CYBER
2026.08.03

CYBER — Settimana 03/08–09/08 2026

TL;DR

Il 5 agosto il Senate Commerce approva all’unanimità KOSA con il duty of care intatto e, nella stessa seduta, tre disegni di legge su chatbot, privacy AI e giocattoli intelligenti: il baricentro della protezione dei minori online si sposta dal social media all’AI conversazionale. Nella stessa seduta l’unica misura di age verification sui siti porno cade per mancanza di numero legale. Intanto l’Australia continua a mostrare che vietare non basta e la ricerca peer-reviewed della settimana continua a restituire effetti reali ma più piccoli e più condizionati di quanto il dibattito pubblico dia per scontato.

🛡️ CYBER — Settimana 03/08–09/08 2026

TL;DR: Il 5 agosto il Senate Commerce approva all’unanimità KOSA con il duty of care intatto e, nella stessa seduta, tre disegni di legge su chatbot, privacy AI e giocattoli intelligenti: il baricentro della protezione dei minori online si sposta dal social media all’AI conversazionale. Nella stessa seduta l’unica misura di age verification sui siti porno cade per mancanza di numero legale. Intanto l’Australia continua a mostrare che vietare non basta e la ricerca peer-reviewed della settimana continua a restituire effetti reali ma più piccoli e più condizionati di quanto il dibattito pubblico dia per scontato.

🔴 Segnale forte

Il 5 agosto a Washington: il duty of care sopravvive, l’age verification cade per assenza

Mercoledì 5 agosto, poche ore prima della pausa estiva, la Commissione Commercio del Senato americano ha licenziato quattro disegni di legge sulla sicurezza dei minori online. Il più pesante è il Kids Online Safety Act (S.1748), approvato all’unanimità e, soprattutto, con la sua clausola più contestata ancora dentro: il duty of care, cioè l’obbligo giuridicamente azionabile per le piattaforme di prevenire danni prevedibili ai minori nel modo in cui progettano i propri prodotti. La senatrice Marsha Blackburn, che ha presentato il testo sostitutivo, ha dichiarato 75 cosponsor e ha usato la seduta per prendere le distanze dalla versione approvata dalla Camera all’inizio dell’estate, definendola “toothless”, una pallida imitazione.

Perché conta. Il duty of care è il punto in cui la regolazione dei minori online smette di occuparsi di chi entra e comincia a occuparsi di come è fatta la stanza. È lo stesso spostamento che si vede nell’articolo 28 del DSA europeo, nel SAFE for Kids Act di New York (feed algoritmici disattivati per default sotto i 18) e nei design code statali. È anche il punto su cui le piattaforme si difendono meglio in tribunale, perché tocca il contenuto e quindi il Primo Emendamento: la Harvard Law Review di quest’anno discute esattamente quale standard di scrutinio applicare a norme che pretendono di essere neutre rispetto al contenuto.

Il contrappunto della stessa seduta è più eloquente della notizia principale. Lo SCREEN Act del senatore Mike Lee, che imporrebbe la verifica dell’età ai siti pornografici, ha ottenuto 15 voti favorevoli contro 13, ma è decaduto perché troppi senatori non erano fisicamente presenti e il quorum non è stato raggiunto. L’unica misura della giornata che tocca l’age assurance è saltata per un problema di presenze in aula, non per un’obiezione di merito.

Per chi lavora con i minori questo significa che il quadro normativo dei prossimi due anni sarà probabilmente più incentrato sul design dei prodotti (notifiche, feed, autoplay, streak) che sull’accesso. È una buona notizia dal punto di vista educativo: sono variabili osservabili in classe e in studio, e su cui si può fare psicoeducazione con una famiglia. Per chi fa policy, il segnale è che l’age verification generalizzata resta politicamente esposta anche dove sembra avere consenso bipartisan. Per i genitori, la traduzione pratica è che nessuna di queste norme è ancora in vigore: KOSA deve ancora arrivare in aula e conciliarsi con una versione della Camera che il Senato considera inadeguata.

Fonti: Senate Commerce Committee · CNBC, 5 agosto · The Hill · Tech Times · IAPP

📡 Altri fili

Il chatbot è il nuovo social media (e la regolazione se ne è accorta prima della scuola)

Gli altri tre testi approvati il 5 agosto non parlano di social network. Parlano di intelligenza artificiale conversazionale: lo Youth AI Privacy Act di Markey (divieto di pubblicità ai minori tramite chatbot, divieto di usare i loro dati per l’addestramento, divieto di feature progettate per aumentare il tempo di permanenza come le notifiche push), il CHATBOT Act (account familiari e consenso genitoriale verificabile) e il Children’s Artificial Intelligence Toy Safety Act, tutti passati per voice vote.

Il contesto empirico che rende questa accelerazione ragionevole è arrivato in giugno su JAMA Pediatrics e resta il dato più importante dell’anno su questo fronte: il 19,2% dei ragazzi statunitensi tra 12 e 21 anni ha usato un chatbot AI per chiedere consiglio su questioni di salute mentale nel 2025, in crescita dal 13,1% dell’anno precedente, una quota praticamente identica a quella di chi ha ricevuto un colloquio con un professionista (19,8%). Circa 8,2 milioni di ragazzi. Il 91,7% ha giudicato il consiglio utile. E, il dato che dovrebbe interessare di più chi sta in una stanza con un adolescente, il 63,3% non lo ha detto a nessuno.

Attenzione a cosa dice e cosa non dice questo studio: è un’indagine trasversale su comportamento auto-riferito, non stabilisce che il chatbot faccia bene o male, e la percezione di utilità non è un esito clinico. Dice però che una fetta molto ampia di adolescenti ha trovato un interlocutore disponibile, gratuito, senza lista d’attesa e senza giudizio, e che questo interlocutore è invisibile agli adulti di riferimento. È un problema di assessment prima che di rischio: se non chiedi, non lo sai.

Sul piano degli stati, la Transparency Coalition conta 84 nuove leggi sull’AI approvate in 27 stati nella prima metà del 2026, e l’aggiornamento di metà anno pubblicato in agosto da Mayer Brown segnala 98 proposte di legge dedicate specificamente a chatbot e AI companion, con leggi già firmate in Washington, Oregon, Idaho, Nebraska, Iowa, Georgia, Connecticut, Colorado e Hawaii. I temi ricorrenti sono cinque: disclosure (“non sono un umano”), protocolli di risposta all’autolesionismo, controlli parentali, contenuti sessualmente espliciti, e feature che generano dipendenza emotiva.

Fonti: EPIC · JAMA Pediatrics · RAND · Mayer Brown, agosto 2026 · K-12 Dive

Australia: il divieto regge sulla carta, non sui dispositivi

I numeri usciti tra fine luglio e i primi giorni di agosto continuano a essere il controcanto più duro a tutta la stagione dei divieti. Al Jazeera del 3 agosto riprende i dati eSafety: più di otto under-16 australiani su dieci continuano a usare i social nonostante il divieto entrato in vigore il 10 dicembre 2025, e uno studio sui 10-15enni mostra che a marzo la frequenza d’uso era sostanzialmente la stessa di prima. Il dettaglio più significativo non è la disobbedienza dei ragazzi, che era prevedibile, ma il calo della consapevolezza dei genitori rispetto a cosa facciano i figli: la norma ha spostato il comportamento sottotraccia senza ridurlo.

Il regolatore ha aperto istruttorie su Facebook, Instagram, Snapchat, TikTok e YouTube contestando, tra le altre cose, la possibilità di ritentare all’infinito la verifica dell’età dopo essersi dichiarati minorenni. Le sanzioni previste arrivano a 49,5 milioni di dollari australiani.

Il punto è metodologico prima che politico. La Francia ha approvato il 21 luglio il divieto per gli under-15, primo paese UE a farlo, con applicazione ai nuovi account da settembre 2026 e disattivazione degli account esistenti non conformi entro il 31 dicembre, sotto la vigilanza di Arcom. Parte cioè tra poche settimane, con lo stesso identico problema irrisolto che ha fatto arenare l’Australia: chi verifica, come, e cosa succede quando la verifica si può ritentare. Chi lavora nelle scuole francesi e italiane avrà da settembre un caso di studio in tempo reale.

Fonti: Al Jazeera, 3 agosto · Al Jazeera, 1 agosto · The Conversation · eSafety Commissioner · CNN sulla legge francese

Europa: l’infrastruttura prima del divieto

La strategia europea è opposta e vale la pena capirla, perché è quella dentro cui ricadono le scuole e gli studi italiani. Invece di vietare l’accesso, l’UE sta costruendo l’infrastruttura tecnica che rende la verifica possibile senza sorveglianza: il blueprint per l’age verification, il cosiddetto “mini-wallet”, usa zero-knowledge proof per dimostrare il superamento di una soglia d’età senza rivelare identità né destinazione della prova. È allineato tecnicamente ai portafogli di identità digitale europei attesi entro fine 2026, e l’Italia è tra i paesi front-runner insieme a Francia, Danimarca, Grecia, Spagna, Cipro e Irlanda.

Sul versante nazionale, AGCOM ha già approvato con la delibera 96/25/CONS, in attuazione del Decreto Caivano, il regolamento sulla verifica dell’età per contenuti per adulti, gioco d’azzardo, alcol e tabacco, con parere favorevole del Garante Privacy e il meccanismo della doppia anonimizzazione. Garante e AGCOM hanno inoltre una task force congiunta per un codice di condotta sulle piattaforme.

Sul fronte enforcement, Ofcom nel Regno Unito ha aperto un’indagine sull’age assurance di TikTok (aggiornamento previsto a ottobre) e una su X per l’uso di un chatbot AI nella generazione e diffusione di deepfake sessuali che riguardano anche minori. La Commissione europea ha in corso il procedimento formale su Snapchat e ha già emesso rilievi contro quattro piattaforme di contenuti per adulti sulle tutele dei minori.

Fonti: Commissione europea, blueprint · Linee guida art. 28 DSA · AGCOM delibera 96/25/CONS · Ofcom su TikTok · Ofcom, aggiornamento indagini

La ricerca dice qualcosa di più scomodo di entrambe le tifoserie

Mentre la politica accelera, la letteratura del 2026 continua a restituire un quadro più fine. La meta-analisi pubblicata su JAMA Pediatrics su 153 studi longitudinali (115 coorti, 1.072 effect size) trova associazioni consistenti tra uso di media digitali e rischi per salute e sviluppo, con il social media come categoria più problematica. Ma trova anche che l’associazione tra social e depressione è più forte nella prima adolescenza e quando la misura dell’esposizione è auto-riferita o riferita dai genitori, mentre le associazioni con esiti positivi emergono quando l’esposizione è misurata oggettivamente. Tradotto: parte di quello che misuriamo è il disagio che si racconta, non il tempo che si passa. Uno studio del 2026 sulla discrepanza tra uso percepito e uso oggettivo dello smartphone negli adolescenti va nella stessa direzione.

Il dato longitudinale australiano del Murdoch Children’s Research Institute, quasi 1.200 ragazzi seguiti dai 9 ai 19 anni, conferma che oltre due ore al giorno si associano a sintomi depressivi e minore benessere, con incrementi “piccoli ma percepibili” a distanza di un anno. Associazione, non causalità, e con effect size modesti.

E poi c’è lo studio NBER su circa 4.600 scuole americane, il più ampio mai fatto sui divieti scolastici di cellulare, che va tenuto sul comodino da chiunque debba consigliare una scuola: nei divieti bell-to-bell l’uso non didattico del telefono in classe crolla dal 61% al 13%, gli insegnanti riferiscono meno distrazione, ma frequenza, attenzione auto-riferita e punteggi ai test restano sostanzialmente invariati, con incidenti disciplinari in aumento transitorio e benessere in calo iniziale prima di recuperare. Il divieto funziona esattamente per ciò che dichiara di fare (togliere il telefono dalle mani) e non produce automaticamente i benefici che gli vengono attribuiti.

Fonti: JAMA Pediatrics meta-analisi · MCRI · NBC su studio NBER · Frontiers in Computer Science

⚖️ Monitor normativo

Stati Uniti. 5 agosto, Senate Commerce: approvati KOSA (S.1748, con duty of care), Youth AI Privacy Act (S.4199), CHATBOT Act (S.4407) e Children’s Artificial Intelligence Toy Safety Act; SCREEN Act decaduto per mancanza di quorum nonostante 15 voti favorevoli su 13 contrari. A metà 2026 sono 21 gli stati con leggi sui social e minori, 26 quelli con leggi di age verification per contenuti dannosi, 5 con design code dedicati, 4 con App Store Accountability Act (l’ultimo l’Alabama). New York ha finalizzato le regole attuative del SAFE for Kids Act: feed algoritmici spenti di default per gli under-18 da gennaio 2027.

Unione europea. Linee guida definitive sull’art. 28 DSA pubblicate a luglio, non vincolanti ma operative su age assurance, impostazioni di default e partecipazione dei minori. Blueprint age verification alla seconda versione, pilotato da sette stati membri tra cui l’Italia. Procedimento formale aperto su Snapchat, rilievi contro quattro piattaforme adult.

Regno Unito. Ofcom indaga TikTok sull’age assurance (aggiornamento a ottobre) e X per deepfake sessuali generati da AI. Programma di enforcement sull’age assurance nel settore adult, obblighi Part 5. Inchiesta parlamentare della Camera dei Lord aperta a fine luglio su efficacia e rischi privacy dei controlli d’età.

Francia. Divieto under-15 approvato il 21 luglio, applicazione ai nuovi account da settembre 2026, disattivazione degli account esistenti non conformi entro il 31 dicembre, vigilanza Arcom.

Australia. Istruttorie eSafety su cinque piattaforme; sanzioni fino a 49,5 milioni AUD; il governo valuta un rafforzamento della norma.

Italia. Delibera AGCOM 96/25/CONS attuativa del Decreto Caivano in vigore da ottobre 2025 per contenuti adult, gioco, alcol e tabacco, con doppia anonimizzazione; task force congiunta Garante Privacy-AGCOM per un codice di condotta.

🧭 Pattern della settimana

Tre linee si incrociano.

La prima è uno spostamento di oggetto. Fino a un anno fa il minore online era un utente di social network. Da questa settimana, nel testo di quattro leggi votate insieme, è un utente di sistemi conversazionali. Il legislatore americano ha capito prima della scuola e prima di molti servizi clinici che il problema si è mosso. La distanza tra il 19,2% di adolescenti che chiede consiglio a un chatbot e il numero di anamnesi che quella domanda la contengono è, oggi, la vera lacuna operativa.

La seconda è la separazione tra norma e infrastruttura. L’Australia ha la norma e non ha l’infrastruttura, e il risultato è che il comportamento non cambia mentre la visibilità genitoriale peggiora. L’Europa sta costruendo l’infrastruttura (zero-knowledge, wallet, doppia anonimizzazione) prima di imporre il divieto generalizzato, e questo la rende più lenta e più credibile. La Francia sta per fare il primo test europeo dell’ordine inverso. A settembre sapremo quale delle due strade regge.

La terza è la forbice tra ricerca e dibattito. La settimana ha prodotto testi legislativi che presuppongono un nesso causale forte, mentre la letteratura disponibile continua a descrivere associazioni modeste, dipendenti dall’età, e sensibili al metodo di misurazione al punto che il segno dell’effetto può cambiare a seconda che l’esposizione sia auto-riferita o rilevata oggettivamente. Non è un argomento per non fare nulla. È un argomento per non promettere che un divieto produrrà voti migliori, come lo studio NBER mostra chiaramente che non fa.

Il rischio, per chi lavora sul campo, è ereditare aspettative che nessuna norma può soddisfare. La conversazione utile con una famiglia o un collegio docenti non è “vietare o non vietare”, ma: cosa esattamente ci aspettiamo che cambi, in quanto tempo, e come faremo ad accorgercene.

📌 Da tenere d’occhio