TL;DR: non puoi impedire a nessuno di generare un video con la tua faccia o un vocale con la tua voce. Puoi però rendere banale, per un cliente, verificare in dieci secondi che quel messaggio non arriva da te. Il nucleo sono tre mosse — una pagina canonica dei canali ufficiali, una conferma fuori banda per tutto ciò che muove soldi o credenziali, una segnalazione già impacchettata — e i cinque passaggi qui sotto le mettono in pratica.

Il problema non arriva dai follower, arriva dai clienti

Il 18 agosto 2026 Zak, Zelda e Cody Williams hanno ripreso il profilo Instagram del padre per farne, scrivono, un luogo «sicuro e affidabile» dove foto, video e ricordi rispettino la sua eredità «con autenticità, calore e cura». La spinta è l’uso della somiglianza AI di Robin Williams nei video generati, contro cui la figlia si era espressa pubblicamente.

Non è un tema da celebrità. Le stesse pipeline che ricostruiscono un attore ricostruiscono il volto di un artigiano che compare in tre video sul sito e la voce di un consulente che pubblica venti storie al mese. I filtri delle piattaforme non tengono: Wired ha verificato che Grok continua a ospitare deepfake sessualizzati di donne famose nonostante le protezioni dichiarate, e le somiglianze sintetiche di personaggi noti girano da tempo dentro le pubblicità truffa sui social.

Lo scenario che conta per una PMI è più prosaico del video virale: un cliente riceve un vocale con la voce del titolare che chiede di aggiornare l’IBAN prima di un bonifico. Nessuno guarda i pixel. Guardano se la voce è quella giusta.

Inseguire i falsi è una partita persa in partenza

Generare costa secondi, segnalare costa giorni, e il conto lo paghi tu ogni volta. L’unica leva che resta dalla tua parte è invertire l’onere: smettere di dimostrare che il falso è falso e rendere immediato il riconoscimento dell’autentico.

I cinque passaggi

  1. Una pagina canonica dei canali ufficiali. Un solo URL sul tuo sito con l’elenco dei profili veri, marcato con JSON-LD Person od Organization e le proprietà sameAs verso ciascun account. È la pagina che mandi quando qualcuno chiede «ma questo sei tu?».
  2. Conferma fuori banda su soldi e credenziali. Qualsiasi richiesta che sposta un pagamento, un IBAN o un accesso si conferma richiamando un numero già in rubrica, mai quello contenuto nel messaggio. Va scritto nelle condizioni e ripetuto nel piè di pagina delle email.
  3. Un registro di ciò che pubblichi: data, canale, URL. Serve a dire «quel video non esiste nel mio archivio» senza aprire una discussione tecnica.
  4. Segnalazione pronta all’uso: screenshot, URL, data e link alla pagina canonica, inviati dal profilo ufficiale attraverso il percorso di segnalazione per impersonificazione della piattaforma. Prepara il modello adesso, non mentre stai rincorrendo un annuncio.
  5. Un post di servizio pubblicato prima che serva: come si verifica un messaggio a tuo nome. Sul canale ufficiale, in evidenza.

I due errori da evitare

Comprare un detector e considerare chiusa la questione. Gli strumenti di rilevamento perdono affidabilità su audio compresso e ricodificato, cioè su tutto quello che passa da WhatsApp, e scaricano sul cliente una perizia che non è in grado di fare. Il secondo errore è più insidioso: pubblicare sul sito la procedura di conferma. Se è pubblica non conferma niente. Il canale canonico è pubblico per costruzione, la conferma resta fuori banda.

La take

Del caso Williams mi interessa il metodo, non la vicenda: la famiglia non ha aperto una guerra di rimozioni, ha riaccesso il canale autentico. Per una PMI la mossa è la stessa. La difesa dell’identità digitale non è un filtro da installare, è un punto fisso verificabile più una conferma che non passa dallo stesso canale dell’attacco. Costa una pagina e mezz’ora di riunione, e regge meglio di qualunque software di detection. Chi ha già lavorato sulla provenienza dei contenuti AI e sugli obblighi di trasparenza dell’AI Act ha già metà del lavoro fatto.

Fonti