Il 29 settembre 2026 Consiglio, Parlamento e Commissione si sono seduti a Bruxelles per il sesto trilogo politico sul regolamento contro gli abusi sessuali sui minori online, il testo che da quattro anni tutti chiamano Chat Control 2.0. Era presentato come il round decisivo della presidenza irlandese, e non lo è stato. Secondo il resoconto di Patrick Breyer, l'ex eurodeputato dei Pirati che ha negoziato il mandato parlamentare e che oggi segue il dossier dall'esterno, "l'accordo sporco" per legalizzare in modo permanente la scansione di massa delle comunicazioni private non c'è stato: i negoziatori del Parlamento hanno respinto i "piani di ricerca" proposti dai governi e hanno insistito perché qualsiasi scansione delle chat private resti limitata a persone collegate a un'indagine. Il nodo torna sul tavolo tecnico a ottobre e, con ogni probabilità, a un nuovo trilogo politico a novembre.
Vale la pena mettere in ordine cosa è stato chiuso, cosa no, e in che contesto normativo si inserisce.
Cosa è stato concordato
Tre blocchi hanno trovato un'intesa provvisoria, confermata anche dal relatore del Parlamento Javier Zarzalejos, presidente della commissione LIBE.
- Il Centro UE. Nascerà un'agenzia che verifica le segnalazioni dei fornitori prima di passarle alle autorità nazionali, mantiene la banca dati degli indicatori (gli hash) del materiale noto e cerca attivamente materiale noto e nuovo negli spazi pubblicamente accessibili. Un responsabile per i diritti fondamentali ne sorveglia l'operato.
- Gli ordini di rilevamento sui contenuti pubblici. Le autorità amministrative potranno ordinare ai servizi di hosting di cercare materiale noto nei contenuti pubblici: post sui social, cloud ad accesso aperto, caricamenti visibili a tutti. In pratica le piattaforme dovranno controllare in continuo ciò che viene pubblicato, ma non ciò che viene scambiato in privato.
- Le "misure di mitigazione". Un punto che sembra tecnico e non lo è. Il Consiglio voleva che, tra le misure che un'autorità può imporre a un servizio "a rischio", rientrasse anche la scansione "volontaria" delle comunicazioni private. Il testo chiarirà che non si può: le misure di mitigazione non sono una porta laterale per arrivare alla scansione delle chat.
Cosa non è stato concordato
Il dissenso resta esattamente dove era a dicembre 2025, quando i triloghi sono cominciati. La Commissione, nel maggio 2022, aveva proposto ordini di rilevamento obbligatori su tutte le comunicazioni. Il Parlamento, con il mandato votato a novembre 2023, ammette la scansione solo contro persone o gruppi sospettati, su ordine di un giudice, e tiene la crittografia end-to-end fuori dal regolamento. Il Consiglio, con il mandato parziale del 26 novembre 2025 (al settimo tentativo, sotto presidenza danese, con Cechia, Polonia, Slovacchia e Paesi Bassi contrari e l'Italia astenuta per "preoccupazioni su diritti fondamentali e sicurezza"), aveva tolto gli ordini obbligatori per puntare tutto sulla scansione volontaria permanente da parte dei fornitori.
Al sesto trilogo i governi hanno portato una variante, i cosiddetti "search plans", piani di ricerca. Il meccanismo, ricostruito da netzpolitik.org e TechTimes a partire dai documenti della presidenza, funzionerebbe così: un'autorità, anche amministrativa e non necessariamente un giudice, potrebbe ordinare la scansione automatizzata di "parti del servizio" di messaggistica per periodi definiti, senza indicare un sospetto. Coprirebbe sia il riconoscimento del materiale già noto tramite hash sia l'individuazione di materiale nuovo con modelli di apprendimento automatico, con un'analisi basata su IA dei contenuti "sospetti". Il cambio di vocabolario, da "sospetti" a "piani", serve a evitare l'interferenza con il diritto penale nazionale, ma il perimetro resta quello di una ricerca senza bersaglio.
Il problema giuridico lo aveva messo nero su bianco il Servizio giuridico del Consiglio già nel 2023, in un parere reso pubblico da Breyer: la scansione "di un intero servizio o di parti distinte di esso" è "altamente probabile" che venga giudicata dalla Corte di Giustizia una sorveglianza "generale e indiscriminata", incompatibile con gli articoli 7 e 8 della Carta dei diritti fondamentali. I governi, in altre parole, stanno proponendo qualcosa che i loro stessi avvocati hanno detto che non reggerebbe a Lussemburgo.
Il Parlamento, dal canto suo, è stato esplicito sul fatto di non potersi spingere oltre il mandato: un via libera alla scansione obbligatoria delle chat private richiederebbe un nuovo voto in plenaria, e la plenaria ha appena dimostrato di non volerlo dare.
Il contesto: Chat Control 1.0 è tornato, fino al 2028
Qui conviene fermarsi su un pezzo di storia che spiega il clima negoziale. Dal 2021 esiste una deroga provvisoria alla direttiva ePrivacy che consente ai fornitori (Meta, Google, Microsoft e gli altri) di cercare volontariamente materiale di abuso nelle comunicazioni private non cifrate. È quello che viene chiamato Chat Control 1.0.
La deroga scadeva il 3 aprile 2026. Il 26 marzo il Parlamento ha respinto la proroga con 311 voti contro 228, e per tre mesi si è aperto un vuoto normativo in cui le grandi piattaforme hanno dichiarato di voler continuare a scansionare anche senza base giuridica. Il 2 luglio il Consiglio ha adottato una posizione in prima lettura che ripristinava la deroga invariata fino al 2028, e il 9 luglio il Parlamento ha votato in procedura d'urgenza. La mozione per respingere il testo ha ottenuto 314 voti a favore e 276 contrari: una maggioranza dei votanti, ma non la maggioranza assoluta di 361 seggi che il trattato richiede per bocciare una posizione del Consiglio in seconda lettura. Assenti e astenuti hanno contato, di fatto, come voti a favore della deroga.
Il risultato è il regolamento (UE) 2026/1881 del 24 luglio, in Gazzetta ufficiale dal 28 luglio e in vigore dal 31: la scansione volontaria è di nuovo lecita fino al 3 aprile 2028. Con due aggiunte volute dal Parlamento nello stesso voto: le comunicazioni protette da crittografia end-to-end sono esplicitamente escluse, e il regolamento "non autorizza misure che aggirerebbero la crittografia end-to-end o permetterebbero scansioni lato client" dei messaggi cifrati. WhatsApp, Signal e iMessage, formalmente, sono fuori. Ma l'esclusione vale solo per la deroga provvisoria: il regolamento permanente in trilogo non è vincolato da quella clausola, ed è per questo che la partita sui search plans conta.
È anche il motivo per cui Breyer parla del regime 1.0 come di una "scappatoia parallela" che il Consiglio vuole conservare dentro il testo definitivo. Il calendario della deroga, intanto, impone obblighi concreti: dal 1° ottobre 2026 la Commissione pubblica l'elenco delle organizzazioni abilitate a ricevere le segnalazioni, dal 1° febbraio 2027 i fornitori devono pubblicare i primi rapporti sui tassi di errore e il 1° aprile 2027 finisce il periodo di grazia per chi scansionava già.
I numeri che pesano
La discussione sulla scansione delle chat si vince o si perde sui falsi positivi, e qui i dati disponibili non aiutano i governi.
| Fonte | Dato |
|---|---|
| Polizia federale tedesca (Chat Control 1.0) | oltre il 50% delle indagini avviate da segnalazioni automatiche riguarda minorenni, in gran parte per scambio consensuale di immagini tra adolescenti |
| Polizia federale tedesca | circa il 75% delle chat segnalate non è penalmente rilevante |
| Polizia irlandese (2020) | l'11% dei 4.192 rinvii ricevuti è stato confermato come materiale non di abuso |
Sono cifre che riguardano la scansione volontaria di oggi, quella con hash-matching su materiale noto. Un sistema che estenda la ricerca a materiale nuovo, affidandola a classificatori di IA addestrati a riconoscere "contenuti sospetti", sposta la curva nella direzione sbagliata: più copertura, più rumore, più segnalazioni da verificare a mano da parte di un Centro UE che deve ancora nascere.
Non è una posizione solo degli attivisti. Il 27 febbraio 2026 la Conferenza delle autorità tedesche per la protezione dei dati (DSK) ha chiesto all'Unione di rinunciare "completamente e definitivamente" agli ordini di rilevamento di massa, alla scansione generalizzata dei messaggi privati e a qualsiasi indebolimento della crittografia, con l'argomento che "le backdoor nella cifratura mettono in pericolo la sicurezza delle comunicazioni di tutti i cittadini". E già il 4 dicembre 2025, in audizione alla LIBE pochi giorni prima dell'avvio dei triloghi, il commissario agli Affari interni Magnus Brunner aveva sorpreso la sala dicendo di preferire la posizione mirata del Parlamento a quella del Consiglio.
La matematica del Consiglio
La presidenza irlandese, con il ministro della Giustizia Jim O'Callaghan apertamente favorevole a un testo vincolante, vuole chiudere entro il 31 dicembre 2026. Ma in Consiglio la maggioranza qualificata non è scontata. Secondo il conteggio del Brussels Record, dieci governi, pari al 33,3% della popolazione dell'Unione, si sono dichiarati contrari alla scansione obbligatoria. Per una minoranza di blocco servono quattro Stati che rappresentino più del 35%: basterebbe che Germania (18,47%), Belgio (2,63%) e Portogallo (2,38%) si unissero ai contrari. La Germania, finora, ha spinto perché la scansione volontaria resti "senza limitazioni"; l'Italia si è astenuta sul mandato e ha chiesto chiarimenti procedurali, senza prendere una posizione netta.
Cosa aspettarsi
Il calendario è questo: negoziati tecnici in ottobre sulle regole per i contenuti non pubblici, un settimo trilogo politico atteso in novembre per il tentativo finale, nessuna data confermata al momento in cui scriviamo. Tre scenari sono realistici.
- Accordo sulla linea del Parlamento. Rilevamento mirato su ordine giudiziario, crittografia fuori, Centro UE e ordini sui contenuti pubblici come già concordato. È il testo che il commissario ha detto di preferire e che non richiede nuovi mandati.
- Compromesso sui search plans "limitati". Piani di ricerca con durata e perimetro ristretti, autorizzati da un'autorità indipendente. Sarebbe un testo esposto al ricorso alla Corte di Giustizia, come il parere del Servizio giuridico del Consiglio ha anticipato, e il Parlamento dovrebbe tornare in plenaria per approvarlo.
- Nessun accordo entro l'anno. Il dossier passa alla presidenza successiva, la deroga 1.0 resta in vigore fino ad aprile 2028 e la scansione volontaria sulle chat non cifrate continua come oggi.
Per chi gestisce un servizio di comunicazione o di hosting in Europa, la parte già concordata è quella da leggere con attenzione: obbligo di valutazione del rischio, monitoraggio continuo dei contenuti pubblici, rapporto con un Centro UE che filtra le segnalazioni. È un costo di conformità certo, indipendente dall'esito sulla parte privata. Per tutti gli altri, la notizia del 29 settembre è che il Parlamento ha tenuto la linea su cui era stato eletto a votare, e che la domanda centrale di questa legge, se si possa cercare un reato nelle conversazioni di chi non è sospettato di nulla, è ancora senza risposta dopo sei trilogi e quattro anni.