Chat Control 2026: Cosa Cambia Davvero per Avvocati, Giornalisti e Dirigenti Italiani Quando l'Europa Discute la Tua Crittografia

Chat Control è il nome con cui la stampa specializzata si riferisce alla proposta di regolamento europeo CSAR — Child Sexual Abuse Regulation, talvolta scritto CSAM Regulation — depositata dalla Commissione europea nel maggio 2022 e in negoziazione da quattro anni nelle istituzioni dell'Unione. La forma originaria della proposta prevedeva un obbligo per i fornitori di servizi di comunicazione interpersonale (Messenger, WhatsApp, Signal, iMessage, Telegram, ma anche email e cloud storage) di "individuare, segnalare e rimuovere" materiale pedopornografico, includendo l'obbligo, su ordine dell'autorità competente, di scansionare il contenuto dei messaggi prima della loro cifratura — la cosiddetta tecnica del client-side scanning, che annulla in pratica la promessa di end-to-end encryption.

Negli anni la proposta è stata oggetto di un confronto durissimo tra Commissione europea (più ambiziosa), Consiglio dell'Unione (frammentato, con la Germania, l'Austria e l'Olanda storicamente contrarie e altri Paesi favorevoli), Parlamento europeo (più protettivo, con una maggioranza che ha sempre richiesto l'esenzione delle comunicazioni cifrate), e una galassia di società civile, accademici crittografi, fornitori di servizi cifrati (Signal, Tutanota, Proton) e autorità garanti per la protezione dei dati. Il dibattito tecnico è stato molto serio: i crittografi del calibro di Matthew Green, Bruce Schneier, Susan Landau e oltre cinquecento accademici firmatari di una lettera aperta hanno argomentato che il client-side scanning è incompatibile con la sicurezza informatica, perché chiunque possa scansionare può anche essere compromesso, manipolato, esteso a categorie diverse da quelle inizialmente dichiarate.

Aprile 2026: la Cronologia di Cosa È Successo Davvero

Le due settimane fra fine marzo e inizio aprile 2026 hanno prodotto tre fatti distinti che vanno tenuti separati per non confondere la lettura della partita.

Il primo fatto: il 26 marzo 2026 il Parlamento europeo ha respinto, per un solo voto, l'estensione della deroga temporanea che dal 2021 autorizzava i fornitori di servizi a scansionare volontariamente i contenuti dei propri utenti per individuare materiale pedopornografico noto. Si tratta della cosiddetta "Chat Control 1.0", o più tecnicamente Regolamento (UE) 2021/1232 sulla deroga temporanea alla direttiva ePrivacy. Il rigetto ha avuto valore politico immediato: per la prima volta una maggioranza, sia pur strettissima, del Parlamento europeo ha rifiutato di prorogare la base giuridica che consentiva la scansione anche su base "volontaria".

Il secondo fatto: il 3 aprile 2026 la deroga è scaduta senza essere rinnovata. Da quella data, i fornitori che operano nell'Unione europea — Meta (WhatsApp, Messenger, Instagram), Google, Microsoft, Apple, e gli altri — non possono più giuridicamente scansionare i messaggi dei propri utenti europei alla ricerca di materiale pedopornografico noto. La domanda di cosa stia effettivamente accadendo nella pratica è oggetto di dibattito: alcuni operatori hanno annunciato la sospensione del servizio di scansione, altri si trovano in zona grigia perché operano sotto altre basi giuridiche (consenso, legittimo interesse). NCMEC, il National Center for Missing & Exploited Children statunitense che riceve la maggior parte delle segnalazioni globali di materiale pedopornografico, ha registrato un calo significativo del flusso di segnalazioni dall'Unione europea nelle prime tre settimane di aprile.

Il terzo fatto: la negoziazione di "Chat Control 2.0", la versione strutturale e duratura del regolamento, è in corso da mesi e riprende ufficialmente nella sede di trilogo (negoziazione fra Commissione, Consiglio e Parlamento) il 4 maggio 2026, con l'obiettivo dichiarato dalla presidenza di turno di chiudere un accordo entro luglio 2026. È questa — non Chat Control 1.0, già archiviata — la partita aperta che chi maneggia comunicazioni riservate deve seguire.

Cosa È Stato Tolto dal Tavolo (la Buona Notizia)

La pressione politica e tecnica accumulata negli anni ha prodotto un risultato che, fino al 2024, sembrava improbabile: il Consiglio dell'Unione ha nel corso dell'ultimo anno modificato la propria posizione negoziale, eliminando dal proprio mandato la richiesta di obbligo di client-side scanning sui servizi cifrati. La formulazione attuale del Consiglio non chiede più ai fornitori di Signal, WhatsApp, iMessage di implementare scansione locale dei messaggi prima della cifratura. La posizione del Parlamento, storicamente più protettiva, è ancora più chiara su questo punto: nessuna scansione obbligatoria sui contenuti cifrati end-to-end.

Questa è, in concreto, una vittoria della società civile e della comunità tecnica. Significa che, nello scenario di accordo trilogo, l'integrità crittografica di Signal, WhatsApp, iMessage e degli altri servizi E2E non sarà rotta per legge europea. La conversazione fra il vostro avvocato e voi, o fra il vostro giornalista e la sua fonte, resterà cifrata punto-a-punto senza un terzo occhio governativo posizionato all'interno del client. È un risultato non scontato e merita di essere registrato come tale.

Cosa Rimane sul Tavolo (e Perché Va Seguito)

Caduta la versione muscolare del client-side scanning generalizzato, il negoziato si è spostato su tre fronti che vanno seguiti con attenzione perché ciascuno ha implicazioni operative concrete per chi maneggia corrispondenza riservata.

Fronte 1 — Age Verification e l'Identità Digitale Obbligatoria

Il testo emergente dal Consiglio introduce un obbligo di age verification (verifica dell'età) per i servizi di comunicazione che vogliono evitare l'esposizione a procedure di rilevamento. La logica è: se sei certo che i tuoi utenti sono adulti, non hai bisogno di scansionare per proteggere minori. La questione tecnica però è esplosiva: come si verifica l'età online senza identificare la persona? Le tecnologie disponibili oggi (caricamento del documento, riconoscimento facciale, attestazione tramite identità digitale di Stato) sono tutte fortemente identificanti. Il rischio è di sostituire un problema di privacy (scansione dei messaggi) con un altro problema di privacy ancora più grave (identità reale legata a ogni account di messaggistica, con tutto quello che comporta in caso di breach come quello francese del 21 aprile).

Per i giornalisti italiani che ricevono comunicazioni da fonti anonime, e per gli avvocati che assistono testimoni protetti o dissidenti politici stranieri, l'age verification obbligatoria sarebbe particolarmente problematica: il pregio operativo di Signal o di un account WhatsApp con SIM secondaria sta proprio nella possibilità di non legare l'identità reale della fonte all'identità del canale. Un'age verification basata su SPID o EUDI Wallet legherebbe ogni messaggio a un'identità di Stato. La difesa della crittografia in transito non basta, se l'identità a monte e a valle è esposta.

Fronte 2 — Scansione di Materiale Non Cifrato (Cloud Storage, Email)

Il testo del Consiglio mantiene un obbligo di scansione per i fornitori di servizi cloud non cifrati end-to-end e per gli operatori email in chiaro. Significa che Google Drive, OneDrive, Dropbox, e le caselle Gmail, Outlook, Libero non protette da E2E continueranno a essere scansionate per la ricerca di materiale pedopornografico noto. Per il legale o il giornalista che archivia documenti sensibili su un cloud commerciale standard, questo è già oggi il modello implicito: assumete che il vostro Google Drive sia ispezionato, regolarmente, anche per finalità di sicurezza generale (rilevamento phishing, malware, contenuti illeciti). Il regolamento europeo non cambia il rischio, lo formalizza.

Da quando esisteva la deroga temporanea, le piattaforme statunitensi scansionavano già su base volontaria. Il regolamento permanente dovrebbe rendere l'obbligo strutturale. Per chi voglia effettiva confidenzialità di archiviazione, l'unica strada tecnica è la cifratura lato client prima del caricamento — strumenti come Cryptomator, rclone con encryption, o piattaforme native E2E come Proton Drive, Tresorit, Tuta. Questa è una raccomandazione che AEGIDA dà già da tempo, e che diventa ancora più puntuale alla luce della stabilizzazione del quadro regolatorio.

Fronte 3 — Detection Order su Singoli Servizi e Singoli Casi

Il meccanismo che resta in entrambe le posizioni (Consiglio e Parlamento, sia pure con tarature diverse) è quello del "detection order" — un ordine emesso dall'autorità competente che impone a uno specifico fornitore di adottare misure di rilevamento per un periodo limitato, in presenza di determinati requisiti. La versione del Parlamento richiede approvazione giudiziaria, alta soglia di sospetto e rinnovo periodico; la versione del Consiglio è più permissiva. Anche se l'oggetto del detection order non sarà la scansione di contenuti cifrati (l'obbligo è caduto), potrebbe includere altri obblighi: blocchi di account, conservazione di metadati, condivisione di traffic patterns, cooperazione con investigazioni in corso.

Per i fornitori che operano sotto giurisdizione UE, l'arrivo di un detection order è uno scenario che richiede già oggi pianificazione legale e tecnica. Per gli utenti finali, la conseguenza pratica è che la postura di un fornitore (ha sede europea, ha sede statunitense, ha sede svizzera o islandese) influenza materialmente il livello di pressione cui può essere sottoposto. Un'organizzazione che custodisce dossier di alta sensibilità farebbe bene a diversificare: comunicazioni operative su un canale, comunicazioni di reale segretezza su un canale separato e su un fornitore con esposizione giurisdizionale diversa.

L'Italia tra i Quattro Oppositori: Cosa Significa Davvero

Italia, Repubblica Ceca, Olanda e Polonia formano oggi il blocco dei quattro Paesi che si oppongono alla posizione attuale del Consiglio. Per un cittadino italiano è una notizia da cui partire ma che va inquadrata correttamente. Primo: l'opposizione italiana al testo del Consiglio non significa che l'Italia sia "contraria a Chat Control" in senso assoluto. Significa che il governo italiano valuta che la versione attuale non offra garanzie sufficienti su uno o più fronti — privacy delle comunicazioni, age verification, proporzionalità, sostenibilità tecnica per gli operatori. La posizione italiana può evolvere nei prossimi due mesi.

Secondo: l'opposizione di quattro Paesi non è sufficiente da sola a bloccare la procedura. Per un voto a maggioranza qualificata in seno al Consiglio dell'Unione (che è il modo in cui si decide su questa materia), servono quindici Stati membri rappresentanti almeno il 65 per cento della popolazione UE. Quattro Paesi che rappresentano una porzione significativa di popolazione (Italia, Polonia, Olanda) costituiscono però una minoranza di blocco potenziale, soprattutto se Germania o Spagna dovessero spostarsi su una posizione critica.

Terzo: il Parlamento europeo ha un ruolo paritario. Dato che la posizione del Parlamento è più protettiva di quella del Consiglio, il testo finale negoziato in trilogo dovrà essere un compromesso. Il rischio strutturale per i diritti dei cittadini è che, in cerca del compromesso, il Parlamento accetti una versione "alleggerita" del testo del Consiglio in cambio di concessioni su altri aspetti. La pressione della società civile, anche italiana, nei prossimi due mesi conta concretamente. Chi voglia agire, può: scrivere ai propri europarlamentari, sostenere campagne come quella di Privacy Network, di Hermes Center, della European Digital Rights, e seguire l'evoluzione del trilogo settimana per settimana.

Cosa Cambia Concretamente nella Tua Giornata di Lavoro

Spogliato dalle formule giuridiche, il quadro operativo per un avvocato, un giornalista, un dirigente italiano nei prossimi sei mesi è il seguente.

Per le comunicazioni in tempo reale (chat, voce, video) cifrate end-to-end su Signal, WhatsApp, iMessage, Threema: ad oggi non c'è e con alta probabilità non ci sarà obbligo legale di scansione contenuti. La crittografia E2E continua a fare il suo mestiere. La superficie d'attacco dominante non è il regolatore, è il dispositivo terminale: telefono compromesso da spyware (Pegasus, Predator, Graphite), backup non cifrato, screenshot dell'interlocutore, malware sul desktop. La difesa dei contenuti passa dalla difesa del device.

Per le email e i documenti su servizi cloud non E2E (Gmail, Outlook, Libero, Google Drive, OneDrive, Dropbox): la situazione regolatoria conferma la situazione di fatto. Sono scansionate, su base volontaria oggi, su base potenzialmente obbligatoria domani. Per documenti realmente riservati la cifratura lato client prima del caricamento è la sola misura tecnicamente robusta. Strumenti specifici: 7-Zip con AES-256 per archivi, Cryptomator per cartelle cloud, OnlyKey o YubiKey per chiavi di cifratura, oppure migrazione a fornitori E2E nativi (Proton, Tuta, Tresorit) per i carichi più sensibili.

Per la registrazione e l'identificazione degli account di messaggistica: lo scenario è evolutivo. Se l'age verification entra nel testo finale, fra dodici-ventiquattro mesi tutti gli account di messaggistica nell'UE potrebbero richiedere identificazione obbligatoria. Strategicamente, questo è il momento di stabilire — se non lo si è già fatto — canali di comunicazione di backup con fonti, assistiti, contatti riservati, su piattaforme con esposizione giurisdizionale diversa (Signal continua a essere la scelta di riferimento per l'integrazione con SIM "vere", ma vale la pena pianificare alternative).

Per la postura del proprio dispositivo: il punto più importante. Un device compromesso annulla qualsiasi garanzia crittografica della rete. Investire in dispositivi correttamente protetti, con verified boot attivo, firmware controllato, modello di permessi rigoroso, segmentazione fra identità professionale e identità privata, è oggi la differenza fra una difesa reale e una difesa cosmetica. È l'ambito in cui AEGIDA opera con il proprio Privacy Phone — non come "antidoto a Chat Control" (Chat Control non rompe la crittografia, come abbiamo visto) ma come fondamento di una postura digitale che resiste alle minacce reali contro chi tratta dossier sensibili: spyware mercenario, accessi forensic ostili, fughe di metadati, social engineering sofisticato.

La Cornice Più Larga: Crittografia, Stato di Diritto, Resilienza Europea

È istruttivo collocare Chat Control nella cornice più larga della politica europea sulla crittografia. Negli ultimi anni l'Unione si è mossa contemporaneamente in due direzioni apparentemente contraddittorie. Da un lato ha promosso la transizione alla crittografia post-quantistica, ha finanziato ricerca su algoritmi resistenti, ha imposto agli Stati membri piani di migrazione delle infrastrutture critiche, ha riconosciuto in eIDAS 2.0 la centralità della firma elettronica forte. Dall'altro lato ha discusso, con Chat Control e con altre iniziative paragiuridiche (come la dichiarazione di Stoccolma del 2024 sull'accesso "lawful" delle autorità ai dati cifrati), di limiti alla crittografia consumer.

La contraddizione è solo apparente. Quello che l'Europa sta cercando di costruire, in modo non lineare e con esiti incerti, è una postura in cui la crittografia infrastrutturale rimane forte (per la difesa della sovranità digitale, della resilienza contro avversari geopolitici, della competitività industriale) ma la crittografia delle comunicazioni interpersonali ha eccezioni regolamentate (per l'azione di polizia su crimini gravi, per la protezione dei minori, per la cooperazione giudiziaria). Sta nella maturità democratica europea trovare un equilibrio che preservi entrambe le esigenze, e nella pressione informata della società civile far pendere quell'equilibrio dal lato della protezione dei diritti.

Per i professionisti che operano in settori regolati — avvocati con segreto professionale, giornalisti con obbligo di tutela delle fonti, medici con segreto sanitario, ingegneri con dati di proprietà industriale — la lezione strategica è non aspettare che la regolamentazione decida tutto. Costruire da subito una postura digitale che resiste all'evoluzione regolatoria nei prossimi cinque-dieci anni, indipendentemente da come si chiuderà Chat Control nel luglio 2026, è il modo razionale di proteggere la propria operatività professionale. Un avvocato che oggi ha la propria corrispondenza riservata con i clienti su un canale cifrato, su un dispositivo controllato, con una procedura di hardening definita, è strutturalmente preparato a qualsiasi evoluzione del regolamento. Un avvocato che oggi continua a comunicare informazioni di valore via WhatsApp condiviso col coniuge, su un telefono con backup iCloud non cifrato, con un computer aziendale gestito da un MSP esterno, è esposto qualunque cosa Bruxelles decida.

Sette Mosse Concrete per le Prossime Otto Settimane

1. 1.Mappare le proprie comunicazioni per classe di sensibilità: corrispondenza ordinaria (WhatsApp/email standard è OK), corrispondenza professionale (Signal preferibile), corrispondenza realmente segreta (Signal su device dedicato, identità separate, niente backup cloud).
2. 2.Verificare la postura del proprio dispositivo principale: aggiornamenti di sistema attivi, schermo bloccato con codice ad alta entropia, biometria per uso quotidiano ma fallback a passphrase forte, verified boot dove possibile.
3. 3.Migrare archiviazione realmente confidenziale a soluzioni E2E (Proton Drive, Tresorit, Tuta) o introdurre cifratura lato client (Cryptomator) sopra cloud storage standard.
4. 4.Disattivare scansione facoltativa dove offerta in opt-out: le impostazioni privacy di Apple iCloud, Google Photos, Microsoft 365 includono opzioni di rilevamento contenuti che possono essere disattivate. Verificare regolarmente.
5. 5.Rivedere age verification e privacy policy delle piattaforme che già si usano: alcune introdurranno age verification preventiva nei prossimi mesi. Valutare la qualità dell'implementazione (zero-knowledge proof? caricamento documento? identità di Stato?) prima di accettare.
6. 6.Per giornalisti e avvocati: separazione dei dispositivi fra identità amministrativa (banca, fisco, agenzie di Stato) e identità professionale (corrispondenza con fonti o clienti). Un compromesso del dispositivo amministrativo non deve toccare il professionale.
7. 7.Seguire il trilogo CSAR nelle prossime otto settimane: edri.org, patrick-breyer.de, hermescenter.org, privacynetwork.it pubblicano aggiornamenti dettagliati. Per chi voglia incidere: scrivere ai propri europarlamentari italiani, in particolare quelli membri della commissione LIBE.

Conclusione: la Crittografia Resta. Il Resto È Lavoro

La notizia che molti hanno dato in modo allarmistico — "l'Europa romperà la crittografia" — non è quello che oggi è sul tavolo del trilogo CSAR. La crittografia end-to-end di Signal, WhatsApp, iMessage non sarà rotta dal regolamento europeo che uscirà entro luglio. Questa è la buona notizia, ed è una notizia non scontata, frutto di anni di pressione tecnica e politica. Ma fermarsi a questa notizia sarebbe pericoloso. Il regolamento che uscirà — qualunque sia la versione esatta del compromesso — modellerà per i prossimi anni l'identità digitale europea, gli obblighi dei fornitori di cloud, le procedure di rilevamento su sospetti specifici, e l'ambiente regolatorio in cui operano i professionisti che maneggiano dossier riservati.

Per un avvocato italiano, per un giornalista d'inchiesta, per un dirigente con responsabilità su informazioni confidenziali, la conclusione operativa è: la crittografia continua a essere disponibile, l'ambiente regolatorio rimane sostanzialmente compatibile con il vostro mestiere, ma la responsabilità di costruire una postura digitale solida ricade su di voi. Non c'è una piattaforma che vi salva, non c'è una norma che vi protegge da sola, non c'è un fornitore che vi rende invulnerabili. C'è, invece, un insieme di scelte tecniche e procedurali — il dispositivo che usate, la separazione fra canali, la cifratura lato client per gli archivi, l'igiene dell'autenticazione, la formazione continua — che, accumulate, determinano se la riservatezza che dichiarate ai vostri assistiti, alle vostre fonti, ai vostri colleghi è reale o cosmetica. Il trilogo del 4 maggio non cambia questa verità. La conferma.