Sì, una parte del cosiddetto Chat Control è stata approvata nell'Unione europea. Il 23 luglio 2026 il Consiglio UE ha dato il via libera definitivo alla nuova misura temporanea che consente ai servizi online di riprendere, su base volontaria, il rilevamento di materiale pedopornografico nelle comunicazioni. La deroga resterà valida fino al 3 aprile 2028.
Ma dire semplicemente “il Chat Control è legge” crea confusione. Il provvedimento appena approvato non coincide con il regolamento permanente più contestato, spesso chiamato Chat Control 2.0. Quest'ultimo è ancora oggetto di negoziato tra Parlamento e Consiglio.
La distinzione è essenziale: oggi è tornata la possibilità di scansione volontaria prevista dalla deroga ePrivacy; non è entrato in vigore un obbligo generale di analizzare tutte le chat. Inoltre, il testo finale precisa che non deve essere interpretato come un divieto o un indebolimento della crittografia end-to-end.
Chat Control è passato? La risposta breve
| Misura | Stato al 5 settembre 2026 | Cosa prevede |
|---|---|---|
| Deroga temporanea ePrivacy | Approvata definitivamente | Permette attività volontarie di rilevamento, segnalazione e rimozione fino al 3 aprile 2028 |
| Regolamento permanente CSAR | Ancora in negoziato: sesto trilogo il 29 settembre 2026 | Regole strutturali, valutazione dei rischi, obblighi per i provider e nuovo Centro UE |
Quindi, alla domanda più cercata su Google — “Chat Control è passato?” — la risposta corretta è: è passata la misura temporanea; il regolamento permanente non è ancora legge definitiva.
Cos'è il Chat Control in parole semplici
“Chat Control” non è il nome ufficiale di una legge. È un'etichetta usata da attivisti, media e critici per indicare le iniziative europee contro gli abusi sessuali sui minori online, soprattutto quando coinvolgono l'analisi delle comunicazioni private.
L'obiettivo dichiarato è individuare e rimuovere materiale di abuso sessuale su minori, segnalare i casi alle autorità e aiutare le vittime. Il conflitto nasce dal metodo: controllare contenuti privati può interferire con riservatezza, protezione dei dati e sicurezza della crittografia.
Sotto la stessa etichetta convivono due dossier diversi. Confonderli porta a titoli allarmistici oppure, all'opposto, a minimizzare i rischi.
La deroga temporanea: ciò che è già stato approvato
Il regolamento UE 2021/1232 aveva creato una deroga temporanea ad alcune regole della direttiva ePrivacy. Consentiva a determinati fornitori di usare tecnologie, volontariamente e nel rispetto di condizioni specifiche, per rilevare e segnalare abusi sessuali sui minori online.
La precedente deroga è scaduta il 3 aprile 2026. Dopo un vuoto normativo di alcuni mesi, Parlamento e Consiglio hanno approvato una nuova misura temporanea: l'approvazione finale è arrivata il 23 luglio 2026 e la validità termina il 3 aprile 2028.
Il regolamento permanente: ciò che non è ancora definitivo
La proposta strutturale del 2022 mira a creare un quadro permanente per prevenire e combattere gli abusi sessuali sui minori online. Comprende valutazioni dei rischi per i servizi, misure di mitigazione, segnalazioni, rimozione dei contenuti e un nuovo Centro UE dedicato.
Il Parlamento aveva definito la propria posizione nel 2023. Il Consiglio ha raggiunto il suo mandato negoziale nel novembre 2025. Le due istituzioni devono ancora concordare il testo finale. Finché questo processo non si conclude, non è corretto affermare che il “Chat Control 2.0” sia già pienamente in vigore.
Cosa è successo nel voto del 9 luglio 2026
Il 9 luglio il Parlamento europeo ha esaminato in seconda lettura la posizione del Consiglio sulla deroga temporanea, adottata dal Consiglio il 2 luglio riprendendo lo stesso testo che l'aula aveva già respinto il 26 marzo (311 contrari, 228 favorevoli, 92 astenuti). I deputati hanno adottato alcuni emendamenti per limitarne il perimetro.
I numeri del 9 luglio: 314 voti contrari alla proroga, 276 favorevoli e 17 astenuti. Una maggioranza dei presenti era contraria, ma in seconda lettura per respingere la posizione del Consiglio servono 361 voti, la maggioranza assoluta dei 720 deputati. Non essendo stata raggiunta, la proroga è passata.
Il passaggio più importante riguarda le comunicazioni alle quali è, è stata o sarà applicata la crittografia end-to-end. Il Parlamento ha chiesto di escluderle. Il testo finale pubblicato dalle istituzioni aggiunge che nulla nel regolamento deve essere interpretato come un divieto o un indebolimento della cifratura end-to-end.
Il voto ha generato molte polemiche perché, in seconda lettura, respingere o modificare una posizione del Consiglio richiede la maggioranza assoluta dei componenti del Parlamento, non soltanto la maggioranza dei voti espressi. È una regola prevista dalla procedura legislativa, ma produce un effetto politicamente controverso: assenze e astensioni rendono più difficile bloccare il testo.
È più preciso parlare di una procedura con soglia rafforzata che di un voto “rubato”. La critica politica al metodo resta legittima, ma va distinta dalla validità formale della procedura.
Cosa succede il 29 settembre 2026: il sesto trilogo
La partita vera si gioca sul regolamento permanente, e riparte il 29 settembre 2026 con il sesto trilogo tra Parlamento, Consiglio e Commissione, sotto la presidenza irlandese. I cinque round precedenti, da gennaio a giugno sotto la presidenza cipriota, sono falliti tutti; l'ultimo, il 29 giugno, si è arenato sulla scansione delle comunicazioni cifrate end-to-end, il nodo che il Consiglio vuole includere e il Parlamento no.
La proroga di luglio cambia i rapporti di forza al tavolo: la scansione volontaria è di nuovo in vigore fino al 2028, quindi il Consiglio ha meno urgenza di cedere su un testo più equilibrato. Oltre 800 ricercatori e accademici hanno messo in guardia il Parlamento sul rischio di una sorveglianza generalizzata e sulla percentuale di errore dei sistemi automatici.
Tre cose da guardare a fine settembre: se il client-side scanning resta nel testo, come viene scritto l'obbligo di verifica dell'età per email e messaggistica, e quali garanzie di controllo giudiziario accompagnano gli ordini di rilevamento. Aggiornerò questa pagina dopo il trilogo.
WhatsApp, Signal e iMessage saranno scansionati?
La misura temporanea approvata non autorizza a indebolire la crittografia end-to-end. In un sistema E2EE correttamente progettato, il server non possiede le chiavi necessarie per leggere il contenuto tra mittente e destinatario.
Questo non significa che ogni elemento dell'app sia invisibile. Metadati, segnalazioni inviate dagli utenti, backup non cifrati e contenuti resi pubblici possono seguire regole diverse. Anche la configurazione del servizio conta: la semplice presenza della parola “crittografia” nella pagina commerciale non basta a descrivere tutto il flusso dei dati.
Il tema più delicato per il futuro resta il client-side scanning: l'analisi sul dispositivo prima della cifratura o dopo la decifratura. Una tecnica simile non “rompe” matematicamente l'algoritmo, ma può aggirare la protezione osservando il contenuto alle estremità. È uno dei motivi per cui ricercatori e associazioni per i diritti digitali chiedono garanzie molto rigide nel regolamento permanente.
Cosa cambia davvero per i cittadini
Nel breve periodo, l'approvazione ripristina la base giuridica che permette ad alcuni fornitori di riprendere attività volontarie già svolte sotto il vecchio regime. Non impone a ogni piattaforma di leggere ogni conversazione e non introduce un'applicazione da installare sui telefoni dei cittadini.
Le conseguenze concrete dipendono dal servizio usato e dalla tecnologia adottata. Un provider può cercare corrispondenze con materiale già noto, usare classificatori per identificare possibili nuovi contenuti oppure analizzare segnali di adescamento, entro i limiti previsti dal testo e dalle norme sulla protezione dei dati.
I rischi da tenere sotto controllo sono reali:
- falsi positivi, con segnalazioni errate di contenuti leciti;
- perdita di contesto, soprattutto nelle conversazioni tra minori o in ambito medico;
- espansione dello scopo, se tecnologie nate per un reato vengono estese ad altri;
- sicurezza, se le misure future creano nuovi punti di accesso ai contenuti privati;
- trasparenza e ricorso, quando un sistema automatico prende decisioni difficili da contestare.
La scansione è volontaria o obbligatoria?
Nella deroga temporanea approvata nel luglio 2026, le attività dei provider sono volontarie. Questo è il punto che distingue il testo attuale dalle versioni più aggressive spesso associate al termine Chat Control.
Nel regolamento permanente la situazione è più complessa. Il mandato del Consiglio prevede obblighi di valutazione e mitigazione dei rischi e conserva la possibilità di attività volontarie. La forma finale dipenderà dall'accordo con il Parlamento. Per questo le formule “scansione obbligatoria di tutte le chat” e “non cambia nulla” sono entrambe troppo semplicistiche.
Quando entra in vigore e fino a quando vale
Il Consiglio ha dato l'approvazione finale il 23 luglio 2026. La nuova misura temporanea consente di riprendere le attività volontarie e ha una scadenza già fissata: 3 aprile 2028.
Questa data serve a evitare che la deroga diventi permanente senza un nuovo passaggio legislativo. Idealmente, entro allora Parlamento e Consiglio dovrebbero completare il regolamento strutturale. Se il negoziato si blocca ancora, l'Unione dovrà decidere se modificare, prorogare o lasciare scadere il regime temporaneo.
Come proteggere la privacy senza cadere nel panico
- Preferisci servizi con crittografia end-to-end attiva per impostazione predefinita.
- Controlla se i backup cloud sono cifrati end-to-end e chi possiede le chiavi.
- Evita di inviare documenti sensibili quando non è necessario.
- Attiva aggiornamenti e autenticazione a più fattori: molti rischi nascono da account compromessi, non dalle leggi. Un esempio recente è il caso degli account Claude rubati dagli infostealer, che copiano la sessione e aggirano anche la 2FA.
- Per prodotti digitali, applica minimizzazione dei dati, separazione dei privilegi e registri di accesso.
Per chi sviluppa software, privacy e sicurezza non sono una schermata legale aggiunta alla fine. Devono entrare nell'architettura. Lo stesso principio è importante negli obblighi dell'AI Act per le PMI, ora che la Commissione ha avviato i primi controlli AI Act su oltre 30 società, e nei casi in cui un assistente può accedere a email e dati riservati.
Il punto: protezione dei minori e privacy non sono alternative
Combattere gli abusi sessuali sui minori online è un obiettivo urgente. Proprio per questo le misure devono essere efficaci, proporzionate e verificabili. Una tecnologia che produce troppi falsi positivi spreca risorse investigative; una misura che indebolisce la sicurezza può esporre anche minori, giornalisti e vittime di violenza.
La domanda giusta non è “privacy oppure sicurezza?”. È: quali sistemi individuano davvero gli abusi, con quale controllo giudiziario, quali errori producono e quali rimedi esistono per chi viene segnalato ingiustamente?
Domande frequenti sul Chat Control
Il Chat Control è stato approvato in Italia?
È una misura dell'Unione europea, non una legge approvata soltanto dall'Italia. Il Consiglio UE ha dato l'approvazione finale alla deroga temporanea il 23 luglio 2026.
Il Chat Control 2.0 è stato approvato?
No. Il regolamento permanente è ancora in negoziato tra Parlamento europeo e Consiglio. È stata approvata la misura temporanea sulla scansione volontaria.
Il Chat Control legge tutte le chat?
No. La misura attuale permette attività volontarie a determinati provider e non autorizza l'indebolimento della crittografia end-to-end. Tecnologie e dati analizzati cambiano da servizio a servizio.
Chi ha votato a favore del Chat Control?
Nel voto del 9 luglio 2026 sulla proroga, 276 deputati hanno votato a favore, 314 contro e 17 si sono astenuti; la proroga è passata perché per respingerla servivano 361 voti. Per attribuire il voto ai singoli deputati bisogna consultare il verbale nominale del Parlamento relativo a quel voto e a ciascun emendamento, non una lista generica.
Quando scade la misura temporanea?
La nuova deroga è prevista fino al 3 aprile 2028, mentre prosegue il negoziato sul quadro permanente.
Cosa succede al Chat Control a settembre 2026?
Il 29 settembre 2026 riprende il trilogo sul regolamento permanente, il Chat Control 2.0, sotto la presidenza irlandese. È il sesto tentativo dopo cinque round falliti; il punto di scontro resta la scansione delle chat cifrate end-to-end.
Se devi progettare un'app che tratti dati sensibili, posso aiutarti a integrare privacy e sicurezza fin dall'architettura: scopri i miei servizi di sviluppo web app oppure contattami.
