Chat control: guida a un sistema di sorveglianza

Pavel Durov affida a un post su X la critica più tagliente della sua carriera contro il chat control, il sistema europeo di scansione delle chat private. Il fondatore di Telegram commenta la conferma, il 9 luglio, della deroga temporanea che permette ai gestori di servizi di messaggistica di rilevare volontariamente materiale di abuso sessuale su minori (CSAM, l’acronimo per child sexual abuse material) nelle conversazioni degli utenti. Pratiche «un tempo tipiche delle repubbliche delle banane» vengono, secondo Durov, oggi impiegate dall’Unione europea per approvare leggi di sorveglianza. Il fondatore di Telegram promette ai propri utenti che la piattaforma non userà questa possibilità per leggere le loro conversazioni private.

Il termine «chat control» indica due provvedimenti distinti, spesso confusi nel dibattito pubblico. Il primo, ribattezzato «chat control 1.0», è la deroga temporanea alle regole europee sulla privacy elettronica (ePrivacy), introdotta nel 2021 e rinnovata più volte da allora: consente ai fornitori di servizi di comunicazione di analizzare volontariamente contenuti e conversazioni per individuare CSAM e tentativi di adescamento online, senza imporre alcun obbligo generalizzato. Il secondo, noto come «chat control 2.0» o CSAR (Child Sexual Abuse Regulation), è il regolamento permanente proposto dalla Commissione europea nel 2022: introdurrebbe la possibilità per le autorità di emettere «ordini di rilevamento» vincolanti, estesi anche ai servizi con crittografia end-to-end, e resta in negoziato tra Parlamento e Consiglio dell’Unione europea. Il voto del 9 luglio riguarda esclusivamente il primo provvedimento, quello volontario. Il secondo, quello obbligatorio, resta sul tavolo.

La cornice della tutela dei minori come giustificazione per interventi regolatori sulle piattaforme digitali ricorre nel panorama europeo: come avevamo riportato nella nostra precedente analisi, la stessa logica emerge nella causa collettiva contro il design delle piattaforme social accusato di generare dipendenza nei più giovani.

La scansione del materiale già noto alle autorità si basa sull’hashing percettivo, una tecnica esemplificata dal sistema PhotoDNA sviluppato da Microsoft. Ogni immagine o video viene trasformato in una sequenza di caratteri, una sorta di impronta digitale che tollera piccole modifiche al file originale — un ritaglio, una compressione, un cambio di colore. Il sistema confronta questa impronta con un database di contenuti già catalogati come illegali: se trova corrispondenza, segnala il file. È il meccanismo tecnicamente meno controverso dell’intero impianto.

Il materiale non ancora catalogato richiede un approccio diverso, e più delicato: modelli di intelligenza artificiale addestrati a riconoscere pattern sospetti, sia nelle immagini sia nei testi delle conversazioni, dove si cercano segnali di adescamento (grooming). Il margine di errore qui cresce, e dipende dalla qualità del dataset di addestramento, dalla soglia di affidabilità impostata e dal grado di revisione umana previsto prima di una segnalazione alle autorità.

Il nodo tecnico più delicato riguarda il punto in cui avviene il controllo. Il client-side scanning sposta l’analisi dal server al dispositivo dell’utente: il contenuto viene esaminato prima che la cifratura end-to-end (E2E, la tecnica che rende un messaggio leggibile solo dal mittente e dal destinatario) lo trasformi in un blocco illeggibile per chiunque altro. Il risultato pratico coincide con quello di una scansione lato server, anche quando la crittografia in transito resta formalmente intatta: un algoritmo legge il contenuto prima che diventi privato.

Un precedente concreto risale al 2021, quando Apple annuncia un sistema di rilevamento CSAM direttamente sugli iPhone, basato su un meccanismo simile. La comunità dei ricercatori di sicurezza informatica reagisce definendolo un’infrastruttura di sorveglianza generalizzabile, capace di essere riorientata verso qualunque altro tipo di contenuto con una semplice modifica del database di riferimento. Apple ritira il progetto l’anno successivo, citando in una lettera pubblica il rischio di una china scivolosa verso conseguenze non volute. Il meccanismo che l’azienda abbandona nel 2022 è lo stesso che il regolamento CSAR punterebbe a rendere obbligatorio su scala europea.

Telegram occupa in questo scenario una posizione particolare. La piattaforma utilizza la crittografia end-to-end solo nelle Chat Segrete — una funzione opzionale, attivata dall’utente conversazione per conversazione — mentre le chat cloud standard, quelle sincronizzate tra i dispositivi, restano leggibili sui server dell’azienda. Questa architettura pone Telegram, in teoria, nelle condizioni tecniche per avvalersi della deroga volontaria in qualunque momento, sui contenuti che già transitano sui propri server.

Durov sceglie pubblicamente la direzione opposta. Alla domanda diretta di un utente sulla sicurezza della piattaforma rispetto alla misura europea, il fondatore risponde in modo affermativo, assicurando che Telegram non analizzerà le conversazioni private dei propri utenti. La app resta, nel frattempo, uno degli strumenti di messaggistica più curati sul piano dell’esperienza utente tra quelli disponibili oggi, con funzioni — canali, bot, gruppi fino a duecentomila membri, editing dei messaggi, cloud illimitato — che continuano a distinguerla dalla concorrenza. La scelta di non avvalersi della deroga si inserisce in un’impostazione storica dell’azienda sul trattamento dei dati degli utenti, ed è plausibile che Durov la mantenga fintanto che le condizioni glielo consentiranno. Un obbligo legale vincolante sui server europei della piattaforma resterebbe comunque sovraordinato a qualunque policy aziendale, come per qualsiasi soggetto operante sul territorio dell’Unione.

Il trasferimento di funzioni di controllo verso infrastrutture private, spesso di soggetti con incentivi commerciali propri, è un pattern che AnotherWorld ha già documentato: come avevamo riportato nella nostra precedente analisi, la stessa dinamica attraversa il rapporto tra potere pubblico e piattaforme tecnologiche su scala più ampia.

Il Parlamento europeo vota il 9 luglio, ultimo giorno di sessione prima della pausa estiva, in un’aula solo parzialmente occupata. Sul tavolo c’è la conferma della deroga temporanea, riproposta dal Consiglio dell’Unione europea il 2 luglio con un testo pressoché identico a quello già respinto in precedenza. La procedura di seconda lettura impone una soglia alta per bloccare il provvedimento: serve la maggioranza assoluta dei seggi, 361 voti su 720. Il risultato finale registra 314 voti contrari e 276 favorevoli. L’opposizione esiste, ma il testo passa per mancato raggiungimento della soglia di blocco, a fronte di una maggioranza relativa contraria. Il Parlamento approva inoltre l’esclusione esplicita delle comunicazioni cifrate end-to-end dal perimetro della deroga, un emendamento che riduce, senza eliminarlo, il campo di applicazione della misura sulle piattaforme che usano quella tecnologia di default.

L’articolo 15 della Costituzione italiana sancisce l’inviolabilità della libertà e della segretezza della corrispondenza e di ogni altra forma di comunicazione, ammettendo limitazioni soltanto per atto motivato dell’autorità giudiziaria, con le garanzie stabilite dalla legge. La giurisprudenza costituzionale colloca questo diritto tra i valori supremi dell’ordinamento, e la dottrina ne estende oggi la portata alle comunicazioni digitali, incluse le chat di messaggistica istantanea scambiate uno a uno. Il codice penale rafforza la stessa tutela agli articoli 616 e seguenti, che puniscono la violazione, la sottrazione e la soppressione di corrispondenza. A livello europeo, l’articolo 7 della Carta dei diritti fondamentali dell’Unione — la stessa Unione che discute la deroga — riconosce il rispetto della vita privata e delle comunicazioni come diritto fondamentale.

Il principio comune a tutte queste norme subordina ogni limitazione a un sospetto individuale, accertato caso per caso da un’autorità giudiziaria. Il meccanismo di rilevamento descritto in questo articolo procede nella direzione opposta: la scansione precede il sospetto, si applica per default a chiunque utilizzi un servizio di messaggistica che vi aderisce, e cerca l’eccezione — il contenuto illecito — dentro un flusso indistinto di comunicazioni lecite. È la stessa logica che giustificherebbe l’ispezione sistematica di ogni abitazione privata sulla base del fatto che, statisticamente, in una minoranza di quelle abitazioni si consuma un reato. Il domicilio fisico resta protetto, in ogni ordinamento europeo, dallo stesso principio che vieta l’ispezione generalizzata priva di sospetto individuale: l’articolo 14 della Costituzione lo tutela con le medesime garanzie che l’articolo 15 riserva alla corrispondenza.

La protezione dei minori online resta un obiettivo che nessuno, nel dibattito pubblico europeo, mette seriamente in discussione. La discussione reale riguarda lo strumento scelto per perseguirlo: un’infrastruttura di scansione automatizzata, prima volontaria e potenzialmente presto obbligatoria, che si insedia esattamente nel punto in cui un messaggio smette di essere pubblico e diventa corrispondenza privata. Il regolamento permanente CSAR resta in negoziato, e la sua approvazione trasformerebbe un’eccezione temporanea in un obbligo strutturale per l’intero settore delle comunicazioni digitali. Ogni proroga della deroga volontaria costruisce, passo dopo passo, l’infrastruttura tecnica e normativa su cui quel regolamento permanente potrà poggiare quando arriverà il momento del voto decisivo.