Il 9 luglio 2026 il Parlamento europeo ha prorogato Chat Control 1.0. È la deroga temporanea alle norme europee sulla privacy delle comunicazioni elettroniche che consente ai fornitori di servizi online di individuare, su base volontaria, materiale di abuso sessuale su minori scambiato tramite email e app di messaggistica. La misura vale ora fino al 3 aprile 2028. Ci si arriva dopo un percorso parlamentare piuttosto accidentato, che ha riacceso lo scontro tra sicurezza, privacy e crittografia in tutta Europa.
Bisogna partire dal meccanismo di base per capire di cosa si parla davvero. Il regolamento ePrivacy del 2020 tutela per default la riservatezza delle comunicazioni, vietando ai fornitori di analizzare in automatico i contenuti scambiati dagli utenti. Una deroga temporanea, introdotta nel 2021, ha permesso a piattaforme di posta elettronica e messaggistica di continuare a usare sistemi automatizzati - basati su hash noti e modelli di intelligenza artificiale - per individuare e segnalare contenuti pedopornografici o segnali di adescamento online. Nessun obbligo, va detto chiaramente: la deroga consente a chi scansiona già le comunicazioni, volontariamente, di continuare a farlo entro alcuni limiti e garanzie.
Quella deroga era scaduta il 3 aprile 2026. L'Europarlamento ne aveva respinto un primo rinnovo già il 26 marzo, con 311 voti contrari, e sulla carta la storia sarebbe dovuta finire lì. Il 2 luglio, però, il Consiglio dell'Unione europea ha ripresentato un testo dal contenuto quasi identico a quello bocciato - ma sotto forma di regolamento formalmente nuovo. Una mossa procedurale che ha permesso alla presidente del Parlamento di riaprire il fascicolo in seconda lettura. Cambiano così i rapporti di forza in aula: per respingere o modificare la posizione del Consiglio non basta più la maggioranza semplice dei presenti, serve quella assoluta dell'intero Parlamento, 361 voti su 720 eletti. Il 7 luglio l'Eurocamera approva la procedura d'urgenza (331 voti a favore, 304 contrari), e il voto di merito arriva così alla plenaria di giovedì 9 luglio - ultimo giorno prima della pausa estiva, con l'affluenza in aula tipicamente più bassa.
Nel voto finale i favorevoli sono stati 276: non abbastanza per raggiungere la soglia della maggioranza assoluta necessaria a bloccare il testo, che quindi passa. Il gruppo dei Socialisti e Democratici si è spaccato, con una parte a favore e un'altra contraria alla proroga. C'è però una novità rispetto alle versioni precedenti, ed è considerata cruciale anche da chi si oppone alla norma: le comunicazioni protette da crittografia end-to-end - WhatsApp, Signal, iMessage - restano escluse dall'ambito della scansione volontaria.
E qui vale la pena aprire una parentesi tecnica, perché il "come" conta quanto il "cosa". Per il materiale già noto alle autorità, i sistemi usano tecniche di hashing percettivo: ogni immagine o video diventa una sorta di impronta digitale, capace di tollerare anche piccole modifiche al file originale, che viene poi confrontata con un database di contenuti già identificati come illeciti. Corrispondenza trovata, file segnalato. È il caso tecnicamente meno controverso - il sistema non deve "capire" il contenuto, solo confrontare impronte con un archivio verificato. Il materiale non ancora conosciuto è tutta un'altra storia: servono modelli di classificazione basati su intelligenza artificiale e machine learning, che cercano schemi sospetti senza una corrispondenza diretta con l'esistente. Qui il margine di errore sale, e dipende dalla qualità del dataset di addestramento, dalla soglia di affidabilità scelta, dal grado di riesame umano prima di un'eventuale segnalazione. C'è poi un terzo ambito, probabilmente il più delicato: l'adescamento online, il grooming, dove i sistemi dovrebbero analizzare testi e sequenze di conversazione per riconoscere pattern comportamentali sospetti - e dove il rischio di falsi positivi cresce ulteriormente.
Il punto di massima frizione resta però un altro: le comunicazioni cifrate end-to-end. Se nemmeno il fornitore del servizio può leggere il contenuto dei messaggi, come si scansiona? Alcune versioni più estese della proposta hanno ipotizzato il cosiddetto client-side scanning - un'analisi eseguita direttamente sul dispositivo dell'utente, prima ancora che il messaggio venga cifrato e inviato. È esattamente questo il nodo contestato con più forza da esperti di sicurezza informatica, dal Garante europeo della protezione dei dati e da diverse organizzazioni per i diritti digitali: introdurrebbe una verifica sistematica dei contenuti privati prima che la protezione crittografica entri in funzione. Nella versione approvata il 9 luglio, come detto, le chat end-to-end restano fuori dal perimetro della scansione volontaria. Il che, nell'immediato, limita parecchio la portata pratica della misura rispetto alle ambizioni più estese del regolamento permanente ancora in negoziato.
Perché su questo bisogna essere precisi: la proroga riguarda solo il regime temporaneo e volontario. Il regolamento permanente - proposto dalla Commissione europea nel 2022, informalmente noto come Chat Control 2.0 - è ancora in negoziato tra Parlamento e Consiglio. Nella prima metà del 2026, secondo alcune fonti parlamentari, la maggior parte degli aspetti tecnici sarebbe stata concordata. Restano però nodi da sciogliere prima di un testo definitivo.
Le reazioni, prevedibilmente, sono contrastanti. Da una parte eurodeputati ed esponenti della società civile che parlano di sorveglianza di massa e di un precedente pericoloso per i diritti digitali, insieme a centinaia di ricercatori che avvertono sui rischi di errore della scansione automatizzata. Dall'altra le istituzioni europee, secondo cui gran parte delle indagini sugli abusi sessuali online nasce proprio dalle segnalazioni volontarie dei fornitori, e per cui la deroga resta uno strumento imprescindibile contro lo sfruttamento minorile in rete. Il dibattito continuerà nei prossimi mesi. E l'attenzione, ormai, è già tutta sul negoziato per il regolamento permanente.