Torna sulla cronaca ChatControl: non che se ne sia mai andato (e per buone ragioni)

Torna agli onori della cronaca ChatControl, la proposta di cui vi parliamo dal 2023 e che come la “guerra che doverebbe vincere ogni guerra”, si propone un obiettivo assai ambizioso.

Sradicare il sottobosco di pedofilia online presente su canali di messaggeria e affini. Non caso ChatControl è il nome giornalistico del progetto: il suo nome tecnico è CSAR, parziale omofono di “Zar” ma che significa Regulation to Prevent and Combat Child Sexual Abuse, “Regolamento per prevenire e combattere lo sfruttamento sessuale di Minori”.

Come dovrebbe funzionare ChatControl

Molti lo paragonano “ad una AI”, come se il termine volesse dire tutto o niente. Di fatto il meccanismo è semplice: ogni dispositivo, alla fonte, prima cioè che foto e messaggi diventino parte di una chat Telegram, Whatsapp o di un messaggio Gmail criptati (per capirci, l’elenco non si dovrebbe limitare a solo alcuni strumernti) dovrebbe esaminare con un sistema integrato nelle app le foto e i messaggi, resituendo così un allarme su determinate parole chiave e immagini risponenti ad un archivio curato dalle forze dell’ordine, usando un sistema di hash (banalmente, il “codice fiscale” dei documenti digitali, una stringa che “descrive” un file immortalandolo in un determinato momento).

I messaggi sospetti dovrebbero arrivare quindi identificati come tali, anonimizzati e passati al controllo delle forze dell’Ordine in forma anonimizzata (o quantomeno fortemente psedonimizzata, non riconducibile ad esseri umani in questa parte) che potranno quindi valutare il messaggio e intervenire.

Sostanzialmente il regolamento Chatcontrol è una deroga alla Direttiva ePrivacy. In parole assai povere, secondo essa va a cadere il divieto dei gestori di servizi social e messaggeria di garantire uno scudo contro “attività di sorveglianza, intercettazione o conservazione delle comunicazioni elettroniche, salvo il caso in cui l’utente non abbia prestato il proprio consenso o il provider sia stato espressamente autorizzato per legge”.

Sostanzialmente, si avrebbe una deroga parziale alla direttiva ePrivacy, ma con garanzie idonee a salvare capra e cavoli: l’algoritmo si applica solo a messaggi identificabili come sospetti e la sanzione si applica solo dopo un controllo secondario umano.

La proposta oggi va alla conta, a oggi sono solo 8 i paesi che sono contrari al provvedimento: Austria, Belgio, Finlandia, Germania, Lussemburgo, Paesi Bassi, Polonia, Repubblica Ceca. L’Italia risulta tra i paesi a favore, in compagnia di altri 14 membri tra cui Danimarca (che ha attualmente la presidenza del Consiglio Europeo), Francia, Portogallo, Spagna e Svezia. Sono invece quattro i paesi indicati ancora come indecisi, con una votazione formale prevista per Ottobre.

Quali sono i problemi e le prospettive?

Delle prospettive ne parlammo nel 2021, quando era ancora un embrione. Siamo di fronte ad un regolamento che ovviamente richiederà regolamenti di dettaglio.

E siamo di fronte ad una materia dove non è scontato il rischio anche sociale di falsi positivi. 

By design, misure che indeboliscono la cifratura vanno valutate secondo criteri di proporzionalità e adeguatezza: bypassare la crittografia in questo modo potrebbe avere l’obiettivo lodevole di contrastare la pedopornografia mondiale, ma col rischio di limitare garanzie di sicurezza e segretezza della corrispondenza con un provvedimento di portata maggiore del male da combattere.

Senz’altro la pedofilia è crimine odioso che colpisce i deboli e chi non può difendersi: ma la soluzione che passa dall’esaminare migliaia se non miliardi di messaggi potrebbe abbattere garanzie e avere falsi positivi le cui conseguenze sarebbero esiziali. E non parliamo solo dell’indebolimento evidente della garanzia di “impermeabilità” e sicurezza dei sistemi di messaggistica baluardo della segretezza della corrispondenza.

È accaduto prima di ChatControl: Google ha nel 2021 deciso di bannare dai suoi servizi e segnalare alle autorità, con apertura di un procedimento legale (sia pur breve) un padre di famiglia Americano per aver avuto l’infelice idea di mandare al pediatra foto di un rash cuteaneo inguinale del figlio anziché portarlo di persona.

L’incredulità per una “diagnosi telefonica alla Guido Tersilli”, lo scalcinato medico descritto da Alberto Sordi che, dopo essere diventato ricco, ormai visitava i pazienti solo al telefono, si è trasformata in un incubo che ha portato un padre in tribunale per una sentenza che non poteva che finire in assoluzione, ma che ha avuto il suo peso.

Tra il rischio sociale dei falsi positivi, i dubbi sull’adeguatezza delle misure di prevenzione (che a questo punto impattano diritti fondamentali per proteggere diritti fondamentali) rendono la discussione ancora più rilevante.