Un nuovo approccio alla verifica dell’età emerge al Congresso

Un gruppo bipartisan di senatori, tra cui Andy Kim, Adam Schiff, Cynthia Lummis e John Barrasso, ha presentato una proposta di legge nota come Digital Age Assurance Act. Il disegno di legge propone un approccio radicalmente diverso al modo in cui le app e i siti web confermano l’età di un utente: anziché che ogni piattaforma raccolga indipendentemente documenti di identità, selfie o altri dati sensibili, i sistemi operativi stessi raccoglierebbero l’età dell’utente una volta sola e la inoltrerebbero alle app tramite un semplice segnale anagrafico via API ogni volta che fosse necessario.

Questo segna un allontanamento dal mosaico di leggi statali sulla verifica dell’età che si sono moltiplicate negli ultimi anni, molte delle quali richiedono alle singole app o ai siti web di verificare l’identità direttamente, spesso tramite il caricamento di documenti o scansioni facciali. La proposta federale, invece, centralizza tale responsabilità a livello di dispositivo o di account, facendo di Apple, Google, Microsoft e degli altri fornitori di sistemi operativi i principali raccoglitori dei dati anagrafici.

Come funzionerebbe concretamente la garanzia dell’età a livello di sistema operativo

Secondo l’architettura descritta nella legge, la raccolta dell’età avverrebbe durante la configurazione dell’account del sistema operativo, lo stesso processo che gli utenti già affrontano quando configurano un nuovo telefono, tablet o computer. Una volta stabilita l’età, il sistema operativo genererebbe un segnale anagrafico – non necessariamente una data di nascita esatta o un documento d’identità governativo, ma un indicatore categoriale (come “maggiore di 18 anni” o “minore di 13 anni”) – che verrebbe trasmesso alle app e ai siti web che lo richiedono.

I sostenitori sostengono che questo riduca il numero di volte in cui documenti d’identità sensibili passano di mano. Invece di caricare la patente di guida su una dozzina di app diverse, ciascuna con le proprie pratiche di conservazione dei dati e il proprio livello di sicurezza, gli utenti verificherebbero la propria età una volta sola a livello di sistema operativo. Le app si limiterebbero a interrogare quel segnale tramite un’API, senza dover costruire o acquistare una propria infrastruttura di verifica dell’età.

Il compromesso è la centralizzazione. Invece di essere sparsi (e duplicati) su molte piattaforme, i dati anagrafici si concentrerebbero in un numero ristretto di fornitori di sistemi operativi, i quali detengono già enormi quantità di informazioni sui propri utenti. I critici di proposte simili a livello statale, come quella in sospeso in California secondo le discussioni pubbliche sul testo del disegno di legge, hanno sollevato preoccupazioni sul fatto che i controlli obbligatori dell’età a livello di sistema operativo potrebbero funzionare come un livello di identità de facto per l’intera Internet, poiché i sistemi operativi conoscerebbero non solo l’età di un utente, ma potenzialmente anche quali app stanno richiedendo quel segnale e quando.

Confronto con l’attuale verifica basata sulle app

Il panorama odierno della verifica dell’età è frammentato. Alcuni Stati richiedono alle piattaforme di verificare l’età tramite il caricamento di documenti, controlli su carte di credito o software di stima dell’età facciale. Ciascun metodo presenta i propri rischi per la privacy: i documenti caricati possono essere violati, le scansioni facciali richiedono l’elaborazione di dati biometrici e i controlli sulle carte di credito escludono gli utenti sprovvisti di conti finanziari. Poiché la verifica avviene separatamente su ciascuna piattaforma, gli stessi dati sensibili vengono spesso raccolti e conservati in modo ridondante su molti servizi.

Il modello basato sul sistema operativo punta a ridurre tale ridondanza tramite un segnale anagrafico unico e standardizzato che accompagna l’utente. In teoria, ciò limita il numero di soggetti che gestiscono documenti d’identità grezzi. In pratica, trasferisce un potere e una responsabilità significativi a una manciata di produttori di sistemi operativi, sollevando domande su quanto a lungo verrebbero conservati i dati anagrafici, chi potrebbe richiederli e se potrebbero in seguito essere collegati ad altri dati che queste aziende già raccolgono, come la posizione, l’uso delle app o l’attività dell’account.

Questi interrogativi riecheggiano dibattiti più ampi sulla sorveglianza e sulla raccolta dei dati che si sono svolti in altri ambiti della politica federale. Le preoccupazioni su come i quadri normativi per la raccolta di dati, governativi e commerciali, vengano effettivamente implementati, e se il controllo tenga il passo con le protezioni della privacy dichiarate, sono emerse ripetutamente, anche nelle rivelazioni del senatore Wyden sui fallimenti di conformità alla Sezione 702 del FISA, che hanno mostrato come le buone intenzioni legislative non sempre si traducano in un’applicazione coerente.

Cosa significa per te

Se questa legge, o qualcosa di simile, entrasse in vigore, il modo in cui dimostri la tua età online potrebbe cambiare significativamente. Invece di caricare ripetutamente documenti d’identità sulle singole app e siti web, il tuo dispositivo o l’account del sistema operativo si occuperebbe di questa verifica una volta sola, condividendo solo un segnale anagrafico limitato quando necessario. Per molti utenti, questo potrebbe significare meno casi in cui documenti sensibili vengono conservati su server di terze parti.

Ma significa anche che i fornitori di sistemi operativi assumerebbero un nuovo ruolo, più centralizzato, nella verifica dell’identità, diventando di fatto dei guardiani per i contenuti con limiti di età su tutta Internet. Il modo in cui tali dati saranno protetti, minimizzati e governati sarà di enorme importanza. Il disegno di legge è ancora nelle fasi iniziali e le salvaguardie tecniche e di privacy che accompagneranno una qualsiasi versione finale determineranno se questo approccio migliora davvero la privacy o semplicemente sposta il rischio altrove.

Punti chiave

  • Il Digital Age Assurance Act richiederebbe ai sistemi operativi, e non alle singole app, di verificare l’età degli utenti e trasmettere un segnale che preservi la privacy tramite API.
  • Ciò potrebbe ridurre la raccolta ridondante di documenti d’identità su più piattaforme, ma concentra i dati anagrafici presso i principali fornitori di sistemi operativi.
  • Presta attenzione ai dettagli sulla conservazione dei dati, sulla supervisione e sulla possibilità che i segnali anagrafici possano essere collegati ad altri dati già in possesso di queste aziende.
  • Man mano che questa proposta legislativa avanza al Congresso, confrontala con le leggi statali sulla verifica dell’età per capire come i tuoi dati personali potrebbero essere trattati diversamente a seconda del luogo in cui vivi.
  • Tieniti informato: politiche come questa potrebbero rimodellare la privacy mobile ben oltre la verifica dell’età, influenzando la fiducia che gli utenti ripongono nei fornitori di sistemi operativi in futuro.