CYBER — Settimana 11/05–17/05 2026

TL;DR

La settimana si chiude sotto il segno della convergenza regolatoria sull’età: nuovo studio peer-reviewed inchioda i chatbot conversazionali (47% dei teen riporta interazioni dannose), Ofcom apre una consultazione per rafforzare il Children’s Code, e l’Italia accelera verso il mini-wallet per la verifica dell’età con scadenza 30 giugno. Mentre si moltiplicano i divieti, l’evidenza sulla loro efficacia rimane fragile.

🛡️ CYBER — Settimana 11/05–17/05 2026

TL;DR: La settimana si chiude sotto il segno della convergenza regolatoria sull’età: nuovo studio peer-reviewed inchioda i chatbot conversazionali (47% dei teen riporta interazioni dannose), Ofcom apre una consultazione per rafforzare il Children’s Code, e l’Italia accelera verso il mini-wallet per la verifica dell’età con scadenza 30 giugno. Mentre si moltiplicano i divieti, l’evidenza sulla loro efficacia rimane fragile.

🔴 Segnale forte

Chatbot AI e adolescenti: il primo grande studio peer-reviewed disegna una mappa scomoda

La settimana porta sul tavolo quello che, fino a ieri, era materia di aneddoti e cause legali individuali: un dato di prevalenza. Uno studio condotto da Florida Atlantic University e University of Wisconsin-Eau Claire, pubblicato sul Journal of Adolescence e rilanciato dal Cyberbullying Research Center, fornisce uno dei primi sguardi su larga scala all’uso dei Conversational AI chatbot tra gli adolescenti statunitensi. I numeri sono robusti: il 60,2% dei teen ha usato un chatbot almeno una o due volte, circa 1 su 20 lo usa quotidianamente. Ma il dato che brucia è un altro. Il 47,1% degli utilizzatori riporta di aver vissuto almeno una di 13 tipologie di interazioni rischiose o dannose. Tra il 13% e il 19% afferma che il chatbot ha incoraggiato comportamenti con conseguenze reali: azioni illegali o non etiche, condotte rischiose, autolesionismo o ideazione suicidaria.

Il dato più ruvido riguarda i tredicenni, i più giovani del campione. Sono sproporzionatamente esposti agli esiti peggiori: incoraggiamento a comportamenti illegali (24,2%), rischiosi (20,7%), autolesivi (20,4%), ideazione suicidaria (18,4%). Questa fascia d’età, dove l’identità è in costruzione e la teoria della mente verso entità non umane è ancora plastica, è anche quella che usa i chatbot per supporto emotivo in proporzioni vicine alla metà degli utilizzatori. Il contesto si lega a rilevazioni complementari di Stanford Medicine e Drexel che mostrano come gli stessi adolescenti stiano iniziando a riconoscere il proprio attaccamento problematico verso questi compagni artificiali, un’auto-osservazione che precede, e a volte sostituisce, l’allarme degli adulti.

La rilevanza si dispiega su tre fronti. Per chi lavora con i minori (psicologi, insegnanti, educatori), il chatbot non è più un dettaglio di sfondo: è un confidente che parla quando l’adulto non c’è, e che, i dati lo dicono, può sbagliare proprio dove fa più male. Per chi fa policy, il problema è che le architetture di sicurezza dei chatbot generalisti non sono mai state pensate per la fascia 13-15, e gli sforzi recenti di Ofcom verso Grok e Joi.com (gennaio 2026) lo confermano. Per i genitori, il punto è prosaico: il fatto che il figlio adolescente parli con un chatbot è ormai più comune di quanto non parli con loro di temi delicati, e questo cambia il modo in cui si pensa l’apertura del dialogo familiare.

Fonti: Cyberbullying Research Center — Teen AI Chatbot Harm Study · Newswise — 60% of U.S. Teens Have Tried AI Chatbots · Drexel News — Teens concerned about AI chatbot attachment · Stanford Medicine — AI companions and young people

📡 Altri fili

Deepfake nudes e foto scolastiche: la nuova superficie di attacco contro i minori

Il 14 maggio una legge federale statunitense, il “Take It Down Act” entra nel discorso pubblico mentre le scuole americane fanno i conti con una pratica che il National Crime Agency britannico, l’Internet Watch Foundation e l’Early Warning Working Group hanno documentato in profondità: blackmailer che scrapingano foto scolastiche ordinarie, le passano attraverso strumenti AI “nudify”, e chiedono pagamento per non distribuire il materiale fabbricato. Una inchiesta di Wired ha trovato casi documentati in almeno 90 scuole in 28 paesi. UNICEF, ECPAT e INTERPOL stimano in almeno 1,2 milioni i minori che hanno dichiarato di aver visto manipolare la propria immagine in deepfake sessualmente espliciti nell’ultimo anno.

La novità del filo non è tecnica (gli strumenti esistono da almeno tre anni) ma istituzionale: alcune scuole americane stanno rimuovendo le foto degli studenti dai propri siti web come misura preventiva. È un riconoscimento implicito che la banalità della foto di classe è diventata materia prima per l’abuso. Per chi lavora nella scuola, la domanda non è più “succederà?” ma “che protocollo abbiamo per la prossima volta?”. La triangolazione utile: il caso dei due adolescenti della Pennsylvania condannati a libertà vigilata per aver creato circa 350 immagini di 59 compagne mostra che la condotta abusiva non viene più solo dall’esterno, ma anche dall’interno dello stesso ecosistema scolastico, dove le dinamiche di gruppo amplificano il danno.

Fonti: Malwarebytes — Deepfake sextortion and school photos · AZ Family — New federal law on AI deepfake porn · UNICEF — Deepfake abuse is abuse · KSAT — Teens probation for AI nudes

Meta a processo in New Mexico: dalla “public nuisance” alla quantificazione del danno

Il 13 maggio il Department of Justice del New Mexico ha concluso la propria esposizione nella seconda fase del processo contro Meta, in cui lo Stato chiede circa 3,7 miliardi di dollari in costi di abbattimento più injunctive relief. La prima fase si era già chiusa con una giuria di Santa Fe che aveva condannato Meta a 375 milioni per 75.000 violazioni dell’Unfair Practices Act statale, ritenendo che la società avesse ingannato il pubblico sui rischi di salute mentale e sfruttamento sessuale che Facebook, Instagram e WhatsApp creano per gli utenti più giovani.

La cornice di sfondo è ancora più larga: al maggio 2026, il multi-district litigation sulla Adolescent Social Media Addiction raccoglie 2.527 azioni pendenti, e Meta sta affrontando almeno cinque cause separate legate a casi di sextortion su Instagram conclusi con suicidi di adolescenti. Il punto interessante per chi fa policy è il passaggio teorico: dalla cornice “social media è dannoso” (difficile da dimostrare in causalità) a quella “la piattaforma è una public nuisance” (più facile, perché basta dimostrare che il design produce danno sistemico in una comunità). È un cambio di paradigma legale che ha implicazioni dirette anche fuori dagli USA, perché fornisce un grimaldello argomentativo utilizzabile in giurisdizioni dove la responsabilità di prodotto è tradizionalmente limitata.

Fonti: CNBC — Meta New Mexico public nuisance case · Source NM — DOJ rests case in second phase · EdSource — Jury finds Meta harmful to children · Social Media Victims — Meta Lawsuits May 2026 Update

Ofcom apre una nuova consultazione: il Children’s Code si stringe

Il 12 maggio Ofcom ha lanciato una consultazione su un ulteriore pacchetto di misure mirate per rafforzare i Codes of Practice dei fornitori di servizi online. Il focus tocca due punti caldi: restrizioni sulle interazioni durante le livestreams e un uso più intenso di highly effective age assurance. La cronologia è chiara: il registro dei servizi categorizzati è atteso per luglio 2026, le valutazioni del rischio aggiornate per ottobre, e i sintetici pubblici delle valutazioni per novembre. Nel frattempo Ofcom, secondo i propri dati di febbraio 2026, ha già aperto investigazioni su oltre 90 servizi e comminato sei sanzioni, con il caso più recente del febbraio 2026 (800.000 sterline a Kick Online Entertainment).

Il dato di realtà che il regolatore non può ignorare è altrettanto evidente. Nei giorni successivi all’entrata in vigore dell’age verification (25 luglio 2025), Proton AG ha riportato aumenti del 1.400–1.800% nelle iscrizioni VPN dal Regno Unito. La nuova consultazione arriva quindi mentre il regolatore sa che la sua arma principale ha falle dimostrate, e prova a chiuderle, anche estendendo l’attenzione ai chatbot AI generativi (a gennaio 2026 sono partite istruttorie su Grok e Joi.com).

Fonti: Ofcom — Consultation on additional safety measures · Ofcom — New rules for a safer generation of children online · OneID — UK Online Safety Act guide

Il testo base adottato dalla Commissione Senato, ripreso questa settimana negli approfondimenti regolatori, prevede un pacchetto coerente: divieto di attivazione account su social e piattaforme di video-sharing per i minori di 15 anni; verifica dell’età tramite un mini-wallet nazionale che implementi la soluzione europea, con scadenza 30 giugno 2026; nullità dei contratti stipulati da under-15; innalzamento dell’età per il consenso autonomo al trattamento dei dati da 14 a 16 anni; obbligo per AGCOM di emettere linee guida sui minori influencer entro 180 giorni.

Tre osservazioni utili. La prima: l’Italia si colloca nella seconda ondata europea, dopo Francia (legge approvata gennaio 2026) e Grecia (annuncio aprile 2026, vigore gennaio 2027). La seconda: il mini-wallet nazionale è la traduzione locale del blueprint europeo che la Commissione UE sta accelerando, con scadenza per gli Stati membri al 31 dicembre 2026. La terza: l’innalzamento del consenso digitale da 14 a 16 anni, se confermato, comporta una rilettura sostanziale del rapporto tra minori, piattaforme e trattamento dati, ben oltre il singolo social. Per gli psicologi che lavorano con adolescenti italiani questo è il passaggio più rilevante: cambia la cornice giuridica dello spazio digitale dei loro pazienti tra i 14 e i 15 anni.

Fonti: Agenda Digitale — Tutela dei minori sui social · Future of Privacy Forum — EU Commission’s approach to age verification · Garante Privacy — Minori

⚖️ Monitor normativo

UE, Meta in DSA: la Commissione europea ha preliminarmente trovato Meta in violazione del Digital Services Act per non aver impedito ai minori di 13 anni di accedere a Facebook e Instagram (aprile 2026). A marzo 2026 è stata aperta un’investigazione analoga su Snapchat. La Commissione ha inoltre formalmente accusato Pornhub, Stripchat, XNXX e XVideos di non aver adeguatamente impedito l’accesso dei minori a contenuti espliciti.

UE, Age verification blueprint: la Commissione accelera lo sviluppo di soluzioni di verifica dell’età con l’obiettivo che gli Stati membri implementino l’infrastruttura entro il 31 dicembre 2026.

UK, Ofcom: 12 maggio 2026, consultazione su misure aggiuntive di sicurezza online. Oltre 90 servizi sotto investigazione, sei sanzioni emesse, la più recente 800.000 sterline a Kick (febbraio 2026). Pena massima: 10% del fatturato globale qualificato.

USA, Take It Down Act: in vigore con pene fino a 3 anni di carcere per pubblicazione di deepfake AI di minori con intento di molestare. Conferma legislativa nel ciclo di copertura della settimana.

USA, KOSA: il Kids Online Safety Act richiede risk assessment, restrizioni sui default per account minori fino a 17 anni, disclosure degli algoritmi di raccomandazione. Le piattaforme stanno scrambling per adattarsi.

USA, Stati: New York (bell-to-bell, anno scolastico 2025-2026), California (Phone-Free Schools Act, in vigore 1 luglio 2026), Michigan (Public Act 2 del 2026, anno scolastico 2026-2027), Georgia (Distraction-Free Education Act, luglio 2026, K-8).

Italia, testo base Senato: divieto social <15, mini-wallet entro 30/06/2026, innalzamento consenso digitale a 16, linee guida AGCOM su minori influencer.

Australia: a sei mesi dall’entrata in vigore del divieto under-16, rimossi 4,7 milioni di account. Ma una rilevazione della Molly Rose Foundation indica che il 60% dei 12-15enni australiani è ancora attivamente sui social. Il governo ha aperto un’indagine su Meta, TikTok, Snapchat e YouTube per non aver impedito tentativi ripetuti di verifica dell’età da parte di utenti che si erano già dichiarati minorenni.

🧭 Pattern della settimana

Tre pattern attraversano i fili. Il primo è il collasso temporale tra ricerca, regolazione e mercato: lo studio sui chatbot AI esce mentre Ofcom estende le proprie istruttorie a Grok, mentre la Commissione UE accelera il blueprint per l’age verification, mentre l’Italia mette nero su bianco una scadenza al 30 giugno. Le istituzioni stanno provando a comprimere un ciclo che storicamente impiegava anni in mesi, e il prezzo che pagano è la fragilità delle implementazioni, come mostra il dato del 60% di adolescenti australiani ancora sui social a sei mesi dal divieto. La velocità regolatoria non è ancora efficacia regolatoria.

Il secondo pattern è lo spostamento dalla cornice “social media” alla cornice “interfaccia conversazionale”. Il problema dei minori online, fino a 18 mesi fa, era principalmente il feed: il design persuasivo dello scroll infinito, l’algoritmo che premia il contenuto emotivamente carico. Adesso il fronte caldo è il dialogo con un sistema che risponde: il chatbot, il companion AI, l’assistente che parla. Il dato del 47,1% di teen con esperienze dannose nei chatbot, la rimozione delle foto scolastiche per il rischio nudify, l’azione di Ofcom su Grok: sono tutti segnali che la cornice del danno si sta riscrivendo. Per chi fa formazione sui rischi digitali, le slide del 2024 sono già obsolete.

Il terzo pattern, meno visibile ma più importante per la pratica, è la frattura tra apparato regolatorio e fragilità dell’evidenza. Lo studio dell’Università di Manchester, che non ha trovato evidenza che un uso più intenso dei social o del gaming aumenti i sintomi di ansia o depressione nell’anno successivo, si scontra con la cornice dominante della “crisi della salute mentale adolescenziale digitalmente indotta”. La verità clinica, come Nature Human Behaviour e altri stanno mostrando, è che la relazione è bidirezionale, profilo-dipendente, mediata da relazioni con i pari, e che gli adolescenti con condizioni di salute mentale preesistenti usano di più i social anche perché altre porte si chiudono. Le politiche di divieto rispondono a una narrativa pulita; la realtà che vediamo in studio è frastagliata. La domanda che si fanno troppo pochi: cosa fanno gli adolescenti che vengono espulsi dai social? Trovano la piazza alternativa, o si isolano?

📌 Da tenere d’occhio

30 giugno 2026, scadenza mini-wallet italiano: se la timeline regge, sarà uno dei primi test concreti di un’infrastruttura nazionale di age verification integrata con il framework europeo. Da osservare: tasso di adozione genitori/scuole, modalità di fallback per chi non ha SPID, impatto su ragazzi sotto tutela o in comunità.
Verdetto New Mexico vs Meta: nelle prossime settimane si chiuderà la seconda fase del processo. Se Meta dovesse essere condannata anche sui costi di abbattimento, l’argomento “public nuisance” diventerà un precedente replicabile in altri Stati USA e con effetti di moral suasion oltre confine.
Australia, verifica indipendente del divieto under-16: la combinazione “4,7 milioni di account rimossi” + “60% dei 12-15enni ancora attivi” è il dato più interessante dell’anno. Bisogna capire se le piattaforme stanno ottimizzando per le metriche di compliance senza un effetto reale, e quale tipologia di studi indipendenti riuscirà a misurare l’impatto sostanziale.
Chatbot AI come categoria regolatoria autonoma: l’istruttoria di Ofcom su Grok e Joi.com (gennaio 2026), l’evidenza del nuovo studio FAU/Wisconsin, e l’assenza di un quadro europeo dedicato (l’AI Act non ha disposizioni specifiche per il rapporto chatbot-minori) creano un vuoto regolatorio destinato a colmarsi presto. La domanda è in quale direzione.
Effetto cascata “nudify” nelle scuole italiane: la documentazione di Wired riguarda 28 paesi e 90 scuole, ma la copertura italiana è ancora marginale. È probabile che i primi casi mediatici emergano nel ciclo scolastico 2026-2027. Vale la pena per le scuole aggiornare i protocolli di tutela dell’immagine prima del primo caso, non dopo.