Tre sviluppi distinti sono arrivati a distanza di pochi giorni l'uno dall'altro e, insieme, delineano la direzione in cui si sta muovendo la verifica dell'età online negli Stati Uniti e oltre. Il Kids Online Safety Act (KOSA) è avanzato nuovamente al Senato, un tribunale del Nuovo Messico ha ordinato a Meta di pagare altri 567 milioni di dollari per i danni arrecati ai giovani utenti e l'Illinois si è mosso per portare la verifica dell'età fino al livello del dispositivo, anziché lasciarla alle singole app e ai singoli siti web. Oltreoceano, l'autorità di regolamentazione britannica Ofcom sta esaminando la dipendenza di TikTok dall'"inferenza dell'età" basata sui dati piuttosto che dalla verifica diretta, un'anticipazione del controllo che presto potrebbero affrontare anche le piattaforme statunitensi.

Presi singolarmente, ognuno di questi episodi è un aggiornamento normativo. Considerati insieme, mostrano uno schema: legislatori, autorità di regolamentazione e tribunali stanno convergendo sull'idea che le piattaforme debbano sapere quanti anni hanno i propri utenti e, sempre più spesso, che questa informazione dovrebbe risiedere più vicino all'hardware stesso. Questo cambiamento ha conseguenze reali per chiunque tenga alla privacy, non solo per i minori che le leggi intendono proteggere.

Tre fronti nella stessa battaglia

Il ritorno del KOSA al Senato non è il suo primo passaggio attraverso l'iter legislativo. Il disegno di legge era già stato approvato in precedenza da una commissione del Senato tra persistenti avvertimenti da parte dei gruppi per le libertà civili sulle implicazioni per la libertà di parola e la privacy, e aveva anche superato la Commissione Commercio del Senato insieme ad altri tre disegni di legge con un sostegno bipartisan. La sua ricomparsa segnala che i legislatori restano determinati ad approvare una qualche versione di legge sulla sicurezza dei minori, anche mentre le questioni di fondo sulla verifica dell'età restano irrisolte.

Nel frattempo, un tribunale del Nuovo Messico ha ordinato a Meta di pagare 567 milioni di dollari, l'ultima di una serie di sanzioni legate alla gestione dei giovani utenti su Instagram e Facebook da parte dell'azienda. Multe di questa entità inviano un segnale chiaro a tutte le principali piattaforme: le autorità di regolamentazione e i tribunali sono disposti a imporre conseguenze finanziarie significative quando si ritiene che le aziende abbiano deluso i giovani utenti, e questa pressione sta spingendo le piattaforme verso misure di verifica dell'età più aggressive per conto proprio.

Poi c'è l'Illinois, che sta adottando un approccio strutturalmente diverso. Invece di richiedere a ogni app o sito web di verificare autonomamente l'età di un utente, lo Stato sta spostando la verifica a livello di dispositivo. In teoria, ciò significa che telefono, tablet o computer stesso conterrebbe una qualche forma di credenziale di età che le app potrebbero controllare, invece di far raccogliere a ogni piattaforma la propria prova dell'età.

Il compromesso sulla privacy di cui nessuno parla

La verifica a livello di dispositivo sembra efficiente sulla carta. Invece di caricare il proprio documento d'identità su una dozzina di app diverse, il dispositivo se ne occupa una sola volta. Ma qui l'efficienza ha un prezzo: centralizza dati sensibili, come l'età e, potenzialmente, i documenti d'identità usati per confermarla, in un modo che potrebbe rendere i dispositivi stessi bersagli attraenti per la raccolta dati, il tracciamento o le violazioni. Solleva anche la questione di chi controlli quella credenziale, per quanto tempo venga conservata e se possa essere riutilizzata per tracciare comportamenti che vanno oltre la semplice conferma dell'età.

È questa la tensione al centro della spinta alla verifica dell'età. I sostenitori della sicurezza dei minori sostengono che le piattaforme abbiano bisogno di prove reali dell'età per tenere i minori lontani da contenuti dannosi. I difensori della privacy ribattono che i sistemi di verifica, per quanto ben intenzionati, tendono a normalizzare la raccolta di dati identificativi e il tracciamento comportamentale ben oltre il loro scopo originario. Una volta che esiste un'infrastruttura di verifica, sia a livello di app sia a livello di dispositivo, la tentazione di usarla per pubblicità, profilazione o altri scopi secondari non sparisce da sola.

TikTok e il Regno Unito: un'anticipazione di ciò che arriverà

L'indagine di Ofcom su TikTok offre uno scorcio di come questi dibattiti si sviluppano una volta che i sistemi di verifica sono già in vigore. In base all'Online Safety Act del Regno Unito, Ofcom ha criticato l'approccio di "inferenza dell'età" di TikTok, che cerca di stimare se un utente sia un bambino in base ai dati comportamentali e ai segnali dell'account anziché richiedere una prova diretta dell'età. La preoccupazione dell'autorità di regolamentazione è semplice: l'inferenza non è verifica e, se il sistema non riesce a individuare in modo affidabile gli utenti minorenni, fallisce nel suo scopo principale di proteggere i bambini dai contenuti dannosi.

Ma l'inferenza dell'età stessa dipende dalla raccolta e dall'analisi del comportamento degli utenti su larga scala, che è di per sé una forma di raccolta dati. Che le piattaforme si affidino all'inferenza o alla verifica rigorosa, la tendenza di fondo è la stessa: vengono raccolti più dati sugli utenti in nome della sicurezza, e quei dati devono risiedere da qualche parte, essere conservati per un certo periodo ed essere protetti dagli abusi.

Cosa significa per te

Se sei un genitore, questi sviluppi suggeriscono che presto un numero maggiore di piattaforme chiederà prove di età più solide, tramite caricamento di documenti, stima biometrica o credenziali a livello di dispositivo. Se sei semplicemente un utente di internet attento alla privacy, vale la pena prestare attenzione a come questi sistemi trattano i tuoi dati una volta raccolti, per quanto tempo vengono conservati e se vengono condivisi al di là dello scopo immediato di confermare la tua età.

Strumenti come le VPN e i browser cifrati non esenteranno nessuno dai requisiti di verifica dell'età integrati nelle app o nei sistemi operativi, ma restano utili per limitare l'esposizione non necessaria dei dati altrove, in particolare per quanto riguarda le abitudini di navigazione, il tracciamento della posizione e gli intermediari di dati terzi che operano indipendentemente da questi nuovi sistemi di accesso basato sull'età.

Consigli pratici

Tieniti informato su quali app e servizi che usi stanno adottando la verifica dell'età e leggi le informative sulla privacy che accompagnano questi cambiamenti, poiché i termini di conservazione e condivisione dei dati spesso cambiano insieme ai nuovi requisiti di verifica. Se la verifica a livello di dispositivo arriva sul tuo telefono o computer, controlla quali impostazioni governano quella credenziale e se può essere limitata ad app specifiche invece di essere condivisa in modo ampio. E continua a seguire come si evolve il KOSA al Senato. Il suo testo finale probabilmente plasmerà gli standard di verifica dell'età a livello nazionale, rendendolo uno dei dibattiti sulla privacy più rilevanti dell'anno per chiunque usi i social media, sia come genitore, sia come adolescente, sia come semplice cittadino privato.