Una canzone generata dall’IA è arrivata sulle pagine di una band reale in pochi giorni

Un esperimento condotto da 404 Media mostra quanto possa essere semplice far associare un brano a un artista che non lo ha mai registrato né autorizzato. Il rischio non riguarda soltanto una canzone falsa: se distributori e piattaforme di streaming non verificano con sufficiente affidabilità chi sia autorizzato a pubblicare sotto un’identità artistica già esistente, la stessa infrastruttura usata dai musicisti legittimi può essere sfruttata da soggetti fraudolenti. 1

Il test sui Lathe of Heaven

Secondo 404 Media, un suo giornalista ha generato un brano con Udio, lo ha caricato tramite DistroKid in circa cinque minuti e lo ha pubblicato con il titolo “Riding High”. Nel giro di pochi giorni, la traccia è comparsa sulle pagine ufficiali della band punk di Brooklyn Lathe of Heaven su Spotify, Apple Music, Tidal e Amazon Music, senza che il gruppo ne fosse a conoscenza. 1

Non è stato necessario violare gli account della band. È stato sfruttato il normale circuito di distribuzione che trasferisce brani e metadati dal distributore alle piattaforme digitali. Engadget ha descritto il risultato come l’inserimento di una traccia sintetica in un catalogo artistico già esistente attraverso una falla nella distribuzione. 19

Il nodo: associare un profilo non equivale a ottenere un’autorizzazione

Le piattaforme devono associare ogni nuova pubblicazione alla pagina artista corretta. Nei propri materiali di assistenza, DistroKid spiega che chi carica un’uscita può indicare i profili artista di destinazione nel modulo di upload, pur precisando che la mappatura finale dei profili è gestita dai singoli servizi. 28

Questa comodità può trasformarsi in una vulnerabilità quando le informazioni inserite per la pubblicazione sono sufficienti ad agganciare un brano a un profilo noto. La traccia può così apparire come una normale aggiunta alla discografia di un artista reale, anziché come il contenuto di un account palesemente imitativo.

Il problema può colpire anche senza dolo, per esempio quando artisti diversi condividono lo stesso nome o quando avviene un’errata attribuzione. DistroKid mette a disposizione il flusso Fixer per chi trova la propria musica sulla pagina sbagliata o musica altrui sulla propria pagina; occorre però presentare una richiesta separata per ciascun servizio. 24 È un rimedio successivo, non una barriera che impedisca in origine l’associazione non autorizzata.

Perché c’è un possibile incentivo economico

In genere, l’account del distributore che ha consegnato la pubblicazione è quello che risulta nella posizione di ricevere le royalty generate da quel brano. Le inchieste sugli impostori musicali hanno documentato che i distributori indipendenti pagano artisti o titolari dei diritti per gli ascolti, creando quindi un incentivo per chi carica fraudolentemente un brano e cerca di generare riproduzioni. 22

Il danno potenziale non si limita alla confusione degli ascoltatori. Se una traccia fraudolenta ottiene ascolti artificiali, l’incentivo può crescere. DistroKid definisce lo streaming artificiale come l’uso di mezzi artificiali per aumentare il conteggio degli ascolti e avverte che le pubblicazioni con una quota prevalente di stream artificiali possono essere rimosse, con royalty non corrisposte. 27

Intervenire dopo che gli stream si sono verificati, però, non equivale a impedire che una pubblicazione non autorizzata venga collegata a un profilo prima della sua messa online.

L’IA generativa rende scalabile un problema più vecchio

Scambi di profilo, upload non autorizzati e frodi nello streaming esistevano prima dell’IA generativa. L’IA cambia però l’economia dell’operazione: permette di produrre rapidamente molti brani economici e usa-e-getta, offrendo a chi agisce in malafede più materiale con cui testare i sistemi di distribuzione e di associazione ai profili.

I numeri vanno letti con cautela. Le fonti disponibili non dimostrano che Spotify abbia certificato una cifra di 50.000 brani IA caricati ogni giorno. I dati riportati pubblicamente riguardano invece Deezer, che nell’aprile 2026 stimava l’arrivo quotidiano di 75.000 tracce interamente generate dall’IA, pari al 44% dei suoi caricamenti giornalieri. 5051 Spotify ha comunicato separatamente di aver rimosso oltre 75 milioni di «tracce spam» in dodici mesi: un indicatore dell’ampiezza del problema degli abusi, ma non un conteggio giornaliero dei brani IA caricati. 5659

Sono emerse anche segnalazioni di musicisti che hanno trovato brani sospetti o non autorizzati associati alla loro identità. Il Guardian ha riferito che il jazzista Jason Moran è tra gli artisti colpiti da apparenti imitazioni realizzate con l’IA sulle piattaforme di streaming. 56 Un rapporto che cita la ricercatrice Odette Child afferma inoltre che sono state individuate oltre 300 tracce IA false attribuite ad artisti reali, tra cui Taylor Swift e musicisti jazz deceduti. 48

Un danno che va oltre le royalty

Per un artista, una pubblicazione fraudolenta può indurre i fan a credere che abbia creato musica che non gli appartiene e che non rappresenta il suo lavoro. Può inoltre alterare una discografia consultata da ascoltatori, sistemi di raccomandazione, giornalisti e possibili collaboratori.

Nel caso dei Lathe of Heaven, la criticità era particolarmente evidente perché il brano è apparso sotto l’identità consolidata della band, non su una pagina imitativa separata e facilmente riconoscibile. Reputazione, fiducia del pubblico e attribuzione della paternità artistica venivano messi a rischio anche nel caso in cui la traccia avesse prodotto pochi ricavi. 1

Rimuovere un brano dopo la segnalazione non elimina del tutto la confusione già creata, né il lavoro richiesto agli artisti per scoprirlo, documentarlo e contestarlo.

La risposta di Spotify: più controllo, ma non una protezione universale

Spotify ha introdotto Artist Profile Protection, una funzione facoltativa di Spotify for Artists che aggiunge un passaggio di revisione per le uscite consegnate a un profilo protetto. Può avvisare l’artista dell’arrivo di nuova musica e permettergli di rimuoversi da pubblicazioni attribuite in modo errato. 3242

È un progresso significativo perché porta parte della verifica più vicino al momento della pubblicazione. Spotify afferma che gli artisti protetti ricevono una chiave artista univoca da condividere con distributori fidati e che, durante la beta, le uscite provenienti dalla maggior parte — ma non da tutti — i fornitori richiedono approvazione o la chiave. 36

Restano tuttavia limiti rilevanti:

• è una funzione facoltativa, disponibile per ora a un gruppo limitato di artisti in beta; 32
• nella beta, non tutti i fornitori di distribuzione sono soggetti alle stesse condizioni; 36
• tutela Spotify, ma non si applica automaticamente ad Apple Music, Tidal, Amazon Music e agli altri servizi coinvolti nel test di 404 Media; 1
• offre agli artisti strumenti di revisione e rimozione, ma non impone una verifica universale e condivisa tra le piattaforme dell’autorizzazione prima di associare una nuova uscita a un’identità artistica esistente.

Il badge Verified by Spotify indica che un profilo artista è stato esaminato secondo i criteri di autenticità e affidabilità della piattaforma. 34 Può aiutare il pubblico a riconoscere un profilo consolidato, ma non garantisce di per sé che ogni brano consegnato successivamente a quel profilo sia stato autorizzato dall’artista.

Cosa renderebbe il sistema più difficile da sfruttare

Il principio emerso dal caso è semplice: per collocare una nuova uscita su una pagina artista già esistente dovrebbe servire una prova di autorizzazione più forte di una corrispondenza nel nome o di una semplice istruzione di instradamento.

Un modello più solido combinerebbe rapporti fiduciari con i distributori, chiavi di approvazione controllate dagli artisti, notifiche prima della pubblicazione e una procedura comune tra servizi per risolvere rapidamente le contestazioni di attribuzione. La beta di Spotify va in questa direzione, ma il test sui Lathe of Heaven mostra perché gli strumenti reattivi di segnalazione e le protezioni limitate all’adesione volontaria lasciano ancora una falla concreta. 136

Nel frattempo, gli artisti possono monitorare le proprie pagine di streaming, rivendicare gli account di gestione degli artisti e usare rapidamente gli strumenti di correzione offerti da distributori e piattaforme in caso di attribuzione errata. Sono misure che possono ridurre la durata di un errore o di un attacco, ma non sostituiscono una verifica più rigorosa dell’identità e dell’autorizzazione a monte. 2432