Non è una situazione completamente nuova, anche durante il Covid19 YouTube censurava video di italiani che passeggiavano liberamente a Stoccolma senza mascherina protettiva per non turbare la narrativa mainstream del momento. Ora il format si ripete, ma con nessuna "emergenza" apparente. Il video di un podcast finlandese su Chat Control, EU ja CSAM: "Isoveli valvoo sinua" (Peter Sund) | Puheenaihe 570, è stato geocensurato. Ovvero se caricate la pagina specifica da un IP dell'Unione Europea vi verrà mostrato che è "Non disponibile" o "Questi contenuti non sono disponibili".

A seguire un articolo generato dai contenuti trattati nel video.

Il Cavallo di Troia digitale: come la proposta UE contro la pedopornografia minaccia la privacy di tutti

Un'analisi approfondita della proposta di regolamento CSAM e dei suoi rischi per la società digitale

L'Unione Europea sta attualmente valutando una proposta legislativa che, sotto la superficie di una nobile causa — la protezione dei minori dagli abusi sessuali online — nasconde quello che molti esperti definiscono un vero e proprio cavallo di Troia digitale. A lanciare l'allarme è Peter, CEO di Kyberala ry, l'associazione finlandese dell'industria della cybersecurity, intervenuto nel podcast "Vaalit" per analizzare i rischi connessi a questo provvedimento.

Di cosa parliamo realmente

La proposta di regolamento CSAM (Child Sexual Abuse Material) nasce dall'intenzione di contrastare due fenomeni distinti ma collegati: la produzione e diffusione di materiale pedopornografico e il grooming, ovvero l'adescamento di minori da parte di adulti attraverso piattaforme digitali. Obiettivi che, come sottolinea Peter, sono "estremamente importanti e condivisibili".

Il problema, tuttavia, risiede nei mezzi proposti per raggiungerli.

Un meccanismo di sorveglianza di massa

Il cuore della proposta è l'implementazione di un meccanismo di controllo preventivo dei messaggi su tutte le piattaforme di comunicazione digitale — WhatsApp, Messenger, Signal, Teams e qualsiasi altra applicazione utilizzata dai cittadini europei.

"È come se un funzionario dovesse leggere ogni lettera prima che venga imbustata, per verificare che il contenuto sia accettabile", spiega Peter, paragonando la proposta alla violazione del segreto epistolare, principio sancito nelle costituzioni di tutti gli Stati membri.

L'ultima versione del regolamento è stata modificata: non si parlerebbe più di rimuovere la crittografia dopo l'invio del messaggio, ma di analizzare il contenuto prima della cifratura. Una distinzione che, sul piano pratico, cambia ben poco.

Chi veglierà sui messaggi degli italiani?

Il sistema proposto funzionerebbe attraverso un meccanismo semi-automatizzato: algoritmi di riconoscimento analizzerebbero le comunicazioni, segnalando i contenuti sospetti a un'apposita autorità di controllo europea. I messaggi verrebbero poi eventualmente trasmessi alle autorità giudiziarie nazionali.

Il punto critico è che la maggior parte dei provider di servizi di comunicazione sono aziende extra-europee (Meta, Google, Apple). Ciò significa che i messaggi degli italiani potrebbero finire sotto la lente di un'autorità con sede fuori dai confini nazionali, sollevando interrogativi fondamentali sulla sovranità digitale.

"Su 27 Stati membri, basta guardare all'Ungheria per capire quanto sia rischioso centralizzare un tale potere di sorveglianza", osserva Peter.

Il problema dell'efficacia

Nonostante l'apparente rigore, il regolamento presenta gravi lacune tecniche:

1. Copertura limitata: la proposta si concentrerebbe solo sul materiale già noto alle autorità, non sul nuovo materiale prodotto o sulle situazioni di adescamento in tempo reale.
2. Falsi positivi: le tecnologie di riconoscimento automatico sono notoriamente fallibili. Peter cita il caso di un genitore che inviò al proprio medico la foto del figlio con un'eruzione cutanea, venendo segnalato automaticamente per contenuti inappropriati.
3. By-passabile: i criminali motivati possono facilmente eludere questi controlli utilizzando applicazioni sviluppate al di fuori del controllo delle grandi piattaforme.
4. Apple stessa ha rinunciato: l'azienda di Cupertino ha sviluppato per anni una tecnologia simile, per poi abbandonarla quando i ricercatori di sicurezza sono riusciti a eluderla in sole due settimane.

Il rischio del "pendio scivoloso"

Uno degli argomenti più forti contro la proposta è ciò che potrebbe accadere dopo. Se oggi si inizia con la lotta alla pedopornografia, domani si potrebbe aggiungere il terrorismo, poi i reati finanziari, poi la critica politica.

"Conosci il detto 'la strada per l'inferno è lastricata di buone intenzioni'? Questo è esattamente il caso", commenta Peter.

L'esperto richiama l'esempio della Cina e del sistema WeChat, un'applicazione di messaggistica che funge da strumento di sorveglianza totalitaria. "Non stiamo forse criticando Pechino per la sua dittatura digitale, mentre contemporaneamente costruiamo qualcosa di molto simile?"

L'illusione del "non ho nulla da nascondere"

Uno degli argomenti più comuni a sostegno della sorveglianza è: "Non ho nulla da nascondere, quindi perché preoccuparmi?".

Peter lo definisce un pensiero "miope e pericoloso". Ognuno di noi ha conversazioni private — con il partner, con i propri cari, con il medico — che non vorrebbe vedere esaminate da terzi, a prescindere dalla loro legalità.

"Immagina di avere una telecamera nel tuo bagno o nella tua camera da letto, accessibile a un funzionario pubblico, con la giustificazione che tanto non stai facendo niente di illegale. Quante persone sarebbero disposte ad accettarlo?".

Alternative concrete

Kyberala ry non si limita a criticare, ma propone soluzioni alternative efficaci e rispettose della privacy:

• Meccanismi di segnalazione: rendere obbligatoria su tutte le piattaforme la possibilità di segnalare contenuti illeciti, come già avviene per i social media.
• Principi di progettazione a prova di minore: introdurre requisiti di design per proteggere i minori, come impostazioni di privacy sicure per defaulte e limitazioni ai contatti.
• Identità digitale europea: utilizzare il nuovo sistema di identità digitale in fase di implementazione per verificare l'età senza rivelare dati personali superflui.
• Operazioni sotto copertura: consentire alle forze di polizia di intervenire sotto copertura nelle piattaforme frequentate dai minori, come già avviene per altri reati gravi.

Il ruolo dell'intelligenza artificiale

L'AI generativa introduce un'ulteriore complessità. Strumenti come DALL-E e Midjourney, insieme a modelli open source sempre più potenti, potrebbero essere utilizzati per creare materiale illecito senza il coinvolgimento di vittime reali.

"Questa è una questione centrale", riflette Peter. "Se non ci sono vittime reali, qual è il danno effettivo? Ma la reazione emotiva è così forte da rendere difficile un dibattito razionale".

Quel che è certo è che l'AI non risolverà magicamente il problema del riconoscimento automatico: gli stessi strumenti possono essere utilizzati dai criminali per eludere i sistemi di controllo, in una corsa agli armamenti tecnologica.

Conclusioni

Il regolamento CSAM rappresenta uno spartiacque: da un lato la protezione dei minori, dall'altro la difesa dei principi fondamentali delle democrazie liberali, a partire dalla privacy delle comunicazioni.

La proposta, nella sua forma attuale, rischia di essere inefficace, dannosa e imprevedibile nelle sue conseguenze. Inefficace perché non colpisce il cuore del problema (la produzione di nuovo materiale e l'adescamento). Dannosa perché introduce meccanismi di sorveglianza di massa. Imprevedibile perché apre la strada a futuri ampliamenti del sistema.

Come sottolinea Peter, la vera domanda è: "Qual è il giusto equilibrio tra controllo e libertà? Se vogliamo che nessun crimine rimanga impunito, l'unica strada è una società totalitaria. E la storia ci insegna che queste società non sono sostenibili".

Il dibattito è aperto, e la posta in gioco non potrebbe essere più alta.