Watermark AI nelle immagini: C2PA, SynthID e AI Act

Ogni immagine generata da un'intelligenza artificiale porta con sé una sorta di documento d'identità che, a occhio nudo, non si vede. Sono i watermark AI, marcatori di provenienza inseriti nei metadati o direttamente nei pixel che dichiarano a piattaforme e motori di ricerca che quell'immagine non è stata scattata né disegnata da una persona. Dal 2 agosto 2026, con l'applicazione dell'art. 50 dell'AI Act, non sono più una scelta volontaria dei fornitori ma un obbligo di legge.

Il tema mi riguarda da vicino, perché quasi tutte le copertine di questo blog sono generate con l'AI. Lo dichiaro apertamente nei termini e condizioni del sito e lo ribadisco qui, ma ho scelto di togliere quei marcatori con un tool open source, remove-ai-watermarks. In questo articolo spiego cosa sono queste tracce, chi le legge, cosa fa il repository, cosa prevede la normativa europea e italiana e perché, nel mio caso, ritengo che la trasparenza debba passare da una dichiarazione e non da un bollino applicato da un algoritmo.

Le tracce che l'AI lascia nelle immagini

Quando si parla di watermark AI nelle immagini si pensa subito al logo semitrasparente in un angolo, che però è la forma più rara e più facile da eliminare. Le tracce che contano davvero sono quelle invisibili, e in un'immagine prodotta oggi da un servizio commerciale se ne trovano più di una, sovrapposte proprio perché ciascuna copre i punti deboli dell'altra.

Il primo livello è il manifest C2PA, noto anche come Content Credentials, un blocco di metadati firmato crittograficamente che registra quale strumento ha creato il file e quando. Accanto a questo c'è spesso il campo IPTC Digital Source Type, che classifica l'immagine come prodotta da un algoritmo addestrato. Il terzo livello, il più robusto, è SynthID, il watermark sviluppato da Google DeepMind che non vive nei metadati ma è distribuito nei pixel, e che per questo sopravvive a ritagli, ridimensionamenti e compressione.

Le immagini create con ChatGPT, con Codex o tramite le API di OpenAI includono oggi sia le Content Credentials sia SynthID, e OpenAI mette a disposizione una pagina di verifica pubblica (openai.com/verify) in cui caricare un file per controllarne l'origine. È lo stesso fornitore, nella sua documentazione, ad ammettere che i metadati possono andare persi con operazioni quotidiane come uno screenshot, motivo per cui il watermark nei pixel è diventato il vero perno del sistema.

Chi legge queste tracce e cosa ne fa

Un marcatore ha senso solo se qualcuno lo legge, e i lettori principali sono le grandi piattaforme. Meta, dal 2024, usa i segnali C2PA e IPTC per applicare automaticamente l'etichetta «AI info» ai contenuti pubblicati su Facebook, Instagram e Threads. Google, nello stesso periodo, ha annunciato che le immagini con metadati C2PA vengono segnalate come generate o modificate con l'AI nel riquadro «Informazioni su questa immagine» della Ricerca, in Google Lens e in Cerchia e Cerca.

Sul posizionamento, va detto con onestà, Google non ha mai dichiarato di penalizzare le immagini marcate, e la sua posizione ufficiale resta quella per cui conta la qualità del contenuto e non il modo in cui è stato prodotto. Il punto, però, è un altro. L'etichetta automatica è binaria e non distingue un'illustrazione in stile pittorico da una fotografia manipolata per ingannare, per cui finisce per attribuire a entrambe lo stesso segno. Per un lettore distratto, un bollino «AI» accanto alla copertina di un articolo tecnico comunica sciatteria o, peggio, scarsa affidabilità, anche quando il testo è frutto di anni di esperienza sul campo.

remove-ai-watermarks: cosa fa il repository

remove-ai-watermarks è un progetto open source di wiltodelta, rilasciato con licenza Apache 2.0, che al momento in cui scrivo conta quasi seimila stelle e oltre 540 fork su GitHub. Il README lo presenta come uno strumento per rimuovere i watermark AI e gli altri marcatori di provenienza dalle immagini e dai video «you generated yourself», cioè dai contenuti generati da chi lo usa.

Il tool lavora su tre fronti. I marcatori visibili (lo sparkle di Gemini e i loghi di diversi generatori video) vengono individuati nella loro posizione tipica, mascherati e ricostruiti con modelli di inpainting come LaMa. I metadati (C2PA, EXIF, XMP, IPTC e le etichette AIGC previste dalla normativa cinese) vengono rimossi in modo consapevole del formato, senza ricomprimere i JPEG. I watermark invisibili come SynthID, infine, vengono neutralizzati indirettamente, rigenerando leggermente l'immagine con un modello di diffusione attraverso tre profili (qwen-zimage, sdxl-zimage e chroma-zimage), con una fase separata per ricostruire i volti.

Due aspetti del progetto meritano attenzione. Il primo è la sua onestà tecnica, perché la documentazione avverte che la rigenerazione può alterare volti, testo e dettagli fini e che nessun risultato è garantito contro ogni verificatore, ricordando che un segnale non rilevato in locale significa «unknown, not clean». Il secondo è il perimetro d'uso dichiarato, cioè «lawful use on content you own», con l'esclusione esplicita delle anteprime delle agenzie stock e di qualsiasi watermark che protegga contenuti a pagamento di terzi.

L'ho usato su una scheda video da portatile con 8 GB di memoria e, strada facendo, ho trovato e corretto un limite del profilo sdxl-zimage, che sulle GPU sotto i 12 GB restava bloccato per oltre un quarto d'ora. La correzione è diventata la pull request #117, accettata dal maintainer in meno di due ore e inclusa nella release v0.45.1, e oggi la stessa operazione si chiude in circa 70 secondi.

Cosa dice la normativa: AI Act e legge italiana

Prima di decidere cosa fare delle mie copertine ho voluto capire con precisione chi deve fare cosa. Il riferimento principale è l'art. 50 del Regolamento (UE) 2024/1689, l'AI Act, che disciplina gli obblighi di trasparenza. Il Digital Omnibus approvato nel 2026 ha rinviato gli obblighi sui sistemi ad alto rischio, ma non ha toccato l'art. 50, che si applica dal 2 agosto 2026.

Fornitori e utilizzatori: due obblighi diversi

L'articolo distingue nettamente tra chi sviluppa e mette sul mercato un sistema di AI (il fornitore) e chi lo usa nell'ambito della propria attività (il deployer, o utilizzatore). Confondere i due ruoli è l'errore più frequente nelle letture divulgative.

Il quadro operativo è stato completato nell'estate del 2026 da un Codice di buone pratiche e dalle linee guida della Commissione, con alcune scadenze ancora da venire.

Illustrazione o deepfake: dove passa il confine

Le linee guida della Commissione trattano il fotorealismo come un elemento rilevante ma non decisivo, perché il criterio vero è se il contenuto possa apparire falsamente autentico. Un ritratto fotorealistico di una persona inventata può rientrare nella definizione, così come un'immagine pubblicitaria che faccia sembrare un prodotto migliore di quanto sia, mentre gli sfondi generati per un film o uno spot in genere non richiedono etichetta. Le riduzioni previste per le opere artistiche, satiriche o di finzione vanno inoltre interpretate in senso restrittivo.

Le mie copertine sono illustrazioni in uno stile pittorico dichiaratamente futurista, con figure simboliche e senza persone, luoghi o eventi reali che qualcuno possa scambiare per autentici. Per come leggo la norma non sono deepfake, e i testi degli articoli li scrivo e li rivedo sotto la mia responsabilità editoriale. L'obbligo di marcatura, invece, ricade sul fornitore che ha generato l'immagine, che lo ha rispettato.

La legge italiana 132/2025

Sul piano nazionale, la legge 23 settembre 2025, n. 132 ha introdotto nel codice penale l'art. 612-quater, che punisce con la reclusione da uno a cinque anni chi cede, pubblica o diffonde senza consenso immagini, video o voci falsificati o alterati con sistemi di AI, idonei a ingannare sulla loro genuinità e capaci di cagionare un danno ingiusto a una persona. Il reato è procedibile a querela, salvo i casi aggravati. È una norma pensata per colpire i deepfake lesivi, e ancora una volta il discrimine sta nell'inganno su persone reali, non nella semplice origine artificiale di un'immagine.

Perché ho tolto i marcatori dalle mie copertine

Veniamo al motivo per cui ho tolto i watermark AI. Su 29 copertine realizzate per il blog ne ho passate 26 attraverso remove-ai-watermarks; le altre le ho lasciate com'erano per una scelta editoriale, perché alcuni articoli mantengono un'immagine più tecnica. La scelta non nasce dalla volontà di nascondere qualcosa. Uso l'intelligenza artificiale per le illustrazioni, lo dichiaro nei termini e condizioni del sito e lo ripeto in questo articolo, che resta pubblico e indicizzato proprio per questo.

Quello che non voglio è che la trasparenza venga delegata a un bollino, tra virgolette, applicato da un algoritmo che non conosce il contesto, non distingue un'illustrazione da una manipolazione e finisce per classificare in modo negativo un contenuto che non ha nulla da nascondere. La trasparenza, per come la intendo, è un rapporto con chi legge, e passa da una dichiarazione chiara e consultabile, non da un'etichetta che compare o scompare a seconda della piattaforma.

La trasparenza la dichiaro io, nei termini del sito e in questo articolo; non la delego a un'etichetta automatica.

Per completezza aggiungo un dettaglio che non voglio dare per scontato. L'efficacia della rimozione del SynthID sulle mie copertine non l'ho ancora verificata con lo strumento di controllo di OpenAI, e la documentazione stessa del tool avverte che l'esito non è garantito. Quando avrò fatto la verifica aggiornerò questo paragrafo.

Una checklist per chi usa immagini AI sul proprio sito

Se anche tu pubblichi immagini generate con AI su un sito aziendale o professionale, questi sono i controlli che ritengo sensati prima di decidere cosa fare dei watermark AI.

• Dichiarare l'uso dell'AI in una pagina del sito facilmente consultabile, come i termini e condizioni o una nota editoriale.
• Verificare se l'immagine ritrae persone, luoghi o eventi reali o potrebbe apparire falsamente autentica, perché in quel caso è un deepfake e va etichettata.
• Non intervenire mai su immagini di terzi, anteprime di agenzie stock o contenuti protetti da licenza.
• Conservare in archivio gli originali con i metadati intatti, così da poterne dimostrare l'origine in qualsiasi momento.
• Leggere i termini d'uso del fornitore che ha generato l'immagine.
• Mantenere revisione umana e responsabilità editoriale sui testi di interesse pubblico.

Domande frequenti

Se ti interessa il rapporto tra strumenti open source e scelta dei fornitori, ho scritto anche dei rischi di affidarsi a chi usa tecnologie aperte senza conoscerle davvero.