- Esistono due framework distinti: 1.0 (volontario e in vigore) e 2.0 (proposto con mandati per il rilevamento e il dibattito sulla crittografia).
- Chat Control 2.0 non è approvato: il Consiglio deve stabilire una posizione, dopodiché seguirà un trilogo e una votazione finale.
- La scansione pre-crittografia presenta rischi tecnici e legali; gli esperti legali mettono in guardia dalle incompatibilità con i diritti fondamentali.
L'idea che qualcuno possa curiosare tra i propri messaggi privati è tutt'altro che piacevole, soprattutto quando si tratta di conversazioni protette da crittografia end-to-end. Ciononostante, le istituzioni europee stanno discutendo un pacchetto normativo che potrebbe obbligare i servizi di messaggistica e di posta elettronica ad analizzare i contenuti per individuare materiale pedopornografico. Questo insieme di misure è comunemente noto come "Chat Control" e in realtà comprende due quadri normativi distinti con traiettorie ed effetti molto diversi.
Per comprendere la situazione, è utile distinguere il presente dal futuro. Da un lato, c'è Chat Control 1.0, già in vigore e volontario per le piattaforme; dall'altro, c'è la proposta Chat Control 2.0, che potrebbe rendere obbligatoria l'analisi dopo un ordine di rilevamento. La seconda proposta è ancora in fase di elaborazione e potrebbe subire modifiche, ma i video virali che affermano che sia già stata approvata o che lo sarà a breve hanno creato scompiglio sui social media, generando confusione su ciò che è stato effettivamente deciso.
Cos'è esattamente Chat Control e perché ne esistono due versioni?
Il soprannome Chat Control viene utilizzato per riferirsi a due iniziative europee volte a contrastare la diffusione di materiale pedopornografico sui servizi digitali. La prima, il Regolamento 2021/1232 (soprannominato Chat Control 1.0), adottato nel 2021, consente ai fornitori di servizi di messaggistica e posta elettronica di rilevare volontariamente questo tipo di contenuti, senza tuttavia obbligarli a farlo né fornire loro una base giuridica aggiuntiva oltre alla deroga temporanea ad alcune restrizioni della normativa ePrivacy.
Il secondo è il Regolamento 2022/0155, noto come Chat Control 2.0 o Regolamento per la prevenzione e la lotta contro gli abusi sessuali sui minori. Questa proposta potrebbe imporre alle piattaforme l'obbligo di individuare e rimuovere i contenuti, con l'emissione di ordini di rilevamento da parte delle autorità competenti in caso di rischio significativo. Qui sta il nodo cruciale del dibattito: come conciliare questo obbligo con la crittografia end-to-end e i diritti fondamentali dei cittadini europei.
Chat Control 1.0 vs. Chat Control 2.0: differenze principali
Chat Control 1.0 autorizza i fornitori di servizi a esaminare le comunicazioni per identificare materiale pedopornografico, ma solo su base volontaria e con adeguate garanzie. L'articolo 3 richiede l'utilizzo delle tecnologie meno invasive possibili e di tecniche che non ricostruiscano il contenuto delle conversazioni, ma che cerchino piuttosto schemi o segnali associati all'abuso. Inoltre, nell'aprile 2024, il Parlamento europeo ha approvato l'estensione di tale deroga fino al 3 aprile 2026, al fine di garantire un quadro normativo stabile a lungo termine.
La proposta Chat Control 2.0 assume una piega più ambiziosa: in determinate circostanze, e a seguito di un ordine di un'autorità giudiziaria o amministrativa indipendente, le piattaforme dovrebbero rilevare, segnalare e rimuovere i CSAM ( Content Security Ammunition, munizioni per la sicurezza dei contenuti). Secondo l'interpretazione tecnica condivisa dalle associazioni di settore, ciò potrebbe comportare l'analisi del contenuto prima della crittografia sul dispositivo dell'utente, un processo noto come scansione lato client. È qui che emerge il conflitto con la promessa fondamentale della crittografia end-to-end.
Esiste una distinzione importante: entrambe le iniziative pongono l'attenzione del rilevamento sui fornitori, non sulle istituzioni europee che monitorano le conversazioni. Secondo il settore, nessuna istituzione dell'UE avrebbe accesso ai messaggi privati nell'ambito di questi quadri normativi; quando una piattaforma rileva indizi di diffusione di materiale pedopornografico, deve notificare le forze dell'ordine, le autorità giudiziarie o gli enti di interesse pubblico per la tutela dei minori.
Stato della procedura: cosa è stato deciso e cosa no
La proposta Chat Control 2.0 non è ancora entrata in vigore. All'inizio di ottobre 2025, il testo era in attesa della conclusione della prima lettura in seno al Consiglio; il Parlamento ha già espresso la propria posizione per salvaguardare l'equilibrio tra la tutela dei minori e la prevenzione della sorveglianza diffusa. In seguito alla posizione del Consiglio, prima della pubblicazione ufficiale, qualora approvata, si terranno discussioni tripartite e una votazione finale in Parlamento.
In questo contesto, si sono diffuse voci secondo cui il Consiglio avrebbe attivato il regolamento il 14 ottobre 2025. La presidenza danese ha effettivamente dato priorità alla questione e il Consiglio Giustizia e Affari interni si riunirà il 13 e il 14 ottobre, ma tale riunione non innesca direttamente l'attuazione del regolamento . Fonti europee hanno chiarito che il regolamento non "entra in vigore" in quella data e che i tempi per la sua adozione ed entrata in vigore sono attualmente imprevedibili.
Anche i dati che mostrano il sostegno e l'opposizione tra i vari Stati sono diventati virali. Spagna, Portogallo, Francia, Italia, Croazia, Ungheria, Bulgaria, Cipro, Malta, Islanda, Danimarca, Svezia, Lettonia e Lituania si sono mostrati disposti ad andare avanti, mentre Austria, Belgio, Repubblica Ceca, Finlandia, Germania, Lussemburgo, Paesi Bassi, Polonia e Slovacchia si sono mostrati molto critici nei confronti di qualsiasi formula che indebolisca la crittografia. Alcuni Paesi rimangono indecisi su determinati calcoli (ad esempio, Grecia, Romania, Estonia e Slovenia), e la posizione della Germania è considerata particolarmente cruciale.
Come funzionerebbe il rilevamento: ordini, portata e limiti
Il fulcro della proposta è il sistema di provvedimenti di individuazione. Tali provvedimenti potrebbero essere imposti a un servizio solo in presenza di un rischio significativo di utilizzo improprio per la diffusione di materiale pedopornografico o per l'adescamento di minori. Il provvedimento verrebbe emesso da un'autorità giudiziaria competente o da un'autorità amministrativa indipendente, con durata limitata e un controllo proporzionato.
Per minimizzare l'impatto, la Commissione ha sottolineato la necessità di tecnologie all'avanguardia, incapaci di estrarre informazioni diverse da quelle strettamente necessarie, e con una specifica supervisione umana per filtrare i falsi positivi . Inoltre, la bozza riconosce che l'individuazione del fenomeno del "child grooming" è la più invasiva perché richiede l'analisi del testo; pertanto, la sua attuazione richiederebbe una giustificazione particolarmente forte e, nelle proposte di alcuni Stati membri, verrebbe applicata solo quando una delle parti coinvolte è minorenne.
Una questione particolarmente delicata riguarda la gestione dei servizi con crittografia end-to-end. A livello operativo, sul dispositivo dell'utente verrebbe eseguito un rilevamento preliminare della crittografia, confrontando immagini, video o, secondo le versioni precedenti, testo con database di impronte digitali o modelli di rilevamento. Molti esperti equiparano questa ispezione locale alla creazione di una backdoor , poiché apre un canale aggiuntivo attraverso il quale i contenuti che dovrebbero essere crittografati potrebbero essere analizzati e segnalati prima della trasmissione.
Chi esamina, chi riferisce e quale ruolo svolge il nuovo centro europeo?
Uno dei malintesi più diffusi sui social media è che "l'Unione Europea leggerà tutti i messaggi". Non è così. In entrambi i casi, sono i fornitori di servizi a effettuare il rilevamento utilizzando strumenti tecnici. Se individuano contenuti illegali, devono segnalarli alle autorità competenti o agli organismi accreditati per l'elaborazione.
La proposta della Commissione prevede anche la creazione di un Centro UE sugli abusi sessuali sui minori . Il suo scopo sarebbe quello di centralizzare la ricezione delle segnalazioni, migliorare la cooperazione tra piattaforme, società civile e autorità e rafforzare la trasparenza e la verifica degli strumenti e dei processi utilizzati per la ricerca e la rimozione dei contenuti. L'obiettivo è evitare duplicazioni, migliorare i tempi di risposta e ridurre il rischio di fughe di notizie durante lo scambio di informazioni sensibili.
Dal punto di vista del settore, se Chat Control 2.0 venisse adottato, oltre alla polizia e alla procura, potrebbero essere allertate anche le autorità di coordinamento designate dagli Stati membri per sovrintenderne all'attuazione, sebbene questo dettaglio resti oggetto di negoziazione. Il settore sottolinea che l'UE non accederebbe in alcun caso autonomamente alle chat private.
Privacy, crittografia e rischi tecnici: le critiche più gravi
Organizzazioni per i diritti digitali, esperti di sicurezza e giuristi hanno criticato il nucleo della proposta. Sostengono che la scansione lato client mini l'essenza della crittografia end-to-end , aumentando così il rischio di violazioni dei dati. Se venisse integrato un metodo per esaminare il contenuto prima della crittografia, tale metodo potrebbe essere sfruttato da malintenzionati, dai criminali informatici ai governi ostili.
Una valutazione commissionata dal Parlamento europeo è stata particolarmente conclusiva: attualmente non esiste alcuna tecnologia in grado di rilevare su larga scala, sia il materiale pedopornografico noto che quello emergente, senza generare elevati tassi di errore che compromettono tutto il traffico sulla piattaforma. Lo studio evidenzia anche effetti collaterali, come il rischio di classificare come illegali immagini condivise consensualmente da adolescenti.
Le prove empiriche non infondono ottimismo. In Irlanda, ad esempio, 852 segnalazioni su 4.192 (20,3%) si sono rivelate materiale di sfruttamento e 471 (11,2%) erano falsi positivi: cifre che illustrano il difficile equilibrio tra accuratezza, volume delle segnalazioni e risorse per la verifica umana.
Sul fronte giuridico, il Servizio giuridico del Consiglio ha sollevato dubbi sulla compatibilità della proposta con diritti fondamentali quali la privacy e la protezione dei dati, citando anche la giurisprudenza della Corte di giustizia dell'UE contraria alla conservazione indiscriminata dei dati. Il Garante europeo della protezione dei dati e il Comitato europeo per la protezione dei dati, in un parere congiunto, hanno messo in guardia dal rischio di una scansione di fatto diffusa e indiscriminata del contenuto di quasi ogni comunicazione elettronica.
Anche le sentenze dei tribunali hanno un peso rilevante. Nel febbraio 2024, la Corte europea dei diritti dell'uomo, in un caso non correlato a questo dossier, ha stabilito che l'obbligo di crittografia end-to-end degradata non può essere considerato necessario in una società democratica. Questo precedente giuridico rafforza le argomentazioni di coloro che chiedono che la crittografia sia sancita dalla legge definitiva.
Chi sostiene, chi rifiuta e come si muove la politica
La causa della tutela dei minori sta guadagnando sempre più consensi, dai gruppi di attivisti per la protezione dell'infanzia ai dipartimenti della Commissione e ai parlamentari europei di diverse appartenenze politiche, che vedono in un quadro normativo obbligatorio la soluzione all'inadeguatezza delle azioni volontarie . Essi sostengono che vi siano delle lacune dovute alla variabilità delle politiche aziendali, alla dipendenza dalle segnalazioni provenienti dagli Stati Uniti e alla mancanza di un sistema europeo efficiente per la segnalazione e l'indagine sugli abusi.
L'opposizione, tuttavia, traccia una linea rossa sulla crittografia. Al Parlamento europeo, Verdi, liberal-socialisti, conservatori e partiti pirata hanno alzato la voce in una curiosa convergenza trasversale. L'idea ricorrente è che proteggere i bambini non richieda la sorveglianza di massa e che esistano strumenti meno invasivi: rafforzare le risorse delle forze dell'ordine, migliorare la cooperazione transfrontaliera, reprimere i mercati illeciti, richiedere una maggiore sicurezza fin dalla progettazione delle piattaforme e lavorare sull'educazione e la prevenzione.
Il panorama politico all'interno del Consiglio è diviso. La Spagna è tra coloro che premono per la misura e sostiene che le autorità dovrebbero avere accesso ai dati nella lotta contro gli abusi, mentre Polonia, Paesi Bassi, Finlandia e Austria rimangono critici. La Francia ha mostrato incertezza, Belgio ed Estonia hanno espresso dubbi sull'attuazione e la Germania è passata dall'opposizione all'indecisione in seguito ai cambi di governo. La Danimarca, assumendo la presidenza di turno nel luglio 2025, ha ripreso i negoziati e ha incluso la regolamentazione tra le sue priorità principali.
Nell'opinione pubblica, sondaggi come quelli di YouGov riportano una netta maggioranza contraria alla scansione diffusa. Questo clima sociale si è tradotto in ondate di pressione sui parlamentari europei, soprattutto nel 2023 e nel 2024, quando il Consiglio ha rinviato diverse votazioni per mancanza di accordo.
Controversie: lobbying, comunicazione politica e ruolo di alcune organizzazioni
Il processo è stato accompagnato da controversie. Inchieste giornalistiche transnazionali hanno approfondito il ruolo della Thorn Foundation , con sede negli Stati Uniti e sostenuta da personaggi pubblici, che promuove attivamente l'impiego di strumenti di rilevamento e commercializza software di intelligenza artificiale per identificare le misure di contrasto al riciclaggio di denaro e alla corruzione (MSC). Le sue interazioni con la Commissione e con il Commissario responsabile del caso hanno sollevato preoccupazioni in merito a potenziali conflitti di interesse e pressioni da parte di gruppi con interessi commerciali.
Anche la strategia di comunicazione della Commissione è stata criticata, in particolare per le campagne di micro-targeting e per il linguaggio percepito come ambiguo, che evita espressioni come "scansione di massa" a favore di individuazione mirata e proporzionalità. Le organizzazioni per i diritti digitali affermano di aver richiesto incontri formali a cui non sempre è stata data risposta, alimentando così la percezione di opacità.
A seguito di questo dibattito, sono emerse iniziative simili in altri Paesi. Negli Stati Uniti, ad esempio, le campagne politiche contro la tutela della privacy vengono denunciate con il pretesto di combattere gli abusi, e nel Regno Unito si è assistito alla tentazione di chiedere l'introduzione di "porte di servizio" (backdoor). Le voci della società civile sottolineano che l'UE rischia di apparire ipocrita se promuove misure che critica altrove.
Cosa cambia per l'utente medio: effetti pratici e quadro normativo in Spagna
Se la proposta venisse approvata nella sua forma più restrittiva, i servizi di messaggistica, le e-mail e persino le chat di gioco potrebbero essere obbligati a installare sistemi automatici di rilevamento di immagini, video e link . Nei servizi con crittografia end-to-end, ciò significherebbe analizzare determinati contenuti prima della crittografia sul dispositivo dell'utente, con conseguente aumento della superficie di attacco e potenziali problemi di riservatezza in caso di problemi.
In Spagna, l'articolo 18 della Costituzione garantisce la segretezza delle comunicazioni, salvo autorizzazione giudiziaria, e le piattaforme hanno l'obbligo di collaborare in caso di ordine del tribunale. Con la crittografia end-to-end, attualmente è impossibile per le piattaforme decrittografare le chat anche con un ordine del tribunale, poiché non detengono le chiavi degli utenti. Un sistema che richieda il rilevamento prima della crittografia modificherebbe il quadro tecnico e giuridico, con implicazioni costituzionali tutt'altro che trascurabili.
Oltre ai rischi tecnici, sussistono preoccupazioni circa gli effetti dissuasivi sull'esercizio di diritti quali la libertà di espressione e l'attivismo politico. Se gli utenti percepiscono che ogni immagine o registrazione audio può essere analizzata in modo proattivo, potrebbe aumentare l'autocensura, insieme alla paura di condividere anche contenuti leciti.
Nel novembre 2024 e di nuovo nel 2025, sono circolati video che affermavano che Chat Control "aveva già superato tutte le fasi" e che "sarebbe entrato in vigore il 14 ottobre". Questo messaggio è errato : la proposta 2.0 è ancora in fase di valutazione, restano diverse fasi da superare e, anche se il Consiglio dovesse deliberare e prendere una posizione, ciò non implica un'attuazione immediata.
Un'altra affermazione ricorrente è che "l'UE avrà accesso a tutti i messaggi privati" e che solo X e Telegram si rifiuterebbero. In realtà, i testi attribuiscono l'onere dell'individuazione alle piattaforme e qualsiasi scansione precedente alla crittografia sarebbe subordinata a specifici ordini di individuazione. Sebbene diverse aziende abbiano espresso la loro riluttanza a compromettere la crittografia, non esiste un elenco completo o definitivo di quali servizi accetterebbero o meno un potenziale mandato europeo.
Da dove viene tutto questo: cronologia minima per situarci
La Commissione ha presentato la sua proposta nel maggio 2022, a seguito di anni di un drammatico aumento delle segnalazioni di abusi sessuali su minori a enti come il Centro nazionale statunitense per i bambini scomparsi e sfruttati. Nel 2023, la Commissione parlamentare per le libertà civili ha approvato esplicitamente la protezione della crittografia e l'eliminazione della scansione indiscriminata, e nel corso del 2024 il Consiglio ha rinviato la votazione più volte per mancanza di maggioranze.
Nel 2024, la Commissione ha lavorato a versioni rivedute e sono trapelate bozze che tentavano di restringere la portata del provvedimento (ad esempio, concentrando il rilevamento su contenuti multimediali e link e meno su testo e audio). L'arrivo della presidenza danese del Consiglio nel luglio 2025 ha riacceso il dibattito e fissato l'obiettivo di accelerare una decisione politica in autunno, riportando la questione alla ribalta e all'ordine del giorno dell'opinione pubblica con rinnovata intensità.
Misure di proporzionalità proposte e garanzie proposte
Per cercare di superare il test di necessità e proporzionalità, le bozze del Consiglio insistono sulla limitazione degli ordini di rilevamento nel tempo e nella portata, richiedendo valutazioni oggettive del rischio , privilegiando le tecnologie meno invasive possibili e imponendo verifiche e supervisione umana dei casi segnalati per ridurre errori e pregiudizi.
Si propone inoltre che gli ordini non possano superare periodi limitati (ad esempio, fino a dodici mesi), che siano previste delle revisioni e che l'impatto sui diritti sia documentato. L'obiettivo dichiarato è quello di evitare obblighi di controllo generici e di progredire verso ordini specifici e motivati.
Relazione con altri standard e dibattiti digitali
Questo caso non si pone in un vuoto. Esso coesiste con la legge sui servizi digitali, le normative in materia di dati e privacy e i quadri normativi nazionali che mirano a conciliare sicurezza e diritti fondamentali. La coerenza tra questi strumenti giuridici sarà fondamentale per prevenire contraddizioni e zone grigie che potrebbero sfociare in abusi o incertezza giuridica.
- Legge sui servizi digitali e i loro obblighi di due diligence
- Legge sulla sicurezza online del 2023 e dibattiti paralleli in altri paesi
Infine, è importante ricordare che, pur con la volontà di proteggere i bambini, la tecnologia non può risolvere tutto . Prevenzione, alfabetizzazione digitale, rafforzamento delle capacità investigative e cooperazione transfrontaliera sono elementi cruciali che gli esperti raccomandano di potenziare insieme a qualsiasi sistema di individuazione.
Considerando il quadro generale, Chat Control è un campo minato dove una giusta causa coesiste con rischi molto seri per la privacy e la sicurezza di tutti. La versione 1.0 consente il rilevamento volontario con garanzie ed è stata prorogata fino al 2026; la versione 2.0, d'altro canto, è una proposta in continua evoluzione che introduce ordini di rilevamento con il potenziale di compromettere la crittografia ed è stata ampiamente respinta da esperti legali, tecnologi e organizzazioni per la privacy. In un contesto di agende politiche mutevoli, pressioni sociali e incertezze tecnologiche, la decisione finale plasmerà il prossimo decennio delle nostre comunicazioni, quindi è fondamentale seguire attentamente il processo ed esigere che ogni passo rispetti i principi cardine dei nostri diritti.
