La maggioranza insufficiente

Chat Control · Sorveglianza · Unione Europea

Chat Control 1.0, seconda lettura: 314 voti per respingere, 361 necessari. La deroga alla direttiva ePrivacy resta in vigore fino al 3 aprile 2028.

Chat Control: aritmetica di un no che non conta

La regola ha una ragione storica comprensibile. La seconda lettura nasce come fase conclusiva di un negoziato già avvenuto, in cui Parlamento e Consiglio hanno trovato un’intesa in prima lettura e il passaggio finale serve a ratificarla, e la soglia alta protegge quel compromesso dall’erosione di maggioranze occasionali. Il 9 luglio la stessa regola si è applicata alla situazione opposta, un testo che il Parlamento aveva respinto quattro mesi prima, su cui il negoziato era stato abbandonato dal Consiglio, e che era rientrato in aula senza passare dalla commissione competente: uno strumento costruito per stabilizzare un accordo ha superato un disaccordo.

Lo stesso giorno, in seconda lettura e con la stessa soglia, il Parlamento ha approvato l’emendamento che esclude dalla scansione le comunicazioni alle quali è, è stata o sarà applicata la crittografia end-to-end. L’emendamento ha raccolto 369 voti. Con gli stessi deputati in aula, l’assemblea ha trovato i numeri per modificare il testo e non li ha trovati per respingerlo, e la differenza fra le due cose descrive cosa resta di un organo eletto quando gli si conserva ogni funzione tranne quella di dire di no.

Il Consiglio ha ora tre mesi per accettare o respingere quell’emendamento, e in caso di rifiuto si apre una procedura di conciliazione. Diversi osservatori si aspettano che tenti di smontarlo, perché l’esclusione della crittografia contraddice il presupposto tecnico su cui la scansione generalizzata si regge. Nel frattempo la deroga è operativa.

La tecnica del provvisorio permanente

Quel voto riguardava una deroga, cioè il permesso di fare per un tempo definito qualcosa che la legge generale vieta.

Dal 2021 il Regolamento (UE) 2021/1232 consente ai fornitori di servizi di comunicazione di derogare alla direttiva ePrivacy per rilevare, rimuovere e segnalare volontariamente materiale di abuso sessuale su minori. La forma temporanea è la condizione che lo ha reso approvabile. Una deroga a termine chiede meno di una regola: chiede di accettare per un periodo circoscritto qualcosa che nessuno accetterebbe come principio, e rinvia la discussione di merito al giorno della scadenza.

Quel giorno è arrivato più volte, e ogni volta è stato spostato.

La deroga è stata prorogata una prima volta nel 2024. Il 19 dicembre 2025 la Commissione ha proposto un’estensione biennale fino al 3 aprile 2028. L’11 marzo 2026 il Consiglio ha abbandonato il trilogo giudicando insufficiente la posizione del Parlamento. Il 26 marzo il Parlamento ha respinto l’estensione con 311 voti contrari, 228 favorevoli e 92 astenuti. Il 3 aprile la deroga è scaduta, e per tre mesi le piattaforme che hanno continuato a scansionare, fra cui Google, Meta e Microsoft, lo hanno fatto senza alcuna cornice normativa europea.

Il 18 giugno la presidente del Parlamento ha sollecitato il Consiglio europeo a rimettere il fascicolo sul tavolo. Il 2 luglio il Consiglio ha adottato una posizione in prima lettura su un testo sostanzialmente identico a quello bocciato a marzo, che essendo formalmente un atto nuovo sfugge al vincolo che impedisce di prorogare un regime già scaduto. Il Parlamento ha attivato una procedura d’urgenza che ha riportato il testo in aula saltando la commissione. Il 9 luglio è passato, con validità fino al 3 aprile 2028.

Guardata dal 2021 a oggi, la sequenza ha una regolarità che nessuno dei singoli passaggi lascia intravedere. La scadenza funziona come tappa del ciclo anziché come suo termine, il rigetto dell’organo eletto produce un ritardo di tre mesi superabile cambiando la qualificazione giuridica dell’atto anziché il suo contenuto, e il regime provvisorio continua a esistere perché quello permanente non arriva.

Il regolamento permanente, il CSAR, è stato presentato dalla Commissione l’11 maggio 2022. Quattro anni e cinque triloghi dopo, l’ultimo il 29 giugno 2026, non c’è accordo sul nodo centrale, gli ordini di rilevamento e il confine fra contenuti pubblici e comunicazioni private. I negoziati riprendono a settembre. Nel frattempo la deroga svolge il lavoro che il regolamento permanente dovrebbe svolgere, senza doverne superare gli ostacoli, e viene rinnovata ogni volta che si avvicina alla propria fine.

Hangzhou, il codice sanitario e un potere con un indirizzo

Nel febbraio 2020 Hangzhou è stata la prima città cinese a introdurre il codice sanitario a colori, un sistema di autorizzazione alla circolazione basato su dati di viaggio e stato di salute, dichiaratamente emergenziale. Nel maggio successivo l’amministrazione municipale ha proposto di normalizzarne l’uso oltre la pandemia e di trasformarlo in un punteggio da 1 a 100 calcolato su cartelle cliniche, esami, consumo di alcol e tabacco, ore di sonno, passi quotidiani. In un sondaggio su Weibo l’86% di circa 6.600 utenti si è espresso contro. Le critiche sono arrivate dagli utenti e anche dall’agenzia di stato Xinhua. Quattro giorni dopo l’annuncio la commissione sanitaria municipale ha dichiarato che si trattava di un’ipotesi concettuale senza piano attuativo, ed entro un mese la proposta era stata rimossa dal sito ufficiale.

Due anni più tardi, nel giugno 2022, il sistema rimasto in funzione ha mostrato cosa può fare. Centinaia di correntisti di banche rurali dell’Henan, con depositi congelati da mesi, sono arrivati a Zhengzhou per protestare e hanno trovato rosso il proprio codice sanitario, verde alla partenza. Alcuni sono stati portati in alberghi di quarantena presidiati dalla polizia e rispediti a casa il giorno successivo. Tre di loro hanno riferito a Reuters di conoscere persone registrate per viaggiare in Henan ma estranee alla vicenda bancaria, il cui codice era rimasto verde. Tre settimane dopo le autorità di Zhengzhou hanno punito cinque persone, quattro delle quali funzionari, per aver modificato in rosso il codice di oltre 1.300 clienti, e il capo del dipartimento di governance sociale del centro di comando anti-epidemico è stato rimosso dagli incarichi di partito e di governo. La Commissione sanitaria nazionale ha poi vietato di modificare i codici per ragioni estranee al controllo epidemico.

Niente di tutto questo rende quel sistema preferibile. I manifestanti sono stati fermati, la protesta è stata soffocata, e la sanzione è arrivata dallo stesso apparato che aveva prodotto l’abuso. Quello che cambia è che là il potere aveva un indirizzo: c’era un ufficio, c’erano cinque nomi, c’era una catena di comando individuabile, e questo ha reso possibile che una pressione pubblica ottenesse in un mese il ritiro di una proposta e in tre settimane la rimozione di chi l’aveva applicata male.

Il testo respinto dal Parlamento europeo il 26 marzo è rientrato in vigore attraverso un cambio di qualificazione giuridica che non viola alcuna regola, che nessun tribunale può annullare, e di cui non è responsabile alcun funzionario che si possa rimuovere.

Chat Control: dove si decide davvero

Il testo che arriva in aula è già stato negoziato altrove. Il trilogo fra Parlamento, Consiglio e Commissione si svolge senza resoconto pubblico e sul CSAR dura da quattro anni e cinque sessioni, così che il margine di intervento dell’assemblea riguarda l’accettazione o il rifiuto di un equilibrio costruito da persone che non hanno ricevuto un mandato per costruirlo e non renderanno conto di come lo hanno costruito.

A monte c’è la posizione del Consiglio, adottata il 26 novembre 2025 nonostante il dissenso di quattro Stati membri, fra cui l’Italia. È lì che compare la modifica letta dal dibattito come una concessione, l’eliminazione dell’obbligo generalizzato di scansione sostituito da un regime volontario accompagnato da obblighi di valutazione e mitigazione del rischio. L’effetto pratico è meno rassicurante di quanto la parola volontario suggerisca, perché il regolamento impone alle piattaforme di adottare tutte le misure utili a ridurre il rischio, e la mancata adozione di strumenti di rilevamento diventa una posizione giuridicamente esposta. Lo Stato smette di ordinare e ottiene il medesimo risultato rendendo costoso non obbedire, mentre la decisione su cosa venga scansionato si sposta dentro la policy interna di un’azienda, dove non esistono ricorso, pubblicità dell’atto né voto.

Più in basso ancora c’è il classificatore. Un sistema probabilistico stabilisce la soglia oltre la quale una comunicazione diventa una segnalazione, e quella soglia è un numero, fissato da ingegneri privati, modificabile senza annuncio, che determina quante persone estranee a qualsiasi reato finiranno in un fascicolo. Non è mai passata da un voto.

Chi vende la tecnologia che il regolamento presuppone

L’EDPB e l’EDPS hanno segnalato ripetutamente che il rilevamento di contenuti non catalogati e dei tentativi di grooming produce per costruzione falsi positivi, e che una percentuale minima di errore applicata a miliardi di comunicazioni genera volumi che gli investigatori umani non possono esaminare. Il dato che permetterebbe di valutare l’obiezione non esiste in forma indipendente: non sono pubblici i tassi di precisione e richiamo dei sistemi in uso, né il rapporto fra segnalazioni prodotte e condanne ottenute. L’unico ordine di grandezza disponibile lo dichiara il fornitore. Thorn riferisce che nel 2025 il suo prodotto Safer, adottato da oltre 86 aziende, ha processato 415,4 miliardi di file identificandone circa 5,3 milioni come sospetti, un contenuto ogni 78.000 esaminati, includendo il caso più semplice, quello del materiale già presente negli archivi di hash. L’efficacia del sistema, che è l’unico argomento capace di giustificarne il costo per i diritti, resta verificabile soltanto da chi lo vende.

Quel venditore ha una biografia istituzionale. Nel febbraio 2025 la Mediatrice europea Emily O’Reilly ha accertato un caso di cattiva amministrazione a carico di Europol, su reclamo presentato nell’ottobre 2023 dall’ex eurodeputato Patrick Breyer. Cathal Delaney, che a Europol aveva lavorato a un progetto pilota di intelligenza artificiale per il rilevamento di materiale pedopornografico, è passato a Thorn mantenendo per due mesi lo stesso ruolo operativo prima della transizione effettiva, si è registrato come lobbista presso il Bundestag e ha partecipato a un incontro con ex colleghi di Europol per presentare un prodotto dell’azienda per cui lavorava. Secondo la Mediatrice l’agenzia non aveva effettuato alcuna valutazione sostanziale del rischio né imposto restrizioni esplicite sull’attività di lobbying. Un’inchiesta di BIRN aveva già individuato nel settembre 2023 due ex funzionari Europol passati a Thorn prima della scadenza del periodo di raffreddamento biennale. Il rapporto che Europol avrebbe dovuto trasmettere alla Mediatrice entro sei mesi sulle misure correttive adottate non risulta pubblicato.

Thorn è un’organizzazione non profit statunitense riconosciuta come 501(c)(3), con un bilancio 2024 depositato presso l’IRS che indica ricavi per 16,4 milioni di dollari e spese per 21,8 milioni. Nel solo 2022 ha speso oltre 600.000 euro per la società di lobbying FGS Global. Nel novembre 2020, mentre la Commissione stava ancora definendo l’impianto della proposta, il suo allora presidente del consiglio di amministrazione ha partecipato con rappresentanti di WeProtect Global Alliance a una videoconferenza con Ursula von der Leyen. La Oak Foundation ha destinato dal 2019 oltre 24 milioni di dollari a organizzazioni attive sul tema.

Niente di tutto questo viola una norma. La conoscenza tecnica su cui il regolamento si fonda viene prodotta, fornita e certificata dagli stessi soggetti che ne ricavano un mercato, in uno spazio dove non è previsto un ingresso pubblico.

Entry/Exit System: dal 10 aprile 2026 volto e impronte sostituiscono il timbro sul passaporto per i cittadini di paesi terzi in soggiorno breve.

Entry/Exit System: lo stesso impianto applicato ai corpi

Lo stesso impianto esiste già, con più anticipo e più denaro, applicato ai corpi invece che alle parole. L’Entry/Exit System è entrato in funzione gradualmente dal 12 ottobre 2025 e pienamente il 10 aprile 2026 in tutta l’area Schengen, sostituendo il timbro sul passaporto con la registrazione elettronica di volto e impronte per i cittadini di paesi terzi in soggiorno breve. Il fascicolo individuale resta aperto tre anni e un giorno, cinque se manca la registrazione di uscita.

Il nucleo centrale è stato affidato nel 2019 a un consorzio guidato da IBM Belgium con Atos, oggi Eviden, e Leonardo, per un contratto quadro inizialmente valutato attorno ai 142 milioni di euro, mentre il sistema biometrico condiviso è andato a IDEMIA e Sopra Steria. Un rapporto interno di eu-LISA del 2022, firmato dall’allora direttore esecutivo Krum Garkov, segnalava installazioni incomplete, apparecchiature mal configurate e personale non qualificato. Secondo la ricostruzione del Financial Times il valore del contratto centrale è salito nel tempo fino a circa 220 milioni. Nel febbraio 2025 lo stesso quotidiano ha rivelato che nel 2021 l’ufficio di Mosca di Atos aveva acquistato per conto del progetto certificati crittografici e middleware tramite una dipendente operante da una filiale che agiva sotto licenza del Servizio federale di sicurezza russo. La Procura europea ha aperto un’indagine senza capi d’accusa formalizzati, OLAF aveva già giudicato insufficienti le misure di sicurezza di eu-LISA limitandosi a raccomandazioni, l’agenzia sostiene che la dipendente non avesse accesso ai sistemi sensibili, e non risulta che i componenti siano stati usati dopo il 2022. Nessun elettorato ha mai approvato quell’impianto, il suo costo cresciuto di oltre il cinquanta per cento o la scelta dei fornitori che lo gestiscono.

Da fine marzo i tempi di attesa hanno superato regolarmente le due ore nei picchi di traffico. Il 12 aprile un volo da Milano Linate a Manchester è partito dopo che un centinaio di passeggeri erano rimasti tre ore in fila. A inizio luglio ACI Europe, Airlines for Europe e IATA hanno scritto congiuntamente alla Commissione parlando di una situazione arrivata a un punto critico, in vista di 40 milioni di passeggeri aggiuntivi fra luglio e agosto. Alcuni scali greci hanno smesso di registrare volti e impronte nei momenti di massimo afflusso, usando come prassi una deroga che il regolamento prevede come eccezione puntuale. La Commissione ha respinto le critiche attribuendo i ritardi a carenze di personale e infrastrutture negli aeroporti, e ha ribadito che il sistema è pienamente operativo.

Un sistema che non regge il carico per cui è stato costruito viene sospeso in silenzio da chi lo deve applicare, nei momenti in cui non funziona, e riacceso quando la coda si accorcia. La correzione avviene al banco del controllo passaporti, non in un’aula, e non lascia traccia in nessun atto.

Chat Control e l’opinione pubblica: chi si adegua prima di sapere

La spiegazione abituale dice che i cittadini europei si oppongono e non vengono ascoltati, e circola da anni una cifra a sostegno, il 72% di contrari alla scansione delle comunicazioni. Viene da un sondaggio YouGov del marzo 2021, commissionato nell’orbita di chi la proposta la combatteva. Cinque anni e una diversa formulazione della domanda separano quel numero dal presente.

Fra il 15 gennaio e il 5 febbraio 2026 IPSOS ha condotto per la Charles University una rilevazione rappresentativa in nove paesi dell’Unione, 12.887 rispondenti, sulle posizioni controverse del regolamento in discussione.

Il 21,7% sapeva che il regolamento esistesse. Il 57,6% si aspetta che renda l’ambiente online più sicuro. Il 57,8% si fida che le autorità europee lo useranno esclusivamente per proteggere i minori. Il 28,1% teme un effetto sulla libertà di espressione. Il 21,3% sarebbe disposto a opporsi attivamente in qualche forma.

Su una popolazione di 450 milioni di persone, la misura di cui si discute da quattro anni è nota a poco più di una persona su cinque, e fra queste la maggioranza la approva.

La repressione lascia tracce: processi, date, nomi, un conflitto che si può ricostruire anni dopo. Una misura che riguarda una popolazione la quale ignora di esserne riguardata non produce niente di tutto questo, e la sua storia coincide per intero con i verbali delle istituzioni che l’hanno adottata.

Nella stessa rilevazione compare però un secondo dato che complica il quadro invece di chiuderlo. Il 38,4% dichiara che smetterebbe di conservare foto, file o conversazioni sensibili sui propri dispositivi una volta adottato il regolamento, e il 52,8% evita già oggi app e dispositivi in grado di tracciarlo. Quasi il doppio delle persone che sanno dell’esistenza della norma dichiara che modificherebbe il proprio comportamento a causa sua, cioè il comportamento si adegua più in fretta di quanto la conoscenza si diffonda.

Nel 2016 Jonathon Penney ha pubblicato sulla Berkeley Technology Law Journal il primo studio empirico sull’effetto della sorveglianza sull’accesso all’informazione, selezionando 48 voci di Wikipedia corrispondenti alle parole chiave che il Dipartimento della Sicurezza Interna statunitense usa per il monitoraggio dei social nella categoria terrorismo, e misurandone il traffico su 32 mesi attorno alle rivelazioni su PRISM del giugno 2013. La media mensile delle visualizzazioni è passata da 2.775.709 a 2.249.095, una riduzione del 19,5% significativa al 99%. L’analisi di regressione, escludendo la voce anomala Hamas il cui traffico esplode nei mesi delle due operazioni israeliane a Gaza, mostra oltre al crollo immediato un’inversione della tendenza di fondo, da una crescita di 30.367 visualizzazioni al mese a un calo di 33.226.

Penney riporta anche la ricerca che lo contraddice, e va riportata qui. Marthews e Tucker avevano trovato una riduzione del 5% nelle ricerche Google su termini sensibili, un ordine di grandezza inferiore. Preibusch, analizzando Bing e l’uso di Tor, ha rilevato che i comportamenti di protezione emersi subito dopo il giugno 2013 sono svaniti in fretta. Hermstrüwer e Dickert hanno concluso che le preoccupazioni distopiche fossero sopravvalutate. E vent’anni di letteratura sul paradosso della privacy documentano che le preoccupazioni dichiarate non predicono il comportamento reale.

In mezzo a queste smentite reciproche un risultato è rimasto in piedi. Nel 2016 Elizabeth Stoycheff ha sottoposto 225 partecipanti a una pagina Facebook fittizia su raid aerei contro l’ISIS, avvertendo metà del campione che non si poteva escludere il monitoraggio della NSA. Circa due terzi dei partecipanti riteneva la sorveglianza giustificata, e sono loro il gruppo che ha taciuto. Chi dichiarava di non infrangere leggi, di non avere nulla da nascondere e di considerare il monitoraggio necessario alla sicurezza nazionale è risultato il più propenso a sopprimere le proprie opinioni quando le percepiva come minoritarie, e a esprimerle quando si sentiva maggioranza, mentre chi rifiutava esplicitamente la sorveglianza non ha modificato il proprio comportamento in alcuna direzione. A tacere è chi si fida, e nella rilevazione europea del 2026 la fiducia sta al 57,8%.

Nella stessa rilevazione compare l’inversione che toglie fondamento all’idea che il problema sia l’informazione e che informare basti. In Repubblica Ceca il 42,5% dei quindici-ventiquattrenni conosce il dibattito sul regolamento, contro una media nazionale del 26,3%. Gli stessi giovani si fidano delle istituzioni europee meno degli anziani, 48,1% contro 63,6%. E cancellerebbero file sensibili nel 29,4% dei casi contro il 48,9% degli over 66, adottando misure contro il tracciamento nel 43,3% contro il 70,3%. La coorte più informata e meno fiduciosa è quella che si protegge meno.

Resta un ultimo elemento, ed è quello che il lettore arrivato fin qui è meno disposto a considerare. Centinaia di milioni di persone accettano da anni che i propri messaggi, le proprie fotografie e i propri archivi vengano analizzati da sistemi automatici gestiti da aziende private, senza base legale pubblica, senza voto di alcun parlamento e senza possibilità di ricorso. La stessa operazione, nel momento in cui viene scritta in un regolamento e sottoposta a un’aula elettiva, diventa oggetto di mobilitazione. Quello che la rende inaccettabile, per chi si mobilita, è il nome che compare in fondo al documento.

I 47 voti mancanti

Ai 47 voti mancanti le cronache hanno dato il nome sbagliato. 314 deputati avevano votato contro e l’opposizione si era espressa: quei 47 misurano la distanza fra un’opposizione espressa e un’opposizione che conta, e non si colmano convincendo nessuno. Si colmano con la presenza in aula di 113 persone che quel giorno erano altrove.

Il 3 aprile 2028 la deroga scadrà di nuovo. La parola ha ormai un significato ricavabile dalla serie storica, e indica il momento in cui il testo verrà rinnovato.