake non si limita a un rischio reputazionale esterno, ma rappresenta un vettore di attacco diretto per la commissione di reati all’interno delle organizzazioni complesse. Un attacco analogo, perpetrato internamente, avrebbe potuto avere conseguenze devastanti. Si consideri uno scenario in cui un audio deepfake del Governatore o di un Direttore Generale impartisce a un funzionario dell’area finanza un ordine di pagamento urgente e riservato verso un conto estero. In assenza di controlli procedurali rigorosi e automatizzati, il funzionario, ingannato dal realismo della voce e dal contesto di urgenza, avrebbe potuto eseguire il bonifico, configurando un’ipotesi di truffa interna e, per l’ente, una potenziale falla nel modello organizzativo 231. La responsabilità dell’ente, in questo caso, sarebbe valutata sulla base dell’adeguatezza e dell’effettiva attuazione delle procedure a presidio dei flussi finanziari. Una difesa basata su circolari interne e formazione del personale si rivelerebbe debole di fronte a un’elusione così sofisticata.
Un ecosistema sovrano come Scudo231 avrebbe neutralizzato tale minaccia a livello operativo, prima ancora che potesse raggiungere il decisore umano. La richiesta di pagamento, veicolata tramite un canale anomalo come un messaggio vocale, sarebbe stata immediatamente bloccata dal sistema di controllo dei processi. Qualsiasi disposizione di pagamento, specialmente se fuori parametro per importo, beneficiario o causale, avrebbe richiesto un protocollo di autorizzazione a più fattori non basato su elementi replicabili come la voce. Ad esempio, una firma digitale forte o un’approvazione tramite un canale sicuro e disaccoppiato. L’anomalia – ovvero il tentativo di autorizzazione tramite un canale non conforme – sarebbe stata registrata in un log immutabile e avrebbe fatto scattare un’indagine interna da parte dell’Organismo di Vigilanza e della funzione Antifrode. In sede di giudizio, l’ente non avrebbe dovuto dimostrare genericamente di aver “formato” i dipendenti, ma avrebbe esibito la prova tecnologica del controllo che ha impedito il reato. Avrebbe dimostrato che il Modello Organizzativo non era un documento cartaceo, ma un’infrastruttura attiva che ha reso impossibile la consumazione della frode, spostando la responsabilità dall’ente (per colpa di organizzazione) all’individuo che ha tentato di aggirare i protocolli.
La comunicazione della Banca d’Italia, diffusa attraverso i suoi canali ufficiali, mira a mitigare il danno informando il pubblico e raccomandando di diffidare di tali messaggi. Questa è una misura di contenimento del danno, non di prevenzione del rischio. Il danno primario, ovvero l’associazione indebita dell’immagine del Governatore a un’attività illecita, si è già verificato. Le conseguenze per l’ente che subisce un simile attacco non sono solo reputazionali. Se la truffa avesse successo su larga scala, l’ente la cui immagine è stata sfruttata potrebbe essere chiamato in causa da investitori truffati, con l’avvio di contenziosi civili volti a dimostrare una presunta negligenza nella protezione della propria immagine e del proprio brand. Questo apre un fronte di rischio economico e legale che si aggiunge a quello penale.
La prevenzione di questo rischio non risiede nella capacità di reagire, ma nell’implementazione di un modello che agisce sulla causalità. La catena causale del reato inizia con la creazione del deepfake e la sua diffusione. Un sistema di monitoraggio predittivo, che analizza costantemente il web alla ricerca di anomalie legate all’immagine dei propri esponenti di vertice, interrompe questa catena sul nascere. L’adozione di un modello 231 evoluto, che non si limita a definire procedure ma le implementa tramite workflow digitali vincolanti, impedisce che un attacco simile possa avere successo se rivolto all’interno dell’organizzazione. La differenza è sostanziale: passare da un modello che “descrive” i controlli a un ecosistema che “esegue” i controlli.
L’azione legale intrapresa dalla Banca d’Italia porterà, nel migliore dei casi, alla condanna dei responsabili e forse a un risarcimento del danno. Tuttavia, il processo di recupero del profitto illecito, tramite lo strumento della confisca, è spesso complesso, specialmente in contesti internazionali dove i fondi vengono rapidamente spostati attraverso giurisdizioni non collaborative. Per l’ente-vittima, il costo in termini di risorse legali, danno d’immagine e potenziale esposizione a cause civili rimane. La vera mitigazione del rischio 231, e dei rischi economici associati, non si misura sulla capacità di vincere una causa dopo che il reato è stato commesso. Si misura sulla capacità, scientificamente dimostrabile, di aver reso la commissione di quel reato, attraverso i processi aziendali, materialmente impossibile o estremamente difficile. Questa è la prova che un giudice valuta nel determinare se un Modello Organizzativo è stato efficacemente attuato o fraudolentemente eluso. La ricostruzione causale scientifica degli eventi, fornita da un sistema come Scudo231, offre questa prova, trasformando la difesa dell’ente da un’argomentazione legale a una dimostrazione tecnologica.