Chat Control: anatomia di una sorveglianza di massa europea

Dalla collisione normativa al voto del 9 luglio 2026: ricostruzione, controversie, prospettive

La collisione normativa

Per comprendere la genesi di Chat Control, occorre muovere dalla Direttiva 2002/58/CE (cosiddetta ePrivacy), che stabilisce il principio fondamentale della segretezza della corrispondenza nell'ambito dei servizi di comunicazione elettronica. L'articolo 5(1) vieta la memorizzazione e l'intercettazione di comunicazioni e dati sul traffico senza il consenso dell'utente, salvo le eccezioni tassative previste all'articolo 15(1) per la prevenzione, indagine e perseguimento di reati.

Parallelamente, il Codice europeo delle comunicazioni elettroniche (CCEE) (direttiva 2018/1972) ha riclassificato i servizi OTT (over-the-top) come WhatsApp, Gmail e Facebook Messenger come servizi di comunicazione interpersonale indipendenti dal numero (NI-ICS), estendendo loro l'applicazione della direttiva ePrivacy. Questo ha creato un contrasto normativo: da un lato la ePrivacy imponeva la riservatezza delle comunicazioni, dall'altro i provider americani (Google, Meta, Microsoft) conducevano già da anni scansioni volontarie dei contenuti sui propri server per rilevare CSAM (Child Sexual Abuse Material), utilizzando tecnologie come PhotoDNA (Microsoft, sviluppato nel 2009 in collaborazione con Dartmouth College e NCMEC) e l'analisi automatica dei testi tramite classificatori AI.

Queste scansioni volontarie operavano in una zona grigia del diritto europeo a partire dal 21 dicembre 2020, termine ultimo per il recepimento del CCEE. I provider non potevano più invocare il GDPR come base giuridica per le scansioni, ma gli Stati membri, salvo rare eccezioni, non avevano adottato le misure legislative nazionali previste dall'articolo 15(1) della ePrivacy per autorizzarle. Era il preludio alla necessità di una deroga europea. Come documentato dall'analisi giuridica della Commissione SWD(2022) 208, il contrasto tra il CCEE e la prassi delle scansioni volontarie rendeva inevitabile un intervento normativo. I dati della CyberTipline NCMEC mostrano l'enorme volume di segnalazioni su cui si innesta il dibattito.

Chat Control 1.0: la deroga temporanea (reg. 2021/1232)

Il Regolamento (UE) 2021/1232 (già informalmente noto come Chat Control 1.0) è stato il primo tentativo di risolvere il vuoto normativo. Adottato con procedura d'urgenza in piena pandemia, ha introdotto una deroga temporanea agli articoli 5(1) e 6(1) della direttiva ePrivacy, consentendo ai provider di servizi NI-ICS di utilizzare tecnologie di scansione su base volontaria per rilevare e rimuovere CSAM e segnalarlo alle autorità e alle organizzazioni che operano nell'interesse pubblico contro l'abuso sessuale sui minori (come NCMEC, Europol e le hotline nazionali).

Caratteristiche tecniche e giuridiche

• Volontarietà: il regolamento non impone scansioni obbligatorie, ma rimuove l'ostacolo giuridico per chi sceglie di effettuarle.

• Server-side: l'analisi avviene sui server centrali dei provider, non sui dispositivi degli utenti. Le tecnologie utilizzate includono hashing percettivo per immagini/video (tipo PhotoDNA) e classificatori AI per analisi testuale.

• Esclusione dei servizi E2EE: tecnicamente, i servizi protetti da crittografia end-to-end non sono coinvolti, poiché il server non può accedere al contenuto in chiaro.

• Scadenza: il regolamento era in vigore dal 4 agosto 2021 e scadeva inizialmente il 3 agosto 2024, prorogato poi al 3 aprile 2026.

Il paradosso della deroga

Chat Control 1.0 nasceva già zoppo: era una soluzione temporanea in attesa di un quadro permanente (la proposta 2022/0155, poi nota come Chat Control 2.0), ma ha finito per durare quasi cinque anni. I critici notano che la sua esistenza ha paradossalmente rallentato i negoziati sulla legge definitiva, perché il Consiglio poteva contare su uno status quo funzionante.

Il testo integrale del Regolamento (UE) 2021/1232 e la proposta di proroga COM(2023) 754 sono disponibili su EUR-Lex. Per una cronaca dell'iter legislativo si veda l'analisi di EU Monitor.

Chat Control 2.0: la proposta permanente (COM 2022/0155)

L'11 maggio 2022 la Commissione Europea ha pubblicato la proposta di Regolamento per prevenire e combattere l'abuso sessuale su minori (COM(2022) 209 final). Se Chat Control 1.0 derogava dalla ePrivacy in via temporanea, la 2.0 intendeva istituire un quadro permanente, introducendo due innovazioni radicali:

1. Detection orders (ordini di rilevamento): un'autorità giudiziaria nazionale avrebbe potuto ordinare a un provider di attivare la scansione di specifici servizi di comunicazione se sussiste un rischio concreto di diffusione di CSAM.

2. Client-Side Scanning (CSS): per aggirare la crittografia end-to-end, la scansione sarebbe dovuta avvenire sul dispositivo dell'utente, prima della cifratura e dell'invio.

La proposta prevedeva anche l'istituzione di un Centro UE per la lotta all'abuso sessuale su minori (EU Centre) che avrebbe mantenuto il database degli hash, gestito le segnalazioni e coordinato le attività tra Stati membri.

L'opposizione della comunità scientifica

La proposta ha scatenato una reazione senza precedenti nel mondo accademico e tecnico:

• Open letter di oltre 800 ricercatori (coordinata da Carmela Troncoso, EPFL, e Bart Preneel, KU Leuven) che ha definito il CSS tecnicamente impraticabile.

• EDPB-EDPS Joint Opinion 4/2022: le due autorità europee per la protezione dei dati hanno concluso che la proposta "non dimostra che le misure proposte siano necessarie e proporzionate", e che il CSS "minerebbe la fiducia nelle comunicazioni elettroniche".

• Internet Architecture Board (IAB): massimo organo tecnico di standardizzazione di Internet, ha dichiarato nel dicembre 2023 che il CSS obbligatorio "non ha modo tecnico per limitare l'ambito e l'intento delle scansioni" e "crea uno strumento facilmente abusabile come facilitatore di sorveglianza e censura".

• EDPS Opinion 8/2024: il Garante Europeo ha ribadito che le tecnologie attuali di hashing percettivo "non sono sufficientemente accurate" e generano falsi positivi a livelli inaccettabili.

Il conflitto con la giurisprudenza della CGUE

Giuristi e accademici hanno sottolineato l'incompatibilità del CSS con la costante giurisprudenza della Corte di Giustizia:

• Digital Rights Ireland (C-293/12, 2014): la Corte annullò la direttiva 2006/24/CE sulla conservazione dei dati perché imponeva un'obbligazione generalizzata e indiscriminata in violazione degli articoli 7 e 8 della Carta dei diritti fondamentali.

• Tele2 Sverige / Watson (C-203/15, 2016): estensione della stessa logica alle legislazioni nazionali.

• La Quadrature du Net (C-511/18, 2020): la conservazione generalizzata e indiscriminata è illegittima salvo minacce gravi alla sicurezza nazionale. Per i reati comuni, solo misure mirate sono consentite.

• Privacy International (C-623/17, 2020): anche la trasmissione generalizzata dei dati viola il diritto UE.

Il CSS, che scandirebbe preventivamente tutte le comunicazioni private di ogni cittadino, si scontra direttamente con il principio di proporzionalità sancito da queste sentenze.

La proposta originale COM(2022) 209 è disponibile su EUR-Lex. Il parere congiunto EDPB-EDPS 4/2022 e il successivo EDPS Opinion 8/2024 hanno dichiarato le misure proposte sproporzionate. La lettera aperta di 800+ ricercatori (coordinata da Troncoso e Preneel) e la dichiarazione IAB hanno definito il CSS tecnicamente insostenibile. Per la giurisprudenza della Corte, si vedano Digital Rights Ireland (C-293/12) e La Quadrature du Net (C-511/18). Sul fronte della ricerca applicata, il REPHRAIN Centre ha pubblicato studi sul tasso di errore degli algoritmi di scansione. L'Internet Society ha definito il CSS un rischio per la sicurezza e la privacy a livello sistemico.

Apple e Google: le posizioni sul Client-Side Scanning

Le posizioni dei due dominatori dei sistemi operativi mobili, Apple (iOS) e Google (Android), sono complesse e rivelano le tensioni strutturali dei rispettivi ecosistemi. Sebbene oggi entrambe le aziende convergano nel rifiutare mandati governativi che obblighino a inserire backdoor nei dispositivi o a indebolire la crittografia, le loro traiettorie storiche e le pratiche operative presentano divergenze importanti.

Apple: dal passo falso del 2021 alla linea dura

Nell'agosto del 2021, Apple annunciò l'intenzione di introdurre un sistema di Client-Side Scanning chiamato NeuralHash: un database di hash di CSAM fornito dal NCMEC sarebbe stato caricato sui dispositivi degli utenti, e prima dell'upload su iCloud il dispositivo avrebbe confrontato ogni foto con quel database, generando un "voucher crittografico" cifrato. Solo al superamento di una soglia (threshold secret sharing) Apple avrebbe potuto decifrare i voucher e, dopo revisione manuale, segnalare l'utente alle autorità. L'azienda pubblicizzò il sistema come una rivoluzione privacy-preserving, con un tasso di falsi positivi dichiarato di "uno su un trilione".

La reazione della comunità tecnica fu immediata e durissima. Entro due settimane dall'annuncio, ricercatori indipendenti dimostrarono attacchi di hash collision e model extraction contro NeuralHash. Più di 90 organizzazioni della società civile firmarono un appello definendo il sistema "capacità di sorveglianza". La EFF raccolse oltre 60.000 firme di utenti contrari.

Nel dicembre 2022 Apple cancellò ufficialmente il progetto. In una dichiarazione a Wired, affermò che i bambini possono essere protetti senza che le aziende debbano analizzare i dati personali degli utenti, e che aveva scelto di non procedere con lo strumento di rilevamento CSAM per iCloud.

Da quel momento Apple ha blindato la sua posizione, opponendosi a qualsiasi proposta, sia Chat Control nell'UE sia l'Online Safety Act nel Regno Unito, che richieda scansioni lato client. Ha dichiarato di essere disposta a spegnere iMessage e FaceTime nei mercati in cui venissero imposti obblighi di decifrazione.

Google: server-side sì, client-side no

Google è storicamente uno dei soggetti più attivi nel rilevamento automatizzato di CSAM su tutti i servizi non protetti da E2EE (Gmail, Google Photos, Google Drive). Di conseguenza, appoggia pienamente le deroghe previste da Chat Control 1.0 per la scansione volontaria lato server.

Sul lato client, la posizione cambia. Google ha più volte ribadito pubblicamente (2025) di non aver mai costruito meccanismi o backdoor per aggirare la crittografia end-to-end nei propri prodotti, sottolineando che un prodotto dichiarato E2EE lo è effettivamente.

Google si è allineata al consenso dell'industria della cybersecurity contro l'obbligatorietà del CSS, firmando lettere aperte insieme a oltre 40 aziende europee (2024) e avvertendo che obbligare a scansioni lato client per aggirare E2EE distruggerebbe l'integrità dei sistemi operativi.

Sull'annuncio di NeuralHash e la conseguente reazione della comunità tecnica si veda Ars Technica (agosto 2021). La retromarcia di Apple è stata documentata da Wired e celebrata dalla EFF (dicembre 2022). La successiva adesione di Apple al fronte critico verso le scansioni obbligatorie è stata riportata dalla BBC (giugno 2023). Sul lato Google, si vedano le dichiarazioni raccolte da TechCrunch e le preoccupazioni sul SafetyCore documentate sempre da TechCrunch (maggio 2024). La lettera aperta congiunta delle aziende tech è stata analizzata da Computer Weekly. Per un'analisi crittografica approfondita si rimanda al blog di Matthew Green (Johns Hopkins).

Il rischio sistemico del Client-Side Scanning

Dal punto di vista ingegneristico e della sicurezza informatica, l'implementazione del CSS solleva interrogativi complessi sull'architettura del software e sulla gestione della superficie di attacco.

Di chi sarebbe l'onere?

L'obbligo legale tramite Detection Orders viene emesso nei confronti dei fornitori dei servizi di comunicazione. L'integrazione tecnica non avverrebbe tramite malware nascosto, ma tramite codice integrato direttamente nell'applicazione legittima. Gli sviluppatori sarebbero costretti a compilare un SDK di scansione (fornito da entità come Thorn o Europol) nell'eseguibile dell'app e ad agganciare le API interne di gestione dei media, intercettando i dati dopo la selezione ma prima della cifratura E2EE.

Un'integrazione puramente a livello di applicazione presenta limiti di efficienza. Per questo, i sostenitori della legge auspicano API di sistema a livello di framework, simili a quelle tentate da Apple nel 2021.

Impatto sulla sicurezza

Il consenso unanime tra crittografi conferma che il CSS aumenterebbe drasticamente la superficie di attacco. Il paper "Bugs in Our Pockets: The Risks of Client-Side Scanning" (Abelson, Anderson, Bellovin, Benaloh, Blaze, Diffie, Rivest, Schneier, Troncoso et al., 2021) analizza:

• Supply chain attacks: le librerie di scansione centralizzate diventano bersaglio primario per APT e broker di exploit. Compromettere l'SDK significa compromettere milioni di endpoint, con un parallelo evidente rispetto all'attacco SolarWinds.

• Avvelenamento del database: chi controlla la blacklist degli hash può inserire hash di documenti politici per censura o incastro. La EFF ha più volte sottolineato l'impossibilità pratica di costruire un sistema di scansione lato client limitabile al solo CSAM.

• Collisioni di hash: uno studio della KU Leuven (Leblanc-Albarel e Preneel, 2024) ha dimostrato collisioni su NeuralHash dopo appena 2¹⁶ valutazioni e su PhotoDNA dopo 2^14,6 operazioni, ben al di sotto delle garanzie teoriche.

Il principio del privilegio minimo viene violato, trasformando applicazioni sicure in vettori di vulnerabilità strutturale.

L'analisi di riferimento è il paper "Bugs in Our Pockets: The Risks of Client-Side Scanning" (Abelson, Anderson, Bellovin, Benaloh, Blaze, Diffie, Rivest, Schneier, Troncoso et al., 2021, pubblicato sul Journal of Cybersecurity 2024; disponibile in accesso libero su arXiv e sul sito del MIT). Sulle collisioni di hash si vedano lo studio della KU Leuven (Leblanc-Albarel e Preneel, 2024) e il paper di Prokos et al. (USENIX Security 2023). La EFF ha dimostrato l'impossibilità di limitare il CSS al solo CSAM. Per l'inquadramento giuridico si veda l'analisi di Rosenzweig.

Chi installerebbe cosa: l'onere tra provider dell'app e produttore del sistema operativo

Questo è il punto su cui la copertura giornalistica generalista si ferma troppo presto, e che invece determina come il meccanismo arriverebbe concretamente sui dispositivi di centinaia di milioni di utenti.

Il destinatario giuridico dell'obbligo

Il testo del regolamento CSAR indirizza gli obblighi di rilevamento (detection order) ai "fornitori di servizi di hosting o di comunicazione interpersonale", definizione che ricalca quella già usata dal Codice europeo delle comunicazioni elettroniche per individuare i servizi NI-ICS. In termini pratici, il destinatario dell'ordine è chi gestisce il servizio di messaggistica: Meta per WhatsApp, Signal Foundation per Signal, Threema GmbH per Threema, Microsoft per Teams. Apple e Google, in quanto produttori dei sistemi operativi iOS e Android, non sono automaticamente destinatari dell'obbligo per le app di terze parti che girano sui loro dispositivi: il regolamento non li qualifica come fornitori del servizio di comunicazione in quel caso, ma come piattaforma sottostante.

La distinzione cambia quando Apple e Google sono loro stessi il provider del servizio: iMessage/FaceTime per Apple, Google Messages/RCS per Google. In quei due casi specifici, l'obbligo ricadrebbe direttamente su di loro, nella loro veste di fornitori di comunicazione interpersonale, esattamente come per Meta o Signal Foundation.

Come si tradurrebbe tecnicamente per un'app di terze parti

Per un'app come WhatsApp o Signal, l'onere implementativo ricadrebbe sul provider dell'app, non sul sistema operativo. In pratica, il meccanismo di rilevamento dovrebbe essere compilato ed eseguito all'interno del binario dell'app stessa: una libreria (SDK) che si aggancia alle API di sistema di accesso a fotocamera, galleria e appunti nel momento in cui l'utente seleziona un contenuto da inviare, lo confronta con un database di hash o lo passa a un classificatore AI, e solo dopo lo cifra e lo invia. Il sistema operativo fornisce le API generiche già esistenti per accedere a foto e file (le stesse che ogni app usa normalmente): non fornirebbe, in questo scenario, un hook dedicato alla scansione, perché il regolamento non può imporre ad Apple o Google di costruire un'infrastruttura di sorveglianza per servizi di terzi di cui non sono il fornitore.

Questo significa, concretamente, che ogni provider di messaggistica dovrebbe scrivere, testare e mantenere la propria implementazione del rilevamento, integrata nel proprio codice applicativo. Non esisterebbe un "modulo di scansione di sistema" condiviso e uniforme: esisterebbero tante implementazioni quante sono le app soggette a un ordine di rilevamento, ciascuna con la propria superficie di attacco, i propri bug e le proprie modalità di aggiornamento del database degli hash.

Il precedente che dimostra la fattibilità (e i limiti) del livello OS

Il caso NeuralHash di Apple, descritto nel paragrafo precedente, resta l'unico esempio reale di scansione lato client costruita a livello di sistema operativo/servizio cloud proprietario, ed è istruttivo proprio perché dimostra il limite di questa strada: Apple ha potuto integrare NeuralHash in iOS solo perché il servizio coinvolto, iCloud, è di Apple stessa. Non è un precedente di un obbligo imposto dall'esterno su un produttore di OS per servizi altrui, ma un caso di un'azienda che ha implementato la scansione sul proprio sistema operativo per il proprio servizio, salvo poi abbandonare il progetto sotto la pressione della comunità tecnica.

Il ruolo indiretto degli app store

Dove Apple e Google entrerebbero in gioco è come gatekeeper della distribuzione, non come esecutori tecnici della scansione. Le bozze discusse nel corso dei triloghi hanno più volte previsto obblighi di verifica della conformità in capo agli app store: in questo scenario, App Store e Google Play potrebbero essere chiamati a verificare che un'app soggetta a un ordine di rilevamento implementi effettivamente il meccanismo richiesto prima di autorizzarne la pubblicazione o l'aggiornamento nell'UE, secondo una logica simile a quella già in vigore per gli obblighi di compliance previsti dal Digital Services Act. Anche in questa ipotesi, però, il codice di scansione resterebbe scritto e mantenuto dal provider dell'app, non dal produttore del sistema operativo.

Perché non serve "installare un malware" in senso classico

Un punto spesso frainteso nel dibattito pubblico: il meccanismo non arriverebbe come un software malevolo iniettato di nascosto, ma come un normale aggiornamento dell'app, distribuito attraverso i canali ufficiali (App Store, Google Play), con tanto di changelog e consenso implicito all'installazione dell'update. Non servirebbe alcun jailbreak, alcuna vulnerabilità sfruttata, alcun meccanismo di installazione occulto: la funzione di rilevamento sarebbe parte integrante e dichiarata del codice dell'app, resa disponibile a tutti gli utenti europei con il primo aggiornamento successivo all'entrata in vigore dell'ordine di rilevamento. È proprio questa normalità del canale di distribuzione, e non un qualche exploit, a rendere il meccanismo difficile da individuare e da rifiutare per l'utente medio: chi analizza il traffico di rete o il comportamento dell'app può accorgersene, ma la stragrande maggioranza degli utenti si limiterebbe a premere "aggiorna" senza sapere cosa sta effettivamente cambiando nel proprio dispositivo. Il paper Abelson et al. già citato osserva che è proprio l'integrazione nel processo applicativo legittimo, con gli stessi privilegi e la stessa fiducia dell'app originale, a rendere il meccanismo di rilevamento un bersaglio di supply chain attack particolarmente attraente: compromettere l'SDK di scansione o il database di hash a monte, presso il fornitore dell'SDK stesso (che sia Thorn, Europol o un altro soggetto terzo), significherebbe compromettere contemporaneamente tutte le app che lo integrano.

Perché un sistema operativo hardened, da solo, non risolve il problema

Una domanda tecnica che sorge spontanea riguarda i sistemi operativi orientati alla privacy, come GrapheneOS, spesso indicati come soluzione per sottrarsi alla sorveglianza a livello di dispositivo. La risposta onesta è che, per questo specifico meccanismo, l'hardening del sistema operativo non è sufficiente da solo, e il motivo è coerente con quanto appena descritto: se lo scanning è compilato dentro il binario dell'applicazione di messaggistica, avviene all'interno del processo dell'app stessa, con gli stessi permessi che l'app già possiede legittimamente per funzionare, ovvero leggere il testo che l'utente sta digitando o accedere alla foto che l'utente ha scelto di allegare. GrapheneOS irrobustisce il sistema operativo sottostante attraverso sandboxing più severo, permessi granulari (Contact Scopes, Storage Scopes), assenza dei servizi Google non sandboxati, superficie di attacco del kernel ridotta, ma non interviene sul codice interno dell'app installata, che resta libera di elaborare, prima dell'invio, i contenuti che l'utente le ha già consegnato attraverso la normale interfaccia di composizione del messaggio. In altre parole: installare WhatsApp o un'app soggetta a un ordine di rilevamento su GrapheneOS non cambia cosa quell'app fa con il messaggio nel momento in cui l'utente preme "invia", perché il confine tra "sistema operativo" e "applicazione" non coincide con il confine tra "prima" e "dopo" la cifratura: quel confine passa interamente dentro l'app.

Ciò che effettivamente sposterebbe l'ago della bilancia sono altri due fattori, entrambi indipendenti dal sistema operativo:

• L'auditabilità del codice sorgente: per un'app open source con build riproducibili (Signal lo è; esistono client alternativi come Molly, distribuiti tramite F-Droid) la comunità tecnica può in teoria verificare se e come un meccanismo di rilevamento è stato integrato, dato che il codice è pubblico e ricompilabile in modo verificabile. Per un'app proprietaria a codice chiuso, questa verifica indipendente non è possibile: ci si deve fidare della dichiarazione del provider.

• La giurisdizione del fornitore: il regolamento CSAR può emettere un ordine di rilevamento solo verso un soggetto giuridico identificabile e raggiungibile, cioè il "fornitore del servizio". Protocolli federati o decentralizzati senza un singolo provider centrale a cui indirizzare l'ordine (Matrix con homeserver auto-ospitati fuori dalla giurisdizione UE, reti peer-to-peer come Briar o Session, che instradano i messaggi senza passare da un server che possa ricevere l'ordine) sfuggono strutturalmente al meccanismo non per una proprietà del sistema operativo su cui girano, ma per l'assenza stessa di un destinatario legale dell'obbligo.

Sul ruolo degli app store nella verifica di conformità normativa si veda, per analogia, la documentazione di Apple sui propri obblighi ai sensi del Digital Services Act, che già oggi prevede meccanismi di verifica e rimozione delle app non conformi. Sull'ambiguità tra scansione integrata nell'app e scansione a livello di sistema operativo si veda l'analisi della Max Planck Gesellschaft, che osserva esplicitamente come il software di rilevamento potrebbe essere incorporato "nell'app di messaggistica o nel sistema operativo", lasciando aperta l'ambiguità che questo paragrafo ha cercato di sciogliere.

Controversie politiche e giochi di palazzo

La campagna di microtargeting di Ylva Johansson (DG HOME)

A dicembre 2024, il Garante Europeo della Protezione dei Dati (EDPS) ha accertato che la Commissione Europea, sotto la direzione della commissaria Ylva Johansson, aveva violato il regolamento GDPR 2018/1725 attraverso una campagna pubblicitaria mirata su X (ex Twitter) per promuovere Chat Control 2.0 tra i cittadini europei. La Commissione spese 20.000 euro in annunci sponsorizzati utilizzando il microtargeting per raggiungere specifiche fasce demografiche.

L'indagine è stata avviata a seguito di un esposto del ricercatore serbo Jovan Mekić, che aveva documentato la campagna. L'EDPS ha stabilito che la Commissione non disponeva di una base giuridica adeguata per il trattamento dei dati personali finalizzato al microtargeting, e ha ordinato la cancellazione dei dati raccolti. La campagna è stata definita un tentativo di aggirare il dibattito pubblico attraverso la pubblicità algoritmica. La notizia è stata riportata da noyb e la decisione integrale dell'EDPS è pubblicata sul sito dell'autorità.

I legami Commissione-Thorn-WeProtect e il caso Palantir

Il 25 settembre 2023, il consorzio giornalistico Balkan Insight / Le Monde / OCCRP ha pubblicato un'inchiesta dal titolo "Revealed: How a Child Protection Lobby Pushed the EU to Scan Private Messages". L'indagine ha documentato come Thorn, organizzazione no-profit fondata dagli attori Ashton Kutcher e Demi Moore nel 2012 per combattere il CSAM, abbia esercitato pressioni sistematiche sulla Commissione Europea per l'adozione di Chat Control 2.0.

Lo stesso giorno dell'articolo, Paul G. Haaga, allora presidente del consiglio di amministrazione di Thorn, siedeva anche nel consiglio di Palantir Technologies (il colosso statunitense di big data e sorveglianza, fondato da Peter Thiel, noto per i contratti con CIA e ICE).

La connessione è ancora più stretta: Palantir ha fornito l'infrastruttura tecnologica a Thorn attraverso il programma Palantir Foundry, come documentato dal Palantir Blog (2020). Di fatto, Thorn opera come intermediario tra la spinta politica verso la scansione obbligatoria e l'azienda che produce gli strumenti per attuarla.

A questo si aggiunge WeProtect Global Alliance, iniziativa multistakeholder ospitata dalla Commissione Europea stessa, della quale sia Thorn sia Palantir sono membri, creando un cortocircuito istituzionale tra chi fa le leggi e chi trae profitto dalla loro attuazione.

L'inchiesta di Balkan Insight / Le Monde (25 settembre 2023) ha ricostruito l'intera rete di influenza. Per un inquadramento del ruolo dell'industria nel lobbying si veda l'EPRS Briefing (cap. 4). La partnership tecnologica tra Palantir e Thorn è documentata dal Palantir Blog. La lista dei membri di WeProtect mostra l'intreccio istituzionale.

Eva Kaili e il Qatargate

La vicenda di Eva Kaili, vicepresidente del Parlamento Europeo arrestata nel dicembre 2022 per corruzione nell'ambito del Qatargate, si interseca con Chat Control in un punto preciso. Il 22 novembre 2022, Kaili aveva organizzato e presieduto un summit al Parlamento Europeo dal titolo "Fighting Online Child Sexual Abuse Material: The Role of Chat Control", esattamente mentre i negoziati sulla proposta 2.0 erano nella fase più delicata.

L'inchiesta giornalistica ha rivelato che Kaili e il suo assistente Francesco Giorgi (anche lui arrestato) avevano ricevuto pagamenti dal Qatar e dal Marocco per influenzare le politiche digitali europee. Sebbene il Qatargate riguardi primariamente il Qatar, le connessioni tra i flussi finanziari e l'agenda di sorveglianza digitale sono emerse come una zona d'ombra che la magistratura belga ha iniziato a esplorare.

Sul ruolo di Kaili si vedano le ricostruzioni di Balkan Insight e eKathimerini.

ECLAG e l'astroturfing

L'inchiesta di Balkan Insight/Le Monde ha anche rivelato la creazione di ECLAG (European Child Sexual Abuse Legislation Advocacy Group), un'organizzazione apparentemente di base, ma in realtà coordinata dalla società di consulenza londinese Global Counsel (fondata da Peter Mandelson, ex commissario europeo al Commercio), che riuniva oltre 60 ONG apparentemente indipendenti per fare pressione sul Parlamento Europeo.

La Oak Foundation (fondazione filantropica con sede a Ginevra) ha finanziato ECLAG e organizzazioni affiliate, tra cui il Brave Movement (che ha ricevuto 10,3 milioni di dollari per le attività di advocacy europea). Il coordinamento includeva Thorn e la presidenza belga del Consiglio UE (gennaio-giugno 2024), che ha ricevuto pressioni da ECLAG per accelerare l'approvazione.

La Commissione LIBE del Parlamento Europeo ha aperto un'indagine su ECLAG e Oak Foundation nell'ottobre 2023, dopo che l'eurodeputata olandese Sophie in 't Veld ha sollevato ufficialmente il caso.

Sulla rete ECLAG, oltre all'inchiesta di Balkan Insight/Le Monde già citata, si vedano l'analisi di Patrick Breyer e l'approfondimento di Follow the Money (in olandese) sul finanziamento di Thorn. L'analisi critica di EDRi delle tesi di ECLAG è disponibile in formato PDF.

Il muro di gomma con le organizzazioni per i diritti digitali

Un sito web dedicato, has-commissioner-johansson-met-with-digital-rights-groups.eu, ha documentato gli incontri della commissaria Johansson durante la negoziazione di Chat Control. La pagina raccoglie richieste di incontro formali da parte di oltre 40 organizzazioni per i diritti digitali europee (EDRi, EFF, Privacy International, Access Now, e altre) alle quali è stato sistematicamente negato un confronto diretto. Al contrario, Johansson ha incontrato ripetutamente le lobby pro-scansione (Thorn, WeProtect, NCMEC). Sulla stessa vicenda si veda l'analisi di Bits of Freedom e la denuncia di EDRi.

Cinque prospettive

1 La prospettiva etica delle ONG per la tutela dei minori

È facile ridurre la vicenda a un complotto di lobby industriali, ma la spinta morale di chi lavora sul campo è reale. Organizzazioni come Eurochild o il Brave Movement sostengono questa legislazione perché affrontano una realtà drammatica: la quantità di CSAM che circola online è a livelli catastrofici, e la crittografia end-to-end viene effettivamente sfruttata dalle reti di predatori.

Dal loro punto di vista, si tratta di un bilanciamento di diritti fondamentali: il diritto alla sicurezza dei bambini deve poter prevalere sul diritto alla privacy assoluta degli adulti. Per queste realtà, opporsi a Chat Control significa accettare una zona franca digitale per i crimini contro i minori.

Va notato, per completezza, che il Brave Movement era tra i firmatari di ECLAG e ha ricevuto 10,3 milioni di dollari da Oak Foundation, e che la presidenza belga del Consiglio UE ha ricevuto pressioni coordinate da ECLAG. Questo non invalida la buona fede delle ONG, ma contestualizza la spinta politica.

Eurochild ha pubblicato la propria risposta alla consultazione della Commissione sulla proposta CSAM (2022) e una reazione alla posizione del Consiglio (novembre 2025). Per la rete ECLAG si rimanda all'inchiesta di Balkan Insight/Le Monde già citata.

2 La prospettiva dei falsi positivi

Un aspetto tecnico con risvolti umani devastanti è il tasso di errore degli algoritmi. Se un sistema ha un'accuratezza del 99,9%, altissima per gli standard attuali, su miliardi di messaggi scambiati ogni giorno nell'UE quello 0,1% si traduce in decine di migliaia di cittadini innocenti segnalati quotidianamente.

Il caso più clamoroso è stato documentato dal New York Times (agosto 2022): un padre di San Francisco fotografò il gonfiore genitale del figlio per inviarlo al pediatra. Google lo segnalò come CSAM, gli chiuse tutti gli account e lo fece indagare dalla polizia. Anche dopo essere stato scagionato, Google si rifiutò di riattivargli l'account. La EFF ha definito il caso un avvertimento rispetto ai molti altri errori destinati a ripetersi. La vicenda è stata seguita anche da The Guardian. Sul tasso di errore degli algoritmi si veda la ricerca del REPHRAIN Centre.

3 La prospettiva economica: il rischio per l'ecosistema tech europeo

Mentre i colossi statunitensi (Meta, Google, Microsoft) dispongono dei capitali per implementare i sistemi di scansione, per le aziende tecnologiche europee l'impatto sarebbe catastrofico. PMI e startup come Threema (Svizzera), Proton (Svizzera) e Matrix/Element (UE) si troverebbero davanti a un bivio: spendere risorse enormi per implementare scansioni, snaturando il proprio modello di business basato sulla crittografia, oppure abbandonare il mercato europeo.

Threema ha dichiarato che la proposta renderebbe impossibile offrire un servizio di messaggistica sicura in Europa (comunicato ufficiale). Proton ha pubblicato un'analisi approfondita dal titolo "It's the EU's turn to admit Chat Control won't work" (Proton Blog). Element (Matrix) ha avvertito che la proposta mette a rischio la sicurezza e la privacy di tutti gli utenti (Element Blog). Signal ha annunciato che cesserebbe le operazioni in qualsiasi giurisdizione UE dove Chat Control diventasse legge. Un quadro d'insieme delle preoccupazioni del settore è stato tracciato da Forbes.

4 La prospettiva legale: il convitato di pietra della CGUE

La giurisprudenza della Corte di Giustizia in materia di diritti digitali è granitica e coerente: Digital Rights Ireland (2014), Tele2 Sverige/Watson (2016), La Quadrature du Net (2020), Privacy International (2020). La Corte ha sistematicamente bocciato leggi che impongono un trattamento generalizzato e indiscriminato dei dati dei cittadini in assenza di sospetto specifico.

Molti giuristi ritengono che il CSS strutturato da Chat Control 2.0 violi in modo insanabile gli articoli 7 e 8 della Carta dei diritti fondamentali UE, e che la legge, se approvata, verrebbe dichiarata invalida dalla CGUE. La giurisprudenza di Digital Rights Ireland (C-293/12) e La Quadrature du Net (C-511/18) costituisce il precedente vincolante. Per un'analisi dell'impatto di questa giurisprudenza sulla proposta CSAM si veda il paper del CEPS.

5 Il fronte collaterale: la verifica dell'età obbligatoria

Le bozze del Consiglio UE prevedono misure di "age verification and age assessment" obbligatorie. La Commissione ha sviluppato un'app "mini-wallet" per la verifica dell'età basata su riconoscimento facciale e documenti d'identità, e ha adottato la Raccomandazione (UE) 2026/1035 per un framework comune entro dicembre 2026.

Ciò comporterebbe il caricamento di documenti d'identità prima di poter inviare un semplice messaggio privato, eliminando la possibilità di comunicazione anonima o pseudonima, tutela fondamentale per giornalisti, whistleblower e minoranze vulnerabili. La EFF ha notato che il sistema escluderebbe utenti senza documenti (senzatetto, migranti) e userebbe sistemi biometrici con tassi di errore più alti per persone di colore, donne e persone transgender. Il testo del Consiglio è disponibile nel documento ST-15318-2025-INIT, mentre la Raccomandazione (UE) 2026/1035 è pubblicata su EUR-Lex. Per una cronaca dei negoziati si veda Euractiv.

Cronaca del voto: la riattivazione di Chat Control 1.0 (9 luglio 2026)

La manovra del Consiglio (2 luglio 2026)

Il 26 marzo 2026 il Parlamento Europeo aveva respinto l'estensione di Chat Control 1.0 con 311 voti contrari, 228 favorevoli e 92 astenuti, chiudendo la prima lettura. Il regolamento è scaduto il 3 aprile 2026, creando un vuoto normativo.

Il Consiglio ha allora adottato una manovra procedurale senza precedenti: ha riproposto il medesimo testo come posizione del Consiglio in prima lettura, trasmettendolo al Parlamento per una seconda lettura. Qui le regole sono invertite: per respingere o emendare la posizione del Consiglio serve la maggioranza assoluta, fissata a 361 voti su 720 seggi (alcune fonti indicano 360 su 719 per un seggio momentaneamente vacante; la sostanza procedurale non cambia).

Il documento ST-11261-2026-REV-1, adottato il 2 luglio 2026, ripristina la deroga all'art. 5(1) e 6(1) della ePrivacy, consentendo ai provider di utilizzare tecnologie di hashing e AI su base volontaria, purché strettamente necessarie, proporzionate, e, per la scansione testuale, limitate a pattern senza dedurre la sostanza del contenuto. Il Considerando 32 specifica che nulla nel regolamento deve essere interpretato come un divieto, indebolimento o elusione della crittografia end-to-end.

L'ex eurodeputato Patrick Breyer (Piratenpartei) ha descritto la mossa come un tentativo senza precedenti di resuscitare una legge che il Parlamento aveva già respinto. La verde Markéta Gregorová ha dichiarato che l'operazione viola le stesse regole di procedura del Parlamento e ha accusato il Partito Popolare Europeo di abusare della propria posizione di gruppo di maggioranza relativa per riportare al voto un testo già respinto dall'Aula.

La procedura d'urgenza (7 luglio 2026)

Il gruppo PPE ha richiesto l'attivazione della procedura d'urgenza per calendarizzare il voto nell'ultima seduta plenaria prima della pausa estiva. Il 7 luglio il Parlamento ha approvato l'urgenza con 331 voti favorevoli, 304 contrari e 11 astenuti.

Il voto del 9 luglio 2026

Esito:

• Mozione di rigetto della posizione del Consiglio: 314 favorevoli, 276 contrari, 17 astenuti, soglia di 361 non raggiunta. La mozione è respinta.

• Emendamento RENEW per escludere dall'ambito le comunicazioni a cui è, è stata o sarà applicata la crittografia end-to-end: 369 voti, approvato.

• Emendamento per limitare le scansioni ai sospetti identificati da autorità giudiziaria: 322 voti, non approvato (soglia 361).

Risultato netto: Chat Control 1.0 riattivata fino al 3 aprile 2028, con l'emendamento E2EE incluso. La posizione emendata del Parlamento è stata trasmessa al Consiglio, che ha tre mesi, indicativamente fino al 9 ottobre 2026, per approvare o respingere le modifiche.

L'eurodeputata Svenja Hahn (ALDE/RENEW) ha commentato che si tratta di uno scandalo: il voto apre la porta alla sorveglianza di massa di tutte le comunicazioni private dei cittadini europei, invece della lotta mirata contro l'abuso sui minori che il Parlamento aveva proposto.

Cosa cambia davvero, e la distinzione con Chat Control 2.0

L'analisi del testo approvato impone una distinzione netta:

Chat Control 1.0 (approvato il 9 luglio 2026):

• Deroga volontaria, non obbligo: i provider che non vogliono scansionare non sono costretti.

• Tecnologia esclusivamente lato server: l'analisi avviene sui server centrali, non sui dispositivi.

• Applicabile solo ai servizi non protetti da E2EE in cui il server vede il contenuto in chiaro (Gmail, Facebook Messenger, Instagram DM, Skype, Snapchat, iCloud Mail, Xbox messaging).

• Proroga dello status quo: le stesse regole in vigore dal 2021 al 3 aprile 2026.

Chat Control 2.0 (ancora bloccata in trilogo dal 2024):

• Imporrebbe obblighi di scansione, non volontarietà.

• Richiederebbe Client-Side Scanning sul dispositivo prima della cifratura.

• Colpirebbe anche i servizi E2EE (WhatsApp, Signal, Threema, Proton, Matrix).

• La sua approvazione richiederebbe un accordo tra Commissione, Consiglio e Parlamento, attualmente bloccato dall'opposizione di Germania, Austria, Polonia e Paesi Bassi. I negoziati a trilogo dovrebbero riprendere a settembre 2026 sotto la presidenza irlandese del Consiglio UE, con il nodo del Client-Side Scanning ancora irrisolto.

L'emendamento E2EE approvato con 369 voti è stato definito da molti critici cosmetico o simbolico, poiché le app E2EE non erano tecnicamente coinvolte già prima. Tuttavia, indica che una maggioranza qualificata del Parlamento è disponibile a proteggere la crittografia: un segnale politico per i negoziati sulla 2.0.

Il documento del Consiglio ST-11261-2026-REV-1 costituisce la base della manovra procedurale. Il comunicato del Parlamento Europeo e gli articoli di Euronews, The Register, heise online e CyberInsider ricostruiscono la dinamica del voto. I dettagli dei voti sono disponibili su Atlas21.

Considerazioni finali

Ogni infrastruttura di sorveglianza, una volta costruita, non rimane confinata allo scopo per cui è stata giustificata. È una legge sociologica che la storia della tecnologia conferma senza eccezioni. I database di hash CSAM di oggi possono diventare gli elenchi di censura di domani. Le backdoor per il rilevamento dell'abuso minorile possono diventare i vettori di attacco per gli hacker di Stato.

La convergenza con l'Euro Digitale e l'Identità Digitale Europea (eIDAS 2.0), i cui negoziati procedono parallelamente, segue la stessa filosofia: il passaggio a un modello di controllo preventivo e centralizzato (Surveillance by Design). Il collante tecnico è il Wallet europeo, necessario per la conformità KYC/antiriciclaggio dell'Euro Digitale e per l'age verification obbligatoria di Chat Control. Il rischio panottico è la centralizzazione del controllo sia sulle comunicazioni dei cittadini (chat monitorate) sia sulle loro risorse finanziarie (moneta programmabile e tracciabile).

La democrazia liberale si regge su alcuni pilastri non negoziabili: la separazione dei poteri, il diritto a un processo equo, la libertà di espressione, la segretezza della corrispondenza, la presunzione di innocenza. Quando si costruisce un sistema che tratta ogni cittadino come un potenziale sospetto, analizzando preventivamente ogni sua comunicazione prima ancora che vi sia un indizio, quel sistema ha già abbandonato la presunzione di innocenza.

Il vero paradosso è che Chat Control non fermerà i criminali. I predatori sessuali che operano in reti organizzate sul dark web non usano Gmail o Messenger. Usano strumenti crittografati che, se la scansione obbligatoria diventasse reale, migrerebbero verso soluzioni offshore non soggette alla giurisdizione europea, esattamente come già avviene nel Regno Unito con l'Online Safety Act. Chi verrà colpito saranno i cittadini comuni: il padre che fotografa il figlio per il pediatra, l'adolescente che si scambia foto col fidanzato, il giornalista che protegge le sue fonti, il whistleblower che denuncia un illecito.

La posta in gioco è la natura stessa dell'Europa come spazio di libertà. Il progetto europeo è nato dalle ceneri della guerra e del totalitarismo, fondato sulla promessa che mai più avremmo permesso allo Stato di entrare nelle nostre case, di leggere le nostre lettere, di sapere tutto di noi. Chat Control non è solo una legge tecnica su un regolamento di polizia. È un test sulla nostra capacità di difendere quel patto fondativo. E per ora, lo stiamo perdendo.

Chi vuole fare qualcosa di concreto, oggi, ha due strade percorribili. La prima è politica: fightchatcontrol.eu permette di scrivere direttamente al proprio eurodeputato, con un testo già pronto e l'elenco dei contatti, prima che i triloghi sulla versione 2.0 riprendano a settembre. La seconda è tecnica, ed è pensata per il giorno in cui la politica dovesse fallire: se Chat Control 2.0 dovesse davvero imporre il Client-Side Scanning obbligatorio anche sui servizi cifrati, exitchatcontrol.org è una guida pratica, aperta e multilingua a strumenti di comunicazione che restano fuori dalla portata della sorveglianza di massa, dai messenger peer-to-peer alle reti che funzionano anche senza infrastruttura di rete tradizionale.

Nessuna delle due sostituisce l'altra. La prima cerca di evitare che si arrivi a dover usare la seconda.

Le considerazioni finali esprimono esclusivamente la mia personale opinione e non necessariamente la posizione delle fonti citate nella ricostruzione fattuale.