Quando le leggi sulla verifica dell’età presero di mira per la prima volta i siti web di pornografia, molte persone presumevano che la tendenza prima o poi sarebbe svanita.
La maggior parte ha definito le leggi poco pratiche, invasive e impossibili da applicare su larga scala. Mentre i sostenitori insistevano che fossero necessari per proteggere i bambini online.
Anni dopo, le leggi non sono scomparse. Invece, si stanno rapidamente espandendo oltre i siti Web per adulti e nei sistemi operativi che alimentano i computer e gli smartphone di tutti i giorni.
La fase successiva della verifica dell'età di Internet potrebbe non avvenire su PornHub o sulle piattaforme di social media. Potrebbe accadere nel momento in cui accendi un nuovo laptop o telefono.
A partire dal 1° gennaio 2027, il Digital Age Assurance Act della California richiederà ai sistemi operativi di chiedere agli utenti la loro età durante la configurazione del dispositivo. La legge si applica ampiamente a sistemi tra cui Microsoft Windows, macOS e iOS di Apple, Android e ChromeOS di Google e potenzialmente sistemi operativi basati su Linux.
Una volta inserito, il sistema operativo deve fornire alle app un “segnale di fascia di età” che identifica se un utente ha meno di 13 anni, tra 13 e 15, tra 16 e 17 o più di 18 anni.
La mossa rappresenta un cambiamento importante nel modo in cui i governi affrontano la verifica dell’età online. Invece di siti web e app che raccolgono informazioni sull’età in modo indipendente, i legislatori vogliono sempre più che sia il sistema operativo stesso a fungere da custode.
Ciò potrebbe rimodellare radicalmente l’informatica e l’accesso anonimo a Internet.
“L’Internet aperta come la conosciamo consente alle persone di accedere alle informazioni in modo anonimo, privato e sicuro”, ha affermato Aaron Mackey, vice direttore legale della Electronic Frontier Foundation. “È in pericolo da parte dei legislatori che hanno buone intenzioni ma stanno scrivendo leggi ampie”.
L’attuale spinta risale all’ondata di leggi sulla verifica dell’età della pornografia approvate negli Stati Uniti negli ultimi anni. Più di due dozzine di stati hanno promulgato leggi che richiedono ai siti web per adulti di verificare l'età degli utenti, spesso attraverso documenti d'identità rilasciati dal governo, scansioni facciali o sistemi di verifica di terze parti.
I principali siti web per adulti come Pornhub hanno risposto bloccando l’accesso in diversi stati invece di implementare direttamente i sistemi. I difensori della privacy hanno avvertito che costringere gli utenti a caricare documenti di identificazione per accedere a contenuti legali per adulti crea una massiccia sorveglianza e rischi per la sicurezza informatica.
Ma i legislatori non si sono fermati qui.
L'AB 1043 della California sposta di fatto la responsabilità della verifica dell'età dai siti Web al sistema operativo stesso. Le app non potranno più dichiarare di ignorare l'età di un utente perché il sistema operativo fornirà già l'informazione.
Secondo la legge, si ritiene che gli sviluppatori di applicazioni abbiano una “conoscenza effettiva” della fascia di età di un utente una volta che il sistema operativo condivide il segnale. Ciò crea obblighi legali per gli sviluppatori di rispettare varie leggi sulla protezione dei minori, tra cui COPPA e altre normative statali che coinvolgono i minori.
Le app di appuntamenti, i servizi di social media, le piattaforme di gioco, le app di messaggistica e persino alcuni servizi web potrebbero eventualmente risentirne.
Le implicazioni si estendono ben oltre la California perché gli sviluppatori di sistemi operativi raramente creano versioni specifiche dello stato del loro software.
Mackey ha avvertito che i sistemi progettati per gli utenti della California potrebbero facilmente diventare l’impostazione predefinita a livello globale.
“Le aziende tecnologiche raramente costruiscono sistemi operativi separati per stati diversi”, ha affermato Mackey. “Questi sistemi saranno probabilmente adottati per tutti”.
Come scritto attualmente, la legge della California richiede agli utenti solo di dichiarare la propria età durante la configurazione. Non è richiesta alcuna prova di identità.
Nichole Rocha, avvocato specializzato in privacy dei dati che rappresenta il gruppo di difesa dei dati Children Now con sede in California, ha affermato che la legislazione è stata intenzionalmente progettata per evitare sistemi invasivi di verifica dell'identità.
“Non è richiesto il caricamento di un documento d'identità governativo, e questo è intenzionale”, ha detto Rocha.
I sostenitori sostengono che la maggior parte dei genitori configura onestamente i dispositivi per i propri figli e che l’autocertificazione raggiunge un ragionevole equilibrio in termini di privacy.
I critici rimangono poco convinti.
L’EFF ritiene che le aziende potrebbero eventualmente adottare volontariamente sistemi di verifica più severi per ridurre la responsabilità legale e impedire ai minori di aggirare le restrizioni semplicemente mentendo sulla loro età.
Ciò potrebbe significare che i sistemi operativi eventualmente richiedano documenti d’identità governativi, verifica della carta di credito, scansioni di riconoscimento facciale o autenticazione biometrica durante la configurazione.
“Sebbene la legge sulla carta non richieda una verifica rigorosa dell'età, penso che in pratica la conformità assomiglierà molto di più alla verifica dell'età”, ha detto Mackey.
La preoccupazione è amplificata da ulteriori leggi che stanno emergendo sia a livello statale che federale.
Ad aprile, i legislatori hanno presentato al Congresso la proposta di legge sui genitori che decidono. Se approvata, la legislazione richiederebbe ai sistemi operativi a livello nazionale di raccogliere le date di nascita degli utenti prima di consentire la configurazione del dispositivo o la creazione di un account.
La proposta indirizzerebbe inoltre la Federal Trade Commission a stabilire regole che disciplinino il modo in cui i sistemi operativi verificano l’identità dei genitori o dei tutori per i minori.
I critici temono che ciò creerebbe un quadro per i requisiti di verifica dell’identità a livello nazionale direttamente legati a computer e smartphone.
Diversi stati stanno già esplorando leggi simili.
I legislatori del Colorado hanno introdotto SB26-051. I legislatori dell'Illinois hanno proposto il Children's Social Media Safety Act. I legislatori di New York stanno discutendo una legislazione che richiede “metodi di assicurazione dell’età commercialmente ragionevoli”, secondo i critici linguistici potrebbe facilmente includere la verifica obbligatoria dell’identità.
Nel frattempo, i legislatori della California stanno già valutando la possibilità di espandere ulteriormente il sistema attraverso l’AB 1856, che estenderebbe i segnali di verifica dell’età ai browser web e ai siti web stessi.
Gli sviluppatori di browser stanno già costruendo l'infrastruttura.
Il progetto Chromium di Google e Safari di Apple ora supportano le API di credenziali digitali in grado di trasmettere in modo sicuro i dati di identificazione governativa ai siti web. Le patenti di guida digitali archiviate in Apple Wallet o Google Wallet potrebbero teoricamente essere utilizzate nei futuri sistemi di verifica dell'età.
Nel Regno Unito, Pornhub utilizza già i sistemi di segnalazione dell'età di Apple sui dispositivi iOS per determinare l'idoneità dell'utente.
La proposta ha scatenato una reazione particolarmente feroce da parte degli sviluppatori di software open source e delle comunità Linux all’inizio di quest’anno.
A differenza delle piattaforme proprietarie come Windows o iOS, molte distribuzioni Linux sono gestite da volontari, organizzazioni no-profit o comunità decentralizzate senza account utente centralizzati o sistemi di telemetria.
I critici sostenevano che la legge originale della California era così ampia che gli sviluppatori hobbisti che distribuivano sistemi operativi open source potevano teoricamente affrontare la responsabilità legale per non aver implementato sistemi di verifica dell'età.
I progetti incentrati sulla privacy hanno avvertito che forzare i sistemi operativi open source a raccogliere informazioni personali mina i principi stessi su cui molti sono stati costruiti.
GrapheneOS, un fork Android incentrato sulla privacy, ha dichiarato pubblicamente che sarebbe rimasto utilizzabile senza richiedere l'identificazione personale o gli account utente.
MidnightBSD è andato oltre, bloccando temporaneamente i download dalle giurisdizioni con leggi sulla verifica dell'età e avvertendo che non disponevano delle risorse per conformarsi ai mandati di verifica.
“Non siamo un'azienda e non abbiamo entrate da pagare per i servizi di verifica”, afferma il progetto.
La reazione sembra aver costretto i legislatori della California a riconsiderare alcune parti della legislazione.
AB 1856, introdotto dal membro dell'Assemblea della California Buffy Wicks, propone ora un'esenzione per il software distribuito con licenze open source che consentono agli utenti di copiare, ridistribuire e modificare il codice.
Se approvata, l’esenzione probabilmente proteggerebbe le principali distribuzioni Linux, tra cui Ubuntu, Debian, Fedora, Arch Linux e Linux Mint, dai requisiti di conformità.
L'emendamento non abroga l'originale Digital Age Assurance Act della California. I sistemi operativi commerciali e gli ecosistemi di app proprietarie rimarrebbero comunque soggetti alla legge.
Tuttavia, l’emendamento rappresenta un notevole passo avanti dopo mesi di critiche da parte dei difensori della privacy e degli sviluppatori open source.
Il dibattito più ampio è incentrato sulla questione se i governi debbano richiedere che computer e telefoni verifichino l'identità o l'età degli utenti prima di garantire l'accesso a software e servizi online.
I sostenitori inquadrano le leggi come misure di sicurezza destinate a proteggere i minori da contenuti online dannosi.
I critici vedono emergere qualcosa di più ampio: la graduale erosione dell’accesso anonimo a Internet e la normalizzazione dell’informatica collegata all’identità.
Ciò che era iniziato come una legislazione che prendeva di mira i siti web pornografici si sta costantemente evolvendo in un’infrastruttura in grado di regolamentare l’accesso a quasi ogni livello della vita digitale.
Per decenni, i computer hanno funzionato in gran parte come strumenti neutrali. Ai sistemi operativi non importava chi fossero gli utenti, quanti anni avessero o quale identificazione possedessero. Sempre più spesso i legislatori sembrano prevedere un futuro in cui tali presupposti non saranno più applicabili.
Se il pubblico accetterà quel futuro rimane una questione aperta.
Ma l’unica cosa che possiamo dire con certezza è che la verifica dell’età è destinata a restare.
