Il primo ministro britannico Keir Starmer ha annunciato che il governo vieterà l’accesso ai social network -Instagram, YouTube, TikTok, Snapchat, Facebook e X – agli utenti sotto i 16 anni. La misura si estende anche alle funzioni di chat tra estranei e alle dirette streaming su piattaforme terze, incluse quelle per il gaming online, quando coinvolgono minori. Restano fuori dal perimetro le app di messaggistica come WhatsApp.
Il modello dichiarato è l’Australia, primo paese a introdurre una norma analoga, oggi al centro di un contenzioso legale avviato da alcune piattaforme (tra cui Reddit) che hanno impugnato il provvedimento. Non un precedente trascurabile, per chi si occupa di compliance e risposta agli incidenti legati a obblighi normativi.
Starmer ha riconosciuto apertamente che molti adolescenti proveranno a eludere il divieto. È esattamente qui che si concentra la questione rilevante per la security community. Il divieto, nella sua struttura giuridica, non sanziona il minore che aggira il blocco ma la piattaforma che non ha predisposto controlli adeguati. L’onere della verifica ricade interamente sui provider.
I sistemi di age verification oggi disponibili variano per robustezza e impatto sulla privacy: dal semplice self-declaration – già dimostratosi inefficace – a soluzioni più invasive basate su document check, facial age estimation o tokenizzazione di identità digitale. Ciascun approccio introduce trade-off rilevanti: maggiore granularità di verifica equivale spesso a maggiore raccolta di dati personali, con conseguenti superfici d’attacco aggiuntive e rischi di data breach.
Entro luglio il governo britannico prevede ulteriori misure per i minori di 18 anni: coprifuoco notturno sui social, sistemi di pausa obbligatoria per le piattaforme con infinite scroll e limite di 18 anni per i chatbot con profilo romantico o erotico, sia su app dedicate sia su piattaforme generaliste come ChatGPT.
Il Regno Unito si allinea a una tendenza regolatorio in accelerazione: Francia, Spagna, Canada e Malaysia stanno percorrendo strade simili, con approcci tecnici e soglie d’età differenti. Per le aziende che operano a livello globale, la frammentazione normativa con soglie diverse, obblighi diversi, sanzioni diverse, diventa essa stessa un vettore di rischio gestionale e legale.
Nessuna tempistica precisa è stata comunicata per l’entrata in vigore. Il tempo che intercorre tra annuncio e implementazione sarà probabilmente usato anche dalle piattaforme per prepararsi e, in alcuni casi, per resistere in sede legale, come già avvenuto oltremanica.