Chat Control, svolta UE: stop alla scansione di massa delle chat

L’11 marzo 2026 una maggioranza di eurodeputati ha approvato un emendamento che chiede la fine delle scansioni indiscriminate dei messaggi privati online. La questione nasce da una tensione tra due obiettivi: contrastare la diffusione di contenuti illegali e preservare la riservatezza delle comunicazioni.

Dal 2021, infatti, l’Unione europea ha adottato una regolamentazione temporanea che consente ai fornitori di servizi online di analizzare i messaggi degli utenti alla ricerca di contenuti sospetti. Quella misura, spesso chiamata Chat Control 1.0, è stata rivista più volte ed è destinata a scadere ad aprile 2026. Il voto del Parlamento europeo rappresenta quindi un passaggio decisivo nel definire la direzione futura della normativa europea sulla sorveglianza digitale.

La fine delle scansioni indiscriminate dei messaggi

L’emendamento appena approvato stabilisce un principio chiave: le comunicazioni private non devono essere analizzate in modo generalizzato.

Le scansioni automatiche potranno avvenire solo quando una specifica indagine riguarda individui o gruppi di utenti sospettati di reati legati allo sfruttamento dei minori e solo dopo l’autorizzazione di un’autorità giudiziaria competente.

La proposta, presentata dall’eurodeputata Markéta Gregorová del gruppo Greens/EFA, limita quindi l’uso di tecnologie di rilevamento automatico alle indagini mirate. Il testo si allinea alla posizione che il Parlamento europeo aveva già adottato nel 2023 durante la definizione del mandato negoziale sul futuro regolamento europeo contro gli abusi sessuali online, noto come CSAR.

Con questa decisione il Parlamento ha respinto l’idea di analizzare automaticamente tutte le comunicazioni digitali degli utenti europei.

L’emendamento approvato afferma che ogni forma di monitoraggio deve essere circoscritta a indagini specifiche e autorizzate, evitando la raccolta massiva di dati che coinvolgerebbe milioni di persone non sospettate di alcun reato.

Come funzionava il modello Chat Control 1.0

Il meccanismo di Chat Control 1.0 si basa su sistemi automatici che analizzano messaggi, immagini e file condivisi sulle piattaforme di comunicazione.

In molti casi tali strumenti utilizzano algoritmi di riconoscimento di immagini per confrontare file con database di contenuti illegali già identificati. Alcune soluzioni includono anche sistemi di analisi del linguaggio naturale capaci di individuare tentativi di adescamento online.

Il processo avviene normalmente lato server, all’interno delle infrastrutture dei provider. Servizi come email e piattaforme di messaggistica (quelle che NON utilizzano la crittografia end-to-end) possono applicare procedure di analisi automatica prima della consegna dei messaggi oppure durante l’archiviazione nei sistemi cloud.

In presenza di una corrispondenza con contenuti sospetti, il sistema genera una segnalazione che è inviata alle autorità o a organizzazioni specializzate nella gestione dei report di abusi online.

Secondo le analisi citate nel dibattito europeo, questo modello produce un numero molto elevato di segnalazioni non rilevanti. Una parte significativa delle notifiche generate dagli algoritmi non riguarda contenuti criminali reali, con un impatto diretto sulle capacità operative delle forze dell’ordine. La presenza di numerosi falsi positivi può rallentare le indagini e aumentare i tempi necessari per identificare casi effettivi di abuso.

I limiti tecnici delle scansioni automatiche

Le tecnologie utilizzate per analizzare le comunicazioni private presentano diversi limiti. I sistemi di riconoscimento basati su hashing – come quelli derivati dal database PhotoDNA – funzionano solo quando l’immagine corrisponde a materiale già noto alle Autorità. Non sono invece efficaci nell’identificazione di contenuti completamente nuovi.

Per affrontare questo problema alcune proposte legislative europee hanno suggerito l’impiego di algoritmi di analisi basati su intelligenza artificiale. Tali modelli possono individuare schemi visivi o linguistici sospetti anche in assenza di una corrispondenza diretta con database esistenti. Tuttavia gli stessi sistemi risultano particolarmente vulnerabili ai falsi positivi e alle manipolazioni, soprattutto quando operano su grandi volumi di dati non filtrati.

La situazione diventa ancora più complessa nei servizi che utilizzano crittografia end-to-end. In questi sistemi solo i dispositivi degli utenti possiedono le chiavi per leggere i messaggi, mentre i server non possono accedere al contenuto. Per implementare il controllo automatico dei messaggi alcuni progetti hanno ipotizzato il ricorso a tecniche di analisi lato dispositivo, note come client-side scanning. Questa soluzione implicherebbe l’esecuzione di algoritmi di controllo direttamente sugli smartphone o sui computer prima dell’invio dei messaggi.

Molti esperti di sicurezza informatica hanno evidenziato i rischi di tale approccio. L’introduzione di sistemi di scansione all’interno dei dispositivi potrebbe creare nuove superfici di attacco e compromettere la sicurezza complessiva delle applicazioni di messaggistica.

Chat Control 1.0: il regime temporaneo oggi in vigore

Il cosiddetto Chat Control 1.0, adesso bloccato ufficialmente in sede europea, deriva da una deroga temporanea alla direttiva ePrivacy introdotta nel 2021.

L’eccezione consente ai fornitori di servizi online di analizzare volontariamente i contenuti delle comunicazioni per individuare materiale di abuso su minori (CSAM). Tre elementi caratterizzano questo sistema:

• la scansione non è obbligatoria, ma facoltativa per i provider;
• riguarda servizi non cifrati end-to-end;
• si basa in gran parte su database di immagini illegali già note.

Servizi come Gmail, Facebook Messenger o Snapchat utilizzano questi strumenti per confrontare immagini con database di hash digitali di contenuti già identificati. Il fatto è che la misura  (adesso “disinnescata”) nasceva come regime temporaneo, prorogato più volte e destinato a scadere ad aprile 2026.

Chat Control 2.0: la proposta normativa molto più ampia

La proposta comunemente chiamata Chat Control 2.0 è in realtà il regolamento europeo Child Sexual Abuse Regulation (CSAR) presentato dalla Commissione nel 2022.

L’obiettivo ufficiale è creare un quadro permanente per prevenire e individuare abusi sui minori online. Tuttavia la proposta originale introduce cambiamenti radicali rispetto al sistema precedente. Le differenze principali sono quattro:

• Dalla scansione volontaria a un possibile obbligo. Il punto più controverso della proposta iniziale prevedeva che le piattaforme fossero obbligate a rilevare contenuti illegali nelle comunicazioni degli utenti quando ricevono un ordine di rilevamento dalle autorità.
• Coinvolgimento delle chat cifrate end-to-end. La proposta includeva anche le piattaforme con crittografia end-to-end come WhatsApp, Signal o Telegram. Poiché i server non possono leggere i messaggi cifrati, il modello ipotizzato consiste nell’analizzare i contenuti prima della cifratura, direttamente sul dispositivo dell’utente (client-side scanning).
• Analisi di contenuti nuovi tramite AI. Oltre al confronto con database di immagini già note, Chat Control 2.0 introduce sistemi di rilevamento basati su modelli di intelligenza artificiale per individuare anche materiale mai visto prima o tentativi di adescamento online.
• Nuove infrastrutture europee. Il progetto include anche la creazione di un Centro europeo contro gli abusi sui minori online incaricato di ricevere le segnalazioni delle piattaforme e coordinarne l’analisi.

Perché Chat Control 2.0 è così controverso

Le critiche arrivano da più fronti: giuristi, esperti di sicurezza informatica e organizzazioni per i diritti digitali.

In primis, molti analisti sostengono che la scansione automatica delle comunicazioni di tutti gli utenti equivalga a una forma di sorveglianza di massa incompatibile con il principio di presunzione di innocenza.

Il controllo dei messaggi cifrati richiederebbe inoltre tecniche che aggirano o indeboliscono la crittografia end-to-end, creando nuove superfici di attacco. Studi e analisi accademiche indicano che i sistemi automatici producono numerosi falsi positivi quando operano su grandi volumi di comunicazioni.

Nel 2025 alcuni Stati membri hanno dichiarato apertamente che non sosterranno una legge che imponga la scansione generalizzata dei messaggi. Allo stesso tempo, altri Paesi continuano a sostenere una versione rafforzata del regolamento e il Consiglio dell’UE considera il dossier una priorità legislativa.

Per questo motivo molti osservatori parlano di una battaglia legislativa ancora aperta. Anche se, a ben guardare, l’accantonamento di Chat Control 1.0 rappresenta una vittoria importante.