Per i minori la rete è casa. È il luogo in cui si informano, studiano, comunicano e costruiscono una parte significativa delle proprie relazioni sociali.
Ma non sempre è un luogo sicuro. Amplifica fenomeni di odio e disinformazione, facilita pratiche come il cyberbullismo e la diffusione non consensuale di contenuti sessuali o espliciti e può alimentare dinamiche di isolamento o dipendenza. L'intelligenza artificiale accentua ulteriormente questi rischi: rende possibile la creazione di deepfake e immagini generate senza il consenso della persona ritratta, consente l'impiego di chatbot in grado di condizionare le scelte e i comportamenti dei minori e permette di calibrare i contenuti proposti sulle specifiche vulnerabilità cognitive di ciascun utente.
Sulla necessità di proteggere i minori online esiste ormai un consenso diffuso. Molto meno chiaro è come si possa realizzare una tutela effettiva.
In Italia, come nel resto d'Europa, il quadro normativo è frammentato e in piena evoluzione e molte delle questioni centrali restano aperte.
Il quadro normativo
Non esiste, in Italia, una disciplina organica dedicata ai minori nella dimensione digitale.
Il quadro normativo si compone di atti normativi diversi che operano su piani distinti ma complementari e che richiedono, spesso, una lettura sistematica.
Le principali fonti oggi rilevanti sono:
il Regolamento (UE) 2016/679 (“GDPR”) e il d.lgs. n. 196/2003 (“Codice Privacy”), applicabili a qualsiasi titolare che tratti dati personali di minori;
il Regolamento (UE) 2022/2065 (“Digital Services Act” o “DSA”), le Linee guida della Commissione europea adottate ai sensi dell'articolo 28(4) del DSA e la Raccomandazione (UE) 2026/1035 della Commissione relativa all'istituzione di un quadro comune per le tecnologie di verifica dell'età, applicabili ai fornitori di servizi intermediari;
la Direttiva 2010/13/UE, come modificata dalla Direttiva (UE) 2018/1808 (“Direttiva SMAV”), recepita in Italia dal d.lgs. n. 208/2021 (“Testo Unico dei Servizi di Media Audiovisivi” o “TUSMA), applicabili ai fornitori di piattaforme di condivisione video;
il decreto-legge n. 123/2023, convertito con la Legge n. 159/2023 (“Decreto Caivano”) e la Delibera AGCOM n. 96/25/CONS, applicabili ai fornitori di servizi che distribuiscono contenuti pornografici ma sempre più rilevanti come riferimento tecnico in materia di verifica dell'età; e
la Legge n. 132/2025 (“Legge Italiana sull’Intelligenza Artificiale”), che dedica una disposizione all’uso da parte dei minori ai sistemi di intelligenza artificiale.
A queste fonti si aggiungono, poi, i Principi comuni del G7 per uno spazio digitale più sicuro e protetto per i minori, adottati dai Ministri del Digitale e della Tecnologia del G7 nel 2026, che definiscono un quadro di riferimento condiviso in materia di garanzia dell'età, progettazione sicura, protezione da contenuti illegali, strumenti di controllo parentale, alfabetizzazione digitale e gestione dei rischi, nonché il disegno di legge n. 1136 (“DDL 1136”), attualmente all'esame del Parlamento, che introduce disposizioni specifiche in materia di accesso dei minori ai social network e alle piattaforme di condivisione video, nonché in materia di verifica dell'età e di consenso digitale.
Tre questioni centrali
Al di là delle norme, sono tre i temi su cui oggi si concentra il dibattito politico e regolatorio a livello nazionale ed europeo.
Il divieto di accesso ai social network
Una delle questioni che oggi domina il dibattito sulla protezione dei minori online riguarda l'introduzione di un'età minima per l'accesso dei minori ai social network.
L'Australia ha introdotto nel 2024 un divieto per gli under 16; Francia, Danimarca e Spagna stanno valutando soluzioni analoghe; in Italia, il DDL 1136 propone di vietare ai minori di 15 anni l’apertura di account sui social network (oltre che sulle piattaforme di condivisione video).
Si tratta di misure che rispondono a preoccupazioni reali. Il rischio, tuttavia, è quello di concentrare l'attenzione esclusivamente sulla soglia di accesso, trascurando le caratteristiche dei servizi una volta che il minore vi accede. Il confronto con modelli regolatori più maturi è significativo. L'Age Appropriate Design Code britannico e il California Age-Appropriate Design Code Act non si limitano a fissare limiti anagrafici, ma impongono requisiti di progettazione responsabile, valutazione dei rischi e accountability del fornitore. In questa prospettiva, la tutela dei minori non dipende soltanto da chi possa accedere al servizio, ma anche da come il servizio è progettato.
L’età per il consenso digitale
Strettamente connessa alla questione dell'accesso dei minori ai social network è quella del consenso del minore al trattamento dei suoi dati personali.
L'art. 8 del GDPR fissa a 16 anni l’età per il consenso (autonomo) del minore, lasciando agli Stati membri la facoltà di prevedere soglie più basse, in ogni caso non inferiori ai 13 anni. L'Italia si è avvalsa di questa facoltà, fissando l’età per il consenso del minore a 14 anni.
Se approvato nella formulazione attuale, il DDL 1136 riporterebbe, invece, l’età per il consenso del minore a 16 anni.
La questione si complica ulteriormente perché le soglie di età non sono uniformi nemmeno all'interno dello stesso ordinamento. La Legge Italiana sull’Intelligenza Artificiale consente ad esempio al minore di accedere e utilizzare in autonomia i sistemi di AI a partire dai 14 anni. Ne consegue che un operatore che gestisca un servizio con componenti sociali e funzionalità basate sull'AI potrebbe trovarsi ad applicare regole differenti alla medesima platea di utenti.
La progettazione dei servizi e il funzionamento degli algoritmi
Il terzo fronte del dibattito — probabilmente il più delicato — riguarda la progettazione dei servizi digitali e il funzionamento dei sistemi algoritmici.
Sotto questo profilo, il dibattito regolatorio si sta progressivamente spostando dal controllo dei contenuti alla responsabilità per le scelte di progettazione che incentivano un utilizzo compulsivo dei servizi. Rientrano in questa categoria lo scrolling infinito, le notifiche artificialmente calibrate per richiamare l'attenzione dell'utente, i sistemi di raccomandazione ottimizzati per massimizzare il tempo di permanenza, le funzionalità di autoplay e i meccanismi di ricompensa intermittente. Le Linee guida della Commissione europea adottate ai sensi dell'articolo 28(4) del DSA qualificano espressamente queste tecniche come incompatibili con un elevato livello di protezione dei minori. È il principio del cosiddetto safety by design, che impone di integrare la protezione dei minori fin dalla fase di sviluppo del servizio, e non di intervenire soltanto a valle, sui singoli contenuti.
L'intensità di questi obblighi varia, tuttavia, sulla base del tipo di servizio fornito. Gli obblighi di trasparenza sui sistemi di raccomandazione e il divieto di pubblicità basata sulla profilazione si applicano a tutti i fornitori di piattaforme online. Gli obblighi di valutazione e mitigazione dei rischi sistemici gravano invece in misura rafforzata sulle piattaforme online di dimensioni molto grandi (“VLOP”) e sui motori di ricerca online di dimensioni molto grandi (“VLOSE”), che sono tenuti a condurre valutazioni periodiche del rischio e ad adottare misure di attenuazione ragionevoli, proporzionate ed efficaci.
La verifica dell'età
Ma la previsione di una soglia di età minima per l’accesso ai social network e per il consenso digitale rischia di rimanere lettera morta in assenza di strumenti (realmente) affidabili di verifica dell’età.
Da questo punto di vista, la Raccomandazione (UE) 2026/1035 della Commissione ha definito un quadro comune per le tecnologie di verifica dell'età, fondato su un modello interoperabile, rispettoso della privacy e basato su identità digitali e protocolli crittografici avanzati. Il sistema — sviluppato dalla Commissione europea come soluzione open source e già in fase di sperimentazione con alcuni Stati membri, tra cui l'Italia — si fonda sulla tecnologia zero-knowledge proof: l'utente scarica un'applicazione, certifica la propria età tramite un documento di identità elettronico o un'app bancaria preinstallata, e ottiene un attestato digitale che può presentare alle piattaforme online. L'obiettivo è consentire la verifica del superamento di una determinata soglia di età senza comunicare ulteriori informazioni sull'identità dell'utente: la piattaforma riceve esclusivamente una risposta di tipo vero/falso (ad esempio, "età superiore a 18 anni: sì"), senza accedere al nome, alla data di nascita o ad altri dati personali. Una volta completata la certificazione, il collegamento tra l'utente e il fornitore dell'attestato si interrompe, impedendo qualsiasi tracciamento delle attività online. Quanto all’Italia, il DDL 1136 prevede un sistema di verifica fondato su un mini-portafoglio digitale nazionale che costituisce un'implementazione nazionale della soluzione europea: non un sistema alternativo o parallelo, ma un'applicazione personalizzata del medesimo blueprint tecnico reso disponibile dalla Commissione in open source, coerente con i requisiti della Raccomandazione e con il calendario di attuazione da essa previsto.
Gli obblighi per le imprese
Quindi, in attesa che si sciolgano questi nodi e che il quadro normativo si definisca, cosa devono fare le imprese che forniscono servizi della società dell’informazione che si rivolgono a minori o che comunque sono accessibili ai minori?
Dipende ovviamente dal tipo di servizio fornito, oltre che dalle dimensioni dell’impresa che lo fornisce.
I fornitori di piattaforme online (tra cui rientrano anche i fornitori di social network e i fornitori di piattaforme di condivisione video), oltre a rispettare il divieto di mostrare pubblicità basata sulla profilazione online dei minori, devono progettare le proprie piattaforme in maniera tale che sia assicurata ai minori una protezione effettiva. Ciò implica, tra l'altro, l'adozione di impostazioni predefinite protettive per i minori, la configurazione di sistemi di raccomandazione che non massimizzino l'attenzione e il coinvolgimento degli utenti, l'eliminazione di funzionalità che inducano comportamenti compulsivi e la predisposizione di strumenti di controllo parentale. In più, le VLOP e le VLOSE devono identificare, analizzare e valutare i rischi sistemici che i propri servizi possono generare per i minori e adottare misure di attenuazione ragionevoli, proporzionate ed efficaci, che possono includere l'adeguamento dei sistemi algoritmici, l'introduzione di strumenti di verifica dell'età e misure specifiche di moderazione dei contenuti.
Attenzione. Dichiarare nei propri termini e condizioni che la piattaforma è riservata agli adulti non vale ad escludere l'applicabilità di questi obblighi. Se non vengono adottate misure effettive per impedire l'accesso dei minori, il servizio si considera accessibile ai minori.
Oltre agli obblighi applicabili a tutti i fornitori di piattaforme online, i fornitori di piattaforme di condivisione video soggetti alla giurisdizione italiana sono tenuti anche, ai sensi del TUSMA, a predisporre sistemi di verifica dell'età per i contenuti che possono nuocere allo sviluppo fisico, mentale o morale dei minori, nonché strumenti di controllo parentale. Per i fornitori di piattaforme video (e i gestori di siti web) che distribuiscono contenuti pornografici in Italia vige, inoltre, il divieto di accesso dei minori di anni 18 ai contenuti pornografici distribuiti e l’obbligo di verificare la maggiore età degli utenti, secondo le modalità stabilite dall’AGCOM.
Se, poi, il DDL 1136 venisse approvato, i fornitori di social network e i fornitori di piattaforme di condivisione video sarebbero soggetti a due obblighi aggiuntivi rispetto a quelli di cui sopra.
Il primo riguarda il divieto di apertura di account per i minori di 15 anni, con conseguente nullità dei contratti già conclusi con minori che non abbiano ancora compiuto tale età alla data di entrata in vigore della legge. Il secondo consiste nell'obbligo di verificare l'età degli utenti mediante un mini-portafoglio digitale nazionale che attua la soluzione europea di verifica dell'età, sempre secondo le modalità stabilite dall'AGCOM.
E chi fornisce servizi della società dell’informazione diversi dalle piattaforme online (ad esempio servizi di commercio elettronico) o semplicemente tratta dati personali di minori? Per questi soggetti non esiste, allo stato, un obbligo espresso di verifica dell'età. La normativa in materia di protezione dei dati personali richiede di adottare misure adeguate a garantire che il consenso del minore sia valido, ma non prescrivono uno specifico sistema di accertamento dell'età né definiscono le modalità tecniche con cui tale verifica deve essere condotta. In assenza di un obbligo espresso, costituisce tuttavia buona prassi effettuare un risk assessment — analogo, nella sua logica, a quello prevista dalle Linee guida della Commissione per i fornitori di piattaforme online — al fine di determinare se, in ragione della natura del servizio offerto, della tipologia di dati trattati e della plausibile presenza di minori tra gli utenti, sia opportuno adottare meccanismi di verifica dell'età conformi alla soluzione tecnica europea o a standard equivalenti.
