La scadenza del Take It Down Act e' passata: cosa devi a chi non ha mai accettato di finire in una foto

Una foto di qualcuno che non ha mai accettato di essere in vetrina

Compare un annuncio su una directory costruito attorno alla foto di qualcuno che non si e' mai registrato come inserzionista. Un ex partner carica foto di una relazione finita male e le pubblica come se fossero un annuncio. Uno sconosciuto fa passare la foto di qualcun altro in un generatore di immagini e ne ricava un annuncio che non e' mai esistito. Una foto professionale viene presa da un'altra parte e riusata senza che la persona ritratta lo sappia mai. Nessuna di queste persone ha chiesto di comparire sul sito. Lo scoprono quando qualcuno che conoscono vede la pagina, o quando cercano il proprio nome e trovano un annuncio che non hanno mai fatto, e scrivono lo stesso giorno chiedendo che venga tolto.

L'istinto e' incanalare quel messaggio nel percorso di rimozione gia' esistente, di solito quello pensato per le foto rubate. Ma chi scrive raramente e' il fotografo e non gli interessa chi possiede l'immagine. La sua richiesta e' che si tratta di una sua foto, pubblicata senza il suo consenso, e deve sparire adesso, non dopo che qualcuno compila un modulo sul diritto d'autore che una persona in difficolta' potrebbe non pensare mai di inviare.

Quella richiesta specifica adesso ha una propria legge federale, con un proprio orologio e un proprio ente di controllo. La Tools to Address Known Exploitation by Immobilizing Technological Deepfakes on Websites and Networks Act, nota come TAKE IT DOWN Act, e' stata firmata il 19 maggio 2025. Ha dato alle piattaforme coperte esattamente un anno per mettere in piedi un processo di rimozione funzionante. Quell'anno e' finito il 19 maggio 2026, e la Federal Trade Commission ha confermato di aver iniziato a far rispettare l'obbligo da quella data.

Oggi quella scadenza e' gia' passata da tempo. Un operatore che pensa ancora a questo come a qualcosa da preparare nel 2026 non e' avanti rispetto alla legge. La data in cui la legge si aspettava un processo gia' funzionante e' venuta e andata, e questo articolo tratta esattamente cosa deve contenere quel processo: cosa rende valida una richiesta, quanto velocemente corre l'orologio una volta arrivata, chi la fa rispettare, e in cosa differisce dai due obblighi di rimozione che un operatore di directory probabilmente gia' conosce.

Tre obblighi che sembrano uguali e non lo sono

Conviene separare tre obblighi che arrivano sotto forma della stessa email e non sono la stessa cosa. Il percorso di rimozione pensato per le foto rubate protegge chi possiede l'immagine, e non gli importa cosa mostri la foto o chi ci compaia. La segnalazione obbligatoria che copre il materiale di abuso sessuale su minori scatta in base all'eta' della persona ritratta, non ha un orologio di 48 ore, e finisce con una segnalazione al National Center for Missing and Exploited Children invece che con una semplice rimozione. Il Take It Down Act non e' nessuno dei due.

Il suo innesco e' il consenso, non la proprieta' e non l'eta'. Copre un'immagine intima di un adulto o un minore identificabile pubblicata senza il consenso di quella persona, e copre esplicitamente anche una foto che non e' affatto una foto: un falso digitale, cioe' un'immagine generata dall'intelligenza artificiale costruita per somigliare a una persona reale, che di quella persona esista o meno una fotografia vera. Un deepfake ricavato da una foto profilo presa dai social ricade nello stesso obbligo di una foto intima rubata, perche' il danno che la legge colpisce e' la raffigurazione falsa in se', non la macchina fotografica che l'ha prodotta.

La definizione di chi deve rispettarla e' scritta larga apposta. Una piattaforma coperta e' qualsiasi sito, app o servizio online rivolto al pubblico che serve principalmente da spazio per i contenuti che i suoi utenti caricano, o che ospita questo tipo di materiale nel corso ordinario della propria attivita'. Le uniche eccezioni sono i fornitori di banda larga e di posta elettronica, e i servizi il cui contenuto e' preselezionato dal gestore invece che caricato dagli utenti. Un sito di annunci costruito interamente attorno alle foto che i suoi inserzionisti caricano non si avvicina a nessuna delle due eccezioni.

Non c'e' nessuna soglia di dimensione o di fatturato in quella definizione. Una startup di annunci con cinque persone e' una piattaforma coperta esattamente come un'azienda con un miliardo di utenti, e le linee guida della stessa Federal Trade Commission dicono espressamente che ne' la dimensione ne' lo status di organizzazione senza scopo di lucro cambiano questo. La legge e' scritta per il volume dei caricamenti degli utenti, non per la dimensione dell'azienda che li gestisce, che e' esattamente la forma di un business di annunci.

Come e' fatta una richiesta valida, e l'orologio che parte

La soglia per una richiesta valida e' deliberatamente semplice, perche' chi la presenta spesso e' in difficolta' e non e' un avvocato. Serve una firma della persona ritratta o di qualcuno autorizzato ad agire per suo conto, abbastanza dettagli per identificare l'immagine specifica, abbastanza informazioni per localizzarla sul sito, una breve dichiarazione fatta in buona fede che e' stata pubblicata senza consenso, e un modo per contattare chi ha presentato la richiesta. Non serve niente di piu' elaborato, e niente di meno fa partire l'orologio.

Una volta arrivata una richiesta che soddisfa questa soglia, la piattaforma ha 48 ore per rimuovere l'immagine segnalata e per fare quello che la Federal Trade Commission chiama sforzi ragionevoli per trovare e rimuovere copie identiche gia' note. A chi segnala la foto non si chiede di andare a caccia da solo di ogni ricaricamento; l'onere di trovare i duplicati sta sulla piattaforma, non sulla vittima.

Cosa conti come sforzo ragionevole non e' specificato nella legge, il che lascia all'operatore il compito di costruire qualcosa di difendibile invece di aspettare che un tribunale ne definisca il minimo. Una piattaforma di annunci tiene gia' le foto legate agli account degli inserzionisti per scopi di verifica dell'identita', e far girare un semplice controllo di corrispondenza delle immagini su una foto segnalata, per intercettare la stessa immagine che ricompare sotto un altro annuncio giorni dopo, trasforma gli sforzi ragionevoli da una frase in un documento di policy in un'azione che un registro puo' davvero dimostrare essere avvenuta.

Non c'e' nessuna prescrizione scritta nell'obbligo di rimozione, e nessuna eccezione per un annuncio vecchio. Una foto online da tre anni e' coperta esattamente dallo stesso orologio di 48 ore di una pubblicata ieri, quindi una richiesta non puo' essere messa da parte con la teoria che l'annuncio e' anteriore alla consapevolezza della legge da parte dell'operatore.

L'immunita' costruita nella legge corre in una sola direzione, e questo definisce quale sia la scelta piu' prudente. Una piattaforma che rimuove una foto segnalata in buona fede e' protetta anche se l'immagine risulta poi non aver violato la legge. Non esiste una protezione equivalente per una piattaforma che tiene su una foto perche' la sua lettura della situazione dice che la segnalazione non e' valida. Quando una richiesta soddisfa chiaramente la soglia descritta sopra, la mossa piu' sicura e' togliere l'annuncio subito e risolvere eventuali dispute dopo, non il contrario.

Costruire il processo senza aspettare che sia una segnalazione a imporlo

La soluzione pratica e' un canale di segnalazione che una persona esterna al rapporto con l'inserzionista, qualcuno che non ha mai creato un account e non ha nessun accesso, possa davvero trovare e usare. Nasconderlo dentro un modulo di contatto generico o una coda di assistenza pensata per gli inserzionisti manca completamente la popolazione che la legge intende proteggere, dato che chi presenta una richiesta valida per definizione non e' chi ha pubblicato la foto.

La coda che questo crea non ha bisogno di un team costruito da zero. Il team che gia' controlla gli annunci prima che vadano online e' formato esattamente per questo tipo di lavoro: guardare il materiale in fretta, decidere entro un tempo fisso, e scrivere il perche'. Affidare questa coda alle stesse persone, con una regola chiara secondo cui una richiesta apparentemente valida viene gestita entro le 48 ore indipendentemente da cos'altro c'e' in coda quel giorno, si mette in piedi piu' in fretta che formare un team nuovo da zero.

Ogni richiesta ha bisogno di un registro: quando e' arrivata, cosa conteneva, cosa e' stato rimosso, e la base di buona fede della decisione. Quel registro e' cio' che permette a una piattaforma di invocare l'immunita' in seguito se una rimozione viene contestata, ed e' lo stesso registro che un ente di controllo chiederebbe per primo se la conformita' della piattaforma venisse mai messa in dubbio.

Niente di tutto questo sostituisce l'obbligo parallelo che sta sotto la legge statale. Quasi ogni stato americano aveva gia' una qualche legge sulle immagini intime non consensuali prima che arrivasse questa federale, e da una ventina a una trentina di stati hanno leggi che coprono specificamente i deepfake generati dall'intelligenza artificiale. La legge federale non ne prevale su nessuna, quindi una richiesta che una piattaforma giudica non superi del tutto la soglia federale puo' comunque esporre il sito a una pretesa secondo la legge statale, con termini propri e separati.

Il fronte dell'applicazione e' gia' attivo, non teorico. La Federal Trade Commission ha aperto un portale pubblico per i reclami e ha inviato promemoria di conformita' a una lunga lista di grandi piattaforme nelle settimane precedenti la scadenza di maggio 2026. Una piattaforma che risulta non aver rispettato ragionevolmente l'obbligo viene trattata come se avesse commesso una pratica sleale o ingannevole ai sensi del FTC Act, con sanzioni civili che possono arrivare a 53.088 dollari per violazione, una cifra tratta dalle linee guida pubblicate dalla stessa Commissione e non un tetto per azienda.

Cosa la legge non ha ancora risolto, e cosa fare questa settimana

Niente di tutto questo e' privo di una reale incertezza giuridica, e un resoconto onesto della legge lo dice apertamente. Gruppi per le liberta' civili hanno sostenuto pubblicamente, piu' volte, che una finestra obbligatoria di 48 ore senza un passaggio di contro-notifica incorporato spinge le piattaforme a rimuovere contenuti legittimi piuttosto che rischiare di mancare la scadenza, e alcuni commentatori legali hanno sollevato domande aperte su come l'obbligo di rimozione interagisca con la Section 230 e con il Primo Emendamento. Niente di tutto questo ha finora prodotto una sentenza, un'ingiunzione o un rinvio della scadenza, e la Commissione procede come se nulla di tutto cio' fosse destinato a cambiare le cose.

L'assenza di un meccanismo formale di contro-notifica, quello che il DMCA riconosce a chi si vede rimuovere una foto per una pretesa di diritto d'autore, e' un vuoto reale su cui un operatore deve pianificare invece che ignorare. Chi segnala in malafede, un ex che cerca di far sparire un annuncio legittimo per rancore, o un concorrente che abusa del processo, e' una possibilita' concreta che la legge non risolve da sola. Costruire un passaggio interno di revisione per le rimozioni contestate e' compito della piattaforma stessa, con i propri tempi, e non deve mai rallentare l'orologio delle 48 ore sulle richieste che sono chiaramente valide.

Due cose vale la pena controllare questa settimana invece di archiviarle come lavoro futuro. Primo, se il sito ha un modo visibile perche' qualcuno che non e' un inserzionista registrato possa segnalare la propria foto, raggiungibile senza creare un account o accedere da nessuna parte.

Secondo, se esiste da qualche parte una pagina che dice chi si occupa di questa coda, cosa deve contenere una richiesta per essere valida, e cosa succede nella prima ora e nelle prime 48. Se quella pagina non esiste ancora, la scadenza che la legge ha fissato mesi fa non e' un compito futuro. E' gia' disattesa, oggi, e l'orologio sulla prossima richiesta che arriva parte nel momento in cui arriva, non nel momento in cui qualcuno trova il tempo di leggerla.