Il KIDS Act: come i controlli dell’età costruiscono un sistema di sorveglianza

Un disegno di legge presentato come misura per la sicurezza dei minori sta sollevando forti allarmi tra i difensori della privacy, i quali affermano che realizzerebbe qualcosa di molto più ampio: costruire un’infrastruttura di sorveglianza permanente per l’intera Internet. In un recente editoriale, India McKinney, analista politica della Electronic Frontier Foundation, sostiene che il KIDS Act sia «molto peggio del “digital carding”» e che il solo fatto che i legislatori lo stiano prendendo in considerazione dovrebbe rappresentare un campanello d’allarme per chiunque tenga alla privacy e alla libertà di espressione online.

Il problema centrale, secondo McKinney, non è che il disegno di legge colpisca malintenzionati o contenuti dannosi. Il punto è che i meccanismi necessari per applicarlo – verifiche universali dell’età, moderazione dei contenuti guidata dal governo e monitoraggio a livello di piattaforma – una volta implementati non scompaiono. Diventano elementi permanenti del modo in cui gli americani accedono a Internet, a prescindere dall’età.

Cosa richiederebbe concretamente il KIDS Act

Alla base, il KIDS Act spingerebbe le piattaforme online a verificare l’età di ogni utente, non solo di quelli sospettati di essere minorenni. Questo significa che anche gli adulti dovrebbero dimostrare chi sono, spesso tramite documento d’identità governativo, scansioni facciali o servizi di verifica di terze parti, soltanto per accedere a normali siti web e app. Il disegno di legge include inoltre disposizioni per una moderazione guidata dal governo, conferendo di fatto ai regolatori un’influenza su quali contenuti le piattaforme possano consentire, anche per gli utenti adulti.

Si tratta di un approccio significativamente diverso da un semplice filtro anagrafico su un prodotto specifico. Invece di un controllo mirato, è un requisito strutturale incorporato nel funzionamento dei servizi online. Una volta che le piattaforme costruiscono i sistemi per raccogliere e verificare i dati identificativi su larga scala, quell’infrastruttura resta in vigore a tempo indeterminato. Può essere riutilizzata, ampliata o sottoposta a mandato di comparazione molto tempo dopo che la giustificazione originale della sicurezza dei minori è scomparsa dal dibattito pubblico.

Come la verifica dell’età diventa un sistema di sorveglianza

Il salto da «verifica dell’età» a «sorveglianza di massa» non è ipotetico. I sistemi di verifica dell’età obbligano le piattaforme a raccogliere dati identificativi sensibili – numeri di documenti governativi, scansioni biometriche o dati comportamentali usati per stimare l’età – e a conservarli o trasmetterli da qualche parte. Ogni dato in più raccolto è un ulteriore patrimonio che può essere violato, oggetto di mandati di comparizione o usato in modo improprio.

Questa preoccupazione non riguarda solo il KIDS Act. Un documento di ricerca del Center for Growth and Opportunity, che avverte che la verifica dell’età mette a rischio la privacy, presenta prove che i sistemi di verifica dell’età creano costantemente esposizione della privacy anche quando progettati con buone intenzioni. I risultati dello studio confermano ciò che sostiene McKinney: una volta che si richiede un controllo d’identità per accedere a Internet, si è costruito un apparato di sorveglianza, che questo fosse o meno l’obiettivo dichiarato.

Anche la scala è importante. Un filtro anagrafico ristretto, legato a un prodotto specifico, riguarda una piccola porzione di Internet. Un mandato federale che si applica genericamente alle «piattaforme coperte» riguarda quasi chiunque vada online, adulti compresi. È questa la distinzione che McKinney traccia quando afferma che questo va oltre il “digital carding”: non è un posto di controllo, è un requisito d’ingresso per Internet stesso.

Il legame con Chat Control e le backdoor nella crittografia

Il KIDS Act non esiste isolatamente. Fa parte di uno schema più ampio che si sta delineando in diverse giurisdizioni, in cui la legislazione sulla sicurezza dei minori diventa il veicolo per un maggiore accesso governativo all’attività online. La proposta di Chat Control dell’Unione Europea e l’Online Safety Act del Regno Unito seguono uno schema simile: imporre la scansione o la verifica in nome della protezione dei bambini e, così facendo, costruire strumenti che indeboliscono la crittografia e ampliano la capacità di monitoraggio per tutti.

Come spiegato nel nostro approfondimento su Chat Control, Online Safety Act e KIDS Act, questi tre sforzi condividono un filo conduttore: la crittografia stessa diventa un bersaglio. I requisiti di scansione dei contenuti spesso non possono funzionare insieme a una vera crittografia end-to-end, il che significa che le piattaforme subiscono pressioni per indebolire i propri modelli di sicurezza o per creare backdoor che compromettono le protezioni della privacy per tutti gli utenti, non solo per i minori.

L’esperienza del Regno Unito è istruttiva in questo senso. I regolatori britannici alla fine hanno respinto le restrizioni alle VPN previste dall’Online Safety Act dopo aver riconosciuto la difficoltà pratica e politica di vietare del tutto gli strumenti per la privacy. Quella decisione è arrivata dopo che alcune ricerche avevano mostrato che i minori usano le VPN principalmente per motivi di privacy, non per aggirare i controlli dell’età, smontando una delle giustificazioni principali che i regolatori avevano usato per valutare le restrizioni alle VPN.

Cosa significa per te

Se il KIDS Act o una legislazione simile dovesse avanzare, aspettiamoci che i requisiti di verifica tocchino molto più dei siti per adulti. Social media, forum e piattaforme generiche potrebbero essere obbligati a confermare la tua identità prima di concedere l’accesso. Per gli utenti comuni, questo significa consegnare dati personali sensibili solo per usare servizi che già oggi utilizzi.

È probabile che ciò acceleri l’interesse verso le VPN, le app di messaggistica crittografata e altri strumenti per la privacy, man mano che le persone cercano modi per ridurre la propria esposizione ai sistemi di raccolta delle identità. È una risposta razionale, ma è anche un segnale di come le politiche in questo ambito tendano a creare esattamente quel tipo di comportamenti elusivi che i regolatori affermano di voler prevenire. L’esperienza del Regno Unito suggerisce già che obblighi di verifica troppo invasivi spingono gli utenti verso gli strumenti di privacy anziché allontanarli.

Punti chiave

Il dibattito sul KIDS Act ricorda che l’etichetta «sicurezza dei minori» non produce automaticamente risultati a favore dei minori. Prima che questa o una legislazione simile proceda oltre, vale la pena capire cosa si sta realmente costruendo: un’infrastruttura di verifica con implicazioni che vanno ben oltre lo scopo dichiarato.

Per i lettori che desiderano un quadro normativo più completo, la nostra guida su Chat Control, Online Safety Act e KIDS Act illustra come questi tre interventi si intersecano sul tema della crittografia. E per chi vuole la tesi, basata su evidenze, contro la verifica obbligatoria dell’età, il documento di ricerca del CGO sui rischi per la privacy legati alla verifica dell’età è una risorsa utile per capire cosa sia davvero in gioco prima che questi sistemi diventino permanenti.