Social network vietati ai minori di 15 anni: 7 motivi di un fallimento annunciato

Cacciare il naturale, ritorna al galoppo. Il conto alla rovescia è iniziato: a partire dal 1° settembre, nessun adolescente di meno di 15 anni potrà aprire un account sui social network in Francia, e gli account esistenti dovranno chiudere entro il 1° gennaio 2027. Abbiamo già raccontato come la tecnologia destinata a verificare questa età sia stata hackerata in due minuti. Non è un incidente isolato, è un sintomo. Ovunque questo tipo di dispositivo è stato già testato, dal Regno Unito all'Australia, si ripete la stessa meccanica: la tecnologia cede, i subappaltatori vengono hackerati e i principali interessati trovano la falla prima ancora che la legge entri in vigore. Ecco sette motivi, ben documentati, che spiegano perché questo testo parte con un handicap serio prima ancora del suo primo giorno di applicazione.
I punti chiave di questo articolo:

• La Francia ha vietato ai minori di 15 anni di aprire account sui social network a partire dal 1° settembre, utilizzando una tecnologia già hackerata.
• I metodi di verifica dell'età, siano essi tecnici o basati sull'IA, sono stati ampiamente elusi e criticati per la loro inefficacia e mancanza di sicurezza.

Motivo n°1: la prova tecnica è già stata hackerata in due minuti {#h-motivo-n-1-la-prova-tecnica-e-gia-stata-hackerata-in-due-minuti}

Primo segnale d'allerta, e non da poco: il prototipo europeo di verifica dell'età, presentato come << tecnicamente pronto >> da Ursula von der Leyen, è stato eluso in appena due minuti dalla società di cybersicurezza Guardsquare.

Il metodo non attacca la matematica della prova a divulgazione zero di conoscenza (zk-proof): modifica i file locali dell'applicazione per iniettare una falsa data di nascita prima ancora che la prova venga generata. Una crittografia, per quanto solida, non protegge mai un dato falso alla fonte.

Motivo n°2: l'alternativa tramite intelligenza artificiale è altrettanto vulnerabile {#h-motivo-n-2-l-alternativa-tramite-intelligenza-artificiale-e-altrettanto-vulnerabile}

Poiché la carta d'identità presenta problemi, alcune piattaforme puntano sulla stima dell'età tramite IA, un selfie o un breve video analizzati per indovinare l'età dell'utente. Peccato che la soluzione sia quasi infantile, nel senso letterale del termine.

Secondo uno studio di Internet Matters riportato da Euronews il 4 maggio 2026, condotto su 1.270 bambini britannici di età compresa tra 9 e 16 anni, un terzo di loro afferma di aver già eluso un controllo dell'età online. Una madre racconta addirittura di aver sorpreso suo figlio di 12 anni a disegnarsi un baffo con una matita per sopracciglia per farsi stimare 15 anni dal software. Un altro dato significativo dello studio: il 46% dei bambini intervistati ritiene che questi controlli siano facili da eludere, contro solo il 17% che li trova difficili.

Motivo n°3: la verifica è affidata a imprese private, fuori dal controllo diretto delle piattaforme {#h-motivo-n-3-la-verifica-e-affidata-a-imprese-private-fuori-dal-controllo-diretto-delle-piattaforme}

Né la Francia né l'Europa intendono verificare autonomamente l'età degli utenti di Internet. Il meccanismo scelto, un << terzo di fiducia >>, delega questo compito a un'azienda subappaltatrice, che si tratti di France Identité, di Docaposte o della futura applicazione europea.

Come dettaglia La Quadrature du Net, l'utente viene reindirizzato al sito di questo terzo, che verifica la sua identità e poi restituisce alla piattaforma un semplice token << sì >> o << no >>. Il termine ufficiale di << doppio anonimato >> lascia però pensare: al meglio, garantisce una separazione tra i due database, a condizione che il compartimentamento sia tecnicamente impeccabile. Ciò che, peraltro, non è affatto scontato.

Ragione n°4: la subappaltazione ha già fatto trapelare documenti d'identità altrove {#h-raison-n-4-la-sous-traitance-a-deja-fait-fuiter-des-pieces-d-identite-ailleurs}

Nel ottobre 2025, Discord ha confermato che uno dei suoi fornitori di supporto clienti, l'azienda olandese 5CA, era stata hackerata. Il gruppo di hacker Scattered Lapsus$ Hunters ha rubato almeno 70.000 foto di documenti d'identità trasmesse nell'ambito della verifica dell'età, oltre a nomi, e-mail e dati di pagamento parziali, secondo l'Electronic Frontier Foundation.

Gli aggressori hanno richiesto fino a 5 milioni di dollari di riscatto. Discord ha interrotto i rapporti con 5CA dopo l'accaduto, ma il danno era fatto: affidare la verifica dell'identità a un terzo non elimina il rischio di fuga, lo sposta semplicemente da un anello della catena a un altro.

Ragione n°5: il bypass tramite VPN è già documentato su larga scala {#h-raison-n-5-le-contournement-par-vpn-est-deja-documente-a-grande-echelle}

Il precedente britannico fornisce un'idea piuttosto chiara di ciò che attende la Francia. Dall'entrata in vigore dell'Online Safety Act nel luglio 2025, le iscrizioni VPN sono aumentate del 1.800% presso alcuni fornitori.

Stessa musica in Australia, dove la legge che vieta i social media ai minori di 16 anni non impedisce, a detta dello stesso regolatore locale, a due terzi dei minori interessati di aggirarla, riporta La Quadrature du Net. Un VPN maschera l'indirizzo IP e fa credere alla piattaforma che l'utente si connetta da un paese senza obbligo di controllo dell'età, un gioco del gatto e del topo che né Londra né Canberra sono riuscite, fino ad oggi, a fermare.

Ragione n°6: anche la CNIL dubita che esista una soluzione perfetta {#h-raison-n-6-meme-la-cnil-doute-qu-une-solution-parfaite-existe}

Segnale rivelatore: il regolatore francese incaricato della protezione dei dati non ha mai convalidato una soluzione miracolosa. La CNIL osserva che nessun dispositivo soddisfa contemporaneamente i tre criteri che considera indispensabili: affidabilità sufficiente, copertura dell'intera popolazione e rispetto della privacy. Quando l'autorità che dovrebbe garantire la conformità del dispositivo ammette pubblicamente che nessuna opzione disponibile spunta tutte le caselle, è difficile vederlo come un semplice dettaglio di esecuzione.

Ragione n°7: la base giuridica europea del testo è essa stessa contestata {#h-raison-n-7-la-base-juridique-europeenne-du-texte-est-elle-meme-contestee}

Ultimo ostacolo, e non dei minori: la legalità stessa del dispositivo è in discussione davanti alla giustizia europea. Il testo francese si basa sull'articolo 28 del Digital Services Act, che impone alle piattaforme di proteggere la privacy dei minori, non di escluderli in modo semplice e diretto. Un caso riguardante la legge SREN, la precedente legge francese di verifica dell'età (applicata questa volta ai siti pornografici), è attualmente pendente davanti alla Corte di giustizia dell'Unione europea.

Secondo La Quadrature du Net, l'avvocato generale incaricato del caso ha già seriamente messo in dubbio la sua conformità al diritto dell'UE. Se la Corte segue questo ragionamento, un intero settore della verifica dell'età alla francese perderebbe la sua base legale, inclusa quella applicata ai social network.

Cosa cambia per il futuro {#h-cosa-cambia-per-il-futuro}

Questi sette ostacoli non significano che la legge rimarrà lettera morta da un giorno all'altro. Ma delineano un dispositivo che dovrà confrontarsi, sin dal suo ingresso in vigore, con falle tecniche già sfruttate, subappaltatori già hackerati altrove, elusioni già massicce presso i nostri vicini, e una base giuridica già indebolita davanti alla giustizia europea.

L'ecosistema crypto ha impiegato anni a comprendere che un sistema di identità digitale solido si basa meno sulla promessa di anonimato totale e più sul controllo, da parte dell'utente stesso, di ciò che divulga e a chi. Alcuni progetti costruiti su questa logica, come il wallet Altme e la sua identità digitale pensata per condividere solo le informazioni strettamente necessarie, esistono già e voltano le spalle al modello del terzo di fiducia centralizzato. Di che nutrire, almeno, il dibattito sul modo migliore di verificare un'età senza sacrificare un'intera vita privata nel processo.