I controlli d'età non possono legalmente essere testati sui bambini che bloccano

Il paradosso al cuore della verifica dell'età

I regolatori di tutto il mondo stanno spingendo le piattaforme ad adottare sistemi di verifica dell'età che tengano in modo affidabile i minori lontani da contenuti per adulti, social media e altri servizi soggetti a limiti d'età. Ma una recente analisi di Xident evidenzia un problema che sta alla base di tutti questi obblighi: nessuno può legalmente testare se questi sistemi funzionano davvero sulla popolazione che sono progettati per escludere.

Gli strumenti di garanzia dell'età vengono valutati in base all'"efficacia", che dovrebbe essere un'affermazione misurabile ed empirica. Fornitori e regolatori parlano di tassi di accuratezza, tassi di falsi positivi e margini di errore come se questi numeri provenissero da studi rigorosi. Il pezzo di Xident sostiene che questa impostazione nasconde una lacuna strutturale. Per dimostrare che un controllo d'età identifica e blocca in modo affidabile i bambini, sarebbe necessario testarlo su bambini reali in un ambiente controllato. Ma reclutare minori in un programma di test incentrato su contenuti per adulti, o su qualsiasi prodotto soggetto a limiti d'età, solleva ovvi problemi legali ed etici. La popolazione che il controllo esiste per escludere è l'unica popolazione che non può essere legalmente inclusa nel set di test.

Perché Ofcom ha lasciato la soglia vuota

L'articolo osserva che Ofcom, l'autorità di regolamentazione del Regno Unito responsabile dell'applicazione delle norme sulla sicurezza online, ha rifiutato di fissare una soglia numerica di accuratezza per i sistemi di garanzia dell'età. Questa decisione viene spesso letta come prudenza o flessibilità regolatoria. L'analisi di Xident la inquadra diversamente: Ofcom non poteva specificare un numero rigido perché l'infrastruttura di test sottostante necessaria per validare quel numero non esiste in una forma legalmente difendibile.

Questo è importante perché le piattaforme stanno attualmente implementando stime facciali dell'età, controlli dei documenti e strumenti di inferenza comportamentale presupponendo che questi sistemi siano stati validati su utenti reali. In pratica, la maggior parte della validazione avviene su volontari adulti le cui età vengono stimate con gli stessi metodi imperfetti che vengono testati, oppure su set di dati che potrebbero non riflettere la diversità dei volti, dei documenti e dei comportamenti online dei bambini reali. Il divario tra ciò che i regolatori richiedono in linea di principio e ciò che può essere effettivamente verificato nella pratica è esattamente il tipo di punto cieco che tende a emergere solo dopo che qualcosa va storto, che si tratti di un adulto bloccato erroneamente, di un minore che passa inosservato, o di un'azienda che affronta azioni coercitive per dati gestiti male durante il processo di verifica stesso.

Quest'ultimo punto non è ipotetico. Le azioni coercitive contro aziende che hanno gestito male i dati dei bambini mostrano che i regolatori sono disposti a imporre sanzioni severe anche quando l'intenzione sottostante era la conformità. L'esperienza di TikTok è istruttiva: la piattaforma ha recentemente perso il ricorso contro una multa da 12,7 milioni di sterline legata a come ha trattato i dati personali di oltre 1,4 milioni di bambini. Quel caso riguardava la gestione dei dati piuttosto che l'accuratezza del controllo d'età in sé, ma illustra la stessa tensione di fondo: ci si aspetta che le piattaforme sappiano chi sono i loro utenti minorenni e trattino i loro dati di conseguenza, mentre gli strumenti usati per identificare quegli utenti in primo luogo rimangono difficili da verificare in modo indipendente.

Il divario tra conformità e prova

Niente di tutto questo significa che la verifica dell'età sia inutile o che i regolatori agiscano in malafede. Ofcom e organismi simili lavorano entro vincoli reali: non si possono reclutare eticamente bambini in esperimenti progettati per testare se un sistema li segnala correttamente come bambini. Ma l'analisi di Xident è utile proprio perché separa due cose che spesso vengono confuse nella discussione pubblica: un'azienda che si conforma a un obbligo di garanzia dell'età, e un'azienda che dimostra che il suo obbligo di garanzia dell'età funziona effettivamente come previsto.

Per ora, l'"efficacia" in questo settore è in gran parte dedotta piuttosto che misurata direttamente sulla popolazione target. Questa deduzione può essere ragionevole, ma non è la stessa cosa di una prova empirica, e trattarla come prova rischia di dare a utenti e genitori un falso senso di certezza su quanto bene funzionino questi sistemi.

Cosa significa per te

Se sei un genitore, un utente della piattaforma, o semplicemente qualcuno che naviga tra un numero crescente di controlli d'età online, vale la pena capire che superare o fallire un controllo d'età non è una garanzia di accuratezza in nessuna delle due direzioni. Un sistema di verifica che dice che sei adulto, o che ti segnala come minore, sta facendo una stima probabilistica basata su test incompleti, non un giudizio definitivo.

Questo significa anche che i dati personali che fornisci per dimostrare la tua età, che si tratti di una foto, di un documento d'identità governativo o di dati biometrici usati per la stima facciale, confluiscono in sistemi le cui affermazioni di accuratezza sono più difficili da verificare di quanto sembri. Quei dati devono comunque essere protetti secondo le pratiche standard di privacy, indipendentemente dal fatto che il controllo d'età sia a prova di bomba.

Suggerimenti pratici

• Tratta i prompt di verifica dell'età come eventi di raccolta dati, non solo come passaggi di controllo, e pensa a quali informazioni stai condividendo prima di acconsentire.
• Se una piattaforma offre alternative alla scansione facciale o al caricamento di documenti, come servizi di verifica di terze parti che minimizzano la conservazione dei dati, prendi in considerazione di usarle.
• I genitori dovrebbero riconoscere che un controllo d'età che lascia passare il loro bambino, o che lo blocca, non è un segnale affidabile di per sé; parla direttamente con i bambini delle piattaforme che usano piuttosto che fare affidamento esclusivamente su controlli automatizzati.
• Tieni d'occhio come le piattaforme che usi hanno gestito i dati dei bambini in passato, poiché la storia delle azioni coercitive è spesso un indicatore migliore della pratica reale rispetto alle affermazioni di marketing sull'accuratezza della verifica dell'età.
• Sostieni un controllo continuo dei fornitori di garanzia dell'età e dei regolatori che spingono per dati di accuratezza realmente pubblicati, non solo dichiarazioni di conformità.

La verifica dell'età è destinata a diventare più comune, non meno, mentre i regolatori continuano a inasprire le norme sulla sicurezza online. Comprenderne i limiti, piuttosto che assumere che sia un problema risolto, è la cosa più pratica che utenti e genitori possano fare in questo momento.