Verifica indipendente: perché un verdetto che nessuno può ricontrollare non è una prova

Aggiornato il 7 settembre 2026

La verifica indipendente della prova digitale è il criterio che separa una prova da un’opinione: un esito conta solo se un terzo, che non ha ragione di fidarsi di nessuna delle due parti, può ripercorrere gli stessi passaggi e arrivare da solo allo stesso risultato. Senza quel controllo resta una dichiarazione da accettare sulla parola, e in contraddittorio tecnico una dichiarazione si contesta senza fatica. Anche il diritto lo presuppone. Per togliere efficacia probatoria a una riproduzione informatica non basta contestarla genericamente: il disconoscimento deve essere chiaro, circostanziato ed esplicito (Cassazione, Sezioni Unite, sentenza 11197/2023), e per esserlo occorre avere qualcosa da esaminare. Il contesto è noto: nel Threat Landscape 2025 l’ENISA ha analizzato 4.875 incidenti fra luglio 2024 e giugno 2025 e ha rilevato che oltre l’80% delle campagne di phishing su scala globale ricorre a contenuti generati o potenziati dall’intelligenza artificiale. Un file o uno screenshot non portano più con sé alcuna presunzione di autenticità.

La reazione più diffusa consiste nell’affidarsi a strumenti che, dato un contenuto già esistente, restituiscono un verdetto sintetico. Chi lo riceve non sa come sia stato ottenuto e chi vuole contestarlo non ha nulla da esaminare. La domanda utile è un’altra: non quanto sia bravo il verificatore, bensì se il suo esito possa essere ricalcolato da qualcun altro.

Perché una verifica che si può solo credere sposta la fiducia invece di fondarla

Una verifica che non si può ripetere non elimina il dubbio sul documento: lo trasferisce su chi ha emesso il verdetto. La controparte, e poi il giudice, si trovano a scegliere a chi credere fra due soggetti, mentre una prova dovrebbe servire proprio a evitare quella scelta.

Il limite è già stato misurato. Una ricerca pubblicata nel 2026 sull’International Journal for Educational Integrity ha valutato gli strumenti che dichiarano se un testo sia stato generato dall’intelligenza artificiale e ha rilevato un’accuratezza complessiva del 69% e del 61% sui due principali, con prestazioni prossime a zero sui testi scritti a quattro mani fra persona e macchina e falsi positivi sistematici a carico degli autori non madrelingua. Al di là della percentuale di errore, che pure è alta, il problema è che nessuno di quegli esiti espone il procedimento che lo ha prodotto. Chi lo riceve può soltanto accettarlo o rifiutarlo in blocco, e la parte danneggiata non ha alcun elemento su cui esercitare una critica puntuale. Un risultato così orienta al più una decisione interna: in un procedimento conta la verifica indipendente, non l’autorevolezza di chi firma il referto.

Dal fidarsi del documento al fidarsi di chi lo esamina

Chi commissiona un’analisi crede di risolvere un dubbio sull’autenticità di un contenuto, mentre lo sta sostituendo con un dubbio sulla terzietà di chi lo esamina. Il documento esce di scena e al suo posto entra la reputazione del laboratorio, processualmente assai più fragile: si attacca con un consulente di parte o una domanda sul metodo.

Chi verifica il verificatore

La domanda sembra provocatoria ed è invece la prima che un avvocato avversario formula. Se la risposta è che occorre fidarsi, la catena non si chiude mai. Per interromperla non serve un altro soggetto autorevole in cima, serve un esito che chiunque possa ricalcolare, compresa la parte che ha interesse a smentirlo.

Cosa distingue un’opinione tecnica da una prova ricontrollabile

La differenza sta in un punto solo: l’opinione tecnica comunica un risultato, la prova ricontrollabile consegna anche gli elementi con cui rifarlo. Nel primo caso arriva una conclusione, nel secondo un oggetto su cui operare, ed è solo il secondo a rendere possibile una verifica indipendente.

I tre requisiti che rendono un esito ricalcolabile da un terzo

La verifica indipendente diventa possibile quando ricorrono tre condizioni, tutte da guardare dal punto di vista di chi controlla e non di chi certifica. La prima riguarda l’oggetto: serve esattamente il contenuto su cui l’esito è stato calcolato, perché su una copia rielaborata non c’è nulla da ricontrollare. La seconda riguarda il metodo, che deve essere dichiarato e ripetibile con strumenti standard, tipicamente il ricalcolo di un’impronta crittografica: un algoritmo proprietario non è verificabile. La terza riguarda il riferimento esterno, perché data e integrità devono poggiare su qualcosa che non appartiene a nessuna delle parti. Il Regolamento (UE) 910/2014 attribuisce alla marca temporale elettronica qualificata e al sigillo elettronico qualificato la presunzione di accuratezza della data e dell’ora e di integrità dei dati, e l’art. 20 comma 3 del Codice dell’Amministrazione Digitale rende quella data opponibile ai terzi.

La marca temporale e il suo valore legale e la catena di custodia documentata contano, del resto, solo se restano leggibili da chi non ha partecipato all’acquisizione.

Verifica opaca e verifica ricontrollabile a confronto

Sul piano probatorio le conseguenze sono precise: le riproduzioni informatiche formano piena prova dei fatti che rappresentano se colui contro il quale sono prodotte non ne disconosce la conformità, secondo l’art. 2712 del Codice Civile. Un disconoscimento tempestivo e circostanziato fa venire meno quell’efficacia probatoria, come ricostruito nell’analisi dell’art. 2712 c.c. applicato alla prova digitale e nel meccanismo del disconoscimento.

Che cosa chiede il giudice quando la controparte contesta

Contestata la conformità, la discussione diventa procedurale: non si tratta più di stabilire se il contenuto sia autentico in astratto, bensì se il modo in cui è stato acquisito e conservato consenta una verifica indipendente da parte di un terzo. Le domande sono operative: da dove proviene il file, chi lo ha acquisito, in che momento, quali passaggi ha attraversato prima del deposito.

Il contraddittorio tecnico si svolge fra consulenti, e una perizia informatica forense si contesta con assai meno fatica di un calcolo. Chi riceve un pacchetto verificabile può soltanto rifare il controllo e prenderne atto, mentre davanti a conclusioni prive degli elementi per riprodurle ha un bersaglio ampio. Le contestazioni più efficaci colpiscono l’acquisizione e l’intervallo fra il fatto e il deposito, dove spesso manca una conservazione delle prove digitali documentata fino all’udienza.

Come si controlla una verifica senza dover credere a chi la firma

Piattaforme come TrueScreen, la Data Authenticity Platform, producono un artefatto che il destinatario può ricontrollare per conto proprio, senza passare da chi lo ha generato. L’impostazione è opposta all’analisi a posteriori: il contenuto viene acquisito e sigillato nel momento stesso della cattura, e ne esce un pacchetto di certificazione che contiene l’impronta crittografica del contenuto, la marca temporale qualificata e la catena di custodia, con sigillo elettronico apposto da un QTSP terzo integrato via API. Nessuno di questi elementi richiede fiducia nella piattaforma: l’impronta si ricalcola con strumenti standard, la marca temporale rimanda a un prestatore qualificato di cui chiunque può controllare lo stato sulla EU Trusted List, la catena di custodia dichiara chi ha fatto cosa e quando. In questo consiste, in pratica, la verificabilità indipendente: a chi riceve il materiale non si chiede di credere a un verdetto, si chiede di rifare un calcolo.

Dietro c’è una scelta di metodo che precede la tecnologia, cioè garantire l’autenticità alla fonte invece di inseguire il falso a posteriori.

Il validatore pubblico che gira nel browser di chi verifica

TrueScreen mette online una pagina di verifica delle certificazioni che gira nel browser di chi controlla: il file non viene caricato su alcun server e non serve un account. La pagina dichiara gli standard applicati e, cosa non meno rilevante in un contraddittorio, anche ciò che non verifica.

L’utilità della verifica indipendente si vede nello scenario peggiore, quando il consulente della controparte apre il validatore nel proprio browser, ricalcola l’impronta del file e riscontra la marca temporale, ottenendo lo stesso risultato del giudice. Se il contenuto fosse stato alterato anche di un solo bit, l’impronta non corrisponderebbe.

Due situazioni in cui la ricontrollabilità decide l’esito

Il documento contestato in giudizio

Una società deposita alcuni screenshot di una conversazione e la controparte ne disconosce la conformità. Se erano immagini salvate su un telefono, segue una consulenza tecnica costosa e incerta, che discuterà del metodo più che del contenuto. Se invece erano stati acquisiti con una procedura che ne ha fissato impronta e momento, il consulente avversario ricalcola e la contestazione si spegne subito.

Il fornitore che consegna un contenuto certificato al cliente

Le organizzazioni usano TrueScreen per consegnare al cliente un contenuto la cui integrità il cliente stesso può ricalcolare, invece di doverla accettare sulla fiducia. Vale per un verbale di sopralluogo, per la documentazione fotografica di uno stato di fatto, per una registrazione che servirà mesi dopo. Senza quel requisito la conseguenza è nota: secondo l’orientamento consolidato della Cassazione una riproduzione informatica disconosciuta perde la piena prova e scende al rango di elemento che il giudice valuta liberamente insieme al resto. Un contenuto che nasce con impronta crittografica, riferimento temporale e catena di custodia leggibili dal destinatario non arriva a quel punto, perché la conformità si riscontra invece di discuterla, e la verifica indipendente resta praticabile anche a distanza di anni. Quando il rapporto si incrina, il fornitore non difende la propria parola: indica dove rifare il controllo.

FAQ: le domande più frequenti sulla verifica indipendente

Che cosa significa che una prova digitale è verificabile in modo indipendente?
+

Significa che un soggetto estraneo alle parti può ripetere il controllo con strumenti propri e ottenere lo stesso risultato, senza chiedere nulla a chi ha prodotto la certificazione. Ricalcola l’impronta crittografica del file, la confronta con quella dichiarata e riscontra la marca temporale presso il prestatore qualificato.

Chi controlla chi ha verificato un contenuto digitale?
+

Nessuna autorità controlla in via ordinaria i singoli verificatori, e per questo la verifica indipendente non si delega a un organo di vigilanza: si incorpora nell’esito, che deve restare ricalcolabile da chiunque. La fiducia poggia su elementi esterni alle parti: il Regolamento (UE) 910/2014 attribuisce alla marca temporale elettronica qualificata e al sigillo elettronico qualificato la presunzione di accuratezza della data e di integrità dei dati.

Un verdetto di autenticità prodotto da uno strumento automatico è una prova?
+

No, resta un’opinione tecnica finché non è ricontrollabile. Una ricerca del 2026 sull’International Journal for Educational Integrity ha misurato l’accuratezza dei principali strumenti che dichiarano se un testo sia generato dall’intelligenza artificiale al 69% e al 61%, con risultati prossimi a zero sui testi ibridi.

Un documento informatico non sottoscritto ha valore probatorio?
+

Sì, ma condizionato. L’art. 2712 del Codice Civile stabilisce che le riproduzioni informatiche formano piena prova dei fatti che rappresentano se colui contro il quale sono prodotte non ne disconosce la conformità. Il disconoscimento tempestivo e circostanziato fa venire meno quell’efficacia e degrada il documento a elemento indiziario.

Come si ricontrolla una certificazione senza fidarsi di chi l’ha emessa?
+

TrueScreen mette a disposizione un validatore pubblico che gira nel browser di chi verifica: nessun account, nessuna chiamata al fornitore, nessun file caricato su un server. Chi riceve il pacchetto ricalcola l’impronta del contenuto e riscontra il riferimento temporale presso il prestatore qualificato che lo ha rilasciato.