Content Credentials C2PA spiegati: cosa sono e come verificarli

Man mano che le immagini generate dall’IA diventano più difficili da distinguere dalle fotografie, l’industria tecnologica ha scelto una risposta comune alla domanda “da dove viene questa immagine?”. Si chiama C2PA, e forse hai già visto la piccola icona “CR” delle Content Credentials su qualche immagine.

Questa guida spiega cos’è C2PA, cosa contiene, chi lo aggiunge, come verificare se un file lo contiene e cosa non può fare.

Cos’è C2PA

C2PA sta per Coalition for Content Provenance and Authenticity, un gruppo di settore fondato nel 2021 da aziende come Adobe, Microsoft, Intel e la BBC, a cui si sono poi uniti Google, OpenAI, Meta, Sony, Samsung e molti altri. La coalizione pubblica uno standard tecnico aperto per registrare la provenienza dei media digitali: come un contenuto è stato creato e modificato.

Content Credentials è il nome rivolto al pubblico dei dati C2PA, promosso dalla Content Authenticity Initiative (CAI) guidata da Adobe.

Cosa contiene un manifesto C2PA

I dati C2PA sono salvati come manifesto all’interno del file. Un manifesto contiene in genere:

• Generatore della dichiarazione (claim generator): l’app o il dispositivo che ha creato il registro, ad esempio un modello di fotocamera, un’app di fotoritocco o un servizio di immagini IA.
• Azioni: cosa è stato fatto al contenuto (creato, aperto, modificato, ritagliato, inserito) e se è stato usato uno strumento di IA generativa.
• Tipo di fonte digitale: ad esempio, che il contenuto è stato creato da un algoritmo addestrato (IA).
• Ingredienti: versioni precedenti o altri file combinati in questo, ognuno con la propria cronologia.
• Hash: un’impronta dei dati dell’immagine, per rilevare qualsiasi modifica dopo la firma.
• Firma: una firma crittografica con il certificato del firmatario, che dimostra quale organizzazione o dispositivo ha fatto la dichiarazione e che il manifesto non è stato alterato.

Nei file JPEG il manifesto si trova in segmenti APP11 con un formato contenitore chiamato JUMBF. I PNG lo salvano in un blocco caBX, i WebP in un blocco C2PA.

Chi aggiunge C2PA alle immagini

Generatori di immagini IA

Diversi grandi servizi di IA allegano Content Credentials alle immagini che producono, tra cui gli strumenti per immagini di OpenAI e Adobe Firefly. Altri registrano l’uso dell’IA tramite campi IPTC o filigrane invisibili; Google, ad esempio, usa le filigrane SynthID oltre ai metadati.

Fotocamere e smartphone

• Google Pixel 10 (2025) firma per impostazione predefinita le foto con Content Credentials al momento dello scatto.
• Samsung Galaxy S25 aggiunge le credenziali alle immagini create o modificate con le sue funzioni di IA generativa.
• Produttori come Leica, Nikon, Canon, Sony, Fujifilm e Panasonic hanno lanciato fotocamere compatibili con C2PA, pensate soprattutto per i fotoreporter.

Software di fotoritocco

Adobe Photoshop e Lightroom possono allegare Content Credentials, e l’uso di funzioni generative può registrare l’intervento dell’IA.

Quali piattaforme lo mostrano

• LinkedIn mostra un’icona Content Credentials sulle immagini che le contengono; con un clic appare un riepilogo.
• TikTok ha usato le Content Credentials per aiutare a etichettare i contenuti generati dall’IA.
• Meta (Instagram, Facebook, Threads) legge i segnali C2PA e IPTC per la sua etichetta “Info IA”: vedi perché Instagram mostra “Info IA” su foto reali.
• Alcune redazioni e agenzie fotografiche lo usano per verificare le immagini.

Come verificare se un’immagine contiene C2PA

1. Apri l’immagine nel visualizzatore di metadati di TraceWipe.
2. Se è presente C2PA, in alto nel report compare “C2PA Content Credentials” nel riquadro delle tracce di IA, e il gruppo Blocchi di dati incorporati elenca il blocco JUMBF/C2PA e la sua dimensione.
3. Quando è leggibile, il visualizzatore mostra anche il testo del generatore della dichiarazione (ad esempio il nome del servizio IA).

Per verificare crittograficamente un manifesto, cioè controllare la firma e il certificato del firmatario, usa lo strumento ufficiale Verify della CAI su contentcredentials.org/verify.

I limiti di C2PA

C2PA è utile, ma non è un rilevatore di IA e, nella pratica, non è a prova di manomissione:

• Registra ciò che è stato dichiarato, non ciò che è vero. Un manifesto riporta ciò che lo strumento firmatario ha comunicato. Non analizza i pixel.
• È facile da rimuovere. Come altri metadati, il manifesto si elimina risalvando, facendo uno screenshot o usando un rimuovi-metadati. Molti sistemi di caricamento lo eliminano a loro volta. Per questo il settore lavora a credenziali “durevoli” che combinano manifesti, filigrane e impronte.
• L’assenza di credenziali non dimostra nulla. La maggior parte delle immagini in circolazione non ha dati C2PA, quindi la loro assenza non significa che un’immagine sia vera o falsa.
• L’adozione è ancora agli inizi. Report di settore del 2026 stimano che solo una piccola parte delle immagini giornalistiche pubblicate contenga dati C2PA.
• Può etichettare troppo. Un piccolo ritocco assistito dall’IA può produrre lo stesso segnale “IA usata” di un’immagine interamente generata.

Conviene tenere o rimuovere C2PA?

Tienilo quando la provenienza ti è utile: sei un fotografo che vuole dimostrare l’autenticità di un’immagine, una redazione che documenta le modifiche o un creator che vuole essere trasparente sull’uso dell’IA.

Rimuovilo quando rivela più del necessario o travisa una foto autentica, ad esempio una foto reale segnalata per un piccolo ritocco con l’IA. I manifesti possono includere anche dettagli su dispositivo, software e passaggi di modifica. Il rimuovi-metadati di TraceWipe elimina i blocchi C2PA insieme a EXIF, XMP e IPTC, senza ricomprimere le immagini JPEG, PNG o WebP.

Se un’immagine è in gran parte generata dall’IA, dichiaralo quando la condividi: le regole delle piattaforme e leggi come l’AI Act europeo lo richiedono sempre più.

Domande frequenti

C2PA è la stessa cosa di una filigrana?

No. C2PA sono metadati allegati al file. Una filigrana (visibile o invisibile, come SynthID) fa parte dei pixel dell’immagine. Rimuovere i metadati non rimuove una filigrana.

Rimuovere C2PA danneggia l’immagine?

No. Il manifesto è un blocco separato nel file. Rimuoverlo correttamente lascia intatti i dati dell’immagine.

C2PA si può falsificare?

La firma rende molto difficile modificare di nascosto un manifesto firmato, ma un manifesto è affidabile quanto il certificato che lo ha firmato, ed eliminarlo del tutto è facile.