CYBER
2026.09.07

CYBER — Settimana 07/09–13/09 2026

TL;DR

Il 10 settembre la California firma tredici leggi in un colpo solo e sposta l’oggetto della regolazione: non più i contenuti ma il design, e non più le piattaforme ma il sistema operativo. Nella stessa settimana Ofcom apre il programma di enforcement su immagini intime e deepfake con una scadenza a fine mese, un’analisi delle regole di New York mostra che l’age assurance misura solo metà degli errori che produce, e una review su Molecular Psychiatry prova a separare l’aumento reale dei disturbi giovanili dall’inflazione diagnostica, mettendo il sonno al centro.

🛡️ CYBER — Settimana 07/09–13/09 2026

TL;DR: Il 10 settembre la California firma tredici leggi in un colpo solo e sposta l’oggetto della regolazione: non più i contenuti ma il design, e non più le piattaforme ma il sistema operativo. Nella stessa settimana Ofcom apre il programma di enforcement su immagini intime e deepfake con una scadenza a fine mese, un’analisi delle regole di New York mostra che l’age assurance misura solo metà degli errori che produce, e una review su Molecular Psychiatry prova a separare l’aumento reale dei disturbi giovanili dall’inflazione diagnostica, mettendo il sonno al centro.

🔴 Segnale forte

La California smette di regolare i contenuti e comincia a regolare il dispositivo

Il 10 settembre Gavin Newsom ha firmato tredici leggi sulla sicurezza dei minori online, in una sola cerimonia, in un museo per bambini della Bay Area invece che nel suo ufficio (Governor of California, 10/09; ANSA, 11/09). La scenografia conta meno del contenuto, che va letto come un unico documento e non come tredici provvedimenti separati.

Tre cose si muovono insieme, e nessuna riguarda i contenuti.

La prima è il design. AB 2246 (Wicks) abroga il California Age-Appropriate Design Code e lo sostituisce con un impianto più stretto e senza alcune delle eccezioni precedenti: minimizzazione dei dati raccolti, obbligo di adottare misure ragionevoli per prevenire rischi specifici di danno ai minori, e un istituto interessante, il diritto del minore di annullare le clausole contrattuali sottoscritte da lui o dai genitori in conseguenza di una design feature della piattaforma (CalMatters Digital Democracy, AB 2246). La vecchia AADC era finita impigliata nel Primo Emendamento perché regolava, di fatto, il giudizio editoriale. Questa riscrittura prova a restare sul terreno del prodotto: come è costruito, non cosa mostra.

La seconda è il livello della verifica. AB 1856 (Wicks) modifica il Digital Age Assurance Act e sposta il segnale d’età dove i minori arrivano davvero, cioè sul dispositivo: chi fornisce il sistema operativo dovrà, al momento della configurazione dell’account, chiedere data di nascita o età dell’utente di quel dispositivo, e trasmettere il segnale allo store e agli sviluppatori nei casi previsti; a chi non ne ha titolo è vietato chiederlo. L’impianto entra in vigore dal 1 gennaio 2027 (CalMatters Digital Democracy, AB 1856; testo del disegno di legge). È il passaggio più rilevante per chi osserva il fenomeno da vicino: finché la verifica d’età sta dentro la singola app, ogni app ripete lo stesso errore e ogni ragazzo impara ad aggirarlo una volta sola. Spostarla sul sistema operativo la rende una proprietà dell’ambiente, non un ostacolo da superare.

La terza è l’ingresso dei compagni artificiali nella categoria di ciò che ha un’età minima. SB 1119 (Padilla), che si chiama Adam’s Law, impone ai companion chatbot protocolli di crisi in caso di ideazione suicidaria, controlli parentali, notifiche di sicurezza, e per la prima volta audit indipendenti di child safety e valutazioni di rischio annuali. SB 867, dello stesso proponente, estende la disciplina ai chatbot dentro i giocattoli. SB 1276 (Rubio) porta dentro i reati di sfruttamento sessuale dei minori anche il materiale digitalmente alterato o generato dall’AI. Sul versante scuola, AB 2071 (Hoover, repubblicano: il pacchetto è bipartisan) introduce l’istruzione al benessere digitale, AB 1159 (Addis) protegge i dati personali degli studenti, SB 1128 (Stern) regola i materiali sui dispositivi forniti dalle scuole.

Il contesto rende il tutto meno sorprendente. Due settimane prima, il 26 agosto, il primo processo federale dell’MDL 3047 a Oakland si era chiuso con un accordo fra Meta e ventinove Stati per un valore fino a circa 17 miliardi di dollari in dieci anni, con impegni ordinati dal giudice su impostazioni predefinite per adolescenti: limite giornaliero di due ore, modalità notturna da mezzanotte alle sei, silenziamento delle notifiche in orario scolastico, conteggio dei like nascosto, verifica dell’età entro un anno. I soldi vanno a programmi statali, non alle famiglie; le cause individuali e quelle dei distretti scolastici proseguono, con i bellwether californiani attesi a fine ottobre (MDL Update, MDL 3047). Detto altrimenti: le impostazioni predefinite che un tribunale ha imposto a una singola azienda, la California le sta scrivendo in legge per tutte.

Per chi lavora con i minori: l’argomento “tanto lo aggirano” perde forza quando il controllo scende al livello del dispositivo, e guadagna forza il lavoro educativo sul perché esiste. Vale la pena prepararsi a genitori che dal 2027 si troveranno a configurare un telefono dichiarando l’età del figlio, e che chiederanno cosa succede dopo. Per chi fa policy: il pacchetto californiano è la prima risposta strutturata alla bocciatura costituzionale dell’AADC, e sarà copiato o impugnato entro pochi mesi. Per i genitori: Adam’s Law nasce da una morte. I protocolli di crisi obbligatori sui chatbot non sono un dettaglio tecnico, sono il riconoscimento che un adolescente in difficoltà oggi parla prima a una macchina che a un adulto.

Fonti: Governor of California, 10/09 · Reazioni ufficiali · ANSA, 11/09 · AB 1856 · AB 2246 · MDL Update

📡 Altri fili

Ofcom apre il fronte delle immagini intime e dei deepfake, con una scadenza a fine mese

Il 9 settembre Ofcom ha avviato un programma di enforcement sulla diffusione di immagini intime non consensuali e deepfake sessuali. Il punto operativo è una data: entro il 30 settembre 2026 le piattaforme devono avere attivo l’hash matching per individuare e bloccare le immagini intime illegali, oppure dimostrare di avere sistemi altrettanto efficaci. Chi non lo fa rischia sanzioni fino al 10% del fatturato globale annuo. Entro fine anno Ofcom consulterà su un rafforzamento dei codici che includa l’obbligo di rimozione entro 48 ore, con termine per le evidenze al 6 novembre 2026, e pubblicherà entro l’estate 2027 un rapporto sui progressi del settore. Almudena Lara ha riassunto il principio: le aziende tecnologiche hanno ora una responsabilità giuridica di mettere in campo gli strumenti giusti. La ricerca citata stima circa 369.000 donne britanniche colpite ogni anno da abuso di immagini intime (Ofcom, 09/09).

L’annuncio parla di donne e ragazze e non menziona esplicitamente i minori né le app di nudificazione, ma chi lavora nelle scuole sa che è lì che il fenomeno ha la sua incidenza più alta e la sua gestione peggiore. L’hash matching agisce dopo: serve che l’immagine esista, che qualcuno la carichi su StopNCII e che le piattaforme onorino l’hash. Fra la produzione dell’immagine con un’app da pochi euro e il momento in cui la vittima adolescente sa che esiste uno strumento del genere passano, nella pratica, settimane. Il meccanismo è buono e arriva tardi per definizione: è una barriera alla circolazione, non alla creazione. Va notato l’accostamento con il pacchetto californiano, dove SB 1276 interviene invece sul lato penale del materiale generato dall’AI. Due giurisdizioni, due punti di attacco diversi sullo stesso oggetto.

Fonti: Ofcom, 09/09 · StopNCII.org

Age assurance, New York e la metà degli errori che nessuno misura

L’8 settembre Tech Policy Press ha pubblicato l’analisi più utile della settimana per chi deve capire cosa significa davvero “verifica dell’età”. Le regole attuative del SAFE for Kids Act di New York, rilasciate dall’Attorney General il 28 luglio 2026, chiedono alle piattaforme sistemi di age assurance, metodi alternativi al documento d’identità, certificazione di terza parte, test annuali, procedure di appello per chi viene classificato male, e dati sui tentativi mensili di verifica (Tech Policy Press, 08/09).

I limiti individuati sono quattro e valgono ben oltre New York. Le regole fissano standard di accuratezza sulle false accettazioni, cioè i minori scambiati per adulti, ma non sulle false reiezioni, cioè gli adulti bloccati per errore: metà degli errori del sistema resta senza soglia. Le piattaforme non sono obbligate in modo universale a offrire più metodi di verifica, il che scarica il costo su chi non ha documenti. La valutazione riguarda i singoli metodi e non la prestazione end-to-end del sistema. E i report di certificazione restano privati, il che rende impossibile a ricercatori e osservatori esterni giudicare se funziona.

Questo quarto punto è lo stesso rilievo che la settimana scorsa la Children’s Commissioner inglese muoveva a Ofcom sulle valutazioni di rischio. Due giurisdizioni diverse, stessa struttura: l’informazione che permetterebbe di valutare l’efficacia della regolazione circola solo fra regolatore e regolato. Se AB 1856 porterà il segnale d’età dentro il sistema operativo, questa è la domanda da tenere in mano: con quale tasso di errore, misurato da chi, pubblicato dove.

Fonti: Tech Policy Press, 08/09

La ricerca della settimana prova a smontare sia l’allarme sia la rassicurazione

Il 12 settembre Molecular Psychiatry ha pubblicato una review di Chiang, Chien e Gau sull’aumento globale delle diagnosi di disturbo mentale in età giovanile. Secondo PubMed, il lavoro tiene insieme tre operazioni: sintetizza i trend epidemiologici, prova a distinguere l’aumento reale di morbilità dall’inflazione diagnostica, e propone un modello di intervento a tre livelli. Nei paesi ad alto reddito depressione giovanile, mortalità per suicidio e autolesionismo sono cresciute in modo sostanziale, e gli autori sostengono che indicatori oggettivi di gravità confermano un aumento che va oltre il cambiamento delle pratiche diagnostiche. Fra i driver ambientali indicano l’esposizione digitale pervasiva, il cyberbullismo, la perturbazione del sonno e la pressione scolastica, con il disturbo del sonno come fattore di rischio transdiagnostico centrale. La pandemia ha accelerato traiettorie preesistenti, in particolare sui disturbi alimentari (PubMed, DOI 10.1038/s41380-026-03884-x).

Il modello a tre livelli è la parte operativa: universale, con regolazione degli ambienti digitali, apprendimento socio-emotivo e attività fisica istituzionalizzata; selettivo, con monitoraggio proattivo del sonno nei ragazzi a rischio e riduzione dello stress da rendimento; indicato, con psicoterapie basate su evidenze e protocolli strutturati di rientro a scuola dopo il ricovero. Chi legge questo osservatorio da qualche settimana riconoscerà l’eco del trial PROTECTconfirm di inizio settembre: anche lì il guadagno stava nella prevenzione indicata, non in quella universale. Qui si aggiunge un bersaglio concreto e misurabile, il sonno, che ha il vantaggio di essere modificabile e di non richiedere di risolvere prima la questione del nesso causale fra schermi e umore.

Nella stessa settimana, due lavori più piccoli ma utili. Su Journal of Youth and Adolescence, l’8 settembre, uno studio longitudinale a due anni su 3364 adolescenti cinesi (età media 14,15) ha applicato modelli cross-lagged a intercetta casuale alle relazioni genitori-figli e ai sintomi di Internet gaming disorder. Il risultato merita attenzione metodologica: a livello fra le persone, più vicinanza si associa a meno sintomi e più conflitto a più sintomi; a livello dentro la persona, le associazioni reciproche emergono soltanto fra conflitto padre-figlio e sintomi, sono di piccola entità e si attenuano dopo l’aggiustamento per le covariate (PubMed, DOI 10.1007/s10964-026-02404-y). Tradotto per la pratica: la correlazione che vediamo negli studi trasversali riflette soprattutto differenze stabili fra famiglie, non un meccanismo che si accende settimana per settimana. Dire a un genitore “se litigate meno gioca meno” è un’estrapolazione che questi dati non autorizzano.

Il 9 settembre, su PLOS Global Public Health, uno studio trasversale su 302 studenti di scuola secondaria in Nepal ha trovato sintomi depressivi nel 39,7% del campione, con associazione indipendente per uso problematico dei social (AOR 2,93, IC 95% 1,38-6,26), stress scolastico, scarso supporto sociale e tendenza a tenersi i problemi per sé (AOR 4,09) (PubMed, DOI 10.1371/journal.pgph.0007225). È un disegno trasversale, la direzione della freccia non è stabilita, e gli autori lo dicono. Vale però segnalare che il predittore più forte non è digitale: è il non chiedere aiuto.

Fonti da PubMed, con DOI dei lavori citati.

Fonti: Molecular Psychiatry, 12/09 · J Youth Adolesc, 08/09 · PLOS Glob Public Health, 09/09

Cosa fanno davvero i distretti scolastici americani con l’AI, quando li si conta

L’8 settembre Tech Policy Press ha pubblicato una ricognizione sulle politiche dei venticinque distretti scolastici più grandi degli Stati Uniti, che completa la notizia della settimana precedente sulle moratorie di New York e Los Angeles. Il quadro è meno netto dei titoli: la maggioranza dei distretti adotta approcci di cautela più che regole d’uso chiare, l’accento è sull’alfabetizzazione all’AI e sulla comprensione dei modelli probabilistici, le politiche si articolano per fasce d’età (K-6 uso solo monitorato, gradi superiori strumenti pre-approvati in autonomia), e circa 35 Stati hanno emanato linee guida che sono però in larga parte soft policy che rimandano la decisione all’insegnante. Chicago punta sull’educazione più che sulla restrizione, Katy in Texas e Haddonfield in New Jersey restringono per i più piccoli. La moratoria di New York, annunciata il 4 settembre dal sindaco Mamdani e dal chancellor Samuels, è stata ottenuta da una coalizione di docenti, genitori e attivisti che ora chiede anche limiti per il personale e criteri di valutazione per i futuri strumenti (Tech Policy Press, 08/09).

Il confronto con l’Italia è istruttivo. Qui la direzione è opposta e simultanea: cento milioni per portare l’IA nella didattica con formazione docenti da settembre 2026 in collaborazione con Indire e sperimentazione regionale nel 2027, mentre sul fronte social il ministero sostiene il divieto sotto i quindici anni; sul divieto di cellulare in classe il ministero riporta una conformità del 99,4% degli istituti (Orizzonte Insegnanti). Due modelli speculari: gli Stati Uniti frenano l’AI e lasciano fare ai distretti, l’Italia accelera sull’AI e centralizza il divieto sui dispositivi. Nessuno dei due poggia su evidenza di efficacia, in nessuna delle due direzioni.

Fonti: Tech Policy Press, 08/09 · Orizzonte Insegnanti

Il reclutamento algoritmico, che non è un problema di salute mentale

L’11 settembre Tech Policy Press ha pubblicato un intervento sul reclutamento di minori da parte di gruppi armati colombiani attraverso i social. Oltre 1.500 bambini e ragazzi reclutati negli ultimi cinque anni, e stime che attribuiscono ai social quasi metà dei casi. L’autrice racconta di aver trovato decine di profili di gruppi armati su Facebook e TikTok arrivandoci attraverso le raccomandazioni algoritmiche: emoji in codice (il quadrifoglio per le coltivazioni di coca, varianti di bandiera per l’affiliazione), post espliciti del tipo “ci sono posti nei ranghi”, video con contanti, veicoli e armi su colonna sonora di narcocorridos. Le fonti sono il rapporto di Human Rights Watch di agosto 2026 e i dati della JEP (Tech Policy Press, 11/09).

Lo cito perché fa da correttivo a tutto il resto. Il dibattito sui minori e il digitale nei paesi ad alto reddito è quasi interamente un dibattito di salute mentale: ansia, sonno, autostima, dipendenza. Qui l’amplificazione algoritmica produce un danno che non ha niente di psicologico e tutto di materiale. La richiesta dell’autrice è che la regolazione delle piattaforme protegga lo spettro pieno dei diritti dell’infanzia, non solo il benessere psicologico dei minori occidentali. È anche un promemoria metodologico: gli stessi sistemi di raccomandazione che discutiamo in termini di tempo trascorso, altrove decidono chi entra in un gruppo armato.

Fonti: Tech Policy Press, 11/09 · Human Rights Watch

⚖️ Monitor normativo

California, 10 settembre. Tredici leggi firmate. Le più rilevanti: AB 2246 (abrogazione e riscrittura dell’Age-Appropriate Design Code), AB 1856 (segnale d’età a livello di sistema operativo, impianto in vigore dal 1 gennaio 2027), SB 1119 “Adam’s Law” (protocolli di crisi, controlli parentali, audit indipendenti sui companion chatbot), SB 867 (chatbot nei giocattoli), SB 1276 (materiale di sfruttamento sessuale generato o alterato con AI), AB 1946 (segnalazione di CSAM), AB 1159 e SB 1128 (dati e dispositivi scolastici), AB 2071 (benessere digitale nei curricoli) (fonte ufficiale). Il 9 settembre lo stesso governatore aveva firmato SB 813 e AB 1405, che istituiscono verificatori indipendenti e un registro statale degli auditor di sistemi AI: è l’infrastruttura di controllo su cui poggeranno gli audit di child safety (fonte).

Regno Unito, 9 settembre. Programma di enforcement Ofcom su immagini intime non consensuali e deepfake. Scadenza hash matching 30 settembre 2026, evidenze entro il 6 novembre, consultazione sui codici entro fine anno, rapporto sui progressi entro l’estate 2027 (Ofcom).

Stati Uniti, contenzioso. Dopo l’accordo del 26 agosto fra Meta e ventinove Stati (fino a circa 17 miliardi in dieci anni, di cui circa 12,2 garantiti e circa 5 condizionati a impegni analoghi di Snap, TikTok e YouTube), restano pendenti 3.208 azioni federali nell’MDL 3047. I bellwether della JCCP 5255 in tribunale statale californiano sono attesi a fine ottobre 2026, quelli dei distretti scolastici a febbraio 2027 (MDL Update).

Unione europea. Restano aperte le contestazioni preliminari della Commissione a TikTok sulla sicurezza degli account dei minori ai sensi del DSA (Commissione europea), e prosegue la diffusione del blueprint di verifica dell’età, di cui la Commissione ha sollecitato l’adozione rapida (Commissione europea). Nessun atto nuovo in settimana.

Italia. Nessun passaggio formale in settimana. Il disegno di legge sul divieto dei social sotto i quindici anni resta in commissione al Senato, con verifica dell’età affidata a un portafoglio digitale nazionale, nullità dei contratti già stipulati dai minori di quindici anni e innalzamento a sedici anni della soglia di consenso al trattamento dei dati (Italia Informa).

🧭 Pattern della settimana

Il filo che tiene insieme California, Ofcom e New York è uno spostamento dell’oggetto regolato. Per dieci anni la domanda è stata “cosa può vedere un minore”, e la risposta è stata la moderazione dei contenuti, con i suoi problemi costituzionali negli Stati Uniti e i suoi problemi di efficacia in Europa. Questa settimana l’oggetto diventa il design (AB 2246), l’infrastruttura di identificazione (AB 1856), il meccanismo di propagazione (l’hash matching di Ofcom), la categoria di prodotto (i companion chatbot, che da software indifferenziato diventano cosa con un’età minima). È un cambio di livello, non di intensità: si regola l’architettura invece del flusso.

Il secondo pattern è meno incoraggiante ed è la seconda settimana consecutiva che si ripresenta. Ogni volta che una regolazione entra in funzione, i dati che permetterebbero di giudicarla restano dentro il perimetro fra regolatore e regolato: le valutazioni di rischio che Ofcom non pubblica, i report di certificazione che New York tiene privati. Si costruisce un apparato di misurazione sempre più sofisticato e poi si decide che i risultati non sono pubblici. Il risultato è che la domanda “funziona?” resta, strutturalmente, senza risposta verificabile da fuori.

Il terzo è la distanza fra il dibattito e la ricerca. Nella settimana in cui tredici leggi californiane trattano l’esposizione digitale come il problema, la review di Molecular Psychiatry mette al centro il sonno e la pressione scolastica accanto al digitale, lo studio cinese mostra che le associazioni fra conflitto familiare e gaming problematico sono quasi tutte fra le persone e non dentro la persona, e lo studio nepalese trova che il predittore più forte dei sintomi depressivi è non chiedere aiuto. Nessuno di questi lavori nega il ruolo del digitale. Tutti e tre lo collocano dentro un sistema di fattori che la narrativa pubblica tende a comprimere in una causa sola. Chi lavora sul campo si trova quindi in una posizione scomoda e interessante: la regolazione che arriva è più intelligente di prima, e continua a essere costruita su un modello causale più semplice di quello che i dati sostengono.

📌 Da tenere d’occhio