LA SOGLIA E IL VARCO

1. Una convergenza regolatoria senza precedenti

Il 21 luglio 2026 il Parlamento francese ha approvato in via definitiva il divieto di accesso ai social network per i minori di quindici anni, primo Stato membro dell’Unione a tradurre in legge un orientamento politico fino a ieri privo di conseguenze operative. L’attuazione è scaglionata dal 1° settembre 2026 per i profili di nuova creazione, dal 1° gennaio 2027 per quelli preesistenti e l’onere di individuare la modalità tecnica di verifica dell’età è rimesso interamente alle piattaforme.

Il dato più significativo non è il quantum anagrafico, ma il silenzio del legislatore su due elementi decisivi, quali servizi ricadano nel perimetro del divieto e con quale metodo l’età debba essere accertata. Un divieto la cui fattispecie oggettiva e il cui presidio tecnico sono entrambi delegati all’obbligato è, sul piano dell’effettività, una norma sospesa.

Il contesto sovranazionale non è più permissivo. L’art. 28 del Regolamento (UE) 2022/2065 (DSA) impone alle piattaforme accessibili ai minori misure adeguate di tutela; le Linee guida della Commissione del luglio 2025 hanno chiarito che la mera clausola contrattuale di divieto non integra adempimento, e hanno indicato la verifica dell’età come misura raccomandata laddove una norma nazionale fissi una soglia minima. Parallelamente procede il blueprint europeo di age verification, soluzione applicativa open source basata su prova a conoscenza zero, dichiaratamente transitoria in attesa del pieno dispiegamento dell’EUDI Wallet, previsto entro la fine del 2026.

Non manca, peraltro, il conflitto istituzionale. Già nel 2023 la Commissione aveva giudicato incompatibile con il DSA una precedente disciplina francese sulla maggiore età digitale, e a inizio luglio 2026 ha emesso un parere formale contestando alla nuova legge una sovrapposizione con il regolamento e un’attribuzione eccessiva di poteri ai regolatori nazionali. Il rischio, per l’iniziativa nazionale isolata, non è soltanto l’inefficacia: è l’invalidazione.

L’Italia, sul punto, ha costruito da tempo un metodo più articolato di quello francese. Il quadro è riassunto nel riquadro che segue.

Quadro normativo di riferimento — Italia Art. 13-bis d.l. 123/2023 (decreto Caivano), conv. l. 159/2023, e delibera AGCOM 96/25/CONS: obbligo di verifica della maggiore età per siti e piattaforme di condivisione video che diffondono contenuti pornografici, secondo il modello del doppio anonimato. Impianto confermato dal TAR Lazio con le sentenze del 7 aprile 2026, con richiamo alle condizioni procedurali dell’art. 3, par. 4, dir. 2000/31/CE per i prestatori stabiliti in altri Stati membri. Art. 7-bis d.l. 28/2020, conv. l. 70/2020, e delibera 9/23/CONS: pre-attivazione gratuita del parental control sulle SIM intestate a minori, con blocco dei domini a contenuto adulto, gioco d’azzardo, violenza, autolesionismo. Art. 4, comma 4, l. 132/2025: subordinazione dell’accesso alle tecnologie di intelligenza artificiale, per i minori di quattordici anni, al consenso di chi esercita la responsabilità genitoriale. Artt. 41-42 d.lgs. 208/2021 (TUSMA) e Regolamento VSP (allegato alla delibera 298/23/CONS): poteri di rimozione, anche in via d’urgenza, dei contenuti lesivi dei minori o di incitamento all’odio. Delibera 197/25/CONS: Codice di condotta per gli influencer — divieto di contenuti gravemente nocivi secondo i criteri della delibera 52/13/CSP e di sfruttamento dell’inesperienza e della credulità dei minori. Delibera 177/24/CONS: atto di indirizzo sul patentino digitale e sui percorsi di cittadinanza digitale realizzati dai Co.re.com. nelle scuole.

È un ordinamento denso. Ed è precisamente per questo che la domanda va posta senza ipocrisia: funziona?

2. Il vizio genetico: si verifica l’account, non l’utente

Tutte le discipline richiamate condividono un presupposto implicito e mai esplicitato, che è al tempo stesso il loro punto di rottura, ossia presumono che l’entità che supera il controllo coincida con l’entità che utilizza il servizio.

Questa presunzione non ha fondamento tecnico. La verifica dell’età, in tutti i modelli oggi disponibili, è un evento puntuale, dichiarativo e non persistente si colloca nel momento dell’onboarding, produce un attributo binario (maggiore o minore di una soglia) e lo associa a un account, non a una persona fisica identificata in modo continuativo. Fra il soggetto verificato e il soggetto che digita esiste uno spazio giuridicamente non presidiato.

Da qui discendono, in modo pressoché meccanico, le classi di elusione che seguono. Le si descrive come categorie di vulnerabilità sistemica nella stessa logica con cui ne dà conto una valutazione d’impatto o una relazione peritale  e non come indicazioni operative: la loro rilevanza è normativa, non istruttiva.

a) Dissociazione fra intestatario e utilizzatore

Il parental control ex art. 7-bis d.l. 28/2020 opera sulle SIM intestate a minori. Ma nella prassi domestica italiana la SIM, il contratto di connettività e il dispositivo sono ordinariamente intestati a un adulto. Il presupposto soggettivo della norma è quindi disatteso non per frode, ma per abitudine contrattuale: la misura più tecnicamente robusta dell’intero impianto finisce per applicarsi proprio ai casi in cui il controllo familiare è già, per definizione, presente.

Lo stesso vale a monte: il dispositivo utilizzato dal minore è quasi sempre associato a un account di sistema operativo o di app store riferibile a un adulto. Ogni presidio costruito su quell’associazione eredita l’errore di attribuzione.

b) Verifica episodica contro uso continuativo

Un account verificato resta verificato. Nessuno dei sistemi in campo doppio anonimato incluso  reitera l’accertamento a ogni sessione, né lega la sessione a un fattore biometrico persistente. Un profilo legittimamente creato da un maggiorenne e successivamente utilizzato da un minore è, per l’infrastruttura, indistinguibile da un profilo conforme. È la forma di elusione più diffusa e la meno intercettabile, perché non richiede alcuna condotta tecnica, richiede soltanto un adulto disponibile o disattento.

c) Molteplicità dei profili

Il dibattito pubblico ragiona come se a ogni persona corrispondesse un account. La realtà adolescenziale è opposta: al profilo «ufficiale» quello visibile ai genitori, eventualmente conforme si affiancano profili secondari, derivati o alias, creati su credenziali diverse. Poiché la verifica è agganciata al singolo processo di registrazione e non alla persona, la conformità del profilo principale non dice nulla sugli altri. Un sistema che non correla i profili di uno stesso soggetto non misura l’esposizione reale, misura la porzione di essa che il minore ha scelto di rendere visibile.

d) Autodichiarazione residua e stima algoritmica

Dove non è imposta la verifica documentale e nella legge francese non è imposto alcunché di specifico il ripiego è l’age estimation, la stima su base biometrica o comportamentale. Essa presenta tassi di errore non trascurabili proprio nella fascia critica dei tredici-diciassette anni, dove le differenze morfologiche sono minime e l’intervallo di incertezza è più ampio della distanza che si vorrebbe discriminare. La stima produce falsi negativi (minori ammessi) e falsi positivi (maggiorenni esclusi): il primo errore vanifica la tutela, il secondo genera contenzioso.

e) Territorialità e legge applicabile

Il principio del Paese d’origine di cui all’art. 3 dir. 2000/31/CE, richiamato dal TAR Lazio, limita la capacità dello Stato membro di imporre obblighi a prestatori stabiliti altrove. A ciò si aggiunge la questione, più radicale, dei servizi stabiliti fuori dall’Unione e della determinazione della localizzazione dell’utente, che nessuna disciplina nazionale può accertare in modo non aggirabile senza ricorrere a misure di controllo del traffico costituzionalmente problematiche. Un obbligo la cui applicazione dipende da un parametro dichiarato dall’utente è un obbligo condizionato dall’utente.

f) L’effetto spostamento

È il punto sollevato con lucidità dal Commissario AGCOM Massimiliano Capitanio, e merita di essere portato alle sue conseguenze giuridiche. Se si presidia il perimetro «social network» categoria peraltro non definita dalla legge francese lasciando scoperto tutto ciò che social network non è nominalmente, il risultato non è la riduzione del rischio ma la sua migrazione.

Verso il gaming, anzitutto, con meccaniche di ingaggio, acquisti in-app, valute virtuali e sistemi a premio che ricalcano la logica della scommessa: su questo fronte l’autoregolamentazione si è mossa prima del legislatore, con le quattro nuove categorie di rischio interattivo introdotte dal PEGI a partire da giugno 2026, che spostano la classificazione dal contenuto del gioco alle sue dinamiche di funzionamento.

Verso i chatbot relazionali, che per molti adolescenti stanno diventando il primo e talvolta unico interlocutore su temi delicatissimi, in un ambito nel quale il presidio sul piano della progettazione è ancora in larga parte da costruire; la proposta di legge depositata alla Camera nell’aprile 2026 azzeramento periodico della memoria delle conversazioni a sfondo personale, estensione della verifica dell’età ai servizi conversazionali senza introdurre nuove soglie rispetto all’art. 4, comma 4, l. 132/2025, linee guida attuative affidate ad AGCOM è il tentativo di colmare proprio quell’area grigia.

Verso il betting, infine, dove la pubblicità del gioco con vincite in denaro continua a raggiungere un’utenza sempre più giovane nonostante il divieto dell’art. 9 d.l. 87/2018 e le Linee guida della delibera 132/19/CONS. I dati non sono marginali: secondo l’indagine dell’Istituto superiore di sanità sulle dipendenze comportamentali, condotta a fine 2025 su oltre diciottomila studenti, più di uno studente su sei presenta almeno un comportamento a rischio fra social media, gaming e gioco d’azzardo.

Una norma che sposta il rischio senza ridurlo non è semplicemente inefficace: è controproducente, perché consuma capitale politico e attenzione sociale producendo un’illusione di sicurezza.

3. Il paradosso della verifica: efficacia e invasività crescono insieme

Qui si apre il nodo che nessun legislatore vuole affrontare esplicitamente. Le classi di elusione descritte sono neutralizzabili solo spostando il controllo dall’account alla persona e dal servizio al dispositivo: attestazione a livello di sistema operativo, associazione anagrafica certificata del dispositivo, riverifica biometrica continuativa della sessione.

Ognuna di queste misure è, in linea di principio, tecnicamente praticabile. Ognuna comporta l’edificazione di un’infrastruttura di identificazione permanente dell’intera popolazione non dei soli minori in tensione frontale con il principio di minimizzazione (art. 5, par. 1, lett. c, GDPR), con il regime di favore per i dati biometrici (art. 9) e con l’obbligo di protezione fin dalla progettazione (art. 25).

Il doppio anonimato della delibera 96/25/CONS e le prove a conoscenza zero del blueprint europeo costituiscono la migliore risposta oggi disponibile a questa tensione, e vanno riconosciute come tali: risolvono il problema della tracciabilità della verifica. Non risolvono il problema dell’attribuzione, garantiscono che nessuno sappia chi ha verificato che cosa, non che chi ha verificato sia chi usa. Sono, tecnicamente, ortogonali al problema principale.

La conclusione è scomoda ma inevitabile: esiste una frontiera di efficienza fra efficacia del controllo e tutela della riservatezza, e la politica sta scegliendo di non dichiarare su quale punto della curva intenda collocarsi. Il divieto anagrafico privo di metodo è precisamente il modo di rinviare quella scelta, trasferendone il costo e la responsabilità  sulle piattaforme obbligate e, in ultima analisi, sulle famiglie.

4. L’anello mancante: la responsabilità che nessuno nomina

Il dibattito pubblico ha compiuto un passaggio importante e corretto: quello dalla responsabilità dell’utente alla responsabilità di chi progetta il servizio. Se un ambiente è progettato, qualcuno lo ha progettato, e di quel progetto deve rispondere. È il principio che governa da decenni la sicurezza di un’automobile o di un giocattolo e che nel digitale abbiamo tardato ad applicare.

Ma la traslazione non può essere totale, e qui l’ordinamento italiano dispone già di strumenti che il dibattito ignora. Gli artt. 147 e 316 c.c. pongono in capo ai genitori obblighi di educazione, istruzione e vigilanza; l’art. 2048, comma 1, c.c. ne fonda la responsabilità per il fatto illecito del figlio minore convivente, con presunzione superabile soltanto dalla prova di non aver potuto impedire il fatto prova che la giurisprudenza, in materia di condotte online e di cyberbullismo, ha costantemente interpretato in senso rigoroso, articolandola sia come culpa in vigilando sia, e soprattutto, come culpa in educando.

La consegna di un dispositivo connesso a un minore, senza configurazione dei controlli disponibili, senza verifica dell’intestazione della SIM, senza conoscenza dei profili attivi, non è un atto neutro è un atto di affidamento che genera obblighi. Nessuna soglia anagrafica può surrogarlo, per la ragione elementare che ogni vettore di elusione descritto al § 2 presuppone, per funzionare, un’omissione domestica: un account prestato, un dispositivo non associato, un profilo secondario non conosciuto, una SIM intestata a chi non la utilizza.

Non si tratta di riversare sulla famiglia il fallimento del legislatore sarebbe simmetricamente ingiusto, e sarebbe la stessa scorciatoia che per anni ha consentito alle piattaforme di presentarsi come contenitori neutri. Si tratta di riconoscere che il presidio tecnico e il presidio educativo non sono alternativi, ma seriali: il primo, senza il secondo, ha una vita utile misurabile in un pomeriggio.

5. Che cosa reggerebbe

Da un’analisi condotta con onestà discendono alcune indicazioni operative:

1. Perimetro funzionale, non nominale. L’obbligo va agganciato alle dinamiche di funzionamento del servizio cattura dell’attenzione, raccomandazione algoritmica, meccaniche a premio, interazione con estranei e non alla sua etichetta merceologica. È la direzione già imboccata dal PEGI e dalle Linee guida DSA; è l’unico modo di neutralizzare l’effetto spostamento.
2. Spostamento del punto di verifica a livello di dispositivo e di sistema operativo, con dichiarazione esplicita del costo in termini di riservatezza e con vincoli di minimizzazione tecnicamente imposti, non soltanto dichiarati.
3. Associazione certificata fra intestatario del contratto di connettività e utilizzatore minore, con effetti sull’attivazione automatica dei presidi: è l’unico intervento che sana alla radice il vizio soggettivo dell’art. 7-bis.
4. Riconoscimento normativo della molteplicità dei profili come fattispecie da presidiare, e non come anomalia residuale.
5. Enforcement europeo armonizzato: nessuno Stato mette in sicurezza da solo uno spazio privo di confini.
6. Alfabetizzazione digitale come infrastruttura educativa stabile non come iniziativa estemporanea e responsabilizzazione esplicita della funzione genitoriale, anche mediante chiarimento dei profili di responsabilità civile già vigenti.

6. Conclusione

Fissare una soglia d’età è una condizione necessaria e manifestamente non sufficiente. La norma francese, nella sua formulazione attuale, dichiara un obiettivo e delega integralmente il mezzo: è un enunciato di indirizzo travestito da precetto.

Il punto non è che gli adolescenti siano più abili degli adulti: è che l’architettura del controllo, così come oggi concepita, verifica un account e presume una persona. Finché quella distanza non sarà colmata sul piano tecnico, con presidi a livello di dispositivo; sul piano giuridico, con l’esplicitazione degli obblighi che gravano su chi il dispositivo lo consegna; sul piano educativo, con un investimento strutturale ogni soglia continuerà a produrre l’effetto che la letteratura regolatoria conosce da tempo: non la protezione dei minori, ma la selezione dei minori meno accompagnati, che sono esattamente quelli che la norma intendeva proteggere.

Riconoscerlo non significa rinunciare a legiferare. Significa smettere di considerare la legge un sostituto dell’educazione, e di considerare l’educazione un alibi per non legiferare.

Jacopo Lazzari