Cos'è C2PA e cosa risolve davvero?

C2PA è lo standard tecnico di provenienza dei contenuti digitali, sviluppato dalla Coalition for Content Provenance and Authenticity, il consorzio fondato nel 2021 da Adobe, Arm, BBC, Intel, Microsoft e Truepic, a cui hanno aderito Google e altri editori e produttori di software. Il suo scopo è incorporare nel file (immagine, video, audio o testo) un manifesto firmato crittograficamente che dichiara origine e cronologia delle modifiche: quale strumento ha creato il contenuto, se un modello generativo ha contribuito, quali interventi di modifica sono avvenuti dopo la creazione. Il nome commerciale con cui Adobe distribuisce l'implementazione dello standard è Content Credentials, concepita come un'etichetta verificabile che accompagna il file anziché affidare tutto a un segnale invisibile nascosto nel contenuto stesso. C2PA non certifica che un contenuto sia vero o corretto: certifica la sua storia dichiarata, ed è verificabile solo finché il manifesto resta agganciato al file.

Leggi anche: Deepfake · Voce o volto sintetici generati dall'AI, usati per frodi aziendali come il finto CEO al telefono: si difende con il processo, non con il rilevamento.

Come funziona

Ogni volta che un contenuto passa per uno strumento compatibile con lo standard, fotocamera, software di editing o modello generativo, viene aggiunta un'asserzione firmata al manifesto: chi o cosa ha compiuto quel passaggio, quando, con quale azione. Le asserzioni si concatenano in una catena crittografica verificabile, così che chi riceve il file possa risalire all'intera cronologia senza doversi fidare di una sola fonte. Il punto debole strutturale è che il manifesto è un metadato legato al contenitore del file: uno screenshot, una conversione di formato o un caricamento su una piattaforma social che ricomprime il file possono staccarlo, lasciando il contenuto privo della sua provenienza proprio nel momento in cui circola di più.

Perché conta ora, dal 2 agosto 2026

Lo standard esiste dal 2021, ma è diventato rilevante per le aziende europee per effetto dell'obbligo previsto dall'art. 50 dell'AI Act: dal 2 agosto 2026 chi fornisce sistemi che generano contenuti sintetici deve contrassegnarli in un formato rilevabile automaticamente. La versione finale di giugno 2026 del Codice di Pratica della Commissione europea cita esplicitamente C2PA come soluzione tecnica che soddisfa i criteri richiesti, insieme a segnali complementari come il watermarking SynthID di Google. Per un'azienda che produce o distribuisce contenuti generati con AI, adottare Content Credentials è oggi il modo più concreto per dimostrare che quell'obbligo è stato preso sul serio, non un'opzione accessoria.

Perché non basta da solo

C2PA protegge bene immagini, audio e video, dove il manifesto viaggia nel file. Per il testo la strada è un'altra: il watermarking testuale, un segnale statistico nascosto nella scelta delle parole, fragile sui testi brevi e rimovibile con una parafrasi o una riscrittura da parte di un secondo modello. In pratica, un testo generato con AI e poi rielaborato, o un'immagine passata per uno strumento non compatibile con lo standard, perde la provenienza senza che nulla lo segnali come sospetto. C2PA riduce il rischio, non lo elimina: non è la conformità stessa, è un tassello di un processo che deve includere anche policy interne su come il contenuto viene prodotto e ridistribuito.

Per chi decide, la domanda operativa non è se adottare C2PA, ma dove: sui contenuti visivi e audio distribuiti pubblicamente il beneficio è immediato e l'obbligo normativo lo rende di fatto obbligatorio. Trattarlo come garanzia legale assoluta, però, soprattutto per il testo o per contenuti destinati a essere ricondivisi e rielaborati, significa scoprire il rischio di conformità solo quando è già troppo tardi.