Nell’arco di una sola settimana tre autorità diverse, che applicano tre regolamenti diversi, sono intervenute sullo stesso oggetto: il minore davanti a un’interfaccia progettata per trattenerlo. Il 9 luglio 2026 il Garante per la protezione dei dati personali ha sanzionato Character Technologies Inc. per 158mila euro, rilevando criticità nelle garanzie a tutela dei minori e nelle procedure di verifica dell’età. Il 10 luglio la Commissione europea ha comunicato le proprie constatazioni preliminari secondo cui il design di Instagram e Facebook che crea dipendenza viola il Digital Services Act. E il testo definitivo del Digital Omnibus on AI, approvato dai colegislatori a giugno, introduce nell’AI Act un divieto espresso dei sistemi che generano materiale di abuso sessuale su minori e materiale intimo non consensuale. Tre leve distinte, il default, il design, il divieto, che convergono su un unico soggetto protetto.
Il GDPR interviene sul default
Il provvedimento del Garante del 3 luglio 2026 riguarda un servizio di intelligenza artificiale generativa che consente di creare personaggi virtuali e di chattare con essi, accessibile anche ai minorenni. L’Autorità ha accertato carenze nell’informativa, la predisposizione tardiva della valutazione d’impatto sulla protezione dei dati e la designazione tardiva del rappresentante nell’Unione, oltre alle criticità sulla tutela dei minori e sulla verifica dell’età. Al di là della sanzione, che è contenuta, contano le prescrizioni, perché indicano dove il Garante colloca la soglia della diligenza: il corretto funzionamento dei sistemi di verifica dell’età; l’efficacia dei meccanismi che impediscono nuovi tentativi di registrazione da parte dei minori bloccati, il cosiddetto periodo di raffreddamento; e la configurazione dei profili dei minorenni in modalità privata per impostazione predefinita. È l’articolo 25 del GDPR applicato senza sconti: la protezione per impostazione predefinita non è una dichiarazione di intenti, è la posizione in cui deve trovarsi l’interruttore quando l’utente arriva. La società ha centoventi giorni per comunicare le misure adottate. Che la valutazione d’impatto sia stata tardiva, in un trattamento di questa natura, è un dettaglio che parla da solo, e conferma quanto il template DPIA dell’EDPB sia arrivato al momento giusto.
Il DSA interviene sul design
La Commissione ha adottato constatazioni preliminari nei confronti di Meta, sostenendo che il design di Instagram e Facebook che crea dipendenza violi il Digital Services Act. L’indagine si concentra su funzionalità come lo scorrimento infinito, la riproduzione automatica, le notifiche push e i sistemi di raccomandazione altamente personalizzati. Secondo la Commissione, Meta non ha valutato adeguatamente i rischi che tale design comporta per il benessere fisico e mentale degli utenti, minori e adulti vulnerabili compresi, e le misure di mitigazione adottate non hanno affrontato efficacemente quei rischi. Occorre precisare che si tratta di constatazioni preliminari, cioè di un passaggio procedurale che apre alla difesa dell’impresa e non di una decisione definitiva di accertamento dell’infrazione. Ma la costruzione giuridica merita attenzione, perché il DSA non contesta un contenuto illecito: contesta un’architettura. L’illecito, se confermato, non sta in ciò che la piattaforma ospita, sta in come è fatta. È lo stesso spostamento concettuale che avevamo osservato ragionando sulla sorveglianza urbana e sui paletti dell’AI Act al riconoscimento facciale: il diritto smette di guardare l’esito e comincia a guardare il dispositivo.
L’AI Act interviene sul divieto
Il terzo tassello arriva dal Digital Omnibus on AI, che modifica l’articolo 5 dell’AI Act, quello sulle pratiche vietate. I considerando 10 e 11 sono di rara nettezza: il materiale intimo non consensuale costituisce una forma di violenza e abuso sessuali, in particolare nei confronti delle donne; la proliferazione delle applicazioni cosiddette di nudificazione ha determinato l’urgente necessità di un divieto normativo esplicito; il materiale di abuso sessuale su minori, anche interamente o parzialmente sintetico, rischia di normalizzare, amplificare e perpetuare la violenza sessuale sui minori. Il divieto colpisce l’immissione sul mercato dei sistemi destinati a generare quel materiale, ma anche, ed è qui che la norma diventa esigente per i fornitori generalisti, i sistemi in cui tale generazione è un risultato ragionevolmente prevedibile e riproducibile e per i quali non siano in vigore misure tecniche di sicurezza ragionevoli e adeguate. Non si vieta la capacità tecnica di generare immagini: si vieta di metterla sul mercato senza presidi. La conseguenza operativa è che il fornitore deve poter dimostrare di avere testato il proprio modello anche rispetto a ciò che il modello non dovrebbe saper fare.
La verifica dell’età come nuovo campo di battaglia
Se si osservano i tre interventi insieme, il punto di frizione comune è la verifica dell’età. È ciò che il Garante prescrive, è ciò che il DSA pretende implicitamente quando chiede di valutare i rischi per i minori, ed è il presupposto perché un divieto sui contenuti sintetici abbia un senso applicativo. Ma la verifica dell’età è, per sua natura, un trattamento che rischia di essere invasivo proprio per proteggere: accertare che chi sta dall’altra parte dello schermo non sia un quindicenne significa, in molte implementazioni, raccogliere un documento, un dato biometrico o un elemento inferenziale sul volto o sulla voce. Il diritto chiede alle piattaforme di sapere qualcosa in più su chi le usa, per proteggerlo, e nello stesso momento chiede loro di sapere il meno possibile. Nel caso Character.AI il Garante ha imboccato la strada del contenimento, prescrivendo il funzionamento corretto dei sistemi esistenti e il periodo di raffreddamento anziché imporre un metodo di accertamento più intrusivo, e questa scelta, in un anno in cui il piano ispettivo dell’Autorità mette al centro i trattamenti a maggior rischio, va letta come un indirizzo, non come una svista.
In ragione di quanto precede, ci si chiede se la tutela del minore digitale possa reggersi su tre regimi che agiscono in parallelo, ciascuno con il proprio strumento e la propria autorità, oppure se il prezzo di questa convergenza non sia una sovrapposizione di obblighi in cui l’impresa diligente rischia di non sapere più a chi rispondere, mentre quella meno diligente trova nella frammentazione il proprio riparo.
