Chat Control UE: cos’è, perché minaccia la privacy e cosa puoi fare

Hai sentito parlare di Chat Control e ti sei chiesto se qualcuno potrà leggere i tuoi messaggi privati? La domanda è più che legittima. La proposta UE nasce per combattere reati gravissimi contro i minori, ma nel modo in cui è stata costruita rischia di aprire una falla permanente nella crittografia e nella privacy di tutti, compresi cittadini che non hanno nulla da nascondere.

Da settembre 2025, quando abbiamo pubblicato questo articolo per la prima volta, la situazione si è evoluta parecchio. L’aggiorniamo qui perché la storia non è finita, tutt’altro.

Cos’è il Chat Control e da dove viene

Tutto parte dall’11 maggio 2022, quando la Commissione Europea ha presentato una proposta legislativa per contrastare gli abusi sessuali sui minori online, la CSAR (Child Sexual Abuse Regulation). L’obiettivo dichiarato era giusto: individuare e rimuovere materiale pedopornografico. Il metodo proposto era il problema.

La Commissione voleva obbligare le piattaforme a scansionare i contenuti privati degli utenti: messaggi, foto, video, anche quelli protetti da crittografia end-to-end. Per farlo avrebbero dovuto usare il cosiddetto client-side scanning, cioè analizzare i contenuti direttamente sul tuo dispositivo, prima ancora che vengano cifrati e inviati. In pratica: il tuo telefono legge quello che scrivi prima che tu lo invii. Non è fantascienza, è quello che la proposta originale implicava.

Quella proposta è stata subito ribattezzata “Chat Control” dai critici, tra cui il Parlamento Europeo, organizzazioni per i diritti digitali e centinaia di esperti di crittografia. Il Parlamento l’ha bocciata nel 2023, definendo qualsiasi forma di scansione delle comunicazioni cifrate incompatibile con i diritti fondamentali. Fine della storia? No.

Cosa è successo tra il 2024 e il 2026

Nel frattempo esisteva una deroga temporanea alla direttiva ePrivacy che consentiva alle grandi piattaforme (Google, Meta, Microsoft, Snap) di scansionare volontariamente i messaggi non cifrati per trovare CSAM (materiale di abuso sessuale su minori). Questa deroga, introdotta nel 2021, è stata prorogata nel 2024 con scadenza fissata al 3 aprile 2026.

A novembre 2025 il Consiglio UE ha approvato una posizione negoziale sul CSAR che eliminava l’obbligo generalizzato di scansione, ma lasciava aperta la possibilità per le piattaforme di farlo su base “volontaria”. L’Italia si è astenuta. La Germania, che per mesi aveva guidato il fronte contrario, ha scelto l’astensione cambiando di fatto la bilancia. Repubblica Ceca, Paesi Bassi, Polonia e Slovacchia hanno votato contro.

A marzo 2026 il trilogo tra Parlamento e Consiglio è ufficialmente fallito. Parlamento e governi europei non hanno trovato l’accordo, e la deroga temporanea è scaduta il 3 aprile 2026 senza essere rinnovata. Dal quel giorno, la scansione automatica di massa dei messaggi privati non ha più base legale in Europa.

Sembra una vittoria. Ma non è finita.

Perché il pericolo non è passato

Il regolamento CSAR è ancora sul tavolo. Il dossier è in negoziazione, il Consiglio vuole riaprire la discussione, e alcune piattaforme hanno già annunciato che continueranno la scansione “volontaria” anche senza base legale, aspettando una soluzione normativa definitiva. La Commissione ha avvertito che questo viola la direttiva ePrivacy, ma nessuno è stato fermato.

Il problema di fondo non è solo tecnico. Il modello che sta emergendo non è quello dell’indagine mirata, ma quello della prevenzione generalizzata. I servizi vengono valutati in base al rischio e chiamati a dimostrare di “fare abbastanza”. Questo ribalta un principio fondamentale: non più presunzione di innocenza, ma presunzione di monitorabilità.

Una volta che questa logica viene accettata come normale, il controllo smette di essere un’eccezione. Diventa infrastruttura.

Il punto tecnico più critico rimane il client-side scanning: anche se il messaggio resta cifrato durante il trasporto, viene analizzato sul tuo dispositivo prima di partire. Una volta introdotta un’infrastruttura capace di analizzare contenuti prima della cifratura, la lista dei contenuti cercati può essere ulteriormente estesa. Oggi CSAM, domani terrorismo, poi copyright, disinformazione, contenuti politici vietati in alcuni Stati membri. Non è un’ipotesi catastrofista, è il modo in cui funzionano storicamente le tecnologie di compliance quando una piattaforma deve adattarsi a pressioni normative.

Perché indebolisce la sicurezza di tutti

Quando si inserisce uno strumento di scansione nei dispositivi, si crea una nuova superficie d’attacco. Non solo per i governi: anche per criminali informatici, per servizi di intelligence di paesi terzi, per chiunque riesca a compromettere quella infrastruttura.

I falsi positivi sono l’altro problema che viene sistematicamente sottovalutato. I filtri automatici non sono infallibili. Quello che i sostenitori del Chat Control non dicono è che molte delle segnalazioni generate dalla scansione automatica erano già duplicate o prive di rilevanza penale. Un genitore che fotografa il proprio figlio in vasca da bagno potrebbe teoricamente finire in un database, con il carico burocratico e legale che ne deriva.

Aggiungo la mia posizione: la tutela dei minori è un obiettivo che condivido senza riserve. Ma quella non è la strada giusta. Cancellazione mirata del materiale, potenziamento delle indagini con mandato giudiziario, blocco degli account recidivi: esistono strumenti mirati che non richiedono di sorvegliare 450 milioni di persone per trovarne una manciata di criminali.

Impatto pratico per chi usa Linux e Open Source

Se usi Linux, probabilmente hai già una consapevolezza della privacy superiore alla media. Ma questo non basta se le piattaforme che usi quotidianamente vengono obbligate a scansionare quello che scrivi.

Il primo passo concreto è ridurre la dipendenza dai servizi americani e dalle grandi piattaforme che già oggi scansionano i tuoi dati per altri scopi.

👉 Leggi qua: Degooglizzazione su Linux: alternative pratiche a Big Tech

Il browser che usi è il tuo primo punto di contatto con il web e con i servizi online. Sceglierlo bene fa differenza.

👉 Leggi qua: I migliori browser per Linux: quale scegliere

Cosa puoi fare adesso

Non devi aspettare che il regolamento diventi legge per proteggerti. Ecco le azioni concrete che puoi fare oggi.

Usa app di messaggistica con crittografia end-to-end reale. Signal è il riferimento. Non perché sia perfetto, ma perché la crittografia è aperta, verificabile e non dipende da una società quotata in borsa con obblighi verso gli azionisti. WhatsApp ha la crittografia E2E, ma appartiene a Meta, che ha già dimostrato di non aver problemi a collaborare con le autorità quando conviene.

Smetti di usare Gmail per comunicazioni sensibili. ProtonMail o Tutanota sono basati in Svizzera e Svizzera e Germania rispettivamente, con legislazioni sulla privacy più solide di quelle statunitensi. Sono gratuiti per l’uso base.

Attiva la crittografia del disco sul tuo Mini PC o laptop con Linux. LUKS è integrato nella maggior parte delle distribuzioni e si attiva durante l’installazione. Se non l’hai fatto, fallo al prossimo reinstall.

Usa un password manager open source. Bitwarden è il più accessibile, KeePassXC è completamente offline. Non usare il salvataggio password del browser se hai dati sensibili.

Per capire cosa serve e cosa no sulla sicurezza quotidiana su Linux:

👉 Leggi qua: Antivirus su Linux: serve davvero? Guida tra rischi reali e strumenti utili

La situazione a luglio 2026

Il Chat Control nella sua forma più aggressiva non è diventato legge. La deroga è scaduta, il trilogo è fallito. Per ora.

Il CSAR è ancora in negoziazione. Il Consiglio vuole riprendere i lavori, alcune piattaforme scansionano già su base volontaria senza base legale, e la pressione politica non si è allentata. La prossima tornata di negoziati sarà decisiva.

La privacy non scompare in un giorno: viene erosa un regolamento alla volta, sempre per una buona causa. Vale la pena tenerla d’occhio

IncastroPC partecipa al Programma Affiliazione Amazon EU. Prezzi e disponibilità soggetti a variazione.