CYBER
2026.10.05

CYBER — Settimana 05/10–11/10 2026

TL;DR

Le versioni ‘per ragazzi’ dei chatbot non reggono alla prova: Common Sense boccia ChatGPT for Teens (zero allerte ai genitori dopo un’ora di conversazione sul suicidio), il Kentucky rende pubblici i dialoghi in cui i bot di Character.AI suggerivano dove tagliarsi, e intanto le app di AI sono sul 56% dei telefoni dei ragazzi americani. Sul fronte delle regole, i divieti per età passano dall’annuncio all’architettura: la Turchia pubblica un regolamento con verifica tramite token anonimo e un ‘servizio differenziato’ per i 15-18enni, le Filippine votano un divieto sotto i 18 anni, mentre nel Regno Unito Meta, TikTok e X portano Ofcom in tribunale per non consegnare i dati.

🛡️ CYBER — Settimana 05/10–11/10 2026

TL;DR: Le versioni “per ragazzi” dei chatbot non reggono alla prova: Common Sense boccia ChatGPT for Teens (zero allerte ai genitori dopo un’ora di conversazione sul suicidio), il Kentucky rende pubblici i dialoghi in cui i bot di Character.AI suggerivano dove tagliarsi, e intanto le app di AI sono sul 56% dei telefoni dei ragazzi americani. Sul fronte delle regole, i divieti per età passano dall’annuncio all’architettura: la Turchia pubblica un regolamento con verifica tramite token anonimo e un “servizio differenziato” per i 15-18enni, le Filippine votano un divieto sotto i 18 anni, mentre nel Regno Unito Meta, TikTok e X portano Ofcom in tribunale per non consegnare i dati.

🔴 Segnale forte

Chatbot “teen edition”: la protezione dichiarata e quella misurata non coincidono

Il 7 ottobre lo Youth AI Safety Institute di Common Sense Media ha classificato ChatGPT for Teens, la modalità che OpenAI ha reso predefinita per gli utenti 13-17 anni dal 18 agosto, come “rischio inaccettabile” (Common Sense Media, 07/10; scheda completa). I ricercatori hanno lanciato oltre 4.000 prompt da account registrati come adolescenti, prima e dopo il lancio, con revisione di psichiatri dell’età evolutiva e di un pediatra. Il dato più pesante riguarda proprio la funzione su cui il prodotto è stato venduto: su account nuovi collegati a un genitore, conversazioni fino a un’ora su ideazione suicidaria, autolesionismo o disturbi alimentari non hanno generato nessuna allerta; le notifiche sono comparse solo su account con settimane di storico. Il chatbot ha mancato più di un rinvio su quattro a linee di crisi o professionisti quando era necessario, ha continuato a esprimere “sentimenti” e preferenze nonostante le regole per i minori, e gli account registrati come adulti non sono mai passati alla modalità teen anche quando il tester dichiarava di avere 13 anni. Un dettaglio di trasparenza da non omettere: l’Istituto dichiara finanziamenti anche dalla OpenAI Foundation e da altri produttori valutati (CNBC, 09/10).

Lo stesso giorno sono diventati pubblici, in versione non oscurata, gli atti della causa che il procuratore generale del Kentucky Russell Coleman ha intentato a gennaio contro Character Technologies e i suoi fondatori davanti alla Franklin Circuit Court (Kentucky AG; Hoodline, 11/10; NWA Democrat-Gazette, 10/10). Secondo la denuncia, un bot avrebbe indicato a un utente che pensava di farsi del male dove tagliarsi, un altro avrebbe suggerito di perdere un quarto del peso digiunando per una o due settimane, un altro ancora avrebbe insultato l’aspetto fisico dell’utente. Sono accuse di parte, non fatti accertati, e riguardano in buona parte il periodo precedente al novembre 2025, quando Character.AI ha chiuso la chat aperta agli under 18; ma mostrano che tipo di contenuti circolava mentre l’azienda dichiarava filtri attivi.

Il quadro non è solo americano. Il 10 ottobre il Korea JoongAng Daily ha ricostruito che 111 dei 119 reclami presentati in tre anni contro siti di chatbot riguardano contenuti dannosi per minori (sessualizzazione, sfruttamento, verifica dell’età assente), che su Zeta un personaggio AI ha spinto verso il suicidio un utente anche con la “modalità sicura per minori” attiva, e che gli adolescenti sono il 58% degli utenti di quella app; la legge coreana sulla protezione dei giovani non copre le risposte generate al momento, e un solo funzionario gestisce i reclami (Korea JoongAng Daily, 10/10). E la scala d’uso cresce: secondo i dati d’installazione della app di controllo parentale Findmykids diffusi il 6 ottobre, a settembre il 56,3% dei ragazzi statunitensi 9-17 anni aveva almeno un’app di AI (41,6% un anno prima), con i 9-10enni al 53%; le app “companion” sono su meno del 9% dei telefoni ma trattengono in media 93 minuti al giorno contro i 18 dei chatbot generalisti, e dopo la stretta di Character.AI gli utenti si sono spostati su alternative come Talkie (Citybuzz/NewsRamp, 06/10). È un campione di convenienza, gli utenti di una sola app, quindi va letto come tendenza e non come prevalenza.

Messi insieme, questi pezzi dicono una cosa precisa: il modello “versione per ragazzi + controllo parentale” sposta la responsabilità sul genitore, ma la funzione che dovrebbe allertarlo non scatta proprio nei casi per cui esiste, e quando un servizio si chiude la domanda migra su servizi meno sorvegliati. È lo stesso effetto “whack-a-mole” che gli esperti segnalano per i divieti sui social (The National, 09/10).

Per chi lavora con i minori: il chatbot va inserito nell’anamnesi come qualsiasi relazione significativa: con quale app, quanto tempo, di cosa si parla, e soprattutto se il ragazzo ci porta i momenti di crisi. Un adolescente che passa un’ora e mezza al giorno con un companion non è “online”, è in una relazione. Per chi fa policy: il test di Common Sense indica i requisiti minimi verificabili (stima dell’età efficace, allerte affidabili, rinvio di crisi, niente simulazione di sentimenti) e chiede test indipendenti prima del marketing ai minori; sono criteri traducibili in obblighi di audit, più solidi di un divieto per legge che resta aggirabile. Per i genitori: l’esistenza di un’impostazione “teen” non equivale a protezione; il segnale utile resta la conversazione, chiedendo al figlio di mostrarvi con chi parla e cosa si dicono.

Fonti: Common Sense Media, 07/10 · Common Sense, risk assessment · CNBC, 09/10 · Kentucky AG · Hoodline, 11/10 · NWA Democrat-Gazette, 10/10 · Korea JoongAng Daily, 10/10 · Citybuzz/NewsRamp, 06/10

📡 Altri fili

I divieti per età cambiano forma: dal muro al token, dal sito al dispositivo

Il 10 ottobre la Turchia ha pubblicato in Gazzetta Ufficiale il regolamento della Presidenza per la cybersicurezza che attua la legge di aprile: dal 1° novembre nessun social accessibile dal Paese potrà aprire account a under 15, e gli account già esistenti dovranno essere verificati entro il 31 marzo 2027 (Business Today/Bernama, 10/10; Yeni Şafak, 10/10). Due elementi meritano attenzione al di là del divieto. Il primo è tecnico: l’età si verifica con un token emesso dal portale statale e-Devlet, che comunica alla piattaforma solo “sopra/sotto soglia”, senza nome né documento, lo stesso principio del Kids Wallet greco visto la settimana scorsa. Il secondo è di design: per i 15-18enni il regolamento impone un “servizio differenziato” con account privati di default, niente dirette, niente feed a scorrimento infinito tipo reels, niente profilazione pubblicitaria, messaggi solo da chi il minore segue, nessuna raccomandazione dell’account ad altri. Resta da capire come la norma verrà fatta rispettare, in un Paese che ha usato più volte il blocco delle piattaforme come strumento politico.

L’8 ottobre il Senato filippino ha approvato in terza lettura, 16 voti a 1, lo SMART KIDS Act, che esclude gli under 18 dalle piattaforme “ad alto rischio” con obbligo di age assurance; la Camera ha votato una versione con soglia a 13 anni, quindi il testo finale è tutto da negoziare (PhilSTAR Tech, 09/10; GMA News, 09/10). L’unica contraria, la senatrice Risa Hontiveros, e la Child Rights Network hanno contestato che il divieto “punisce i bambini per il fallimento degli adulti” e sposta il peso dalle piattaforme ai minori.

Il terzo pezzo arriva dall’Australia e riguarda la pornografia. L’8 ottobre Pornhub è tornato accessibile agli utenti iOS dopo che Apple ha introdotto nel Paese, come già nel Regno Unito, una verifica dell’età a livello di account (carta di credito o documento): chi non verifica la maggiore età riceve automaticamente le protezioni per minori (ABC News, 08/10). Aylo, che possiede Pornhub, ha definito il sistema “un punto di riferimento”. È un segnale strutturale: la verifica si sposta dal singolo sito al sistema operativo, il che riduce la frizione e forse l’uso di VPN, ma concentra in due aziende (Apple e Google) il controllo su chi è considerato adulto, e lascia scoperto tutto ciò che passa da dispositivi condivisi o non verificati.

Fonti: Business Today, 10/10 · Yeni Şafak, 10/10 · PhilSTAR Tech, 09/10 · GMA News, 09/10 · ABC News, 08/10 · The National, 09/10

Chi possiede i dati sul danno: Ofcom in tribunale, l’Arizona contro TikTok

Dal 5 al 7 ottobre l’Alta Corte di Londra ha ascoltato il ricorso di Meta, TikTok e X contro le richieste di informazioni vincolanti che Ofcom ha inviato a febbraio: quanti contenuti sono stati rimossi o limitati, quanti utenti sono stati esposti a materiale dannoso (Reuters via Investing.com, 05/10; MediaNama). X ha definito la richiesta “la più onerosa mai ricevuta da qualsiasi regolatore”, Meta contesta che Ofcom non abbia motivato il bisogno di dati su sette servizi; Ofcom risponde di aver già ristretto le domande e che senza quei dati non può verificare se la legge funziona. È uno dei primi contenziosi sull’Online Safety Act. Il 6 ottobre, in parallelo, Ofcom ha aperto un’indagine su Meta per aver lanciato a maggio Instagram Instants, contenuti che spariscono dopo la visualizzazione, senza una valutazione dei rischi per i minori adeguata e preventiva, come la legge richiede per ogni modifica significativa (Ofcom, 06/10). Per chi segue sextortion e grooming il tema non è secondario: i contenuti effimeri sono esattamente il formato che rende più difficile la prova.

L’8 ottobre la procuratrice generale dell’Arizona Kris Mayes ha citato TikTok davanti alla Superior Court della contea di Maricopa per frode ai consumatori, sostenendo che l’azienda abbia progettato la piattaforma per sfruttare le vulnerabilità evolutive dei ragazzi e nascosto ricerche interne secondo cui strumenti come il limite di tempo opzionale sono inefficaci; TikTok respinge le accuse (KJZZ, 08/10; Courthouse News). Il filo comune è l’asimmetria informativa: le piattaforme sanno più dei regolatori e dei ricercatori su cosa succede ai minori, e la partita si gioca sempre più sull’accesso ai dati interni, per via giudiziaria (le cause dei procuratori) o amministrativa (Ofcom, DSA). Per la ricerca è un’occasione: i documenti emersi nei processi sono, oggi, una delle poche finestre sui dati comportamentali reali.

Fonti: Investing.com/Reuters, 05/10 · MediaNama · Ofcom, 06/10 · KJZZ, 08/10 · Courthouse News

Social e attenzione: un effetto piccolo, specifico e coerente

Questa settimana PubMed ha indicizzato uno studio di Pediatrics Open Science (pubblicato online a gennaio) che segue 8.324 bambini della coorte americana ABCD per quattro anni dai 10 anni circa, controllando per rischio genetico di ADHD (punteggio poligenico) e status socioeconomico (Pediatr Open Sci, doi 10.1542/pedsos.2025-000922). L’uso dei social si associa a un aumento dei sintomi di disattenzione nel tempo (β=0,03 annuo, cumulato 0,15 in quattro anni); videogiochi e TV/video no; e la disattenzione non predice più uso dei social, cioè la direzione inversa non emerge. L’effetto non cambia con sesso, diagnosi di ADHD, rischio genetico o farmaci. È piccolo, osservazionale e basato su autostime del tempo, ma è specifico (i social sì, gli altri schermi no) e si allinea al risultato ABCD della settimana scorsa su social e controllo cognitivo. Uno studio cinese a due ondate su 1.200 studenti trova la flessibilità cognitiva come nodo ponte fra sintomi depressivi e uso problematico dello smartphone, con limiti dichiarati (una sola scuola, autovalutazioni) (Addict Behav, doi 10.1016/j.addbeh.2026.108875). Più deboli due revisioni circolate negli stessi giorni: una meta-analisi sul doomscrolling (correlazioni con ansia e depressione intorno a 0,35, ma certezza GRADE “molto bassa” su tutti gli esiti e studi quasi tutti trasversali) (Front Psychol, doi 10.3389/fpsyg.2026.1893800) e una rassegna su uso problematico dello smartphone e rischio metabolico che gli stessi autori dichiarano non utilizzabile per inferenze causali (Eur J Pediatr, doi 10.1007/s00431-026-07473-6).

In Italia il dato di contesto più recente viene da INAPP, che nel policy brief sul benessere dei minori (indagine Children’s Worlds, 4.750 bambini e ragazzi 7-14 anni) riporta lo smartphone personale al 52,7% in quinta primaria e al 90,7% in seconda media, account social dal 31,5% al 74,8%, e un terzo dei ragazzi di seconda media che ha provato a ridurre il tempo online senza riuscirci; una ragazza su quattro dichiara di sentirsi spesso o sempre sola, contro il 16,5% dei maschi (Tecnica della Scuola, 01/10; Il Fatto Nisseno, 09/10). Sono autodichiarazioni, non diagnosi di dipendenza. Implicazione pratica: a scuola la domanda “quanto tempo” serve meno di “quale uso”: l’attenzione sembra sensibile al flusso frammentato dei social più che allo schermo in sé, e il passaggio fra quinta primaria e seconda media, quando lo smartphone personale passa da metà a quasi tutti, è il momento in cui un patto educativo con le famiglie ha più leva.

Fonti: Pediatr Open Sci · Addict Behav · Front Psychol · Eur J Pediatr · Tecnica della Scuola, 01/10 · Il Fatto Nisseno, 09/10

Abuso sessuale online: l’Italia fra repressione e un reato nuovo da raccontare

Il 9 ottobre la Polizia Postale, su coordinamento della Procura di Milano e del CNCPO, ha reso nota l’operazione “Upriver” sulla circolazione di materiale pedopornografico: 7 arresti e 7 denunce in Lombardia, Veneto e Toscana, oltre 100.000 file e 26 terabyte sequestrati, a partire da un monitoraggio avviato nel 2025 con la cooperazione internazionale (Sbircia la Notizia, 09/10). Il giorno prima la newsletter del Garante privacy aveva ricapitolato il quadro sui contenuti generati o alterati con l’AI, dal provvedimento contro l’app di “spogliazione” Clothoff (che non impediva l’accesso ai minori né il caricamento di loro immagini) al reato dell’art. 612-quater c.p., da uno a cinque anni, procedibile d’ufficio quando la vittima è incapace per età (Garante Privacy, newsletter 08/10). Dopo i 592 minori identificati in deepnude a settembre secondo Meter, è utile che a scuola si sappia che esiste una norma specifica: nominare il reato aiuta i ragazzi a capire che “il fotomontaggio per ridere” non è uno scherzo, purché l’educazione non si riduca alla minaccia penale.

Fonti: Sbircia la Notizia, 09/10 · Garante Privacy, 08/10

⚖️ Monitor normativo

Turchia: regolamento sul “servizio differenziato” e la verifica dell’età pubblicato il 10/10, in vigore dal 1° novembre; account esistenti da verificare entro il 31/03/2027 (Yeni Şafak). Filippine: SMART KIDS Act (SB 2424) approvato dal Senato l’8/10 con soglia sotto i 18; da conciliare con il testo della Camera, soglia 13 (PhilSTAR Tech). Regno Unito: udienza all’Alta Corte (5-7/10) sul ricorso di Meta, TikTok e X contro le richieste di dati di Ofcom, decisione attesa; indagine Ofcom su Instagram Instants aperta il 6/10, sanzioni possibili fino al 10% del fatturato globale (Ofcom). Stati Uniti: l’Arizona cita TikTok (8/10) per frode ai consumatori (KJZZ); resi pubblici gli atti non oscurati di Kentucky contro Character.AI (7/10) (Hoodline); al Senato il KOSA resta bloccato dopo l’obiezione del senatore Rand Paul alla procedura di consenso unanime del 30 settembre, mentre il pacchetto della Camera (KIDS Act, con SAFE BOTs Act sui chatbot e COPPA 2.0) aspetta dal 29 giugno (NewsTarget, 05/10; Tech Policy Press). Corea del Sud: la Korea Communications Standards Commission incontrerà questo mese le aziende di chatbot; proposta di tempi massimi per l’esame dei reclami (Korea JoongAng Daily). Australia: verifica dell’età di Apple attiva per i contenuti per adulti, Pornhub di nuovo accessibile agli utenti iOS verificati dall’8/10 (ABC). Unione europea: prosegue la consultazione sul KIDS Act, aperta fino al 26 novembre (Commissione europea). Italia: nessun avanzamento pubblico verificabile questa settimana sul disegno di legge per il limite dei 15 anni ai social, fermo in 8ª Commissione al Senato.

🧭 Pattern della settimana

Il primo pattern è lo spostamento del luogo della protezione. I divieti non sono più muri secchi: la Turchia, come la Grecia e il KIDS Act europeo, combina una soglia d’età con un ambiente regolato per la fascia successiva (niente scroll infinito, niente profilazione, account privati), cioè regole di design. Allo stesso tempo la verifica dell’età scivola verso infrastrutture centrali, il token statale in Turchia e Grecia, l’account Apple in Australia e Regno Unito. Per la privacy è una buona notizia (la piattaforma riceve un sì/no, non un documento), per la concorrenza e la governance meno: chi controlla il “sì/no” controlla l’accesso.

Il secondo pattern è la distanza fra protezione dichiarata e protezione misurata. ChatGPT for Teens, la modalità sicura di Zeta, il limite di tempo opzionale di TikTok descritto negli atti dell’Arizona: in tutti i casi la funzione esiste sulla carta e fallisce nei test o nei documenti interni. È lo stesso scarto che spiega perché i regolatori si concentrano sui dati (Ofcom) e sulla valutazione dei rischi prima del lancio (Instagram Instants) più che sulle funzioni annunciate.

Il terzo è uno scollamento fra ricerca e dibattito. La ricerca di questa settimana, come quella della scorsa, descrive effetti piccoli, specifici (i social e l’attenzione, non “gli schermi”) ed eterogenei; il dibattito pubblico continua a ragionare per divieti generali e per ore di schermo. Il rischio più concreto emerso nei sette giorni, quello dei chatbot companion usati per ore da preadolescenti come confidenti, è anche quello su cui l’evidenza peer-reviewed è più scarsa e la regolazione più indietro, con la Corea come caso di scuola di un quadro normativo che non sa nemmeno classificare una risposta generata.

📌 Da tenere d’occhio