Chat Control: chi legge davvero i tuoi messaggi, e cosa è appena successo a Bruxelles.

Tre mesi in cui la scansione era illegale

Quasi nessuno se n'è accorto: tra il 4 aprile e il 9 luglio 2026 i principali servizi di messaggistica non avevano più il diritto di analizzare le tue conversazioni in Europa. Il regolamento che lo consentiva dal 2021, quello soprannominato Chat Control 1.0, doveva scadere in primavera. Il 26 marzo il Parlamento europeo ha rifiutato di prorogarlo. Il risultato: nessuna base giuridica per tre mesi. Un vuoto normativo che nessuno aveva davvero previsto.

Poi il dossier è tornato, e questa volta le regole del gioco erano cambiate. In seconda lettura, respingere la posizione del Consiglio richiede più della maggioranza degli eurodeputati presenti. Serve la maggioranza assoluta di tutti i 720 membri, 361 voti. Il 9 luglio, 314 eurodeputati hanno votato per il rigetto, 276 contro, 17 si sono astenuti. Ne mancavano 47. Il testo è quindi considerato adottato, e la scansione volontaria è di nuovo legale fino al 3 aprile 2028.

Un elemento dello stesso voto merita attenzione. Gli eurodeputati hanno adottato un emendamento che esclude esplicitamente la messaggistica cifrata end-to-end dall'ambito del regolamento. Ma il Consiglio deve ancora accettarlo, e al momento della pubblicazione non è ancora in vigore.

Cosa consente davvero la legge

Il testo ufficiale è il Regolamento (UE) 2021/1232. Adottato nel luglio 2021, apre un'eccezione temporanea alla direttiva ePrivacy, la legge che tutela la riservatezza delle tue comunicazioni elettroniche. In pratica, consente ai fornitori di email e messaggistica di analizzare ciò che transita attraverso i loro server per rilevare e segnalare materiale pedopornografico, e per individuare adulti che tentano di avvicinare minori.

Vale la pena chiarire prima qualche equivoco. Nessun servizio di messaggistica è obbligato ad analizzare alcunché: il regolamento revoca un divieto per chi sceglie di farlo, e la maggior parte delle grandi piattaforme americane lo faceva già molto prima del 2021. Né la deroga permette di cercare qualcos'altro. Le tue opinioni politiche o le tue discussioni accese non sono l'obiettivo; gli strumenti confrontano perlopiù le tue immagini con database di impronte di materiale già identificato dalle autorità.

Resta la parola "temporaneo", che si merita le virgolette. Il regolamento doveva durare tre anni. È stato prorogato nel 2024, è scaduto ad aprile 2026, ed è appena stato rinnovato per altri due anni. Dopo tante proroghe eccezionali, l'eccezione comincia ad assomigliare a un'abitudine.

Chi analizza cosa, in pratica

Se usi Gmail, Outlook, Facebook Messenger, Instagram o Snapchat, le foto e i messaggi che viaggiano senza cifratura attraverso i server possono essere confrontati con quei database di impronte. La portata emerge dai numeri del NCMEC, l'organismo statunitense che centralizza le segnalazioni: 20,5 milioni nel 2024, quasi tutte generate dalle scansioni automatiche delle piattaforme.

La messaggistica cifrata end-to-end gioca in un altro campionato. WhatsApp, Signal, iMessage e Messenger dalla fine del 2023: su questi servizi il contenuto delle tue conversazioni è illeggibile per i server che le trasportano. Solo il tuo dispositivo e quello del tuo contatto possiedono le chiavi. Questa è matematica, non regolamentazione, e nessun regolamento la cambia.

Ed è proprio per questo che il vero dibattito degli ultimi anni si è spostato su un'idea ben più invasiva: analizzare i messaggi direttamente sul tuo telefono, prima della cifratura. Ne parliamo più avanti.

Macchine che sbagliano

A questa scala, la scansione automatica produce inevitabilmente errori, e non sono rari. Amazon ammette di usare una soglia di rilevamento volutamente ampia che, per sua stessa ammissione, genera un'alta percentuale di falsi positivi. I ricercatori di Stanford hanno scoperto che quasi l'80% delle segnalazioni etichettate come "IA generativa" inviate al NCMEC nella prima metà del 2025 non conteneva alcun materiale pedopornografico generato dall'IA.

Dietro le statistiche ci sono delle persone. Il caso più noto è quello di un padre americano che aveva fotografato l'infezione del figlio per inviarla a un medico durante la pandemia. Le foto, salvate automaticamente nel cloud, hanno fatto scattare gli algoritmi di Google. Il suo account è stato chiuso da un giorno all'altro, dieci anni di email e foto svaniti, e si è aperta un'indagine di polizia. L'indagine è giunta alla conclusione ovvia: nulla da segnalare. Google non ha mai ripristinato l'account.

È il punto cieco del sistema. Una segnalazione automatica non è una prova, ma le sue conseguenze arrivano subito, e a volte per sempre, prima che un essere umano abbia verificato seriamente alcunché.

Il vero dibattito non è chiuso

Il regolamento permanente, proposto a maggio 2022 e soprannominato Chat Control 2.0, andava in origine molto oltre. Prevedeva ordini di rilevamento obbligatori: il potere di costringere un servizio di messaggistica, anche cifrato, ad analizzare le comunicazioni dei propri utenti. È quel testo ad aver mobilitato per tre anni crittografi, autorità per la protezione dei dati e gran parte della società civile, e ad aver tenuto il dossier bloccato in Consiglio.

A novembre 2025, il Consiglio ha finalmente abbandonato la scansione obbligatoria dalla propria posizione negoziale. Ciò che resta sul tavolo non è cosa da poco: un quadro permanente per la scansione volontaria, obblighi di verifica dell'età che si applicherebbero anche ai servizi cifrati, obblighi di "mitigazione del rischio" abbastanza vaghi da mantenere la pressione sulla cifratura, e un centro UE dedicato. I negoziati tra Parlamento e Consiglio riprendono a settembre 2026 sotto la presidenza irlandese.

In breve: la 1.0 è stata prorogata, la 2.0 è ancora in fase di negoziato, e la questione centrale non si è spostata di un millimetro. Si può obbligare un servizio di messaggistica cifrata a guardare dentro i messaggi dei suoi utenti, sì o no?

Cosa cambia per te

→Sui servizi che non sono cifrati end-to-end (email classica, messaggi privati dei social network), i tuoi contenuti possono essere legalmente analizzati da algoritmi di rilevamento. Era vero prima di aprile 2026; è di nuovo vero adesso.
→Sulla messaggistica cifrata end-to-end, i server non possono leggere le tue conversazioni. Basta verificare che la cifratura sia effettivamente attiva: lo è per impostazione predefinita su WhatsApp, Signal e iMessage, non ovunque altrove.
→Un account può essere sospeso sulla sola base di una segnalazione automatica, senza alcun intervento umano. Conserva un backup indipendente di ciò che conta davvero, foto e documenti, invece di affidare tutto a un unico ecosistema.
→E il dibattito continuerà: la scansione sul dispositivo tornerà sul tavolo quando riprenderanno i negoziati sul regolamento permanente.

La cifratura end-to-end non è uno strumento da truffatori. È la tecnologia che protegge le tue conversazioni bancarie, mediche e familiari. Tutto il dibattito europeo si riduce a stabilire se possa essere indebolita "solo un po'" per consentire la scansione. I crittografi danno la stessa risposta da dieci anni: una cifratura indebolita per un solo scopo è indebolita per tutti.

Cosa fa Trasimène, e cosa non fa

Parliamoci chiaro: nessun antivirus e nessuna VPN impediranno a un servizio di messaggistica di analizzare ciò che transita sui suoi server. La scansione avviene dal lato della piattaforma, su contenuti che le hai consegnato tu. Una VPN cifra il percorso tra il tuo dispositivo e il server, non ciò che la piattaforma fa dei tuoi dati in un secondo momento. Se qualcuno ti vende una "protezione contro Chat Control", diffida del venditore.

Il terreno di Trasimène è l'altro versante della tua privacy: gli spyware installati sul telefono, le app che risucchiano i tuoi dati, il phishing mirato ai tuoi account e la riservatezza del tuo traffico sulle reti che non controlli. Contro la scansione lato server, la tua leva migliore sta in una frase: scegli una messaggistica cifrata end-to-end e sappi cosa ciascun servizio può, o non può, fare dei tuoi contenuti.

Tieni a mente la mappa del tema piuttosto che il rumore che lo circonda. Ciò che oggi è in vigore è la scansione volontaria, limitata al materiale pedopornografico, sui servizi non cifrati, prorogata fino ad aprile 2028. Ciò che resta da decidere è la sorte della messaggistica cifrata, a Bruxelles a partire da settembre. Nel frattempo, le buone abitudini non cambiano: messaggistica cifrata end-to-end per ciò che è privato, backup indipendenti per ciò che è prezioso, e un po' di attenzione a ciò che ciascuna piattaforma fa dei tuoi contenuti.

Fonti

Trasimène: sicurezza mobile

Scopri cosa protegge Trasimène

Scarica Trasimène →