Che cos'è C2PA? Content Credentials: funzionamento, servizi compatibili, verifica e differenze con il watermark

Quella foto vista online è stata davvero scattata con una fotocamera, oppure è stata creata o modificata con l'IA? C2PA cerca di rispondere a questa domanda con una «registrazione di come è stata creata». Queste informazioni accompagnano ormai le immagini create con ChatGPT e le foto scattate con un Google Pixel, e i social iniziano a mostrarle come etichetta. In questo articolo vediamo come funziona C2PA, quali servizi lo supportano, come verificarlo, i suoi limiti e le differenze con le filigrane digitali (watermark) come SynthID, sulla base delle informazioni ufficiali aggiornate al 9 ottobre 2026.

Che cos'è C2PA

C2PA (Coalition for Content Provenance and Authenticity) è il nome sia di un'organizzazione che elabora standard tecnici per indicare la provenienza (da dove arriva) e l'autenticità dei contenuti digitali, sia dello standard stesso. È stata fondata a febbraio 2021 da Adobe, Arm, BBC, Intel, Microsoft e Truepic.

Le informazioni di provenienza aggiunte secondo lo standard C2PA sono comunemente chiamate Content Credentials (credenziali dei contenuti). Come l'elenco degli ingredienti di un alimento, permettono di verificare «quando, da chi e con quale strumento un contenuto è stato creato e come è stato modificato».

A ottobre 2026 il comitato direttivo di C2PA conta 11 aziende: Adobe, Amazon, BBC, Google, Meta, Microsoft, OpenAI, Publicis Groupe, Sony, TikTok e Truepic. Tra i membri ordinari figurano anche aziende e organizzazioni giapponesi come Canon, Nikon, Fujifilm, NHK e NTT Docomo.

Il rapporto tra C2PA e CAI

Un nome che compare spesso accanto a C2PA è CAI (Content Authenticity Initiative). La CAI è un'iniziativa avviata da Adobe nel 2019: fornisce strumenti open source per implementare lo standard C2PA e ne promuove la diffusione. La divisione dei ruoli è questa: C2PA è «l'organizzazione che crea lo standard», la CAI «quella che lo diffonde».

Come funziona: una «registrazione della provenienza» firmata allegata al file

Con C2PA si allega al contenuto una registrazione della provenienza chiamata manifest. Il manifest contiene informazioni come le seguenti.

Asserzioni: singole informazioni come le operazioni di creazione e modifica, gli strumenti o l'IA utilizzati, la fotocamera con cui è stata scattata la foto
Claim: raggruppa le asserzioni e porta la firma elettronica del creatore (l'emittente)
Hash del contenuto: un valore calcolato dal contenuto del file. Se il contenuto viene alterato non corrisponde più, quindi permette di accorgersi delle manomissioni

Poiché la firma elettronica usa un certificato, è possibile verificare chi ha aggiunto la registrazione. A ogni nuova modifica si aggiunge una nuova registrazione che eredita il manifest precedente, così da poter ricostruire la cronologia delle modifiche.

Se i metadati vanno persi

Poiché il manifest è salvato come informazione aggiuntiva del file, può andare perso con uno screenshot o un nuovo salvataggio. Per compensare questo punto debole, lo standard C2PA prevede anche un meccanismo (Durable Content Credentials) che permette di ritrovare un manifest archiviato a partire da una filigrana digitale o da un'impronta digitale (caratteristiche calcolate dal contenuto).

L'ultima versione dello standard

La versione 2.4 dello standard, pubblicata ad aprile 2026, ha aggiunto campi dedicati per indicare l'uso dell'IA e ha reso possibile incorporare la provenienza anche in testi come documenti HTML o Markdown. Inoltre, dal 2025 è attivo un programma di conformità che certifica i prodotti che supportano correttamente lo standard.

Principali adozioni

Queste sono le principali adozioni confermate dalle informazioni ufficiali delle singole aziende.

OpenAI: aggiunge le Content Credentials alle immagini generate con ChatGPT e altri prodotti. In immagini e audio inserisce anche il watermark SynthID di Google.
Google: aggiunge le Content Credentials a tutte le foto JPEG scattate con la fotocamera del Pixel 10, verificabili in Google Foto. Anche la funzione «Informazioni su questa immagine» della Ricerca sfrutta le informazioni C2PA. Su YouTube i video girati con una fotocamera e non modificati mostrano l'etichetta «Captured with a camera» (ripreso con una fotocamera).
Microsoft: aggiunge automaticamente le Content Credentials a tutte le immagini generate con Azure OpenAI.
Adobe: offre l'app «Adobe Content Authenticity» e un'estensione per Chrome con cui aggiungere e verificare le Content Credentials.
Social: LinkedIn mostra un'icona su immagini e video con informazioni C2PA. TikTok e Meta (Facebook, Instagram e Threads) leggono le informazioni C2PA ed etichettano anche i contenuti generati con l'IA in altri servizi.
Fotocamere e smartphone: la Leica M11-P è stata presentata nel 2023 come la prima fotocamera con Content Credentials integrate. La serie Galaxy S25 di Samsung aggiunge le Content Credentials alle immagini modificate con l'IA.
Infrastruttura di distribuzione: Cloudflare offre una funzione che conserva le Content Credentials durante la trasformazione delle immagini.

Come verificare le informazioni C2PA

Per sapere se un file contiene informazioni C2PA si possono usare questi metodi.

Sito Verify: caricando un'immagine o un altro file sul sito di verifica della CAI (contentcredentials.org/verify) viene mostrata la registrazione della provenienza.
Estensione del browser: con l'estensione di Adobe per Chrome si possono verificare le informazioni delle immagini di una pagina web.
Indicazioni dei singoli servizi: si possono vedere nei dettagli di Google Foto, in «Informazioni su questa immagine» della Ricerca, nell'icona «CR» di LinkedIn e nelle etichette IA di Meta e TikTok.
Strumento di verifica di OpenAI: su openai.com/verify si può verificare se un'immagine o un audio proviene da OpenAI.

Limiti e avvertenze di C2PA

C2PA è un meccanismo potente, ma presenta i seguenti limiti.

Le informazioni si perdono facilmente: facendo uno screenshot o convertendo un file, le informazioni di provenienza possono andare perse. Molti servizi rimuovono le informazioni aggiuntive al momento del caricamento.
Nessuna informazione non significa falso: l'adozione di C2PA è facoltativa. Anche YouTube precisa che l'assenza di etichetta non significa che il contenuto sia stato alterato.
Non garantisce la veridicità: C2PA mostra la provenienza, cioè «chi dichiara di averlo creato e come». Non indica se il contenuto in sé sia corretto.
Possono esserci difetti di implementazione: secondo quanto riportato dalla stampa, nel 2025 su alcune fotocamere Nikon è stato scoperto un problema che permetteva di firmare immagini diverse da quelle realmente scattate, e il servizio collegato è stato sospeso.
La diffusione è ancora a metà strada: i prodotti certificati dal programma di conformità sono ancora solo una parte.

Differenze con il watermark (filigrana digitale)

Oltre a C2PA, un altro modo per indicare la provenienza dei contenuti IA è la filigrana digitale (watermark), come SynthID di Google.

C2PA: una registrazione firmata allegata al file. Permette di conoscere in dettaglio il percorso dalla creazione alla modifica, ma va persa se le informazioni aggiuntive vengono cancellate
Filigrana digitale: un segnale invisibile incorporato nei pixel di un'immagine o nella forma d'onda di un audio. Tende a restare anche se le informazioni aggiuntive vengono cancellate, ma indica poco più che «creato o no con un'IA compatibile»

Le due cose si completano a vicenda, e OpenAI e Google le combinano. Approfondiamo la filigrana digitale in «Che cos'è SynthID?» e le differenze tra i vari metodi in «Confronto tra watermark IA (filigrane digitali)».

Le novità normative

Anche le norme che impongono di segnalare i contenuti creati con l'IA spingono la diffusione di C2PA.

UE: l'articolo 50 dell'AI Act obbliga i fornitori di IA generativa a indicare i propri output in modo che siano riconoscibili automaticamente come creati con l'IA. L'articolo 50 si applica dal 2 agosto 2026. Tuttavia, la modifica dell'AI Act del 2026 (Digital Omnibus) concede, solo ai sistemi di IA immessi sul mercato prima di tale data, una proroga fino al 2 dicembre 2026 per l'obbligo di marcatura leggibile automaticamente. Il codice di condotta che ne precisa le modalità è stato definito a giugno 2026.
California (Stati Uniti): la legge sulla trasparenza dell'IA (SB 942) ha spostato la data di entrata in vigore al 2 agosto 2026 con una legge di modifica del 2025 (AB 853). Impone ai grandi fornitori di IA generativa di incorporare indicazioni invisibili in immagini, video e audio e di offrire uno strumento di verifica gratuito.
Giappone: in Giappone sono in corso, con la partecipazione di testate giornalistiche e altre organizzazioni, le sperimentazioni di «Originator Profile (OP)», una tecnologia che permette di verificare chi pubblica un sito web o un contenuto.

In sintesi

C2PA è uno standard internazionale che conserva nel file, come registrazione firmata, il percorso di un contenuto dalla creazione alle modifiche. L'hanno adottato grandi aziende come OpenAI, Google, Microsoft e Adobe, e si sta diffondendo a fotocamere e social.

Tuttavia le informazioni possono andare perse, e la loro assenza non dimostra che un contenuto sia falso. La soluzione più realistica è usare le indicazioni C2PA come uno degli indizi, insieme alla verifica delle filigrane digitali e della provenienza.