CYBER
2026.08.10

CYBER — Settimana 10/08–16/08 2026

TL;DR

Il 14 agosto il Conseil constitutionnel francese censura il divieto di social media agli under 15 a due settimane dall’entrata in vigore: prima corte costituzionale europea a testare il modello del divieto per età, e lo boccia per sproporzione e per assenza di garanzie sulla verifica dell’età. Nella stessa settimana il baricentro si sposta due volte: negli Stati Uniti dalla legge al tribunale (il Nono Circuito lascia procedere 3.000 cause, a Oakland si apre il processo Meta contro 29 stati), e nell’industria dalla piattaforma al sistema operativo, con Meta e ITIF che chiedono, per ragioni opposte, che sia Apple a fare il controllo.

🛡️ CYBER — Settimana 10/08–16/08 2026

TL;DR: Il 14 agosto il Conseil constitutionnel francese censura il divieto di social media agli under 15 a due settimane dall’entrata in vigore: prima corte costituzionale europea a testare il modello del divieto per età, e lo boccia per sproporzione e per assenza di garanzie sulla verifica dell’età. Nella stessa settimana il baricentro si sposta due volte: negli Stati Uniti dalla legge al tribunale (il Nono Circuito lascia procedere 3.000 cause, a Oakland si apre il processo Meta contro 29 stati), e nell’industria dalla piattaforma al sistema operativo, con Meta e ITIF che chiedono, per ragioni opposte, che sia Apple a fare il controllo.

🔴 Segnale forte

La Francia perde il divieto in corte costituzionale, e l’Europa eredita l’elenco di ciò che non si può fare

Venerdì 14 agosto il Conseil constitutionnel ha censurato l’articolo 1 della legge che dal 1° settembre avrebbe vietato l’accesso ai social network ai minori di 15 anni (decisione n° 2026-911 DC). La legge era stata approvata definitivamente dal Parlamento il 21 luglio, salutata come il primo divieto per età di un paese dell’Unione. È durata tre settimane e mezzo.

Le due motivazioni contano più del dispositivo. La prima è la sproporzione: il divieto costituisce, scrive il Conseil, “un’atteinte qui n’est pas adaptée, nécessaire et proportionnée” alla libertà di espressione e comunicazione, perché l’articolo 1 copriva un elenco molto ampio di servizi (TikTok, Snapchat, X, Instagram, le funzioni sociali di YouTube, WhatsApp e Messenger, alcuni giochi online) fra i quali molti sono servizi dove “les risques pour la santé et la sécurité des mineurs ne sont pas établis” (franceinfo). Tradotto: non si può trattare come un blocco omogeneo un insieme di piattaforme con profili di rischio documentati molto diversi. La seconda motivazione è la vita privata: il legislatore non ha previsto le garanzie giuridiche necessarie a proteggerla nel momento in cui impone una verifica dell’età.

Il paradosso è che la legge era arrivata al Conseil già disarmata. Prima del voto finale il Parlamento aveva tolto l’obbligo per le piattaforme di sottoporre ad Arcom un sistema di verifica entro il 1° settembre, il potere del regolatore di imporre misure a chi non lo facesse e la modifica del codice penale sulla negligenza genitoriale (TechTimes). Il testo censurato non prevedeva alcuna sanzione. È stato bocciato comunque, e proprio sul punto che era stato svuotato: se imponi una verifica dell’età e non dici come si fa e chi garantisce il dato, la restrizione della privacy è indeterminata e quindi indifendibile.

Cosa resta in piedi. Il divieto di smartphone esteso ai licei parte comunque il 1° settembre, perché il ricorso della France Insoumise riguardava solo l’articolo 1 e il Conseil non si è pronunciato sul resto (CNews). È una distinzione istruttiva: la regolazione del dispositivo in un contesto istituzionale delimitato (la scuola, l’orario scolastico) regge; il divieto generalizzato di un servizio a una fascia d’età no. Macron ha incaricato Sébastien Lecornu di preparare un nuovo testo che tenga conto della decisione e del quadro europeo, con l’obiettivo dichiarato della primavera 2027.

Perché conta su tre livelli. Per chi fa policy, questa è la prima volta che il modello australiano viene testato da una corte costituzionale europea, e la decisione funziona come un elenco di prescrizioni: perimetro stretto e ancorato a rischi documentati servizio per servizio, garanzie esplicite sulla verifica dell’età. Ogni governo europeo che sta scrivendo una norma simile ha ora un vincolo scritto. Per chi lavora con i minori, l’effetto immediato è che a settembre nelle scuole francesi non cambierà nulla sull’accesso e cambierà tutto sul telefono in aula: la leva praticabile resta quella del contesto, non quella del divieto d’accesso. Per i genitori francesi (e per quelli italiani che guardavano al caso francese come anticipazione) la traduzione è che non arriverà nessun blocco automatico, e che la responsabilità dell’accompagnamento resta dove era.

Fonti: Conseil constitutionnel, décision 2026-911 DC · franceinfo · CNews · TNW, 14 agosto · TechTimes sullo svuotamento del testo

📡 Altri fili

Negli Stati Uniti la partita si sposta dal Congresso al tribunale, e due date sono già arrivate

Lunedì 10 agosto la Corte d’appello del Nono Circuito ha respinto il ricorso congiunto di Meta, Google/YouTube, TikTok e Snap: oltre tremila cause federali sul design additivo rivolto ai minori possono proseguire nel merito. Il passaggio decisivo della motivazione, a firma della giudice Jacqueline Nguyen, è che la Section 230 del Communications Decency Act “fornisce solo una difesa alla responsabilità, non l’immunità dall’essere citati in giudizio” (NBC News, The Hill). È una distinzione tecnica con conseguenze enormi: per vent’anni la Section 230 ha funzionato come un filtro che uccideva le cause prima della discovery. Se è una difesa e non un’immunità, i documenti interni entrano nel processo.

Due giorni dopo, mercoledì 12 agosto, è iniziata a Oakland la selezione della giuria nel processo che vede Meta di fronte a 29 procuratori generali statali, davanti alla Chief Judge Yvonne Gonzalez Rogers (Washington Post, Courthouse News). I capi d’accusa sono due: aver progettato prodotti per creare dipendenza nei minori, e aver raccolto dati di under 13 senza consenso genitoriale in violazione del COPPA. Le dichiarazioni introduttive sono attese il 18 agosto, la durata stimata è di sei-otto settimane, e sono chiamati a testimoniare Mark Zuckerberg e Adam Mosseri. I rimedi richiesti dagli stati sono interessanti perché sono esattamente le variabili di design di cui si discute in Europa: verifica dell’età, eliminazione dello scroll infinito e delle notifiche, limiti di tempo.

La lettura da tenere: mentre KOSA aspetta l’aula dopo la pausa estiva, la via giudiziaria americana sta producendo risultati concreti più rapidamente della via legislativa, e con un vantaggio epistemico che alla legge manca. Un processo genera prove pubbliche. Nei prossimi due mesi entreranno nel dominio pubblico documenti interni Meta sulla progettazione di funzioni destinate agli adolescenti, ed è materiale che chi lavora nelle scuole e negli studi userà per anni.

Fonti: NBC News, 10 agosto · The Hill · US News/Reuters · Washington Post, 12 agosto · Courthouse News

Australia: i numeri arrivano tutti insieme il giorno prima dell’audizione, e chiedono la stessa cosa

Mercoledì 13 agosto Meta ha pubblicato sul proprio newsroom i dati di compliance con il divieto australiano per il periodo 1° dicembre 2025 - 30 giugno 2026: 756.000 account rimossi, di cui 462.000 Instagram e 294.000 Facebook (Bloomberg). Più di 500.000 erano già stati rimossi prima dell’entrata in vigore del 10 dicembre, quindi il flusso dei sei mesi successivi vale circa un quarto di milione. Il giorno dopo, all’audizione parlamentare del 14 agosto, sono arrivati anche gli altri: Google circa 740.000 account bloccati su YouTube, TikTok 550.000 rimossi all’entrata in vigore più circa 24.000 al mese (Reuters via The Star, Snap).

Due dettagli valgono più dei totali. Il primo è il metodo: Meta dichiara di individuare i minori con analisi di contenuto via AI su post, commenti, bio e didascalie, cercando indizi contestuali come feste di compleanno e riferimenti alla classe frequentata. Il secondo è la domanda a cui Meta non ha risposto: quanti under 16 ritiene che abbiano ancora un account attivo. Il dato indipendente resta quello di eSafety: 81,5% dei minori australiani ancora su una piattaforma soggetta a restrizione a marzo, contro 85,9% prima della legge, e circa il 38% dei 10-15enni con account Instagram che dichiara di non essere mai stato interpellato sull’età.

Il punto politico è nell’ultimo paragrafo del post di Meta, non nei numeri: “dovrebbe esserci un unico segnale d’età affidabile fornito a livello di sistema operativo o di app store”, verificato una volta sola quando il ragazzo configura il dispositivo (TNW). L’argomento privacy è solido: un controllo invece di trenta significa meno dati personali in circolazione. L’argomento di interesse è altrettanto visibile: chi fa il controllo si prende il costo, i falsi positivi e l’esposizione regolatoria. Intanto il governo australiano ha in Parlamento un disegno di legge che raddoppia la sanzione massima da 49,5 a 99 milioni di dollari australiani ed estende i poteri istruttori di eSafety, che sta valutando un’azione legale contro le piattaforme accusate di rallentare deliberatamente la compliance.

Fonti: Meta Newsroom · Bloomberg, 13 agosto · Reuters, 13 agosto · TNW, 14 agosto · eSafety, compliance report

ITIF chiede la stessa architettura di Meta, partendo dalla parte opposta del ragionamento

Il 10 agosto l’Information Technology and Innovation Foundation ha pubblicato How Policymakers Should (and Shouldn’t) Address Chatbot Safety for Children. La tesi è che i quasi cento disegni di legge statali sui chatbot presentati negli Stati Uniti stiano trapiantando sull’AI conversazionale gli strumenti costruiti per i social media (verifica dell’età generalizzata, restrizioni sui contenuti, divieti d’accesso) che su quel terreno hanno funzionato poco e su questo funzionano ancora meno, con l’effetto di un patchwork regolatorio che complica la compliance senza proteggere nessuno. Va detto che ITIF è un think tank finanziato anche dall’industria tecnologica, e che questa è una posizione di policy, non un’evidenza: va letta come argomento, non come risultato.

Merita attenzione perché il report non nega i danni documentati (suicidi di minori, dinamiche di radicalizzazione) e perché la sua raccomandazione principale coincide con quella di Meta: un child flag opzionale impostato una volta a livello di sistema operativo, senza che ogni chatbot debba raccogliere dati identificativi. Le altre dieci indicazioni positive includono controlli parentali realmente usabili (disattivazione di ricompense e notifiche, limiti di tempo, impostazioni privacy), alfabetizzazione digitale e sull’AI, gestione specifica delle conversazioni su ideazione suicidaria, standard per i servizi professionali AI con licenza, finanziamento della ricerca. Fra gli otto “non fare” ci sono la verifica dell’età per tutti gli utenti, le warning label, il divieto di chatbot a tutti i minori e i limiti di tempo imposti per legge.

Che un’associazione dell’industria e la più grande piattaforma social convergano nella stessa settimana sulla stessa architettura non è una coincidenza, ed è il vero fatto della settimana insieme alla decisione francese: si sta formando una posizione industriale che sposta il punto di controllo dal servizio al dispositivo. Nessuno ha ancora chiesto pubblicamente ad Apple e Google se accettano.

Fonti: ITIF, 10 agosto · comunicato ITIF

Sei mesi di apprendimento: la ricerca italiana che dovrebbe entrare nei collegi docenti di settembre

Il dato scientifico più solido di queste settimane è italiano e quasi-sperimentale. Su Nature Human Behaviour è uscito Longitudinal effect of early social media use on standardized learning outcomes during school career di Marco Gui, Chiara Respi e Giovanni Abbiati (Milano-Bicocca e Brescia), progetto EYES UP: 5.227 studenti di 28 scuole del Nord Italia, incrociando un questionario sulle abitudini digitali lifetime con i punteggi longitudinali INVALSI. Il disegno confronta chi apre il primo account social in prima, seconda o terza media con chi lo apre in prima superiore o dopo, appaiando su caratteristiche osservabili.

Il risultato: chi apre un account in prima media accumula, nell’arco della scuola secondaria di primo grado, una perdita di apprendimento equivalente a circa sei mesi rispetto a coetanei comparabili, con maggiore incidenza di ripetenze. Il dato controintuitivo è che l’inglese non mostra differenze misurabili, plausibilmente perché sulle piattaforme globali l’esposizione linguistica compensa. Il mediatore identificato non è la quantità di tempo in sé ma la pervasività dello smartphone nei momenti chiave della giornata: studio, notte, pasti.

Attenzione all’inferenza: è un disegno quasi-sperimentale con matching, non un esperimento randomizzato, e resta possibile che l’età di apertura dell’account sia essa stessa un indicatore di variabili familiari non osservate. Detto questo, è molto più vicino a una stima causale della gran parte della letteratura su cui si discute in Italia, ed è su dati italiani. Per chi fa formazione docenti, il mediatore è la notizia: sposta l’intervento dal “quante ore” al “quando e dove”, che è una variabile su cui una famiglia e una scuola possono davvero agire.

Fonti: Nature Human Behaviour · News-Medical, sintesi

Sextortion e AI generativa: il Secret Service porta il tema alla prevenzione

L’8 agosto lo U.S. Secret Service ha pubblicato Sextortion in the Age of AI, materiale divulgativo costruito su un caso reale di ricatto ad adolescenti tramite immagini esplicite generate con AI a partire da foto ordinarie. Non è ricerca originale e i numeri che cita vanno attribuiti alle fonti primarie: uno su cinque fra i 13-20enni che riporta di aver subito sextortion (Thorn, 2025) e una media di 137 segnalazioni al giorno di sextortion finanziaria ricevute da NCMEC nel 2025, in aumento del 37% sull’anno precedente.

Il motivo per cui vale la pena segnalarlo è clinico più che statistico. La sextortion generata da AI rompe la difesa psicoeducativa su cui poggiava tutta la prevenzione precedente (“non mandare foto”): qui non serve che il ragazzo abbia mandato nulla. Chi fa prevenzione nelle scuole ha bisogno di riscrivere quel messaggio entro settembre, perché nella versione attuale è diventato, oltre che inefficace, colpevolizzante.

Fonti: U.S. Secret Service · The Conversation, studio giugno 2026

⚖️ Monitor normativo

🧭 Pattern della settimana

Il divieto per età ha incontrato il suo primo limite giuridico, e non è arrivato dalle piattaforme. Fino a questa settimana l’argomento contro i divieti era empirico: l’Australia mostra che l’80% dei ragazzi resta online. Ora ce n’è uno costituzionale, ed è più difficile da aggirare, perché non dice “non funziona” ma “non si può fare così”. Le due condizioni poste dal Conseil (perimetro ancorato a rischi documentati servizio per servizio, garanzie esplicite sulla verifica dell’età) sono esattamente ciò che nessuna delle leggi approvate nel 2026 possiede. È probabile che i prossimi testi europei nascano più stretti e più tecnici, e che la Commissione diventi la via preferita proprio perché una norma concordata a Bruxelles non passa dal controllo costituzionale francese.

Il punto di controllo si sta spostando dal servizio al dispositivo, e la convergenza è sospetta quanto ragionevole. Nella stessa settimana Meta chiede che l’età sia verificata dal sistema operativo e ITIF propone un child flag impostato una volta sul dispositivo. È la stessa architettura verso cui spinge la giurisprudenza americana sull’App Store Accountability Act texano e, in modo diverso, il mini-wallet europeo. L’argomento privacy regge: un controllo invece di trenta. Ma va notato chi lo propone e cosa ci guadagna: la piattaforma che oggi porta il costo e il rischio dei falsi positivi vorrebbe passarli a due aziende che non sono state consultate. La domanda da tenere aperta non è se l’architettura sia buona, ma se il soggetto che verifica debba essere la stessa azienda che vende il dispositivo.

Fra le due tifoserie, la ricerca continua a dire una terza cosa. Lo studio di Gui, Respi e Abbiati non misura il tempo di schermo e non misura il benessere: misura gli apprendimenti, e individua come mediatore la pervasività dello smartphone in momenti specifici. È un risultato che non serve a nessuna delle due narrative pubbliche. Non conferma il divieto (il problema non è l’accesso, è la collocazione dell’uso nella giornata) e non conferma il minimizzare (sei mesi di apprendimento sono molti). È esattamente il tipo di evidenza su cui si può costruire un intervento educativo, ed è quello che circola meno.

Lo scollamento più grosso resta fra ciò che si regola e ciò che accade. Si legifera su accesso e verifica dell’età mentre il fenomeno che cambia più in fretta (sextortion con immagini generate, chatbot come interlocutore emotivo invisibile agli adulti) non ha bisogno di un account per funzionare. La difesa psicoeducativa costruita sul “non mandare foto” è tecnicamente superata da un anno, e continua a essere il messaggio principale di gran parte della prevenzione italiana.

📌 Da tenere d’occhio