CYBER
2026.08.31

CYBER — Settimana 31/08–06/09 2026

TL;DR

Mentre Ofcom incassa la sua multa più alta contro un sito porno senza controlli d’età, la Garante per l’infanzia inglese dice ai Lord che i ragazzi non hanno notato alcuna differenza dall’Online Safety Act, e si dichiara furiosa per il rifiuto di Ofcom di pubblicare le valutazioni di rischio delle piattaforme. Nella stessa settimana la frontiera si sposta dentro la scuola: New York e Los Angeles fermano l’AI generativa per gli studenti, il New Jersey spegne i telefoni dalla prima all’ultima campanella. E un trial randomizzato tedesco su 1793 adolescenti dice una cosa scomoda per chi progetta prevenzione: la media literacy universale non sposta i sintomi, la CBT mirata sì.

🛡️ CYBER — Settimana 31/08–06/09 2026

TL;DR: Mentre Ofcom incassa la sua multa più alta contro un sito porno senza controlli d’età, la Garante per l’infanzia inglese dice ai Lord che i ragazzi non hanno notato alcuna differenza dall’Online Safety Act, e si dichiara furiosa per il rifiuto di Ofcom di pubblicare le valutazioni di rischio delle piattaforme. Nella stessa settimana la frontiera si sposta dentro la scuola: New York e Los Angeles fermano l’AI generativa per gli studenti, il New Jersey spegne i telefoni dalla prima all’ultima campanella. E un trial randomizzato tedesco su 1793 adolescenti dice una cosa scomoda per chi progetta prevenzione: la media literacy universale non sposta i sintomi, la CBT mirata sì.

🔴 Segnale forte

Due misure della stessa legge: il registro delle sanzioni e quello di chi la legge dovrebbe proteggere

Il 3 settembre Dame Rachel de Souza, Children’s Commissioner for England, è andata davanti al Communications and Digital Committee della Camera dei Lord e ha riferito quello che i ragazzi le dicono dell’Online Safety Act: che ha fatto “assolutamente nessuna differenza”. Non che sia insufficiente, non che vada rafforzato: che non si è visto. I ragazzi, ha spiegato, in larga parte non sanno nemmeno che esista una legge, e continuano a incontrare i contenuti che la legge era stata scritta per allontanare (The Register, 03/09).

Il giorno dopo Ofcom ha pubblicato il suo dato speculare. Il 4 settembre ha sanzionato per 730.000 sterline il sito pornografico Xgroovy, che fra luglio e novembre 2025 ha lasciato accessibile ai minori contenuti pornografici senza alcun controllo d’età, più altre 30.000 sterline per non aver risposto a una richiesta formale di informazioni, con una penale aggiuntiva di 200 sterline al giorno fino alla risposta o fino al 3 novembre 2026. Il gestore ha nel frattempo introdotto misure di age assurance e geobloccato il Regno Unito. George Lusty, direttore dell’enforcement, ha riassunto così: “Il messaggio ai siti per adulti è chiaro: mettete controlli d’età efficaci per impedire ai bambini di accedere alla pornografia” (Ofcom, 04/09).

Le due notizie non si contraddicono, misurano cose diverse. Ofcom misura la conformità dei fornitori: quante piattaforme esaminate, quante sanzionate, quante hanno adeguato le procedure. De Souza misura ciò che un quindicenne incontra il martedì pomeriggio. La distanza fra i due registri è il vero contenuto della settimana, e non è un problema britannico: è la forma che assume ogni regolazione che agisce sui processi delle aziende invece che sull’esperienza degli utenti finali.

Dentro la testimonianza c’è però un punto più duro del titolo. De Souza ha detto di essere “piuttosto furiosa” per il rifiuto di Ofcom di condividere le valutazioni di rischio che le piattaforme sono obbligate a consegnare al regolatore. Sono i documenti in cui le aziende dichiarano quali danni ai minori riconoscono sui propri servizi e come intendono mitigarli: il cuore informativo dell’intero impianto. Restano riservati fra regolatore e regolato. Ha chiesto inoltre a Ofcom di “usare i denti”, di anticipare i danni invece di rincorrerli, e di occuparsi di ciò che sta emergendo adesso, in particolare AI generativa e app di nudificazione, invece del catalogo di rischi con cui la legge è stata scritta (The Register).

E c’è l’obiezione strutturale, la stessa che ritorna in tutti i fili di questa settimana: l’Online Safety Act è costruito sulla moderazione dei contenuti, non sul design. Regola cosa si vede, non come è fatto ciò dentro cui lo si vede. Le funzionalità che tengono un ragazzo dentro l’app (scorrimento infinito, autoplay, notifiche, metriche sociali visibili) restano fuori dal perimetro.

Per chi lavora con i minori: questa è la settimana in cui conviene smettere di rassicurare famiglie e colleghi dicendo “adesso c’è la legge”. La legge c’è, l’esposizione no. Il lavoro clinico ed educativo sull’esposizione resta interamente sulle spalle di chi sta in classe e in studio. Per chi fa policy: se le valutazioni di rischio restano segrete, l’unico soggetto che può giudicare se la regolazione funziona è il regolatore stesso, che è anche il soggetto giudicato. Per i genitori: la multa a un singolo sito che poi si geoblocca dice quanto sia mobile il terreno. Un filtro non sostituisce una conversazione.

Fonti: Ofcom, sanzione 04/09 · The Register, 03/09 · Children’s Commissioner · Ofcom, protecting children

📡 Altri fili

La scuola americana rientra e chiude due porte insieme

Il rientro a scuola negli Stati Uniti è arrivato con due decisioni che vale la pena leggere come una sola. Il 2 settembre il board del Los Angeles Unified, circa 378.000 studenti, ha adottato una moratoria di un anno sull’uso dell’AI generativa da parte degli studenti, ribaltando la politica precedente che consentiva l’accesso a strumenti approvati dai tredici anni in su previo percorso di cittadinanza digitale. Un comitato ad hoc porterà raccomandazioni entro fine anno scolastico (K-12 Dive, EdWeek, NBC Los Angeles). Il 5 settembre il Department of Education di New York ha vietato l’AI rivolta agli studenti dalla materna all’ottavo grado e ristretto a pochi strumenti approvati l’uso alle superiori, dopo aver proposto a marzo un sistema a semaforo molto più permissivo (Tech Policy Press, 05/09).

Entrambe le inversioni non nascono da studi di efficacia ma da coalizioni di genitori, insegnanti e studenti. È un dato politico interessante: nel giro di tre anni i due distretti più grandi del paese sono passati dal blocco (2022-2023) all’adozione entusiasta (2023-2026) e di nuovo al blocco, senza che nel frattempo sia arrivata evidenza solida in nessuna delle due direzioni. Nella stessa settimana, il 2 settembre, gli studenti del New Jersey sono rientrati sotto la legge S3695, firmata a gennaio 2026, che impone il divieto di smartphone, tablet, smartwatch e dispositivi connessi dalla prima all’ultima campanella in tutte le scuole pubbliche K-12, con deroghe per emergenze, traduzione e usi curricolari. Alcuni distretti usano pouch magnetiche, altri armadietti (New Jersey Monitor, 02/09).

Il filo comune è che l’istituzione scolastica sta diventando il luogo dove le decisioni sul digitale dei minori vengono effettivamente prese, mentre la regolazione delle piattaforme resta impantanata nelle sue procedure. È una scelta di campo comprensibile e ha un costo preciso: la scuola può governare sette ore, non le altre diciassette, e sposta su docenti e dirigenti un onere di enforcement per cui non hanno né formazione né strumenti.

Fonti: Tech Policy Press · K-12 Dive · EdWeek · New Jersey Monitor

Un trial randomizzato dice che la prevenzione universale non basta, e che quella mirata funziona

Il 1 settembre JAMA Network Open ha pubblicato PROTECTconfirm, il trial randomizzato più solido finora sulla prevenzione scolastica dei disturbi da gaming e da uso di internet. Secondo quanto indicizzato su PubMed, lo studio ha coinvolto 1793 studenti (età media 13,1 anni) in 44 scuole secondarie del Baden-Württemberg fra luglio 2020 e agosto 2024, randomizzati dentro 90 classi fra due programmi strutturalmente identici di quattro incontri da 90 minuti: PROTECTtraining, di impianto cognitivo-comportamentale, e PROTECTinfo, di impianto media literacy. Entrambi condotti in orario scolastico da professionisti della prevenzione formati, con supervisione dal vivo e protocolli di aderenza (PubMed, DOI 10.1001/jamanetworkopen.2026.31942).

Il risultato a dodici mesi è netto e va letto con attenzione. Sul campione totale non c’è differenza fra i due programmi (d fra i gruppi = -0,07, IC 95% da -0,16 a 0,01). Sul sottogruppo dei 205 adolescenti ad alto rischio, quelli che già alla baseline soddisfacevano due o più criteri DSM-5, la CBT batte la media literacy (punteggio medio 14,7 contro 17,7; d fra i gruppi = -0,30, IC 95% da -0,55 a -0,05). Gli esiti secondari, sintomi internalizzanti ed esternalizzanti, non differiscono. La conclusione degli autori è esplicita: gli approcci CBT vanno collocati nella prevenzione indicata, non in quella universale.

Qui non c’è un problema di correlazione e causalità: è un trial randomizzato, la direzione della freccia è stabilita. Il problema è un altro, ed è politico. L’effetto è misurato contro un comparatore attivo, non contro il nulla: entrambi i gruppi migliorano nel tempo, il gruppo ad alto rischio migliora molto in entrambi i bracci (d entro il gruppo -0,91 e -0,61). Ma proprio mentre le istituzioni scolastiche di mezzo mondo investono in media literacy universale, il disegno sperimentale più pulito dice che su questo esito specifico la media literacy da sola non produce vantaggio rispetto a un intervento clinico, e che il guadagno si trova dove si va a cercare chi è già in difficoltà. Serve capacità di screening, non solo di divulgazione.

Fonti: JAMA Netw Open, PROTECTconfirm, DOI 10.1001/jamanetworkopen.2026.31942 · registro DRKS00033989

La freccia va in due direzioni: gaming e suicidalità in 57.985 adolescenti

Il 2 settembre il Journal of Medical Internet Research ha pubblicato uno studio prospettico a due onde su 57.985 adolescenti giocatori di Zigong, in Cina, valutati a novembre 2021 e novembre 2022. È il primo lavoro di questa scala a testare la relazione fra disturbo da gaming su internet (IGD) e suicidalità nelle due direzioni, tenendo separati ideazione e tentativo (PubMed, DOI 10.2196/86919).

Alla baseline: IGD nel 2,3% del campione, ideazione suicidaria nell’ultimo mese nel 14,6%, tentativo nella vita nell’11,5%. Prospetticamente, l’IGD alla baseline si associa a ideazione incidente (OR aggiustato 1,38) e tentativo incidente (1,37). Ma anche il contrario: ideazione e tentativo alla baseline si associano a IGD incidente (entrambi OR aggiustato 1,37). Gli odds ratio grezzi sono molto più alti (fra 2,5 e 6,5), il che dice quanto della relazione apparente sia spiegato da demografia, stile di vita e comorbilità psichiatriche.

Gli autori sono espliciti nel non rivendicare causalità, e la simmetria quasi perfetta dei coefficienti aggiustati suggerisce un sistema di vulnerabilità condivisa più che una catena causale in un senso. Per la pratica clinica ed educativa la traduzione è diretta e va contro il modo in cui di solito si organizza lo screening: chi arriva per il gaming va indagato sul rischio suicidario, e chi arriva per il rischio suicidario va indagato sul gaming. Sono due porte dello stesso stanzino, non due stanze.

Nella stessa settimana è stata indicizzata anche una rassegna clinica di Yale su Child and Adolescent Psychiatric Clinics of North America che tiene insieme gaming, gambling, uso problematico di pornografia, social media e chatbot AI dentro un unico quadro di comportamenti additivi giovanili, e propone di leggerli su un continuum invece che per soglie diagnostiche (PubMed, DOI 10.1016/j.chc.2026.06.001). È la direzione in cui si sta muovendo la clinica: meno etichette separate, più profili di uso.

Fonti: J Med Internet Res, DOI 10.2196/86919 · Child Adolesc Psychiatr Clin N Am, DOI 10.1016/j.chc.2026.06.001

Le repliche dell’accordo Meta, e chi non si presenta

L’accordo Meta della settimana scorsa continua a produrre effetti. Il 4 settembre Tech Policy Press ha pubblicato la critica più strutturata finora, firmata da Iain Levine: l’accordo, ora quantificato in 17,1 miliardi di dollari davanti alla corte californiana, protegge solo i bambini statunitensi, e definire accettabile che il resto del mondo resti fuori è insostenibile dal punto di vista dei diritti dell’infanzia. Levine contesta anche il meccanismo per cui una parte del pagamento è condizionata all’adeguamento dei concorrenti: usare la protezione dei minori come leva competitiva la trasforma in merce di scambio. E ricorda che Meta ha una politica sui diritti umani dal 2021, che non ha impedito i danni documentati (Tech Policy Press, 04/09).

Sul versante opposto, il 2 settembre il Department of Health and Human Services ha tenuto il simposio “Live Real Life”, con un panel dedicato al ridisegno del digitale per i minori moderato da Stephanie Haridopolos. YouTube e TikTok comparivano in una versione preliminare del programma e sono spariti da quella definitiva dopo aver inizialmente aderito. HHS ha risposto che il suo focus non è su una singola azienda (Daily Caller, 02/09). È un dettaglio minore che dice molto sul momento: nella settimana in cui Meta compra pagine intere di giornale per chiedere ai concorrenti di adeguarsi, i concorrenti scelgono di non sedersi al tavolo dove gliene si potrebbe chiedere conto.

Fonti: Tech Policy Press · Daily Caller · Bloomberg

⚖️ Monitor normativo

Regno Unito. Sanzione Ofcom di 730.000 sterline a Xgroovy per assenza di controlli d’età fra luglio e novembre 2025, più 30.000 per mancata risposta a richiesta di informazioni e 200 sterline al giorno di penale fino al 3 novembre 2026 (Ofcom, 04/09). Il 3 settembre la Children’s Commissioner ha chiesto formalmente davanti ai Lord la pubblicazione delle valutazioni di rischio delle piattaforme, finora negate (The Register). Resta attesa per ottobre la valutazione Ofcom su cosa costituisca “highly effective age assurance” a sedici anni, documento che determinerà l’applicabilità del divieto britannico agli under 16 previsto per la primavera 2027.

Stati Uniti. Il 2 settembre è entrato in vigore nelle scuole del New Jersey il divieto bell-to-bell di dispositivi connessi previsto dalla legge S3695 (New Jersey Monitor). Il 28 agosto è entrata in vigore in Missouri la legge sulla verifica dell’età per i siti pornografici (KBIA). Sul fronte app store, restano in fase di implementazione le leggi statali di Texas, Utah e Louisiana che spostano l’onere della verifica dell’età dai singoli servizi ai gestori degli store (Wiley).

Unione Europea. Resta ferma la scadenza di fine 2026 raccomandata dalla Commissione per il rollout dell’app di verifica dell’età basata sul blueprint a doppio anonimato, con l’Italia fra gli stati pilota (Commissione europea, digital-strategy). Sul fronte nazionale, i disegni di legge danese e spagnolo sulle soglie minime per i social restano in lavorazione parlamentare.

🧭 Pattern della settimana

Il pattern dominante è uno scarto di misura. Chi regola misura conformità: piattaforme esaminate, sanzioni comminate, procedure adottate. Chi vive dentro il sistema misura esposizione: cosa incontro, quanto ci resto, cosa mi arriva senza averlo cercato. La settimana ha messo i due registri uno accanto all’altro, e la distanza è imbarazzante non perché l’enforcement sia debole ma perché sta misurando la cosa sbagliata. Finché le valutazioni di rischio restano documenti riservati fra regolatore e regolato, questa distanza non è nemmeno osservabile dall’esterno.

Il secondo pattern è una migrazione di responsabilità. Non riuscendo a governare il design delle piattaforme, i decisori stanno agendo sull’unico spazio che controllano davvero, cioè l’istituzione scolastica. Telefoni via, AI generativa via. È una politica che produce risultati visibili in fretta e che rischia di generare l’illusione ottica peggiore possibile: sette ore protette scambiate per un ambiente protetto.

Il terzo pattern è più sottile e riguarda chi fa prevenzione. Il trial tedesco arriva nel momento esatto in cui la media literacy universale è diventata la risposta standard di ministeri e reti scolastiche, e dice che su un esito clinico specifico, i sintomi di gaming disorder, quella risposta non produce vantaggio misurabile rispetto a un intervento mirato, e che il guadagno c’è dove si va a cercare i ragazzi già in difficoltà. Insieme allo studio cinese sulla bidirezionalità, il messaggio operativo converge: servono meno campagne indifferenziate e più capacità di riconoscere chi sta male, sapendo che il gaming problematico e il rischio suicidario si presentano insieme e in ordine imprevedibile.

Dove c’è scollamento fra ricerca e percezione pubblica: il dibattito continua a essere organizzato attorno alla domanda “quanto tempo”, mentre la ricerca clinica di questa settimana si sta spostando verso profili di uso su un continuum e verso comorbilità che attraversano gaming, pornografia, social e chatbot. La quantità è una domanda comoda perché ha una risposta numerica. Non è la domanda che discrimina chi sta male.

📌 Da tenere d’occhio