Berlino. Le leggi sulla verifica dell’età hanno sempre avuto un buco. Un utente si trova in uno stato regolamentato, instrada il traffico tramite un server all'estero, il sito vede un IP straniero e la porta rimane chiusa. Lo Utah ha cercato di chiudere questo buco per legge.
Senato Bill 73, il Emendamenti alla verifica dell'età onlineè la prima legge statunitense a rendere la presenza fisica nello stato un fatto legale, anche se un visitatore utilizza una VPN, un proxy o un altro strumento che fa apparire la connessione da qualche altra parte. I siti commerciali interessati devono comunque trattare quella persona come un utente dello Utah. Allo stesso tempo, non sono autorizzati a “facilitare o promuovere” l’uso delle VPN per eludere i controlli, comprese istruzioni o strumenti contro il geoblocco.
Questo non è un divieto per le VPN consumer. Chiunque si trovi a Salt Lake City può continuare a crittografare le WLAN pubbliche o collegarsi alla rete aziendale. L'obiettivo sono siti per adulti, piattaforme di webcam, operatori di metropolitana, studi in abbonamento – chiunque il cui inventario soddisfi la soglia dello Utah: più di un terzo del materiale che lo stato classifica come dannoso per i minori.
Per gli operatori europei lo slogan non conta. È l’architettura di conformità che conta. Se questo modello venisse copiato, il geoblocco dei singoli stati americani non sarebbe più sufficiente.
Cosa cambia davvero la legge
Il governatore Spencer Cox ha firmato l'SB 73 il 19 marzo 2026 dopo un voto quasi unanime: 22-2 al Senato, 66-1 alla Camera. Lo sponsor era il senatore repubblicano Calvin R. Musselman e Steve Eliason alla Camera. La maggior parte delle norme di verifica e applicazione sono in vigore dal 6 maggio. Dal 1° ottobre entrerà in vigore un’imposta di consumo separata del 2% sulle transazioni digitali definite per adulti.
La legge si basa sullo Statuto sulla verifica dell'età del 2023 dello Utah (SB 287), la legge in base alla quale Aylo, madre di Pornhub, YouPorn e RedTube, ha scelto di geobloccare lo stato anziché raccogliere documenti d'identità. La SB 73 rende espliciti tre aspetti che le leggi statali precedenti per lo più avevano solo accennato.
Innanzitutto quello Posizione presunta-Regola: chiunque si trovi effettivamente nello Utah accede dallo Utah, “indipendentemente dal fatto che la persona utilizzi una VPN, un server proxy o altri mezzi per mascherare la propria posizione”. I log del server non sono più l’ultima parola. È il corpo.
In secondo luogo, una regola linguistica e di prodotto a scapito dell'operatore. Un Sito commerciale coperto non può facilitare o incoraggiare l'uso di VPN o proxy per l'elusione, anche attraverso istruzioni o mezzi con cui le persone nello Stato possono violare il geofencing. Questo è esattamente ciò che la società di privacy Nym ha segnalato come una restrizione alla libertà di parola su uno strumento legale per la privacy: una questione del Primo Emendamento a cui i tribunali statunitensi non hanno ancora risposto. La Electronic Frontier Foundation lo dice in modo più duro: alle piattaforme non è più consentito fornire “informazioni di base e veritiere attraverso uno strumento legale di privacy”.
In terzo luogo, la macchina coercitiva. La Divisione per la tutela dei consumatori può effettuare ispezioni, controlli e multe fino a 2.500 dollari per violazione. I tribunali possono imporre sanzioni civili. I fornitori di verifica non dovrebbero conservare i dati identificativi dopo l’accesso: una clausola di minimizzazione dei dati che suona protettiva fino a quando la frase successiva dice che l’operatore dovrebbe sapere chi è fisicamente seduto a Provo dietro un IP di Amsterdam.
Il ragionamento di Musselman è semplice: chiunque guadagni denaro da materiale che danneggia i minori dovrebbe adottare “misure adeguate”. La risposta del settore è più tecnica. I passaggi appropriati richiedono un utente identificabile. Una VPN configurata correttamente è progettata per non esserlo.
La trappola della responsabilità
Alison Boden, direttore esecutivo della Free Speech Coalition, ha riassunto il problema operativo in una frase: conformarsi è “estremamente difficile, se non impossibile”. La geolocalizzazione IP era già imprecisa. SB 73 obbliga effettivamente le piattaforme a trattare ogni visitatore come un possibile Utahn e a verificare il mondo.
Questo è esattamente ciò che NordVPN e altri fornitori di infrastrutture descrivono come una trappola. Non esiste un elenco completo e aggiornato di tutti i nodi di uscita VPN. I provider cambiano costantemente gli indirizzi. Elenchi di blocco aggressivi colpiscono le VPN aziendali, le reti universitarie e gli strumenti dei giornalisti. Gli elenchi soft consentono il passaggio di proxy residenziali e nuovi server. In entrambi i casi il sito avvisa e la legge addebita all’operatore i costi di un errore di valutazione.
Gli avvocati del settore sono insolitamente uniti. Lawrence Walters ha definito “impossibile” l'aspettativa che una società privata possa determinare la vera posizione di un utente VPN. Corey Silverstein legge la causa di Aylo come il prossimo scontro dopo anni di battaglie sull'età: obblighi di identità digitale contro il diritto di visualizzare contenuti legali senza fornire a un appaltatore governativo una patente di guida.
Agli operatori rimangono quattro opzioni sbagliate: geobloccare gli IP dello Utah e sperare che un tribunale lo accetti comunque come “ragionevole”; Blocco degli intervalli VPN conosciuti: un bersaglio mobile; verificare ogni visitatore in tutto il mondo; oppure abbandonare la parte statunitense, forse l’intero mercato statunitense.
Nessuna di queste è una strategia di prodotto. Questi sono atteggiamenti di processo.
Aylo ha fatto causa. Gli altri guardano il calendario.
Aylo Freesites Ltd. e Aylo Group Ltd. hanno depositato il 22 aprile 2026 presso il tribunale distrettuale federale dello Utah (2:26-cv-00340, giudice David Barlow). La causa tratta la finzione della localizzazione come una legislazione extraterritoriale: lo Utah, dice Aylo, impone la sua politica sulle transazioni che avvengono dal server in un altro stato o paese. Ci sono anche la clausola sul commercio e la clausola sul commercio estero – l’accusa secondo cui un singolo stato non dovrebbe dettare le condizioni operative di un servizio Internet globale.
Ciò che seguì non fu un’ingiunzione pulita per l’intero mercato. Era una tregua. Per il momento, lo Utah si astiene dall’applicare le regole VPN contestate contro Aylo fintanto che Aylo mantiene l’attuale recinto geografico dello Utah. Inizialmente la pausa era in vigore fino al 3 settembre, ma alla fine di agosto è stata prorogata con una dichiarazione congiunta: fino al 22 ottobre o fino a quando Barlow non deciderà sull'ingiunzione, a seconda di quale evento si verifichi per primo. L'udienza del 30 luglio si è conclusa senza verdetto.
L'autorità dice chiaramente: il periodo di grazia si applica “esclusivamente ad Aylo”. Nulla impedisce allo Stato di agire contro altri operatori. Gli avvocati dicono che non è saggio multare uno studio di medie dimensioni prima che un giudice federale abbia approvato lo standard tecnico. Questa è una scommessa, non un porto sicuro.
La clausola linguistica è il rischio del sonno
La stampa specializzata parla di rilevamento. La frase che si inserisce più rapidamente nelle leggi imitatrici è il divieto di spiegare agli utenti come funziona una VPN in questo contesto.
I testi del centro assistenza, i post sui social, anche un conciso “non siamo attivi nello Utah, alcuni utenti utilizzano strumenti per la privacy” sono più vicini a un discorso regolamentato che al servizio clienti. Il punto di Nym: lo Stato non si limita a pretendere obiettivi. Si parla di uno strumento che rimane legale per l'utente.
Questo vale anche per l’Europa. Se gli studi legali statunitensi trattassero le pagine esplicative delle VPN come promozioni vietate, i team di conformità di Berlino, Amsterdam e Praga rimuoverebbero le stesse frasi dai siti globali, perché un CMS serve ogni mercato.
Lo Utah è in ritardo rispetto al cancello dell’età e in anticipo rispetto alla guerra di bypass
La Gran Bretagna ha già consegnato l’esperimento sul campo. Dopo i controlli sull’età dell’Online Safety Act del 25 luglio 2025, la domanda di VPN è aumentata ed è rimasta elevata. Ofcom ha successivamente stimato circa 2,2 milioni di utenti VPN giornalieri nel Regno Unito, rispetto agli 1,2 milioni prima delle regole. Il traffico proveniente dalle principali offerte per adulti è diminuito e non si è ripreso completamente. Il governo britannico ha annunciato nel luglio 2026 che non avrebbe vietato le VPN né imposto loro una barriera basata sull’età e sta ancora sollecitando le piattaforme a identificare meglio l’elusione dei minorenni.
Lo Utah è andato dall'altra parte. Ha sancito la presenza fisica come legge e ha chiesto al sito web di risolvere un problema che Londra finora si è rifiutata di risolvere vietandola.
Il Brasile è il secondo set di dati. La Digital ECA (legge 15.211) entrerà in vigore nel 2026, l'autodichiarazione non è sufficiente, l'autorità per la protezione dei dati ANPD monitora 18 siti per adulti e escort con circa il 98% del traffico rilevante. Le soluzioni alternative seguono il modello britannico: nodo di uscita estero invece di carta d’identità nazionale. Brasilia non ha ancora copiato la finzione sulla location dello Utah. L’incentivo politico c’è non appena un regolatore pubblica i dati e il traffico scorre attraverso i tunnel.
Il principio è già in vigore negli Stati Uniti. L'Innocence Act proposto dall'Ohio mira a spingere i siti per adulti verso un geofencing autorizzato e continuamente monitorato: un'altra fantasia tecnologica con lo stesso obiettivo. Più di due dozzine di stati hanno leggi sulla verifica dell’età in vigore o in fase di elaborazione. Il primo stato a menzionare la VPN nella legge non sarà l’ultimo.
Cosa significa in un’officina europea
Chiunque sia sulla pista di Venere non ha immediatamente bisogno di un avvocato a Salt Lake City. Ha bisogno di una posizione su tre rischi.
Prodotto. I fornitori globali di assicurazioni sull’età venderanno la “posizione compatibile con VPN” come funzionalità. Gli acquirenti dovrebbero chiedere quale sia la funzionalità. Ciò che di solito rimane è la reputazione dell’IP, i segnali del dispositivo e un punteggio di rischio. Questo non è un rilevamento GPS attorno ad un cadavere nella contea di Utah.
Comunicazione. Le pagine di aiuto dello strumento per la privacy e i testi di affiliazione sul mascheramento della posizione rappresentano un rischio documentato per qualsiasi proprietà accessibile dallo Utah che soddisfi la soglia di un terzo.
Tasse e pagamenti. L’imposta del 2% dal 1° ottobre è un secondo filone di conformità. Il controllo dell'età di solito si presenta come un problema di traffico e conversione. Lo Utah vincola il gate a un credito fiscale sulle stesse transazioni.
Situazione del processo. La teoria della clausola commerciale di Aylo è la migliore protezione del settore in questo momento – e non lo sarà per nessun altro finché non lo dirà un giudice. Gli operatori di medie dimensioni che non bloccano né verificano perché presumibilmente lo Utah dà la caccia solo a Pornhub stanno interpretando male l'agenzia.
Il precedente, non la multa
L'SB 73 è ricordato meno per i biglietti da $ 2.500 che per la sua formulazione. Le precedenti leggi statunitensi imponevano ai siti di verificare l’età delle persone che potevano considerare identificabili nello stato. Lo Utah dice ai siti che sono responsabili per le persone che non possono riconoscere.
Se Barlow bloccasse la clausola di localizzazione, gli altri parlamenti continuerebbero ad avere il modello. Se non li blocca, la risposta razionale è quella da cui NordVPN aveva messo in guardia: non distinguere più il traffico dello Utah da quello di Francoforte e mettere un cancello di età davanti all'intera proprietà.
Una legge per uno stato americano conservatore diventa lo standard operativo ad Amburgo e Barcellona. La sentenza sulla protezione dei minori si scrive da sola. La tecnologia non lo fa. E le aziende che dovrebbero inventare un rilevatore per uno strumento che dovrebbe impedire il rilevamento sono le stesse che una volta lasciavano lo Utah invece di ritirare i documenti all'ingresso.
Le prossime settimane prevedono un giudice federale, una norma amministrativa e una scadenza fiscale. Nei prossimi due anni si dovrà decidere quante altre capitali decideranno: se la VPN è il divario, il sito web dovrebbe colmarlo.
