Un bug scoperto da un ricercatore (e da un’IA)

La vulnerabilità “wp2shell” nasce dall’indagine di Adam Kues, ricercatore di sicurezza presso Assetnote / Searchlight Cyber, che ha analizzato il core di WordPress usando il modello di intelligenza artificiale GPT‑5.6 “Sol Ultra”.
Nel corso di questa analisi, l’IA ha contribuito a individuare e concatenare due difetti distinti nel codice – una SQL injection e un errore di gestione delle rotte nella REST API – in un’unica catena di attacco capace di portare da un semplice input HTTP anonimo alla completa esecuzione di codice sul server.

Parallelamente, altri ricercatori – indicati con gli handle TF1T, dtro e haongo – hanno segnalato al team di sicurezza di WordPress la componente di SQL injection, poi catalogata come CVE‑2026‑60137.
La parte più critica, CVE‑2026‑63030, ovvero la “confusione” tra le rotte batch della REST API e i normali handler che consente di aggirare i controlli e arrivare alla Remote Code Execution, è invece attribuita direttamente ad Adam Kues e al suo lavoro con Searchlight Cyber.

Cronologia: dalla scoperta alla patch

Secondo la ricostruzione fornita da fonti tecniche e blog di sicurezza, la catena wp2shell è stata riportata al programma di bug bounty di WordPress (HackerOne) prima della metà di luglio 2026.
Il 17 luglio 2026 WordPress ha rilasciato d’urgenza la versione 7.0.2, un aggiornamento di sicurezza che corregge entrambe le vulnerabilità, con backport sulle versioni precedenti (6.9.5 e 6.8.6) e forzando gli update automatici per milioni di installazioni interessate.

Nei primi giorni dopo la patch, i dettagli tecnici completi della catena di exploit sono stati volutamente tenuti parzialmente riservati, per dare ai difensori il tempo di aggiornare i sistemi prima che il codice di attacco circolasse pubblicamente.
Già entro il 20–21 luglio, però, diversi CERT nazionali e siti specializzati hanno segnalato prove di sfruttamento reale della vulnerabilità, con exploit automatizzati che scandagliano la rete alla ricerca di siti WordPress non aggiornati.

Natura tecnica della vulnerabilità

Wp2shell è una catena di due bug nel core di WordPress, sfruttabile anche su installazioni “pulite”, senza alcun plugin di terze parti.
Il primo tassello è CVE‑2026‑60137, una SQL injection facilitata in una componente di query del core: permette a un attaccante non autenticato di manipolare il database inviando richieste appositamente costruite.

Il secondo tassello, CVE‑2026‑63030, riguarda l’endpoint batch della REST API: a causa di una gestione errata delle rotte, WordPress può validare una sub‑richiesta rispetto a un handler, ma poi eseguirla con un altro, di fatto bypassando la funzione di validazione e aprendo la strada all’esecuzione arbitraria di codice.
Concatenando questi due difetti in una sola richiesta HTTP, un attaccante anonimo può creare account amministratore nascosti, caricare plugin malevoli, installare web shell persistenti e trasformare il sito in una piattaforma per spam, phishing o ulteriore movimento laterale all’interno del server.

Le versioni impattate includono WordPress 6.8, l’intera serie 6.9 fino alla 6.9.4 e le release 7.0.0–7.0.1, oltre a una build beta di WordPress 7.1.
Le versioni 7.0.2, 6.9.5 e 6.8.6 vengono indicate come correttive, in quanto chiudono la finestra di attacco per entrambe le vulnerabilità, mentre le release precedenti alla 6.8 sono considerate non affette dalla catena wp2shell.

Quanti siti sono a rischio nel mondo

WordPress alimenta circa il 40% di tutti i siti presenti su Internet, secondo stime consolidate riportate da numerosi osservatori di sicurezza: questo significa centinaia di milioni di installazioni attive.
Proprio per questa ubiquità, una vulnerabilità nel core – e non in un singolo plugin – ha un impatto potenziale ben superiore, perché colpisce indiscriminatamente blog personali, siti di news, e‑commerce, portali istituzionali e progetti editoriali di ogni scala.

Le stime più prudenti indicano “oltre 400 milioni” di siti che hanno eseguito o eseguono una versione vulnerabile della serie 6.9.x o 7.0.x, anche se questo numero include installazioni già aggiornate dopo l’uscita della patch.
Un’analisi su un campione di 3.500 siti, condotta dal consulente di sicurezza Daniel Card, ha rilevato che meno del 15% risultava ancora vulnerabile nei giorni successivi al rilascio della 7.0.2: applicando questa percentuale al bacino complessivo, si arriva comunque a una stima di circa 90 milioni di siti ancora esposti.

Altre fonti qualitativamente simili parlano di “decine di milioni di siti in pericolo” e di “milioni di pagine web” su cui WordPress ha forzato l’aggiornamento per ridurre la superficie di attacco.
La cifra più ampia, spesso citata nei comunicati, è quella di “oltre 500 milioni di pagine” potenzialmente interessate, cioè l’intero universo di installazioni WordPress che, in teoria, potrebbero trovarsi su una versione vulnerabile se non aggiornate.

Un caso emblematico del nuovo rapporto fra AI e sicurezza

L’elemento che rende wp2shell particolarmente significativo sul piano giornalistico è il modo in cui è stato scoperto: non solo da un ricercatore umano, ma da una collaborazione stretta fra analista e sistema di intelligenza artificiale avanzato.
Adam Kues ha spiegato che GPT‑5.6 Sol Ultra ha impiegato poche ore per scrivere la catena di attacco completa – dalla SQL injection alla Remote Code Execution – mentre comprendere pienamente la logica generata ha richiesto al ricercatore molto più tempo.

Il caso wp2shell entra così nel dibattito più ampio su come l’IA generativa possa diventare uno strumento di potenziamento, non solo per gli sviluppatori e i difensori, ma anche, potenzialmente, per gli aggressori che cercano vulnerabilità ad alto impatto economico e operativo.
La stessa Searchlight Cyber ha pubblicato analisi in cui nota come exploit broker siano disposti a pagare centinaia di migliaia di dollari per una RCE nel core di WordPress, a conferma del valore strategico di bug come wp2shell nel mercato delle vulnerabilità.

Dal 7 luglio 2026 tutte le nuove auto immatricolate nell’Unione Europea dovranno essere dotate di un sistema di Advanced Driver Distraction Warning, un dispositivo che, di fatto, introduce una telecamera interna puntata sul conducente come requisito standard di sicurezza. Dietro una formula apparentemente tecnica si apre però un fronte molto più ampio, che riguarda la natura stessa del controllo digitale a bordo dei veicoli, il trattamento dei dati biometrici e la capacità reale dei cittadini di capire e verificare cosa viene registrato, elaborato e potenzialmente conservato.

Il quadro normativo europeo: da GSR2 all’ADDW

Il pilastro giuridico di questo passaggio è il Regolamento (UE) 2019/2144, noto come General Safety Regulation o GSR2, che ridefinisce i requisiti di omologazione dei veicoli in funzione della sicurezza generale e della protezione degli utenti vulnerabili della strada. La norma stabilisce che i veicoli delle categorie M e N, quindi dalla classica vettura privata al veicolo commerciale, debbano essere equipaggiati con sistemi avanzati di avviso di distrazione del conducente, con obbligo per i nuovi tipi dal 7 luglio 2024 e per tutte le nuove immatricolazioni dal 7 luglio 2026.

L’Advanced Driver Distraction Warning viene definito come “un sistema che aiuta il conducente a continuare a prestare attenzione alla situazione del traffico e lo avverte quando è distratto”, una formulazione che sembra neutra, ma che in pratica richiede una valutazione continua del livello di attenzione visiva del guidatore. Per tradurre questa definizione in specifiche tecniche la Commissione ha adottato il Regolamento Delegato (UE) 2023/2590, che dettaglia procedure di prova e requisiti hardware e software, codificando il salto qualitativo: non si tratta più solo di sensori sul volante o algoritmi che interpretano la traiettoria dell’auto, ma di sistemi di eye tracking basati su telecamere ad infrarossi montate sul piantone dello sterzo, sul cruscotto o vicino allo specchietto interno.

La stessa Commissione europea, in una nota divulgativa in inglese intitolata “Safer cars, safer roads: New rules take effect”, inserisce gli advanced driver distraction warning tra i “life-saving systems” obbligatori su tutte le nuove passenger cars e vans, al pari della frenata automatica avanzata e dei sistemi di rilevamento dei pedoni. In termini di narrazione istituzionale, l’ADDW viene quindi presentato come un tassello necessario di una più ampia strategia per ridurre drasticamente gli incidenti legati alla distrazione, soprattutto l’uso dello smartphone alla guida.

Come funziona tecnicamente un sistema ADDW

Sul piano tecnico l’ADDW è progettato per monitorare la direzione dello sguardo del conducente, la posizione della testa e in generale il campo visivo, identificando quando l’attenzione si sposta troppo a lungo lontano dalla strada. Per farlo, la regolamentazione europea definisce una “distracted vision area”, una zona visiva verso il basso che include tipicamente grembo, tunnel centrale, area del telefono, zona del passeggero anteriore e alcune aree del cruscotto non direttamente legate alla guida.

Secondo le specifiche tecniche illustrate da analisi come quella di InterRegs e da documenti di supporto pubblicati dall’Ufficio delle Pubblicazioni dell’UE, il sistema deve attivarsi automaticamente a velocità superiori a 20 km/h, funzionare sia di giorno sia di notte e mantenere le sue prestazioni in diverse condizioni di illuminazione. La logica è quella di misurare il tempo di permanenza dello sguardo in questa zona “distratta”: tra 20 e 50 km/h il sistema deve emettere un avviso se lo sguardo resta fisso nell’area definita per più di 6 secondi, mentre oltre i 50 km/h la soglia si riduce a 3,5 secondi.

Quando la distrazione viene rilevata, l’ADDW deve generare un avviso visivo, accompagnato da un segnale acustico e/o aptico, con la possibilità di intensificare l’allarme finché il conducente non riprende a guardare la strada. Dal punto di vista hardware il cuore del sistema è una telecamera, spesso ad infrarossi per operare anche al buio, collegata a un’unità elettronica che esegue algoritmi di computer vision e intelligenza artificiale, addestrati per riconoscere il volto, la direzione degli occhi, l’orientamento del capo e talvolta anche la frequenza di ammiccamento.

Questo tipo di tecnologia, già utilizzata nei sistemi di driver monitoring di fascia alta e nei veicoli semi autonomi, viene ora generalizzata: da optional di lusso diventa una dotazione standard obbligatoria, con un impatto potenzialmente enorme sul parco circolante nei prossimi anni.

Sicurezza stradale contro libertà personale: il nodo privacy

Se sul fronte della sicurezza la logica appare chiara, è sul piano della protezione dei dati e della sorveglianza che la partita si fa più opaca. Le norme tecniche europee, così come diversi report commissionati dalla stessa UE, insistono sul fatto che i sistemi ADDW devono essere progettati secondo i principi di data protection by design and by default, limitando al massimo la raccolta e il trattamento di dati personali.

Alcune analisi in lingua inglese, come il rapporto “Technical support to assess the upgrades necessary to the advanced driver distraction warning systems” e articoli tecnici dedicati, sottolineano che i dati devono essere elaborati localmente nel veicolo, in tempo reale, e non devono essere conservati né trasmessi a terzi, salvo esigenze strettamente tecniche documentate. L’idea è che l’ADDW debba limitarsi a produrre un segnale binario di “distrazione sì/no”, senza costruire uno storico o un profilo di guida del singolo individuo.

Il tema si intreccia direttamente con il GDPR. In una lettera dell’European Data Protection Board dedicata proprio alle dashcam e alle in car cameras, viene ricordato che chi tratta dati video a bordo veicolo deve valutare attentamente il proprio ruolo ai sensi del GDPR, applicare i principi di minimizzazione e trasparenza e garantire i diritti degli interessati. Nel momento in cui una telecamera interna inizia a riprendere il volto del conducente, ci si muove inevitabilmente in uno spazio dove entrano in gioco dati biometrici e potenzialmente sensibili, anche se la finalità dichiarata è la sola sicurezza stradale.

La Commissione, nei documenti pubblici, insiste sul fatto che i sistemi obbligatori non devono essere usati per il riconoscimento facciale ai fini di identificazione, e che l’elaborazione deve avvenire on board. Tuttavia, in assenza di un controllo diretto da parte dell’utente sul codice che gira all’interno del veicolo, la questione si sposta su un livello di fiducia e di auditing: quanto è realisticamente possibile verificare che la telecamera faccia solo ciò che la normativa consente e niente di più.

Possiamo davvero controllare cosa fa la telecamera con i nostri dati?

Il primo livello di controllo è quello normativo e documentale. Il Regolamento Delegato (UE) 2023/2590 richiede ai costruttori di fornire un pacchetto dettagliato di documentazione tecnica sull’ADDW, compresi gli input utilizzati dal sistema, le metriche adottate per misurare la distrazione, le limitazioni del sistema e i risultati dei test condotti con guidatori reali. Questa documentazione viene valutata dai servizi tecnici e dalle autorità di omologazione, che devono verificare la conformità del sistema alle specifiche europee.

Tuttavia, proprio le parti più sensibili dell’algoritmo, come la lista delle metriche secondarie e alcuni dettagli interni, non vengono trasmesse integralmente alle autorità, per proteggere il know how industriale. Ne risulta una situazione ambivalente: l’UE chiede trasparenza funzionale ma tutela al tempo stesso l’opacità commerciale dei sistemi, lasciando il codice e molte scelte algoritmiche sostanzialmente inaccessibili al pubblico.

Sul piano pratico, per l’utente finale, il controllo si riduce alla possibilità di leggere l’informativa privacy del costruttore, verificare quali opzioni siano disponibili nel menu del veicolo, eventualmente disattivare o limitare alcune funzionalità e, nei casi estremi, rivolgersi alle autorità di protezione dei dati se sospetta un uso improprio. Alcuni produttori, secondo gli osservatori di settore, stanno già introducendo dashboard di impostazioni che consentono di vedere quali sistemi di assistenza sono attivi, quali dati vengono utilizzati e per quali funzioni, ma il livello di granularità offerto varia da marchio a marchio.

Un ulteriore livello di controllo potrebbe venire da audit indipendenti, condotti da laboratori o enti terzi, che testano i sistemi con strumenti propri per verificare se, ad esempio, il flusso video resta confinato all’unità di controllo o se vengono generate e memorizzate immagini o estratti dati riconducibili al volto del conducente. Ad oggi però non esiste un meccanismo standardizzato a livello UE che consenta ai cittadini di ottenere una certificazione indipendente e leggibile sul comportamento effettivo della telecamera a bordo del proprio veicolo, e il dibattito su questo punto appare ancora in evoluzione.

Era davvero necessario rendere obbligatoria la telecamera in auto?

La domanda se questo passaggio fosse davvero necessario merita di essere affrontata su più piani. Dal punto di vista della sicurezza, l’UE si muove sulla base di dati che mostrano la distrazione come una delle cause principali di incidenti gravi, con l’uso dello smartphone al volante tra i comportamenti più diffusi e difficili da contrastare con i soli controlli su strada. In questo senso, i sistemi di monitoraggio dell’attenzione promettono di offrire una contromisura continua, capace di intervenire proprio nei momenti in cui il conducente abbassa lo sguardo per leggere un messaggio o controllare un’app.

D’altra parte, l’evoluzione normativa mostra anche una progressione graduale. Prima sono arrivati i sistemi di avviso di sonnolenza e attenzione del conducente basati su segnali indiretti, come il movimento del volante o la traiettoria del veicolo, poi gli ADAS sempre più invasivi, dalla frenata automatica all’assistente di corsia, fino ad arrivare all’ADDW che entra letteralmente nel campo visivo e nel volto del guidatore. Per molti critici si tratta di un salto di qualità simbolico: la macchina non osserva più solo come guidiamo, ma guarda direttamente noi, nella nostra espressione e nel nostro comportamento fisico.

Alcuni commentatori parlano apertamente di “obbligo di telecamera in auto” e sottolineano che, pur con tutte le garanzie formali su elaborazione locale e non conservazione dei dati, si apre una finestra tecnologica che in futuro potrebbe essere sfruttata per funzioni ulteriori, come il profiling assicurativo, il pay per use basato sul comportamento o addirittura il controllo di conformità a determinate regole.

La normativa attuale non consente questi usi senza una base giuridica aggiuntiva e un consenso esplicito, ma la presenza fisica della telecamera e dell’infrastruttura algoritmica rende molto più semplice introdurre nuove funzionalità tramite aggiornamenti software.

La questione diventa quindi politica e culturale oltre che tecnica. La stessa strategia UE sulla sicurezza stradale punta a una “Vision Zero” di morti sulle strade, e in questo quadro l’ADDW viene giustificato come uno strumento necessario, quasi inevitabile, per contrastare la distrazione digitale. Il prezzo, tuttavia, è l’accettazione di una nuova normalità in cui l’abitacolo non è più uno spazio pienamente privato, ma un ambiente dove la nostra attenzione, il nostro volto e i nostri micro movimenti vengono continuamente misurati e valutati da un sistema automatizzato.

Verso quale equilibrio tra sicurezza e controllo

Guardando alle fonti ufficiali e alla migliore letteratura tecnica in lingua inglese emerge un quadro complesso. Da un lato, l’obbligo di ADDW dal 2026 è sostenuto da una narrativa forte di prevenzione degli incidenti e supportato da studi che mostrano l’efficacia dei sistemi di monitoraggio della distrazione nel ridurre i rischi, soprattutto sulle lunghe percorrenze e nel traffico autostradale. Dall’altro, la combinazione di telecamere interne, algoritmi di analisi del volto e opacità commerciale dei software alimenta un legittimo timore di derive verso modelli di sorveglianza più pervasivi, difficili da controllare dal basso.

Molto dipenderà da come l’Unione Europea e le autorità nazionali sapranno tradurre in pratica i principi già presenti nei testi: minimizzazione del dato, elaborazione locale, divieto di riconoscimento facciale, audit indipendenti sui sistemi e possibilità per gli utenti di capire, almeno a livello funzionale, cosa accade alle immagini catturate dall’abitacolo. Per il momento l’ADDW rappresenta un caso emblematico della direzione intrapresa dalla regolazione europea: la sicurezza viene potenziata attraverso un’ulteriore integrazione tra corpo, macchina e algoritmi, in un equilibrio sempre più delicato tra tutela della vita e protezione della sfera privata.

In questo scenario, la domanda su “quanto fosse necessario” l’obbligo della telecamera non ha una sola risposta, ma obbliga a riconoscere che la frontiera tra assistenza alla guida e sorveglianza digitale si è spostata ancora un passo più in là, e che la capacità di monitorare ciò che i sistemi fanno davvero con i nostri dati diventa non solo un tema tecnico, ma un terreno cruciale di discussione democratica.

L’opinione

di Alessandro Trizio
Le norme che si stanno accavallando, dalla chat control al controllo dell’attenzione alla guida fino a molti altri ambiti, vanno tutte in una sola direzione: il monitoraggio completo e senza possibilità di scelta del cittadino. Salvare vite è una nobile causa, ma tutto questo si sta trasformando in un controllo totale senza possibilità di verifica diretta da parte nostra, senza sapere effettivamente, in questo caso, cosa stia registrando la telecamera. Si continua a invadere la libertà personale e a pensare sempre al cittadino come a un bambino di pochi mesi, che non sa gestirsi né gestire alcunché da solo, ma che ha bisogno del “padre padrone” Europa. È ora che l’Europa smetta di voler guidare ogni aspetto della nostra vita e inizi ad aiutarci a vivere meglio.

L’intersezione tra la tutela dei minori e il diritto fondamentale alla privacy digitale rappresenta una delle sfide legislative e tecnologiche più complesse del ventunesimo secolo. Al centro di questo acceso dibattito nell’Unione Europea si colloca la proposta della Commissione Europea di un “Regolamento recante norme per prevenire e contrastare l’abuso sessuale sui minori”, formalmente nota come CSAR (Child Sexual Abuse Regulation) e colloquialmente definita “Chat Control” dai suoi critici e dalla stampa specializzata.

Questo dossier tecnico esamina in modo esaustivo e accessibile l’architettura legale, politica e tecnologica del Chat Control. Il documento traccia l’evoluzione della normativa dal regime temporaneo (Chat Control 1.0) al quadro permanente attualmente in fase di negoziazione nei triloghi europei (Chat Control 2.0). L’analisi risponde puntualmente agli interrogativi sollevati dal dibattito pubblico: chi sono i soggetti sottoposti a monitoraggio, come si sono svolte le complesse dinamiche di voto in seno al Parlamento Europeo, e, soprattutto, attraverso quale meccanismo tecnico la versione 2.0 del regolamento andrebbe a incidere sulle comunicazioni protette da crittografia end-to-end (E2EE), verificando la fondatezza delle preoccupazioni sollevate dalla comunità scientifica internazionale.

Introduzione al quadro normativo e al conflitto sui diritti Fondamentali

La genesi del Chat Control affonda le proprie radici nella pressante necessità di arginare la proliferazione del materiale pedopornografico (CSAM, Child Sexual Abuse Material) e il fenomeno dell’adescamento online di minori, comunemente noto come grooming. L’obiettivo legislativo, in sé, è inequivocabile e gode di un consenso politico unanime: proteggere i soggetti più vulnerabili dallo sfruttamento e dagli abusi nell’ecosistema digitale. Tuttavia, i mezzi ingegneristici e legali proposti per raggiungere tale fine hanno innescato un conflitto costituzionale senza precedenti all’interno delle istituzioni europee.

Da un lato vi è l’imperativo morale, oltre che legale, di fornire alle forze dell’ordine e alle agenzie investigative strumenti efficaci per contrastare reti criminali sempre più sofisticate; dall’altro, vi sono i diritti inalienabili sanciti dalla Carta dei Diritti Fondamentali dell’Unione Europea. Nello specifico, il dibattito si concentra sul diritto al rispetto della vita privata e familiare (Articolo 7), sulla protezione dei dati di carattere personale (Articolo 8) e sulla libertà di espressione (Articolo 11).

Il fulcro della controversia si condensa attorno al concetto giuridico e tecnico di “sorveglianza di massa indiscriminata”. La legislazione europea e la consolidata giurisprudenza della Corte di Giustizia dell’Unione Europea (CGUE) vietano storicamente l’imposizione di obblighi di monitoraggio generale e preventivo per i fornitori di servizi di comunicazione. Il Chat Control, nelle sue varie iterazioni legislative, sfida direttamente questo paradigma consolidato. Per poter operare con l’efficacia richiesta dai promotori, il sistema necessita dell’accesso, dell’intercettazione e dell’analisi sistematica delle comunicazioni private di milioni di cittadini europei che non sono in alcun modo sospettati di aver commesso un crimine.

Il cortocircuito normativo: l’EECC e le origini del Chat Control

Per comprendere a fondo la necessità che ha spinto la Commissione Europea a formulare la proposta del Chat Control, è indispensabile fare un passo indietro e analizzare un cortocircuito normativo venutosi a creare tra il 2020 e il 2021.

Storicamente, le grandi piattaforme tecnologiche, prevalentemente con sede negli Stati Uniti (come Microsoft, Google e Facebook), effettuavano scansioni volontarie dei messaggi, delle e-mail non crittografate e dei file archiviati nei cloud dei propri utenti alla ricerca di CSAM. I risultati di queste scansioni automatizzate venivano poi inviati al National Center for Missing and Exploited Children (NCMEC) negli Stati Uniti, che fungeva da snodo centrale per le indagini globali.

Il panorama legale è mutato radicalmente con l’entrata in vigore del Codice Europeo delle Comunicazioni Elettroniche (EECC) alla fine del 2020. Questa direttiva aveva uno scopo di tutela dei consumatori: estendere i rigorosi requisiti di riservatezza e segretezza delle comunicazioni, previsti dalla Direttiva ePrivacy (2002/58/CE), anche ai cosiddetti servizi OTT (Over-The-Top). I servizi OTT includono i servizi di comunicazione interpersonale indipendenti dal numero, ovvero piattaforme come WhatsApp, Facebook Messenger, Gmail, Skype e le chat interne ai videogiochi.

Nel momento in cui la Direttiva ePrivacy è diventata applicabile a questi servizi OTT, le scansioni volontarie effettuate dalle aziende tecnologiche americane sui cittadini europei sono diventate, di fatto, illegali sul suolo dell’Unione, in quanto violavano il divieto di intercettazione e sorveglianza delle comunicazioni elettroniche senza un mandato specifico. Le aziende si sono trovate costrette a sospendere le scansioni in Europa per non incorrere nelle sanzioni previste dalle autorità garanti della privacy.

L’era del chat control 1.0: la deroga temporanea (reg. UE 2021/1232)

Di fronte all’interruzione dei flussi di segnalazione di CSAM provenienti dall’Europa, nel settembre 2020 la Commissione Europea è corsa ai ripari presentando una proposta legislativa d’urgenza. Questo testo mirava a creare un’esenzione legale, una deroga temporanea alla Direttiva ePrivacy, per consentire il ripristino delle pratiche di scansione. Il regolamento provvisorio, adottato formalmente il 14 luglio 2021 ed entrato in vigore nell’agosto dello stesso anno (Regolamento UE 2021/1232), è stato rapidamente ribattezzato dalla stampa e dalla società civile come Chat Control 1.0.

Il Chat Control 1.0 si basava su alcune caratteristiche operative e giuridiche molto specifiche:

Volontarietà dell’azione: il regolamento permetteva, ma non obbligava in alcun modo, i fornitori di servizi di comunicazione OTT a derogare alle norme sulla riservatezza per scansionare contenuti e metadati.

Esclusione de facto della crittografia: le pratiche di scansione consentite dal Chat Control 1.0 si applicavano esclusivamente ai servizi non crittografati end-to-end. Le e-mail ospitate su server (come Gmail o Outlook), i messaggi diretti non protetti sui social network (come Instagram o Facebook Messenger), e le piattaforme di archiviazione file erano i bersagli principali della misura.

Natura transitoria: consapevole della fragilità giuridica di una deroga ai diritti fondamentali, il legislatore aveva concepito il regolamento come una misura ponte. Conteneva una “sunset clause” che ne fissava la scadenza al 3 agosto 2024, data entro la quale le istituzioni avrebbero dovuto approvare un quadro normativo permanente ed equilibrato (il futuro Chat Control 2.0).

Lo scontro istituzionale e la scadenza del 2026

I ritardi cronici nell’approvazione della legislazione permanente hanno costretto l’Unione Europea a estendere il Chat Control 1.0. Una prima proroga ha spostato la scadenza al 3 aprile 2026. Con l’avvicinarsi inesorabile di questa nuova data limite, e con il Chat Control 2.0 ancora impantanato nei negoziati tra gli Stati membri, la Commissione Europea ha formulato, nel dicembre 2025, una proposta per una seconda estensione di due anni, fino all’aprile 2028.

Il percorso di questa seconda estensione ha generato una crisi istituzionale. Il 26 marzo 2026, il Parlamento Europeo, riflettendo le crescenti preoccupazioni sui diritti civili e l’insofferenza per l’uso prolungato di una deroga d’emergenza, ha respinto la proposta di estensione in prima lettura. Il voto è stato netto: 311 voti contrari all’estensione, 228 a favore e 92 astensioni. L’effetto giuridico è stato immediato: il 3 aprile 2026 la base legale per la scansione volontaria è decaduta. Molte piattaforme hanno dovuto sospendere le operazioni di rilevamento in Europa, mentre altre, come ha notato l’organizzazione Electronic Frontier Foundation, hanno continuato a operare in un pericoloso vuoto normativo.

La manovra procedurale del luglio 2026

Il rigetto parlamentare del marzo 2026 sembrava aver chiuso il capitolo della deroga temporanea. Tuttavia, l’iter ha subito un’inversione di marcia drammatica durante i mesi estivi, orchestrata principalmente dal Consiglio dell’Unione Europea e sostenuta dai vertici del Partito Popolare Europeo (PPE) all’interno del Parlamento. Il Consiglio ha riproposto il testo originale della Commissione (quello che estendeva la deroga al 2028), forzando il Parlamento a una “seconda lettura”.

La Presidente del Parlamento Europeo, Roberta Metsola, ha accelerato i tempi avvalendosi della procedura d’urgenza (Articolo 170 del Regolamento), fissando il voto decisivo per il 9 luglio 2026, esattamente l’ultima sessione plenaria utile prima della pausa estiva e subito dopo le elezioni europee. Questa tempistica ha sollevato forti critiche, poiché la seconda lettura prevede un meccanismo di ribaltamento dell’onere decisionale altamente insidioso: per respingere o emendare la posizione adottata dal Consiglio, non è sufficiente una maggioranza semplice dei presenti, ma è richiesta la maggioranza assoluta dei componenti del Parlamento Europeo (ovvero 361 voti su 720).

I risultati della votazione del 9 luglio 2026 hanno evidenziato la spaccatura dell’emiciclo e la peculiarità della regola procedurale applicata:

Posizione di voto (9 luglio 2026)	Numero di voti (eurodeputati)	Esito pratico
A favore del rigetto/emendamento (contro l’estensione del Chat Control 1.0)	314	Non raggiunge la soglia assoluta di 361 voti richiesta per il rigetto.
Contro il rigetto/emendamento (a favore della posizione del Consiglio per estendere il testo)	276	Minoranza dei presenti, ma sufficiente per far passare il testo per mancato raggiungimento del quorum avverso.
Astensioni	17	Ininfluenti ai fini del calcolo della maggioranza assoluta.

Nonostante la maggioranza dei parlamentari presenti avesse votato contro il ripristino della scansione di massa (314 contro 276), il mancato raggiungimento della soglia procedurale dei 361 voti ha determinato l’adozione automatica della posizione del Consiglio. Di conseguenza, il Chat Control 1.0 è stato ripristinato ed esteso legalmente fino al 3 aprile 2028. Esponenti per i diritti digitali e numerosi legislatori hanno condannato la manovra. L’ex eurodeputato Patrick Breyer ha definito l’accaduto “una farsa che danneggia la democrazia”, sottolineando come un espediente procedurale abbia permesso di perpetuare una sorveglianza di massa contro la chiara volontà politica della maggioranza dei votanti.

Dal volontario all’obbligatorio: l’architettura del chat control 2.0 (CSAR)

Mentre il Chat Control 1.0 fornisce, seppur tra le polemiche, un’esenzione legale temporanea, il vero campo di battaglia sul futuro della privacy si gioca sul testo del Chat Control 2.0 (Regolamento CSAR). Questa proposta mira a istituire un quadro normativo permanente, vincolante per tutti gli attori del mercato e, soprattutto, tecnologicamente onnicomprensivo.

La proposta iniziale della Commissione (maggio 2022)

L’11 maggio 2022, la Commissione Europea ha presentato la prima bozza del regolamento CSAR. Il testo segnava un drastico passaggio filosofico e legale: si passava dalla facoltà concessa alle aziende di scansionare volontariamente i contenuti (Chat Control 1.0) all’obbligo tassativo di rilevare, segnalare e rimuovere il materiale pedopornografico dai propri server e network.

L’impianto originale ruotava attorno all’emissione di “ordini di rilevamento” (detection orders). Qualora un’autorità nazionale avesse ritenuto che una determinata piattaforma presentasse un rischio significativo di essere utilizzata per la condivisione di CSAM, avrebbe potuto ingiungere all’azienda di installare sistemi di monitoraggio automatizzati. Tali ordini avrebbero costretto le piattaforme ad analizzare sistematicamente tutte le comunicazioni private dei propri utenti, alla ricerca non solo di materiale fotografico o video già noto alle autorità, ma anche di materiale nuovo (generato artificialmente o inedito) e di schemi conversazionali e comportamentali riconducibili all’adescamento. La proposta includeva anche l’istituzione di una nuova agenzia decentralizzata, l’EU Centre on Child Sexual Abuse (EUCSA), concepita per fungere da hub di coordinamento tra le piattaforme tecnologiche, le polizie nazionali e l’Europol.

Chi viene controllato?

Una delle critiche più aspre mosse al CSAR riguarda l’ampiezza dello spettro di sorveglianza. Il Chat Control inverte il paradigma investigativo tradizionale: il sistema non cerca le prove di un crimine analizzando i dispositivi di un sospettato sulla base di un mandato mirato (sorveglianza giudiziaria), ma analizza le comunicazioni di tutti i cittadini per identificare chi potrebbe essere un criminale.

I soggetti controllati, in caso di attuazione del regolamento, includono chiunque utilizzi servizi digitali all’interno dell’Unione Europea. Le piattaforme assoggettate agli obblighi includono:

Servizi di messaggistica istantanea (es. WhatsApp, Signal, Telegram, iMessage).

Servizi di posta elettronica (es. Gmail, Outlook, ProtonMail).

Chat integrate nei videogiochi (es. Xbox Live, PlayStation Network, Discord).

Servizi di archiviazione cloud personale e file hosting (es. iCloud, Google Drive, OneDrive, Dropbox).

Ogni fotografia di famiglia, documento aziendale riservato, cartella clinica condivisa via chat, scambio di messaggi intimi tra adulti o conversazione lavorativa transita, di fatto, attraverso l’infrastruttura di analisi probabilistica descritta dalla normativa.

L’inclusione della crittografia end-to-end: la fine della sicurezza matematica

Il punto focale della query originaria richiede di verificare la validità di una specifica preoccupazione tecnica: è vero che il Chat Control 2.0 includerebbe le comunicazioni end-to-end (E2EE)?

La risposta, dopo un’analisi incrociata del testo legale e della fattibilità tecnica, è inequivocabilmente Sì. Sebbene il legislatore abbia tentato di mascherare questa realtà attraverso formulazioni semantiche rassicuranti, l’infrastruttura ingegneristica richiesta dal CSAR rende inevitabile la compromissione dell’E2EE.

Per comprendere questo paradosso (una legge che afferma di proteggere la crittografia ma ne richiede nei fatti l’aggiramento), è indispensabile comprendere il funzionamento dell’E2EE e la tecnica del Client-Side Scanning.

Il problema dell’E2EE per le forze dell’ordine

Nella crittografia end-to-end, il messaggio viene cifrato (chiuso matematicamente in una cassaforte) direttamente sul dispositivo del mittente, utilizzando chiavi crittografiche generate localmente, e viene decifrato esclusivamente sul dispositivo del destinatario legittimo. Durante tutto il transito attraverso la rete internet e durante la permanenza sui server dell’azienda fornitrice del servizio (ad esempio, i server di Meta o di Signal), il messaggio appare come una stringa incomprensibile di dati. Questa architettura garantisce che nessun intermediario — né un hacker ostile, né il provider del servizio, né un’agenzia governativa — possa intercettare e leggere il contenuto della comunicazione.

Se il regolamento europeo ordina a WhatsApp o a Signal di scansionare i messaggi dei propri utenti, queste aziende si trovano di fronte a un’impossibilità matematica: non possono scansionare ciò che non possono decifrare. E il legislatore europeo ha inserito nella bozza di legge clausole che affermano esplicitamente che “nessun fornitore sarà obbligato a indebolire la crittografia o creare backdoor”.

La soluzione tecnica: il Client-Side Scanning (CSS)

Come conciliare un divieto di indebolire l’E2EE con l’obbligo di ispezionare il contenuto protetto dall’E2EE? L’industria della sorveglianza e i proponenti del Chat Control hanno individuato la soluzione nel Client-Side Scanning (Scansione Lato Client).

Se non si può intercettare il messaggio mentre viaggia nel tunnel crittografico, l’unica soluzione è leggere e analizzare il messaggio mentre viene composto, direttamente sullo schermo dell’utente, frazioni di secondo prima che la crittografia venga applicata. Questo significa spostare il punto di intercettazione dal server centrale al dispositivo finale (lo smartphone, il tablet o il computer del cittadino).

Il funzionamento del CSS prevede i seguenti passaggi:

Un modulo software di sorveglianza (spesso sviluppato da terze parti e fornito in licenza) viene integrato all’interno del sistema operativo del dispositivo o direttamente nel codice dell’app di messaggistica (es. l’app di WhatsApp installata sul telefono).

L’utente digita un messaggio di testo o seleziona un’immagine dalla galleria per l’invio.

Prima che l’app avvii il protocollo di cifratura E2EE, il modulo CSS analizza il contenuto in chiaro, confrontandolo con i database di CSAM o analizzandolo tramite reti neurali locali.

Se il software determina che il contenuto è sospetto, blocca l’invio e trasmette silenziosamente una segnalazione (contenente il file decrittografato e i dati dell’utente) a un server esterno controllato dall’EUCSA o dalle polizie nazionali.

Rispondendo in modo definitivo al quesito: il Chat Control 2.0 include le comunicazioni end-to-end non decifrandole in transito, ma trasformando il dispositivo personale dell’utente (il “client”) nell’agente di sorveglianza, eludendo completamente lo scopo e la funzione del tunnel crittografico.

L’evoluzione dei triloghi (2023-2026): dalla scansione obbligatoria alla “mitigazione del rischio”

L’impianto sopra descritto ha suscitato una reazione politica di portata storica, spingendo la proposta di legge in un estenuante percorso negoziale (i triloghi tra Commissione, Parlamento e Consiglio dell’UE) che si è protratto per anni.

La resistenza del Parlamento europeo

Nel novembre 2023, la Commissione per le Libertà Civili (LIBE) del Parlamento Europeo, guidata dal relatore Javier Zarzalejos, ha approvato una bozza di compromesso che ha demolito l’impianto della Commissione. Il Parlamento ha stabilito tre linee rosse invalicabili: l’esclusione categorica del Client-Side Scanning, il rifiuto della sorveglianza indiscriminata di massa (restringendo gli ordini di rilevamento solo a individui già sottoposti a indagine per sospetti fondati), e il divieto assoluto di interferire con la crittografia E2EE.

I compromessi del Consiglio e i triloghi del 2026

Il Consiglio dell’Unione Europea, rappresentante i governi degli Stati membri, si è spaccato a metà. Un blocco di paesi (guidato dalla Danimarca, dalla Spagna e dall’Irlanda) ha premuto per mantenere ordini di rilevamento ampi e vincolanti; un altro blocco (tra cui Polonia, Paesi Bassi e Repubblica Ceca) si è opposto alla rottura dell’E2EE. La Germania, che storicamente guidava il blocco dei paesi garantisti, ha assunto posizioni altalenanti, indebolendo la minoranza di blocco e permettendo al Consiglio di avanzare verso un accordo.

Alla fine del 2025, è stato forgiato un compromesso semantico che ha gettato le basi per i triloghi sotto la presidenza cipriota nella prima metà del 2026. Il compromesso finale discusso nell’ultimo trilogo programmato del 29 giugno 2026 si basa su una complessa architettura di obblighi indiretti:

L’illusione della volontarietà: il Consiglio accetta di rimuovere gli “ordini di rilevamento obbligatori” per le chat E2EE. Il rilevamento diventa formalmente “volontario”.

L’obbligo di mitigazione del rischio: viene imposto a tutti i fornitori di effettuare una valutazione dei rischi dei propri servizi. Se un’app E2EE (come WhatsApp) viene classificata ad alto rischio per la condivisione di CSAM, l’azienda è tenuta per legge a implementare “tutte le misure ragionevoli” per mitigare tale rischio.

Il “de facto mandate”: poiché l’unica tecnologia esistente per mitigare il rischio di diffusione CSAM su una piattaforma E2EE è il Client-Side Scanning, la legge crea un obbligo mascherato. L’implementazione del CSS non è obbligata per decreto diretto, ma è l’unico modo per un’azienda di ottemperare all’obbligo di mitigazione del rischio e di evitare sanzioni astronomiche (fino al 6% del fatturato globale).

Inoltre, il testo prevede la possibilità che le autorità nazionali possano emettere ordini di rilevamento per specifici individui, introducendo una potenziale breccia nell’architettura E2EE, sebbene la presidenza cipriota abbia cercato di circoscriverne l’uso.

Iterazione legislativa	Posizione sulla crittografia E2EE	Meccanismo di rilevamento proposto
Proposta Commissione (maggio 2022)	Indebolimento mascherato tramite CSS ammesso.	Obbligatorio, massivo e indiscriminato tramite ordini di rilevamento generali.
Posizione Parlamento (nov. 2023)	Protezione assoluta. Nessun obbligo che intacchi l’E2EE.	Mirato solo su sospettati identificati, previo mandato giudiziario (no CSS).
Posizione Consiglio (compromesso 2025/2026)	Nessun obbligo diretto di decrittazione, ma ammissione del CSS per ottemperare agli obblighi di rischio.	Formale volontarietà accoppiata a rigidi obblighi di mitigazione del rischio. Incoraggiamento allo sviluppo di tecnologie CSS per servizi ad alto rischio.

Disamina tecnica delle tecnologie di scansione: limiti e pericoli

Indipendentemente dalle diatribe legali sulla natura obbligatoria o volontaria della scansione, le tecnologie che dovrebbero eseguire questo monitoraggio di massa presentano criticità strutturali, tassi di errore inaccettabili e vulnerabilità intrinseche, come ripetutamente sottolineato dalla comunità accademica. L’architettura del Chat Control 2.0 poggia su due pilastri tecnologici.

L’hashing percettivo (per il materiale CSAM noto)

Quando le forze di polizia internazionali scoprono un file CSAM, non inseriscono nel database l’immagine vera e propria, ma ne calcolano l’hash, un’impronta digitale matematica. Le piattaforme usano questa impronta per cercare il file nei messaggi degli utenti. Per evitare che i criminali eludano il controllo cambiando un singolo pixel dell’immagine (che cambierebbe completamente un hash crittografico tradizionale, come l’SHA-256), l’industria ha sviluppato algoritmi di hashing percettivo (come PhotoDNA di Microsoft). Questi algoritmi estraggono caratteristiche visive salienti, garantendo che immagini simili o leggermente modificate producano hash comparabili.

La vulnerabilità: l’hashing percettivo è matematicamente soggetto agli “adversarial attacks” (attacchi avversari) o “collision attacks”. Ricercatori indipendenti hanno dimostrato quanto sia facile ingannare questi sistemi. Un malintenzionato può prendere una fotografia del tutto innocua (ad esempio l’immagine di un paesaggio, un testo o un meme) e alterarne una percentuale minima di pixel in modo impercettibile all’occhio umano. Questa alterazione fa collidere matematicamente l’hash del paesaggio innocuo con l’hash di un noto video pedopornografico. Se un utente innocente invia la foto alterata a un amico, l’algoritmo PhotoDNA installato sul suo smartphone farà scattare un allarme, inviando i dati personali dell’utente alla polizia con l’accusa automatizzata di possesso e diffusione di materiale CSAM. In un sistema applicato a centinaia di milioni di dispositivi, questa vulnerabilità potrebbe essere utilizzata su larga scala per ricatti, ritorsioni politiche o sabotaggi.

I classificatori ad intelligenza artificiale (per materiale nuovo e grooming)

Il Chat Control 2.0 ambisce a trovare anche il materiale CSAM generato per la prima volta e, soprattutto, a intercettare il grooming (l’adescamento testuale dei minori). Poiché questo materiale non esiste in alcun database, non si possono usare gli hash. Il legislatore impone quindi l’utilizzo di Classificatori ad Intelligenza Artificiale (reti neurali per la computer vision e il Natural Language Processing – NLP) per analizzare semiticamente e visivamente ogni conversazione alla ricerca di “schemi di rischio”.

La fallacia del tasso di errore: l’impiego dell’IA per la sorveglianza testuale e visiva si scontra con il paradosso statistico della “Base Rate Fallacy” (fallacia del tasso di base). Anche se un algoritmo fosse accurato al 99% nel rilevare l’adescamento o la nudità illegale, applicarlo all’immensa mole di miliardi di messaggi scambiati ogni giorno in Europa genererebbe un disastro amministrativo. L’1% di errore su miliardi di transazioni equivale a decine di milioni di segnalazioni errate (falsi positivi) quotidiane.

La realtà empirica conferma i timori. I dati della Polizia Federale Svizzera, che già riceve segnalazioni automatizzate basate su questi algoritmi dagli USA, indicano che ben l’80-87% delle segnalazioni ricevute è totalmente irrilevante a livello penale. I filtri basati sull’IA non sono in grado di comprendere il contesto, l’ironia o il consenso. Di conseguenza, segnalano regolarmente cartelle cliniche elettroniche condivise tra genitori e pediatri, fotografie delle vacanze balneari con bambini in costume da bagno, e pratiche di sexting consenziente tra adolescenti che, pur inviandosi reciprocamente materiale intimo, finiscono per essere perseguiti dal sistema progettato per proteggerli (in Germania, circa il 40% delle indagini penali generate da questi sistemi coinvolge in realtà minori e non predatori). L’eccesso di informazioni irrilevanti rischia di paralizzare i reparti informatici delle polizie europee, distogliendo risorse essenziali dalla caccia alle vere reti criminali del dark web, dove i predatori esperti si nascondono utilizzando crittografia autogestita estranea agli obblighi del Chat Control.

Il consenso scientifico e il paradigma “bugs in our pockets”

L’assenza di pragmatismo tecnologico nella proposta europea ha generato un’imponente sollevazione da parte dell’intera comunità crittografica e accademica internazionale. Oltre 500 scienziati ed esperti di sicurezza informatica — tra cui spiccano luminari come Ross Anderson, Matthew Green, Bruce Schneier, Whitfield Diffie, Ronald Rivest (il co-inventore dell’algoritmo RSA) e Susan Landau — hanno condannato senza mezzi termini il concetto di Client-Side Scanning in numerose lettere aperte e pubblicazioni scientifiche peer-reviewed.

La pietra miliare di questa opposizione scientifica è il paper “Bugs in our Pockets: The Risks of Client-Side Scanning”. In questo studio, gli autori decostruiscono la narrazione secondo cui il CSS possa rappresentare una soluzione di compromesso tra sicurezza pubblica e privacy, dimostrando come, al contrario, l’implementazione del CSS distrugga sistematicamente la sicurezza dell’infrastruttura digitale globale.

La tesi degli accademici si fonda su due pilastri interconnessi:

L’estensione della superficie di attacco (attack surface): l’implementazione di un modulo di sorveglianza e di un database di hash all’interno del sistema operativo o dell’app di ogni singolo cittadino europeo espande enormemente le vulnerabilità del sistema. Qualsiasi software progettato per scansionare file e comunicare con un server remoto per inviare report costituisce, per definizione, una potenziale porta d’accesso per attori malintenzionati. Se hacker sponsorizzati da stati ostili (APT) o sindacati criminali scoprissero una falla nel modulo CSS, potrebbero dirottarne le funzioni per condurre spionaggio di massa sui dispositivi di milioni di europei, sottrarre dati sensibili e monitorare in tempo reale le comunicazioni prima ancora della crittografia.

La mutazione della fiducia architetturale: la crittografia End-to-End basa il suo valore sulla fiducia che il dispositivo risponda esclusivamente ai comandi del suo proprietario legittimo. Il CSS altera questa premessa ontologica. Installando un agente terzo che obbedisce a una lista di controllo (database) aggiornata silenziosamente da governi o agenzie sovranazionali (l’EUCSA), il dispositivo non agisce più nell’interesse dell’utente, ma contro di esso. Il CSS trasforma ogni smartphone in una potenziale microspia permanentemente latente nella tasca del cittadino (“bugs in our pockets”).

Come riassunto dai firmatari dello studio, dal punto di vista dell’ingegneria informatica, non è possibile creare una “backdoor magica” o un sistema di scansione che identifichi unicamente le prove di reati specifici garantendo al contempo che il sistema non venga mai abusato, dirottato o riprogrammato per finalità ulteriori.

L’impatto sull’anonimato: la verifica dell’età (Age Verification)

Se la battaglia sulla crittografia ha dominato i titoli delle testate tecnologiche, un pericolo altrettanto insidioso per le libertà civili si annida nelle pieghe del Chat Control 2.0: la questione della verifica dell’età (age verification o age assurance).

Durante i negoziati per ammorbidire le posizioni sulla scansione obbligatoria, il Consiglio ha spinto per un’impostazione basata sulla “mitigazione del rischio”. Un pilastro fondamentale di questo approccio prescrive che le piattaforme debbano limitare l’accesso dei minori ai servizi considerati a rischio (e quasi tutti i servizi di messaggistica con E2EE ricadrebbero in questa categoria per la presunta impossibilità di moderarli).

Il corollario tecnico di questo obbligo legale è stringente: affinché una piattaforma come WhatsApp, Telegram o un client email possa negare l’accesso a un minore di 16 anni, o modularne le funzioni, la piattaforma deve inevitabilmente stabilire l’età certa di ogni singolo utente. Di conseguenza, il CSAR impone, de facto, la fine dell’anonimato e dell’uso di pseudonimi nell’ecosistema digitale europeo.

L’identificazione certa e la verifica dell’età, specialmente per conformarsi agli standard di certezza legale richiesti dalle istituzioni comunitarie, non possono basarsi su un’autodichiarazione tramite casella di spunta. I fornitori di servizi sarebbero costretti a richiedere agli utenti l’inserimento di un documento di identità governativo (come un passaporto o il futuro EU Digital Identity Wallet, obbligatorio negli Stati membri entro la fine del 2026), oppure a utilizzare software biometrici per la stima dell’età tramite scansione facciale.

Le organizzazioni per i diritti civili e i gruppi a tutela della libertà di stampa (tra cui EDRi) hanno denunciato questa prospettiva come catastrofica. Condizionare l’accesso ai canali di comunicazione privata all’esibizione di un documento di identità digitale governativo significa instaurare un’architettura di sorveglianza senza via di fuga. Questa limitazione della libertà di espressione colpisce asimmetricamente i gruppi più vulnerabili:

I whistleblower e le fonti giornalistiche, privati della possibilità di creare account anonimi sicuri, si troverebbero esposti all’identificazione e a possibili ritorsioni, limitando drasticamente la capacità di denunciare la corruzione o gli abusi aziendali.

I dissidenti politici, gli attivisti per i diritti umani e i membri di minoranze discriminate all’interno dell’UE vedrebbero compromessa la loro sicurezza operativa.

Le fasce emarginate della popolazione, come i senzatetto, gli immigrati irregolari o chi semplicemente non possiede (o si rifiuta di attivare per motivi di privacy) un’identità digitale governativa, subirebbero un’esclusione digitale totale, venendo preclusi dall’utilizzo dei principali mezzi di comunicazione moderna.

L’idea stessa di uno spazio digitale in cui l’anonimato è un diritto di base, garantito dalla crittografia e dalla non tracciabilità, viene sradicata a favore di un ambiente in cui ogni comunicazione testuale è inestricabilmente legata al profilo anagrafico statale del mittente.

Analisi di secondo e terzo livello: le implicazioni geopolitiche ed economiche

Limitare l’analisi del Chat Control alla sola, pur importantissima, dicotomia “privacy individuale vs tutela dei minori” significa trascurare una serie di ramificazioni strutturali a lungo termine (insight di secondo e terzo ordine) che l’approvazione del CSAR comporterebbe per l’assetto democratico e per l’ecosistema tecnologico ed economico europeo.

Il “Brussels effect” e l’esportazione della sorveglianza

L’Unione Europea ha storicamente esercitato il cosiddetto “Brussels effect”: per il peso specifico del mercato comunitario, le normative approvate a Bruxelles (come il GDPR o l’AI Act) tendono a plasmare lo standard globale, imponendo ai colossi tecnologici di adeguare la propria infrastruttura a livello planetario per evitare di dover gestire ecosistemi doppi.

Se l’Europa stabilisce che è legale, etico e necessario per la sicurezza pubblica installare software di scansione lato client (CSS) in tutti i dispositivi per intercettare i contenuti prima della cifratura E2EE, il contraccolpo geopolitico sarà incalcolabile. L’Unione Europea si priverebbe di ogni autorevolezza morale per condannare le pratiche di censura o intercettazione attuate da regimi illiberali in Asia, Medio Oriente o Africa. Inoltre, le infrastrutture tecniche sviluppate dalle multinazionali statunitensi per compiacere le leggi europee (i moduli CSS nei sistemi operativi) sarebbero immediatamente disponibili e sfruttabili da quei governi autoritari per tracciare dissidenti politici o reprimere proteste, mascherando tali azioni dietro l’ombrello di una tecnologia “validata dalle istituzioni democratiche europee”.

Il rischio cronico del “function creep” (deriva delle funzioni)

Un concetto ampiamente documentato negli studi sulla sorveglianza e citato ripetutamente nei paper accademici sul Chat Control è il function creep (deriva o strisciamento delle funzioni). La storia delle telecomunicazioni dimostra che le infrastrutture legali e tecniche create per fronteggiare reati di eccezionale gravità (terrorismo internazionale, grande criminalità organizzata o, in questo caso, reti di pedofilia) vengono invariabilmente espanse per coprire reati amministrativi o di entità minore.

Una volta normalizzata l’infrastruttura ingegneristica necessaria per monitorare la memoria dello smartphone di ogni cittadino alla ricerca di CSAM, il meccanismo tecnico è in essere e operativo. Modificarne la finalità diventa un banale e rapido atto amministrativo o un aggiornamento invisibile del database di firme digitali (hash) o dei pesi del classificatore IA. Se in futuro un governo europeo dovesse affrontare una crisi politica o fiscale, l’infrastruttura del Chat Control potrebbe essere istantaneamente riconvertita per identificare la diffusione di materiale protetto da copyright, la propaganda sovversiva, i discorsi d’odio (spesso definiti in modo arbitrario), i reati fiscali o l’organizzazione di proteste non autorizzate. La barriera di protezione che separa i cittadini dal potere statale risulterebbe permanentemente smantellata.

Il collasso della confidenzialità aziendale (industrial espionage)

Mentre il dibattito si concentra sull’impatto sui cittadini privati, le imprese europee fronteggiano un rischio di esposizione delle proprie proprietà intellettuali e strategie industriali senza precedenti. L’associazione di categoria tedesca Bitkom stima che il 58% delle aziende tedesche, motore trainante dell’economia continentale, utilizzi estensivamente le comunicazioni E2EE (applicazioni come Microsoft Teams, Slack, Signal, oltre a innumerevoli soluzioni di crittografia per la posta elettronica o repository per il codice sorgente) per tutelare i propri dati.

Se il CSAR dovesse costringere queste piattaforme a implementare la scansione automatizzata (tramite CSS) sotto la pressione degli ordini di rilevamento o dell’obbligo di mitigazione del rischio, i documenti strategici riservati, le complesse trattative di fusione e acquisizione (M&A), le formule brevettate, le cartelle dei dipendenti e il codice sorgente proprietario verrebbero inevitabilmente passati al setaccio da algoritmi probabilistici.

In presenza dei tassi di falso positivo precedentemente descritti per l’IA, è certo che ingenti quantità di dati aziendali riservatissimi finirebbero per essere catalogati come sospetti e trasmessi, in chiaro, a server governativi centralizzati (EUCSA) o alle forze di polizia locali, che si trasformerebbero involontariamente in immensi e fragili depositi di segreti industriali del continente. Inoltre, emerge una complessa e irrisolta questione di liability (responsabilità legale): qualora un’azienda tecnologica fosse obbligata per legge a implementare il CSS, e una vulnerabilità del CSS portasse alla compromissione dei segreti industriali o bancari di un’azienda terza, chi risponderebbe dei danni miliardari? L’impresa tecnologica che ha eseguito l’ordine o il legislatore europeo che ha imposto l’architettura fallata?.

L’esodo del mercato e il rischio di balcanizzazione di internet

I fornitori di software orientati alla sicurezza non possono, per ragioni puramente matematiche e crittografiche, conformarsi alle richieste del Chat Control senza vanificare l’essenza stessa del loro prodotto. Aziende leader nello sviluppo della privacy crittografica, come Signal, WhatsApp (Meta) e Proton, hanno dichiarato esplicitamente e ripetutamente che, qualora il CSS o la compromissione dell’E2EE diventassero requisiti di legge in Europa, preferiranno bloccare i propri servizi e ritirarsi dall’Unione Europea piuttosto che implementare backdoor o frontdoor governative che annullino la fiducia dei loro utenti globali.

Questo scenario provocherebbe una profonda “balcanizzazione” di Internet. Da un lato, il mercato digitale europeo si isolerebbe in una “bolla di sorveglianza” sanzionata dallo stato, costringendo i comuni cittadini e le pubbliche amministrazioni a utilizzare reti intrinsecamente non sicure e sprovviste di crittografia moderna. Dall’altro, l’Unione assisterebbe alla fuga della parte tecnologicamente alfabetizzata della sua popolazione verso soluzioni di comunicazione appartenenti a un “mercato grigio” digitale (pratiche di side-loading per installare app non approvate, utilizzo massivo di Virtual Private Network per camuffare la localizzazione, servizi open source sviluppati in giurisdizioni off-shore come la Svizzera o in nazioni con leggi che tutelano rigorosamente l’E2EE). In tale scenario, le forze dell’ordine europee si ritroverebbero a sorvegliare inutilmente le comunicazioni della popolazione comune, mentre criminali e predatori migrererebbero su canali impenetrabili al controllo statale, annullando totalmente l’efficacia della legge e ridicolizzandone l’impianto originario.

Un sistema che non fa ciò che dovrebbe

Il controverso percorso normativo del Chat Control evidenzia una frattura apparentemente incolmabile tra i nobili obiettivi politici delle istituzioni dell’Unione Europea e la cruda, inflessibile realtà della matematica crittografica e della sicurezza informatica.

L’analisi dell’iter del Chat Control, dalla deroga temporanea (1.0) fino alle estenuanti trattative nei triloghi per la versione definitiva (2.0) sotto la presidenza cipriota di giugno 2026, culminate nella precaria e travagliata adozione dell’estensione del Chat Control 1.0 nel luglio 2026, ritrae un legislatore europeo ostinatamente intrappolato in un vicolo cieco tecnologico e logico.

È incontestabile che lo sfruttamento e l’abuso sessuale sui minori, la diffusione del CSAM e il grooming rappresentino crimini gravissimi, i quali esigono l’impiego di contromisure di sistema severe e coordinate. Tuttavia, l’impianto architetturale ingegneristico che sottende al Chat Control — compresi i tentativi sofistici di ammettere il monitoraggio lato client pur decantando la presunta salvezza formale delle comunicazioni end-to-end — si risolve nella creazione di una distopia orwelliana. Equivale, nei fatti, a pretendere che il servizio postale apra preventivamente ogni singola lettera confidenziale in circolazione nel continente prima del suo smistamento, o a decretare che ciascun cittadino accolga nel proprio salotto un dispositivo microfonico ad attivazione preventiva da parte delle autorità.

I tassi astronomici di errore (generati da collisioni hash e da limiti semantici della computer vision) e la comprovata inettitudine delle intelligenze artificiali nell’analisi sfumata del grooming annichiliscono i presunti vantaggi del sistema. Si sacrifica una certezza matematica (l’inviolabilità dell’E2EE, pilastro dell’economia e della sicurezza occidentale moderna) per rincorrere un discutibile ed esile vantaggio investigativo, destinato ad affogare le questure e i tribunali in oceani di denunce futili contro innocenti, svuotando di tempo e risorse preziose i reparti dedicati alle indagini reali sui nodi del dark web.

Il successo del blitz procedurale del 9 luglio 2026 ha esteso legalmente lo status quo del Chat Control 1.0 fino al 2028, concedendo così al Parlamento Europeo, al Consiglio e alla Commissione una precaria finestra di riflessione in cui tentare la risoluzione dello stallo negoziale sul Chat Control 2.0 (CSAR). Qualsiasi soluzione normativa permanente, affinché possa realmente considerarsi efficace e ossequiosa dei principi delle democrazie occidentali, dovrà abdicare all’illusione del controllo universale e preventivo e abbandonare la pulsione alla decostruzione dell’architettura end-to-end.

Il focus investigativo europeo deve ritornare metodologie tradizionali di intelligenza e investigazione, al monitoraggio approfondito dei canali finanziari di monetizzazione dei contenuti, all’uso proporzionato delle intercettazioni su obiettivi specifici autorizzati dalla magistratura, e allo sviluppo di solidi programmi preventivi di educazione e Safety by Design, ponendo così fine a un decennio di minacce alla stabilità crittografica dell’infrastruttura digitale contemporanea.