Il senatore Andy Kim ha presentato la bozza del Digital Age Assurance Act, una proposta federale che cambierebbe il modo in cui funziona la verifica dell'età su Internet spostando la responsabilità dalle singole app al livello dell'app store o del dispositivo. Secondo quanto riportato da Politico, il testo ricalca da vicino una legge della California che ha già ottenuto il consenso delle grandi aziende tecnologiche, un segnale che questo approccio potrebbe guadagnare terreno a Washington anche mentre politiche simili accendono dibattiti sulla privacy altrove.
Il disegno di legge arriva in un momento in cui i legislatori di tutto il paese sono alle prese con come tenere i minori lontani da contenuti per adulti e piattaforme social senza trasformare ogni sito web in un checkpoint digitale che richiede una patente o una scansione del volto. La proposta di Kim rappresenta un cambiamento di rotta significativo: invece di obbligare migliaia di singole app a verificare l'età degli utenti per conto proprio, spesso tramite caricamenti invasivi di documenti o scansioni biometriche, la responsabilità ricadrebbe sugli app store come l'App Store di Apple o Google Play, che confermerebbero una volta per tutte la fascia d'età di un utente e trasmetterebbero un segnale agli sviluppatori.
Perché i controlli dell'età a livello di app store stanno guadagnando terreno
Il modello basato sull'app store è diventato popolare nel settore tecnologico per una ragione semplice: concentra un problema di compliance disordinato e frammentato in un unico punto di verifica. Invece di far raccogliere a ogni creatore di app documenti d'identità sensibili, l'app store lo fa una volta sola e gli sviluppatori ricevono soltanto un segnale di base sull'età, come ad esempio se l'utente ha più o meno di 18 anni. Sia Apple che Google hanno pubblicamente favorito questo approccio in vari dibattiti statali, e il fatto che la bozza federale di Kim riecheggi una legge della California già sostenuta dall'industria suggerisce che i legislatori vedano in questo un raro punto di convergenza tra regolatori e aziende tecnologiche.
Per gli sviluppatori più piccoli, questo potrebbe ridurre notevolmente l'onere di conformità. Non avrebbero più bisogno di costruire o mantenere i propri sistemi di verifica dell'età, un'attività costosa e giuridicamente rischiosa dato il mosaico di leggi statali già in vigore. Per gli utenti, la promessa è che un numero minore di app gestisca direttamente dati d'identità sensibili, riducendo in teoria i luoghi in cui una data di nascita, la scansione di un documento o una foto del volto potrebbero essere esposti in una violazione.
Il compromesso sulla privacy di cui non si parla abbastanza
Ma centralizzare la verifica dell'età a livello di app store o di sistema operativo non elimina il rischio per la privacy, lo trasferisce soltanto. Se Apple, Google o un gatekeeper simile diventano l'unica fonte di verità per l'età di un utente su ogni app di un dispositivo, si crea un punto concentrato di raccolta dati e di potenziale fallimento. Una violazione o un uso improprio a quel livello non colpirebbe la base utenti di una sola app, ma potrebbe toccare quasi ogni persona che possiede uno smartphone.
Non si tratta di una preoccupazione ipotetica. I sistemi centralizzati di verifica dell'età hanno già incontrato seri problemi altrove. L'app standardizzata di verifica dell'età dell'UE è stata violata nel giro di pochi minuti dal lancio, un chiaro promemoria che costruire un unico livello di verifica fidato non significa automaticamente costruirne uno sicuro. I ricercatori di sicurezza hanno trovato un modo per aggirare lo strumento europeo quasi immediatamente dopo la sua attivazione, minando la premessa stessa che consolidare la verifica in un unico sistema renda Internet più sicura per i minori o più privata per gli adulti.
C'è anche uno schema più ampio da osservare: una volta che un governo o una piattaforma costruisce un'infrastruttura in grado di identificare chi sta usando cosa e su quale dispositivo, quell'infrastruttura può essere riutilizzata. I sistemi centralizzati di controllo digitale hanno la tendenza a espandersi ben oltre il loro scopo originario, una dinamica visibile nel modo in cui la Cina si è mossa per bloccare categorie più ampie di accesso a Internet dall'estero attraverso controlli di rete centralizzati inizialmente giustificati su basi più ristrette. I sistemi di assicurazione dell'età non sono la stessa cosa dei firewall nazionali, ma la lezione di fondo rimane: un'infrastruttura costruita per uno scopo tende a essere usata per altri.
Cosa significa per te
Se il Digital Age Assurance Act o leggi statali simili andassero avanti, la maggior parte degli utenti non dovrà caricare un documento d'identità su ogni app che scarica. Invece, il dispositivo o l'account dell'app store conterrà probabilmente uno stato anagrafico verificato che verrà condiviso selettivamente con le app che lo richiedono. Si tratta di un cambiamento significativo rispetto al panorama attuale, in cui alcune piattaforme già richiedono scansioni di documenti o riconoscimento facciale direttamente.
Tuttavia, questo non significa che le preoccupazioni sulla privacy spariscano. Chiunque controlli quel segnale anagrafico centralizzato, che sia Apple, Google o un servizio di verifica gestito dallo Stato, diventa un bersaglio di alto valore per gli hacker e un potenziale punto di leva per future richieste di dati. Gli utenti dovrebbero prestare attenzione a quali dati vengono effettivamente raccolti per stabilire l'età (una data di nascita, un documento d'identità governativo, dati biometrici) e per quanto tempo tali dati vengono conservati, non solo al luogo in cui avviene la verifica.
Punti chiave
Il disegno di legge di Kim è ancora in forma di bozza e il suo percorso al Congresso è tutt'altro che certo. Ma riflette un cambiamento reale nel modo in cui legislatori e aziende tecnologiche affrontano la verifica dell'età: meno app che gestiscono direttamente dati sensibili, ma più responsabilità concentrate in un numero minore di gatekeeper. I lettori dovrebbero osservare come queste proposte definiscono le regole sulla conservazione dei dati, cosa succede se il sistema di verifica centrale viene violato e se gli utenti ottengono un modo significativo per rinunciare o contestare determinazioni errate dell'età. Come per qualsiasi sistema di verifica dell'età, i dettagli dell'implementazione conteranno molto più della promessa di un Internet più semplice e privato che fa da titolone.
