La prova deve viaggiare con l’immagine: un protocollo MoJo dopo la fine della fiducia nei pixel

Un filmato autentico senza passato

Una redazione riceve trenta secondi di video da una manifestazione. Un agente di polizia sembra colpire una persona a terra. Il reporter conosce il testimone e ritiene autentica la registrazione. Ma il filmato viaggia attraverso un’app di messaggistica, viene compresso automaticamente, entra in un’applicazione di montaggio, riceve un audio ripulito, sottotitoli e un’inquadratura più stretta. La pubblicazione provoca una risposta ufficiale: «È manipolato, oppure generato dall’AI».

La redazione vuole rispondere. Possiede soltanto l’esportazione finale. L’originale era rimasto sul telefono del testimone, che nel frattempo si è guastato. Nessuno ha registrato l’ora del trasferimento, le proprietà del file o le modifiche editoriali. I giornalisti potrebbero dire la verità, ma non sono in grado di mostrare il percorso attraverso cui quella verità è arrivata fino a loro.

La scena è ipotetica. Il problema è preciso: una catena di provenienza interrotta per il materiale mobile. Nell’epoca della manipolazione senza sforzo, un’immagine autentica può perdere la partita non perché sembri falsa, ma perché la redazione l’ha trattata come un allegato qualsiasi. Il suo passato è stato scartato durante la produzione.

Il mobile journalism ha a lungo tratto forza da un’intuizione potente: qualcuno era lì, ha estratto un telefono e ha registrato ciò che accadeva davanti all’obiettivo. Il dispositivo riunisce testimone, telecamera, sala di montaggio e trasmettitore. Questa compattezza democratizza la pubblicazione e accorcia la distanza tra

evento e pubblico (Burum & Quinn, 2016). I media sintetici non invalidano la testimonianza. Mettono però fine al lusso di una fiducia automatica nel pixel.

Essere presenti significa più che possedere un’immagine

La fotografia e il cinema sono stati tradizionalmente intesi come media dotati di una relazione particolare con la realtà: la luce proveniente da una scena lascia una traccia sulla pellicola e, più tardi, su un sensore. Questo legame viene spesso chiamato indicalità. Una fotografia non è semplicemente un disegno che assomiglia al mondo; nasce da un incontro fisico tra il dispositivo e la scena.

Il MoJo aggiunge una relazione incarnata. Il telefono è nella mano di una persona che si trova dentro gli eventi, talvolta correndo un rischio reale. Andén-Papadopoulos scrive del cittadino testimone con la telecamera e della forza morale di chi «mette in gioco il proprio corpo per documentare l’ingiustizia dell’oppressione» (2014, p. 753, traduzione dell’autore). La frase ci ricorda che la prova non comincia dentro un file. Comincia nella relazione di una persona con un evento.

La testimonianza giornalistica unisce presenza, autorità, autenticità e responsabilità morale (Pantti, 2019). «Ero lì» non è una prova completa, ma crea una forma particolare di accountability. Un testimone può descrivere ciò che è accaduto fuori dall’inquadratura, rispondere alle domande e accettare le conseguenze di una dichiarazione. Una redazione trasforma un’esperienza individuale in testimonianza pubblica verificando la fonte, il tempo, il luogo, la sequenza e la coerenza con altre prove.

Un’immagine generativa può essere prodotta senza un evento, senza che la luce raggiunga un sensore e senza che nessuno sia presente sulla scena. Anche il montaggio può alterare un filmato autentico: rimuovere un oggetto, ingrandire una folla, sostituire una voce o unire frammenti separati. Eppure la falsità visiva di maggior successo non deve necessariamente essere tecnicamente spettacolare. Una fotografia reale scattata in un altro Paese, accompagnata dalla didascalia dell’evento odierno, può viaggiare più lontano di un deepfake perfetto. L’aspetto, da solo, è dunque un test inadeguato. Contano la storia e il contesto.

La trappola del rilevatore

La risposta intuitiva ai media sintetici consiste nel cercare un rilevatore: si carica un’immagine e si ottiene una luce rossa o verde. Il modello seduce perché trasferisce l’incertezza a una macchina e restituisce qualcosa che assomiglia a un risultato di laboratorio. Purtroppo, generatori e rilevatori gareggiano su una pista il cui traguardo si sposta ogni pochi mesi.

In un ampio studio sulla disinformazione multimodale e sulle Community Notes, Chrysidis et al. (2026) hanno osservato che, nel campione analizzato, il materiale generato dall’AI raggiungeva una viralità sproporzionata. Hanno inoltre rilevato un calo delle prestazioni dei rilevatori specializzati e dei modelli visione-linguaggio con il miglioramento dei generatori. I dettagli di ogni singolo benchmark invecchieranno rapidamente; non la lezione più profonda. Un punteggio di probabilità è una prova prodotta in specifiche condizioni di test, non il verdetto di un oracolo neutrale.

I rilevatori non sono inutili. Possono segnalare un artefatto, uno schema di compressione insolito o un probabile intervento. Non dovrebbero però sedere da soli sulla sedia del giudice. I risultati dipendono dal tipo di materiale, dalla versione del generatore, dalle elaborazioni successive e dai dati di test. Un falso positivo può screditare una testimonianza autentica. Un falso negativo può consegnare a un contenuto manipolato un passaporto che non merita.

Il rilevamento domanda: questi pixel mostrano tracce associate a un processo? La provenienza domanda: come è stata creata questa specifica risorsa, chi ha firmato quali dichiarazioni e quali modifiche sono state dichiarate? La verifica giornalistica aggiunge: il tempo, il luogo, la sequenza e il significato dichiarati corrispondono all’evento? Queste domande si sostengono a vicenda. Nessuna è autorizzata a travestirsi da una delle altre.

C2PA: un diario di viaggio sigillato, non un certificato di verità

Lo standard C2PA, reso visibile al pubblico attraverso le Content Credentials, offre un livello tecnico per la provenienza. L’analogia più semplice è quella di un diario di viaggio sigillato e allegato alla risorsa. Un manifest firmato crittograficamente può contenere dichiarazioni sull’origine, sugli strumenti, sugli elementi utilizzati e sulle azioni compiute. I meccanismi di associazione aiutano a stabilire se il manifest appartenga ancora a quella risorsa; la firma contribuisce a rivelare se le informazioni dichiarate siano state modificate senza lasciare traccia (Coalition for Content Provenance and Authenticity, 2026).

È un’infrastruttura preziosa, ma il suo campo d’azione viene spesso frainteso. Una credenziale valida può mostrare che una determinata entità ha firmato certe dichiarazioni e che la loro integrità è stata preservata. Non può stabilire se un fotografo abbia interpretato correttamente l’evento. Una telecamera può registrare in modo autentico una scena allestita. Un’immagine firmata può essere accompagnata da una didascalia ingannevole. E l’assenza di una credenziale non prova che il contenuto sia falso: una piattaforma può averla rimossa, uno strumento può non supportarla o il testimone può usare un dispositivo meno recente.

Il sigillo su una busta non verifica i fatti contenuti nella lettera. Ci aiuta a chiederci se la busta sia stata aperta e chi dichiari di averla spedita. Ecco perché C2PA non sostituisce il giornalismo. Offre al giornalismo un oggetto migliore da indagare.

La provenienza è organizzativa oltre che tecnica. Se una redazione sovrascrive gli originali, permette alle applicazioni di appiattire ogni fase e non registra le modifiche rilevanti, neppure uno standard eccellente potrà ricostruire la storia mancante. La tecnologia può sigillare il diario. Qualcuno deve comunque conservarlo.

Il testimone non è un’appendice dei metadati

Una catena probatoria può trasformarsi facilmente in una catena di sorveglianza. I file mobili possono esporre l’ora, la posizione precisa, gli identificativi del dispositivo, i volti, le voci, i riflessi e schemi di trasferimento dai quali si possono dedurre relazioni. Per un reporter sono indizi utili alla verifica. Per un’istituzione repressiva possono diventare una strada verso il testimone.

Salzmann, Guribye e Gynnild (2021) descrivono i giornalisti mobili come oggetti di dati tracciabili: gli smartphone offrono una libertà straordinaria, mentre producono tracce che rendono possibili profilazione e controllo. «Conservare e pubblicare tutti i metadati» non è quindi una regola responsabile. Una redazione può preservare un originale protetto a scopo di verifica e condividere soltanto le informazioni necessarie perché il pubblico valuti il materiale, senza mettere in pericolo una persona.

Sono in gioco due diritti. Il pubblico ha diritto a una testimonianza verificabile. La fonte ha diritto alla sicurezza e alla dignità. Nessuno dei due dovrebbe cancellare automaticamente l’altro. A volte, la divulgazione completa del tempo e del luogo può essere giustificata. In altri casi, la pubblicazione dovrebbe essere ritardata, la posizione resa meno precisa, i volti oscurati o una parte del manifest

conservata soltanto all’interno della redazione. La provenienza deve servire l’accountability, non la curiosità.

Anche la decisione deve restare nelle mani di un essere umano. Un reporter dovrebbe comprendere che cosa dimostri un file e che cosa non possa dimostrare. Un editor deve poter fermare la pubblicazione. Un testimone deve capire i rischi legati all’associazione di una credenziale alla propria identità. Il pubblico merita di conoscere i limiti della verifica, non di vedere uno scudo verde progettato per suggerire l’infallibilità.

È particolarmente importante quando il filmato mostra violenza. La pubblicazione ripetuta può ritraumatizzare le vittime, favorirne l’identificazione o trasformare la sofferenza in una merce visiva. Una catena di custodia perfetta non crea un diritto illimitato a mostrare tutto. La prova può essere conservata limitandone l’accesso; la verifica può essere descritta lasciando inediti i fotogrammi più crudi.

6P: una catena mobile delle prove

La CATENA 6P DELLE PROVE MOBILI comincia prima di premere «registra» e termina dopo la pubblicazione. Per materiale a basso rischio, i passaggi possono essere leggeri. Per guerre, violenza, accuse gravi o fonti protette, richiedono un flusso di lavoro rigoroso e una persona esplicitamente incaricata di decidere.

1. Preparare e proteggere. Prima di registrare, valutare i rischi per il reporter, il soggetto, la fonte e le persone sullo sfondo. Controllare l’orologio del dispositivo, le impostazioni di localizzazione e le funzioni di miglioramento automatico. Chiedere il consenso quando è possibile ed eticamente necessario. In un’emergenza, la sicurezza umana viene prima dell’inquadratura perfetta. Il controllo è superato quando il reporter sa descrivere le circostanze della registrazione e ha scelto consapevolmente quali dati acquisire.

2. Preservare l’originale. Mettere immediatamente al sicuro il file non modificato. Non montare mai l’unica copia. Conservare i metadati disponibili e creare un checksum o una credenziale quando il flusso di lavoro lo consente. Un checksum è un’impronta digitale: può mostrare che una versione non è cambiata, non che la scena fosse vera. Il controllo è superato quando la redazione sa identificare la versione sorgente e controllarne l’accesso.

3. Passarlo in modo controllato. Usare un canale di trasferimento che non distrugga in silenzio la qualità o i metadati. Registrare chi ha ricevuto quale versione e quando. Se la sicurezza richiede di rimuovere dati prima del trasferimento, documentare la decisione e conservare separatamente l’originale

protetto. Il controllo è superato quando non esiste un salto magico tra il telefono del testimone e il server della redazione.

4. Processare una copia. Montare, trascrivere, stabilizzare e correggere una copia di lavoro. Registrare gli strumenti e gli elementi utilizzati. Per la riduzione del rumore assistita dall’AI, la generazione di fotogrammi, la traduzione della voce o la rimozione di oggetti, documentare l’estensione e lo scopo dell’intervento. Il controllo è superato quando la versione pubblicata può essere confrontata con l’originale e ogni modifica sostanziale ha un autore responsabile.

5. Pubblicare le modifiche. Il pubblico non ha bisogno del diario di ogni clic. Deve però conoscere le modifiche capaci di influenzare l’interpretazione: un ritaglio che elimina il contesto, inquadrature unite, suono ricostruito, velocità alterata, riempimento generativo o anonimizzazione. Il controllo è superato quando uno spettatore ragionevole non dedurrà dalla forma del materiale qualcosa che il metodo di produzione contraddice.

6. Presentare la provenienza. Allegare una sintesi leggibile: la fonte o una descrizione sicura, il tempo e il luogo con un livello di precisione appropriato, i passaggi principali della verifica, le modifiche rilevanti e un canale per le correzioni. Se sono disponibili le Content Credentials, renderle ispezionabili spiegandone i limiti. Il controllo è superato quando la redazione può ricostruire il percorso della risorsa senza ricostruire una strada verso la persona protetta.

Il test finale è volutamente umano: la storia è abbastanza completa da difendere la pubblicazione e abbastanza contenuta da non danneggiare la fonte? Il flusso di lavoro fallisce se protegge perfettamente il file ma espone la persona che lo ha reso possibile.

Che cosa la catena non può trasportare

Le 6P non trasformeranno un materiale debole in una prova forte. Una storia perfetta del file non può fornire il contesto esterno all’inquadratura. Non può stabilire l’intenzione di una persona visibile, mostrare che cosa sia accaduto un minuto prima o sostituire una fonte indipendente. La provenienza risponde a «da dove viene e che cosa gli abbiamo fatto?». Non risponde a ogni domanda sul mondo.

Nemmeno gli standard sono universali. Le credenziali possono scomparire durante l’esportazione o la pubblicazione, e il pubblico potrebbe non avere gli strumenti per esaminarle. Un attore malevolo può firmare dichiarazioni ingannevoli. Un sistema di fiducia dipende da emittenti responsabili, chiavi

protette, software aggiornato e utenti informati. Nessuna icona dovrebbe funzionare come un sacramento della verità.

La procedura costa anche tempo e denaro. Un freelance sul campo non dispone dell’infrastruttura di una grande emittente. Le organizzazioni devono quindi fornire archiviazione sicura, strumenti semplici, formazione e una persona reperibile in grado di decidere. «Il reporter dovrebbe stare attento» non è una policy di sicurezza. È un modo per trasferire il rischio istituzionale sull’anello più debole.

In alcuni casi, materiale con una catena incompleta dovrà comunque essere pubblicato con urgenza. Una redazione responsabile dichiarerà allora che cosa ha verificato, che cosa resta da confermare e perché la pubblicazione serva, nonostante tutto, l’interesse pubblico. Un’incertezza dichiarata è più solida di un linguaggio sicuro appoggiato su un file fragile.

Infine, la provenienza può essere usata come un’arma. Attori in malafede possono pretendere credenziali impossibili per ogni immagine scomoda e liquidare filmati storici, civici o prodotti con poche risorse perché ne sono privi. La presunzione corretta non è «credenziale uguale verità» né «assenza di credenziale uguale falsità». La provenienza modifica le prove disponibili; persone responsabili devono interpretarle.

Il pixel ha bisogno di un testimone; il testimone ha bisogno di protezione

La fine della fiducia ingenua nel pixel non deve inaugurare un’epoca in cui non si crede più a nulla. Sarebbe la vittoria dei manipolatori: ogni scena compromettente potrebbe essere liquidata con un «probabilmente è AI». L’alternativa è passare dalla fiducia automatica a una storia ispezionabile.

Il MoJo ha un ruolo particolare perché il telefono è vicino sia all’evento sia alla persona. Può creare una testimonianza prima dell’arrivo di una troupe professionale. Questo potere richiede un mestiere nuovo: gli originali non devono evaporare, il montaggio non deve cancellare il percorso e la provenienza non deve tradire la fonte.

La prova deve viaggiare con l’immagine, ma mai da sola. Con essa viaggiano il reporter, il testimone, il contesto e la responsabilità editoriale. Un manifest tecnico può registrare il percorso di un file. Soltanto gli esseri umani possono spiegare perché abbia cominciato il viaggio, quali diritti debba servire e dove debba essere fermato.