Ue, la verifica dell’età sui social e i rischi di uno spionaggio di massa

La Commissione europea prova a mettere un freno all’uso dei social network da parte dei minori e, con il nuovo EU KIDS Act, apre una partita che riguarda non soltanto la sicurezza dei bambini online, ma anche il futuro della privacy digitale di tutti gli utenti. Il 17 settembre 2026 Bruxelles ha presentato una proposta legislativa destinata a introdurre regole comuni per social network, piattaforme di condivisione video, videogiochi online e chatbot basati sull’intelligenza artificiale. L’iniziativa nasce dalla crescente preoccupazione per il modo in cui molti servizi digitali sono progettati: scorrimento infinito dei contenuti, notifiche continue, sistemi di ricompensa, suggerimenti personalizzati e altre tecniche mirate a trattenere l’utente il più a lungo possibile. Meccanismi che possono risultare particolarmente problematici durante l’infanzia e l’adolescenza, quando le capacità di autoregolazione sono ancora in fase di sviluppo.

Il progetto della Commissione, annunciato dalla presidente Ursula von der Leyen, prevede un accesso ai social graduato in base all’età. Sotto i 13 anni sarebbe vietato aprire autonomamente un account sui social; tra i 13 e i 15 anni l’utilizzo sarebbe consentito attraverso un account supervisionato da un genitore o tutore, con funzionalità limitate e un tetto massimo indicato in un’ora al giorno. Dai 15 anni, invece, i ragazzi potrebbero gestire autonomamente il proprio profilo. Le regole non si fermerebbero ai social: riguarderebbero anche piattaforme video, giochi online, assistenti virtuali e chatbot di intelligenza artificiale.

Uno degli elementi centrali della proposta è il principio della “sicurezza fin dalla progettazione”. Le piattaforme dovrebbero cioè essere costruite tenendo conto dei rischi per i minori già nella fase di progettazione e non soltanto intervenire dopo che un problema si è verificato. Tra le misure indicate figurano la limitazione dello scorrimento infinito, dei meccanismi di ricompensa e delle notifiche notturne, la protezione predefinita dei profili dei minori, il divieto di contatti non richiesti da parte di sconosciuti e strumenti semplici per bloccare o silenziare altri utenti. Anche l’intelligenza artificiale viene chiamata in causa: chatbot e assistenti virtuali destinati ai più giovani dovrebbero essere disattivati per impostazione predefinita e non dovrebbero essere progettati per creare forme di dipendenza emotiva. La proposta introduce inoltre un cambiamento importante sul piano della responsabilità. Per i grandi fornitori di piattaforme online l’onere della prova verrebbe spostato in avanti: sarebbero le aziende a dover dimostrare che i propri servizi sono sicuri per i minori e progettati tenendo conto del loro benessere.

Ma è soprattutto la verifica dell’età a rendere il KIDS Act una questione che va oltre la semplice regolamentazione dei social. Per applicare soglie anagrafiche, infatti, bisogna sapere quanti anni ha l’utente. La Commissione propone strumenti che, almeno nelle intenzioni dichiarate, consentano di verificare l’età senza comunicare alla piattaforma l’identità della persona. Bruxelles indica come possibile soluzione l’infrastruttura europea per la verifica dell’età, progettata per fornire soltanto l’informazione necessaria, per esempio se un utente ha superato o meno una determinata soglia, senza conservare documenti d’identità o dati biometrici. È un punto fondamentale, perché la differenza tra “dimostrare di avere più di una certa età” e “identificarsi davanti a una piattaforma” non è affatto marginale. Nel primo caso si può immaginare un sistema nel quale l’utente rimane anonimo; nel secondo si crea invece un legame diretto tra identità reale e attività online. La Commissione sostiene di voler evitare proprio questo secondo scenario, ma la questione non può essere risolta soltanto attraverso dichiarazioni di principio.

Il problema vero sarà stabilire come funzioneranno concretamente questi sistemi, quali dati verranno trattati, chi li gestirà, quanto tempo saranno conservati, quali soggetti potranno accedervi e soprattutto se le informazioni potranno essere utilizzate per finalità diverse da quelle per cui sono state raccolte. Non significa sostenere che il KIDS Act istituisca una sorveglianza di massa: la proposta, nella sua impostazione dichiarata, cerca anzi di preservare la privacy attraverso sistemi di verifica che non rivelino l’identità dell’utente. Il rischio da prendere sul serio è però quello di costruire un’infrastruttura che, se non accompagnata da limiti molto rigidi, possa rendere tecnicamente possibile una verifica generalizzata dell’età. Ed è proprio qui che la protezione dei minori deve essere bilanciata con la tutela degli adulti.

L’European Data Protection Board ha sottolineato che i sistemi di verifica dell’età devono essere proporzionati, rispettosi della privacy e basati sul metodo meno invasivo possibile. Il principio dovrebbe essere quindi quello della minimizzazione dei dati: verificare soltanto ciò che è indispensabile, senza identificare l’utente quando non è necessario e senza conservare informazioni che potrebbero essere utilizzate successivamente per altri scopi. È un equilibrio tutt’altro che semplice. Un sistema efficace dovrebbe impedire a un dodicenne di accedere a determinati servizi senza trasformare contemporaneamente ogni adulto in un utente che deve identificarsi prima di navigare. Dovranno essere chiariti i limiti alla raccolta e alla conservazione dei dati, le responsabilità degli operatori, i controlli indipendenti e soprattutto le condizioni che impediranno di trasformare la verifica dell’età in uno strumento di identificazione generalizzata.

La vera sfida del KIDS Act è quindi doppia: rendere Internet più sicuro per bambini e adolescenti senza renderlo, contemporaneamente, più sorvegliato per tutti. Proteggere i minori non dovrebbe significare accettare l’idea che ogni utente debba essere identificabile. Se Bruxelles riuscirà a mantenere questa distinzione anche nella pratica, la verifica dell’età potrà diventare uno strumento mirato di protezione. Se invece i paletti saranno deboli o facilmente aggirabili, il rischio è che una misura pensata per difendere i più giovani finisca per creare le condizioni tecnologiche per un controllo molto più ampio della vita digitale degli adulti.