Deepfake vocali e contratti energia/TLC: rischi legali e prova del consenso

Il contributo esamina l’impatto sistemico delle tecnologie di sintesi vocale generativa (c.d. deepfake audio) sulla tenuta giuridica e probatoria dei contratti conclusi a distanza nei mercati retail ad alta movimentazione, con particolare riferimento alle forniture di energia e ai servizi di telefonia e internet. Alla luce della recente entrata in vigore della L. n. 132/2025 e del D.Lgs. n. 160/2026 in materia di Intelligenza Artificiale, e in vista dell’operatività, dal 1° dicembre 2026, della Delibera ARERA 58/2026/R/eel sullo switching in 24 ore, l’articolo analizza le vulnerabilità strutturali di data protection nei flussi di transito e delinea l’urgenza di un intervento normativo che mutui i protocolli consolidati della governance bancaria per proteggere il risparmio familiare, i soggetti vulnerabili e la concorrenza leale tra imprese.

Premessa: dalla frode cibernetica all’emergenza nei contratti retail (Energia e TLC)

Le recenti cronache finanziarie dell’autunno 2026 hanno registrato un evento destinato a segnare uno spartiacque nella storia della corporate security e del diritto delle nuove tecnologie: la complessa frode internazionale perpetrata ai danni di Banca Fideuram, realizzata – tra l’altro – mediante la clonazione cibernetica in tempo reale (c.d. voice cloning). L’episodio ha dimostrato in modo evidente come gli algoritmi di intelligenza artificiale generativa siano ormai in grado di eludere persino i presidi del private banking, replicando con assoluta fedeltà biometrica il timbro, la cadenza prosodica e l’inflessione vocale di un soggetto a partire da pochi secondi di campionamento audio.

Se una simile tecnica di ingegneria sociale potenziata dall’IA riesce a superare i controlli di vertice del settore finanziario, si impone una riflessione urgente circa la tenuta giuridica dei mercati retail ad alta movimentazione contrattuale, primi fra tutti quelli del comparto delle telecomunicazioni e dell’energia, con la prassi della contrattualizzazione a distanza che si regge storicamente su un’elevata asimmetria informativa e sulla vulnerabilità del contraente. Tale scrutinio assume carattere di assoluta indifferibilità alla luce dell’imminente scadenza del 1° dicembre 2026, data in cui diverrà operativa la riforma regolatoria adottata da ARERA con la Delibera 58/2026/R/eel del 3 marzo 2026 (in attuazione della Direttiva UE 2019/944, recepita con D.Lgs. n. 210/2021), la quale comprime a sole 24 ore (un singolo giorno lavorativo) la procedura tecnica di switching per i clienti domestici del settore elettrico, amplificando esponenzialmente i rischi di attivazioni non richieste (slamming).

L’esfiltrazione dei dati nei flussi di transito e il limite strutturale dei presidi a valle

Il dibattito istituzionale sul contrasto al telemarketing illecito e alle pratiche commerciali aggressive – sia nel settore energetico che in quello della telefonia – si è sinora concentrato su rimedi destinati ad operare a valle della catena del valore, quali i blocchi tecnici anti-spoofing implementati dagli operatori di telecomunicazione su impulso di AGCOM o le periodiche revisioni del Registro Pubblico delle Opposizioni (D.P.R. n. 26/2022). Pur trattandosi di presidi utili, l’esperienza applicativa ne evidenzia la strutturale insufficienza a fronte di un mercato sommerso alimentato da sistematiche violazioni della data protection che avvengono a monte.

L’analisi dei flussi informativi dimostra, infatti, come il fenomeno delle chiamate ingannevoli si innesti in maniera parassitaria proprio nelle fasi di legittimo cambio di fornitura energetica o di migrazione verso un nuovo operatore di telefonia e internet. Durante la procedura di passaggio, i dati anagrafici, i codici identificativi (POD/PDR per l’energia, Codice di Migrazione per la telefonia) e i recapiti di contatto del consumatore transitano attraverso una pluralità di nodi: dai database centralizzati (come il Sistema Informativo Integrato per l’energia) ai sistemi CRM degli operatori, sino a una galassia frammentata di agenzie esterne, broker e sub-appaltatori. È all’interno di questo perimetro permeabile che si perfeziona l’esfiltrazione illecita delle cosiddette “liste calde”, ovvero gli elenchi degli utenti in fase di transito contrattuale, sottratti e rivenduti sul mercato grigio a centrali telefoniche spregiudicate. Ne consegue che l’operatore abusivo che contatta il cittadino – millantando la scadenza dell’offerta o fittizi disservizi sulla linea internet o sul contatore – dispone già di un set informativo completo.

In tale contesto, il ricorso a catene opache di sub-fornitori espone le società di vendita e gli operatori TLC (i Titolari del trattamento) a una responsabilità diretta per culpa in eligendo e in vigilando ex artt. 24, 28 e 32 del Regolamento UE 2016/679 (GDPR). Come chiarito dalla Corte di Giustizia dell’Unione Europea (CGUE, Grande Sezione, 5 dicembre 2023, causa C-683/21) e ribadito dai recenti interventi sanzionatori del Garante per la protezione dei dati personali nei settori energetico e delle telecomunicazioni (cfr. Provv. 23 luglio 2026, doc. web n. 10277005; Provv. 17 luglio 2024, doc. web n. 10053211), il committente non può invocare l’estraneità alle condotte illecite delle agenzie esterne laddove ometta rigorosi audit sulla tracciabilità dei lead acquisiti. Un principio di effettività della tutela recentemente rafforzato anche dalla Suprema Corte (Cass. civ., Sez. I, sent. n. 18583 dell’8 luglio 2025, resa proprio in tema di sanzioni per telemarketing selvaggio), che ha evidenziato la necessità di scongiurare un “rischio sistemico di impunità” a fronte di violazioni complesse e stratificate lungo la filiera commerciale.

L’obsolescenza probatoria del Vocal Order tra art. 51 Cod. Cons. e D.Lgs. n. 160/2026

Su questa conclamata vulnerabilità dei flussi dati si innesta oggi la minaccia del deepfake vocale, determinando la crisi irreversibile dell’istituto del contratto concluso a distanza mediante registrazione telefonica (c.d. Vocal Order), disciplinato nell’alveo dell’art. 51 del Codice del Consumo (D.Lgs. n. 206/2005). La prassi commerciale e regolatoria che attribuisce efficacia integrativa o probatoria al supporto contenente il consenso vocale dell’utente nei contratti di TLC e utenze poggia sul presupposto, ormai scientificamente superato, dell’unicità biometrica e della non riproducibilità artefatta della voce umana.

Sotto il profilo processual-civilistico, la registrazione fonografica rientra nel genus delle riproduzioni meccaniche di cui all’art. 2712 c.c., la cui efficacia di “piena prova” dei fatti rappresentati è subordinata al mancato disconoscimento da parte di colui contro il quale sono prodotte (cfr. Cass. civ., Sez. II, sent. n. 19622 del 16 luglio 2024). Tuttavia, laddove un software di sintesi generativa è in grado di assemblare un intero tracciato vocale di accettazione contrattuale a partire da una mera risposta telefonica interlocutoria di pochi secondi (“Pronto, sì, sono io”), si…