Il "data poisoning" nella musica: gli artisti possono proteggere le loro opere dall'IA?

Partiamo col dire che il data poisoning è un grave problema di sicurezza informatica, soprattutto in settori come la sanità, i veicoli a guida autonoma e la finanza. In generale, si definisce come un attacco ostile in cui qualcuno manipola o corrompe i dati di addestramento usati per sviluppare modelli di intelligenza artificiale (IA) e di machine learning (ML).

I moderni sistemi di IA – inclusi le reti neurali, i modelli linguistici di grandi dimensioni (LLM) e altri modelli di deep learning – dipendono fortemente dalla qualità e dall’integrità dei propri dati di addestramento. Per molti versi, sono proprio quei dati a determinare cosa sa un modello, come si comporta e quanto sono accurati i suoi risultati. I dati di addestramento possono provenire da diverse fonti, tra cui Internet, banche dati governative e fornitori di dati di terze parti.

Il data poisoning funziona alterando o manipolando questi dati di addestramento prima o durante la fase di apprendimento del modello (a differenza del “prompt injection”, che è una minaccia temporanea che prende di mira un’IA dopo che è già stata addestrata). Inserendo informazioni errate, fuorvianti o di parte nel set di dati di addestramento, un hacker può influenzare il modo in cui il modello apprende. A seconda dell’attacco, questo può indurre l’IA a produrre risultati imprecisi, a sviluppare pregiudizi nascosti o addirittura a comportarsi in modi che avvantaggiano l’autore dell’attacco.

È importante rendersi conto che i modelli di IA non “capiscono” le informazioni allo stesso modo degli esseri umani. Piuttosto, identificano schemi ricorrenti all’interno di enormi set di dati. Se durante l’addestramento vengono introdotti abbastanza esempi fuorvianti o accuratamente costruiti, questi schemi possono cambiare, portando il modello ad apprendere in modo permanente relazioni errate e a commettere errori ricorrenti.

L’avvelenamento dei dati può assumere diverse forme. Anche se le tecniche alla base possono essere molto complesse, gli approcci più comuni sono relativamente facili da capire:

• Manipolazione delle etichette: modificare le etichette associate ai dati di addestramento in modo che il modello impari associazioni errate (ad esempio, etichettare la foto di un gatto come “cane”).

• Inserimento e cancellazione di dati: aggiungere esempi fuorvianti a un set di dati o rimuovere informazioni importanti in modo che l’IA sviluppi conoscenze distorte o incomplete.

• Inserimento di backdoor (trojan): incorporare trigger nascosti – come parole specifiche, schemi visivi o token – che fanno sì che il modello si comporti normalmente finché non compare il trigger, provocando una risposta specifica (e non voluta).

• Attacco «clean-label»: alterare i dati di addestramento in modi quasi impossibili da rilevare. Gli esempi sembrano ancora etichettati correttamente agli occhi umani, ma sottili modifiche possono influenzare il comportamento dell’IA dopo l’addestramento.

Negli ultimi anni, il data poisoning è andato oltre la sicurezza informatica tradizionale per arrivare alle industrie creative. Ha preso piede inizialmente come atto di autodifesa digitale, soprattutto nei campi del design e delle arti visive.

Artisti, fotografi, designer, illustratori e altri creativi hanno iniziato ad adottare queste tecniche in risposta alle grandi aziende tecnologiche che "scrapavano" i loro portfolio – spesso senza consenso né compenso – per addestrare i propri modelli di IA generativa.

Ben presto sono stati sviluppati strumenti e software specializzati per aiutare gli artisti a rendere le loro opere inutilizzabili dall’IA. Ad esempio, l’Università di Chicago ha creato strumenti come Glaze, che applica un “mantello stilistico” alle opere d’arte per nascondere lo stile personale dell’artista, e Nightshade, che altera sottilmente i pixel per manipolare i dati di addestramento, facendo sì che i modelli di IA imparino associazioni errate o etichettino male i contenuti.

Molti creatori vedono questi strumenti come una forma di disobbedienza civile non violenta volta a proteggere la loro proprietà intellettuale. L’obiettivo finale è rendere l’uso non autorizzato delle loro opere per l’addestramento dell’IA meno vantaggioso – e, soprattutto, non redditizio – per queste grandi aziende. Ecco perché molti artisti ora integrano questi strumenti nelle loro immagini di copertina prima di renderle pubbliche sui social media, sui siti di portfolio o sui siti personali, creando ostacoli per i bot di web scraping.

Nell’industria musicale, le tecniche di data poisoning pensate per proteggere la musica dall’addestramento non autorizzato delle IA sono rimaste per lo più in fase sperimentale. Anche se negli ultimi anni sono spuntati alcuni potenziali strumenti – di cui parleremo più dettagliatamente più avanti – nessuna soluzione standard del settore ha ancora raggiunto il livello di diffusione che si vede nella protezione delle immagini.

Ci sono diverse ragioni per questo.

Prima di tutto, proteggere la musica dall’addestramento dell’IA è molto più difficile che proteggere le immagini. A differenza delle immagini, che sono oggetti singoli e statici, la musica è sequenziale e si sviluppa nel tempo. I modelli di IA per la musica devono quindi imparare diversi schemi ed elementi nell’arco di secondi o minuti di audio, tra cui ritmo, melodia, armonia, dinamica, testi, timbro e tecniche di produzione. Mentre una piccola modifica può avere un impatto minimo su un’immagine, può influenzare l’audio in modo molto diverso perché il modello analizza un segnale continuo.

Inoltre, i modelli di IA non si limitano semplicemente ad “ascoltare” le tracce come fanno gli esseri umani. A seconda del sistema, possono analizzare spettrogrammi ( rappresentazioni visive delle frequenze sonore), embedding ( rappresentazioni matematiche compresse dell’audio), testi, metadata o musica simbolica, come il MIDI. Dato che modelli diversi si concentrano su rappresentazioni musicali diverse, è molto più difficile sviluppare un singolo metodo in grado di interferire in modo affidabile con l’addestramento senza compromettere l’esperienza di ascolto.

Un’altra sfida è che non esiste un’unica architettura dominante per l’IA musicale. Nella generazione di immagini, strumenti come Nightshade possono agire su un ecosistema relativamente uniforme e ben compreso. Nel campo dell’IA musicale, invece, il panorama è molto più frammentato, con sistemi diversi addestrati per scopi diversi, tra cui la generazione musicale, la clonazione vocale, il mastering, la trascrizione e i consigli musicali. Di conseguenza, una tecnica che interferisce con un modello potrebbe avere un effetto minimo o nullo su un altro.

È anche importante notare che gli esseri umani sono molto più sensibili agli artefatti audio che alle minuscole variazioni dei pixel. Ecco perché è relativamente più facile sviluppare strumenti che alterino i pixel in modi praticamente invisibili agli esseri umani, ma che possano comunque confondere i modelli di IA. Nell’audio, anche le modifiche più piccole possono introdurre fruscii, distorsioni o altri artefatti indesiderati. La sfida sta nel trovare o introdurre forme di interferenza che l’IA noti ma che gli ascoltatori umani non percepiscano.

Infine, la spiegazione più semplice del perché esistano strumenti di protezione affidabili per l’arte visiva ma non ancora per la musica è che i ricercatori hanno semplicemente avuto più tempo per lavorarci. Il boom dell’arte generata dall’IA è iniziato prima che la musica generata dall’IA diventasse mainstream, dando a ricercatori, università e sviluppatori un vantaggio nella creazione di tecnologie di protezione. La ricerca sulla protezione audio sta crescendo, ma è ancora in ritardo rispetto a quella sulla protezione delle immagini.

Come detto prima, l’obiettivo ideale del data poisoning nei set di dati musicali è modificare i file audio in modo che continuino a suonare normali all’orecchio umano, ma allo stesso tempo confondano o danneggino i modelli di machine learning addestrati su di essi.

Questo di solito comporta l’inserimento di rumore avversario non rilevabile nei materiali dei musicisti, interrompendo il processo di apprendimento del modello e peggiorando la qualità dei suoi risultati. Nel caso più grave, il data poisoning su larga scala può persino portare a un rapido deterioramento delle capacità di un modello – un fenomeno noto come “collasso del modello”.

Per quanto riguarda i software specifici, alcuni progetti sono diventati argomenti di discussione fondamentali nel settore:

1. Poisonify

Poisonify è stato originariamente sviluppato da Benn Jordan, musicista elettronico e famoso creator di YouTube. Piuttosto che un potenziale prodotto commerciale, esiste come concetto indipendente e progetto open source.

L’obiettivo di Jordan era dimostrare che il “poison pilling” – cioè l’inserimento intenzionale di dati corrotti nei set di addestramento – è tecnicamente fattibile per l’audio, e che la matematica alla base può essere applicata con successo passando dalle immagini agli spettrogrammi audio.

2. Poison Pill

Poison Pill, recentemente chiuso, fondato dall’imprenditore Ben Bowler, ha gettato le basi per la tecnologia di avvelenamento dei dati nella musica come strumento commerciale. È stata la prima startup Software-as-a-Service (SaaS) del settore, lanciata in versione beta nell’ottobre 2025 con l’obiettivo di proteggere i musicisti indipendenti dagli scraper sistematici basati sull’IA.

Purtroppo, le sfide strutturali dell’industria musicale hanno segnato la fine della startup, e Bowler ha chiuso sia Poison Pill che la sua piattaforma musicale basata sull’IA, Aux, nell’aprile del 2026. Anche se Poison Pill doveva fungere da meccanismo di difesa anti-IA per gli artisti, la diffusa sfiducia nei confronti della tecnologia IA all’interno della Community creativa ha reso estremamente difficile costruire l’infrastruttura e le partnership necessarie.

3. HarmonyCloak e ArtyShield

Nel 2024, i team di ricerca dell’Università del Tennessee a Knoxville e della Lehigh University hanno presentato HarmonyCloak, un concetto accademico e tecnologico che altera sottilmente l’armonia e la melodia in modi impercettibili all’orecchio umano. L’obiettivo è confondere completamente i generatori di IA, rendendo la musica strumentale di fatto “impossibile da imparare” durante l’addestramento.

Da allora i ricercatori hanno convalidato l’approccio attraverso test approfonditi su modelli musicali all’avanguardia e panel di ascolto composti da persone. In seguito hanno creato diversi strumenti commerciali, tra cui MusicShield, VoiceShield e VeriTune, che nell’aprile 2026 sono stati integrati nella loro società madre, ArtyShield.

Oggi, la piattaforma web è disponibile in accesso anticipato sul sito di ArtyShield, permettendo agli artisti di iscriversi gratuitamente e usare la sua suite in continua espansione di strumenti di protezione e rilevamento dell’IA.

Anche in questo caso, sebbene questi progetti dimostrino che il data poisoning nel campo della musica sia tecnicamente fattibile, il settore è ancora in una fase molto iniziale. La maggior parte delle soluzioni disponibili rimane sperimentale e la loro efficacia a lungo termine dipenderà essenzialmente dai progressi tecnologici, ma anche da come reagiranno le aziende di IA, dall’adozione da parte degli sviluppatori di set di dati di addestramento con licenza e dall’evoluzione delle normative future.

Già all’inizio del nostro articolo abbiamo spiegato che il data poisoning è generalmente considerato una grave minaccia alla sicurezza informatica, con conseguenze potenzialmente significative. Naturalmente, questo accende un dibattito etico a livello di settore, con molti che si chiedono se il data poisoning sia morale e, forse ancora più importante, legale.

La risposta breve è sì: alterare la tua musica, in quanto artista che ne detiene la proprietà, è generalmente considerato legale. In qualità di titolare del diritto d'autore della tua opera, hai il diritto legale di modificare, distorcere, comprimere e aggiungere rumore digitale ai tuoi file prima di pubblicarli e distribuirli. Da un punto di vista legale, questo approccio è spesso visto come una soluzione tecnica alternativa o una forma di autodifesa, simile all’aggiunta di una filigrana a una foto per scoraggiare lo scraping o l’uso non autorizzato. Se un’azienda di IA possa legalmente utilizzare quell’opera per l’addestramento è una questione a parte, che continua a essere dibattuta nei tribunali di tutto il mondo.

La situazione è molto diversa se si decide di prendere di mira direttamente l’infrastruttura di un’azienda di IA o di iniettare codice dannoso nei suoi sistemi privati. In molte giurisdizioni, causare intenzionalmente danni a sistemi informatici o database protetti può costituire un reato penale ai sensi della legislazione sui crimini informatici. In questi casi, l’atto non sarebbe più considerato un atto di autodifesa, ma piuttosto un attacco informatico o un sabotaggio digitale, con ovvie implicazioni legali ed etiche.

È anche importante notare che il “data poisoning” è strettamente legato al dibattito in corso sul fair use e sull’addestramento dell’IA. Molte aziende di IA, tra cui Udio e Suno, hanno sostenuto che addestrare i propri modelli su materiali protetti dal diritto d'autore rientri nel fair use o in dottrine giuridiche simili. Tuttavia, questa posizione rimane molto controversa, soprattutto considerando che queste aziende possono trarre profitto da tale utilizzo senza compensare i creatori originali. Sembra inoltre che le leggi globali si stiano lentamente orientando a favorire fortemente i creatori rispetto alle aziende tecnologiche. Ad esempio, la legge dell’UE sull’IA richiede alle aziende di IA di essere trasparenti sui dati che raccolgono e di rispettare le opzioni di esclusione relative al diritto d'autore.

Infine, anche se "avvelenare" la tua stessa musica probabilmente non viola il diritto penale, potrebbe comunque entrare in conflitto con i termini di servizio di alcune piattaforme. Una piattaforma di streaming, ad esempio, potrebbe richiedere che i file audio caricati rispettino specifici standard tecnici o vietare file che contengano modifiche strutturali intenzionali.

Al momento, però, il “data poisoning” musicale è ancora agli albori e la maggior parte delle piattaforme di streaming e di distribuzione non ha ancora pubblicato politiche che lo affrontino in modo esplicito. Eventuali controversie rientrerebbero probabilmente nei termini di servizio più generali, a seconda di come viene utilizzata la tecnologia.

Se speravi che questo articolo diventasse una guida passo passo su come "avvelenare" i dati della tua musica, a questo punto potresti sentirti un po' deluso. Ma non perdere le speranze. Ci sono ancora diversi altri modi per proteggere il tuo lavoro dall'addestramento non autorizzato dell'IA.

Sebbene nessuno di questi approcci offra da solo una protezione completa, potrebbero rivelarsi preziosi strumenti complementari.

Il diritto d’autore rimane la colonna portante della protezione della musica. Anche se di per sé non impedisce alle aziende che si occupano di IA di utilizzare musica disponibile pubblicamente, stabilisce la titolarità e fornisce agli artisti le basi legali per contestare l’uso non autorizzato delle loro opere.

Man mano che il panorama legale relativo all’addestramento dell’IA si evolve, il diritto d’autore avrà probabilmente un ruolo sempre più importante nei futuri accordi di licenza tra titolari dei diritti e sviluppatori di IA.

Già ora, diverse aziende di IA, tra cui Suno e Udio, hanno iniziato a negoziare accordi di licenza con etichette discografiche, editori e distributori, invece di affidarsi esclusivamente a set di dati disponibili pubblicamente. Ovviamente, questi accordi non risolvono i problemi di fondo legati all’addestramento dell’IA generativa sulla musica creata dall’uomo, ma rappresentano comunque un passo importante verso un approccio più trasparente e, si spera, remunerativo all’addestramento dell’IA.

Come accennato in precedenza, alcune giurisdizioni stanno gradualmente riservando diritti agli artisti contro determinate forme di text e data mining. All’interno dell’Unione Europea, ad esempio, la legge sul diritto d’autore consente ai titolari dei diritti di opporsi all’utilizzo delle loro opere per specifici scopi di addestramento dell’IA a determinate condizioni.

Allo stesso modo, diverse organizzazioni hanno iniziato a sviluppare registri globali che permettono agli artisti di inserire il proprio nome artista, dominio e tracce audio in un elenco universale di esclusione. Tra queste ci sono Spawning.ai, HaveIBeenTrained e Kudurru. Altre piattaforme stanno aggiornando le loro politiche per dare ai creatori un maggiore controllo su come vengono utilizzati i loro contenuti.

Tutto sommato, queste misure sono ancora in fase di evoluzione e la loro efficacia dipende in gran parte da come gli sviluppatori di IA raccolgono e rispettano i dati di addestramento. Tuttavia, offrono agli artisti un ulteriore livello di protezione oltre al diritto d'autore.

A differenza del “data poisoning”, la filigranatura non cerca di confondere di nascosto i modelli di IA e di comprometterne i risultati. Il suo scopo è invece quello di incorporare informazioni uniche in un file – in questo caso, nel tuo master. Non impedisce necessariamente all’IA di estrarre dati da quel file, ma può aiutare a verificare la proprietà, rintracciare usi non autorizzati o identificare i contenuti generati dall’IA.

Metadata accurati svolgono un ruolo altrettanto importante. Assicurarti che la tua musica contenga informazioni sulla tua proprietà, sul diritto d'autore e sui dati relativi alle licenze rende molto più facile stabilire la provenienza, facilita la concessione delle licenze e potrebbe anche diventare sempre più prezioso man mano che i requisiti di trasparenza per i sistemi di IA continuano a evolversi.

Forse non è il consiglio più facile da seguire, ma vale la pena prenderlo in considerazione se proteggere la tua musica dall’addestramento dell’IA è una delle tue priorità principali. In parole povere, il luogo in cui pubblichi la tua musica è importante. Mentre molte piattaforme – tra cui Spotify – devono ancora prendere una posizione chiara sull’IA generativa, altre hanno già adottato alcune politiche.

Ad esempio, Bandcamp vieta formalmente le tracce generate in gran parte dall’IA, dando priorità alla musica creata dall’uomo e proteggendo il proprio ecosistema da upload algoritmici di massa. Allo stesso modo, Deezer è stata una delle prime piattaforme di streaming musicale a lanciare uno strumento di rilevamento dell’IA, promuovendo una maggiore trasparenza sui brani generati dall’IA e cercando al contempo di limitarne la monetizzazione.