Il Regno Unito ha recentemente introdotto la misura più rigorosa finora adottata in Europa per la verifica dell’età online, sancita nel 2023 dall’Online Safety Act (OSA) con l’obiettivo di tutelare i minori dai cosiddetti “servizi rischiosi”. La normativa si applica a siti e portali che trattano temi di autolesionismo, suicidio, anoressia e pornografia. Soprattutto, pornografia. L’intervento ha avuto un impatto capillare, interessando non solo siti per adulti, ma anche social come Discord, Bluesky, Reddit e addirittura piattaforme videoludiche quali Steam, Xbox e PlayStation. Di fatto, tutte le realtà online che ospitano contenuti generati dagli utenti devono ora sottoporsi al processo di controllo con il risultato che, di fronte al timore di perdere la privacy, molti utenti nel Regno Unito hanno iniziato a falsificare i propri dati o a simulare accessi dall’estero, oppure hanno sfruttato videogiochi di ultima generazione per sabotare i sistemi di riconoscimento biometrico.
Tali misure, regolate dall’Autorità delle Comunicazioni britannica (Ofcom), vanno ben oltre il semplice sistema di autodichiarazione “clicca qui se hai più di 18 anni”: le piattaforme dovranno adottare procedure definite “ad alta efficacia”, che spaziano dalla stima biometrica facciale all’open banking, dall’utilizzo di portafogli digitali all’abbinamento di documenti d’identità con selfie in tempo reale. La conformità con le leggi sulla privacy resta tuttavia un punto di domanda: organizzazioni come la Wikimedia Foundation hanno evidenziato come, in un contesto segnato da frequenti fughe di dati, l’OSA rischi di compromettere l’anonimato degli utenti e di esporli a possibili abusi, anche in Paesi con regimi autoritari.
Le aziende che non si adegueranno alla nuova legge rischiano sanzioni fino a 18 milioni di sterline o al 10 % del fatturato globale annuale. Questo fattore dissuasivo ha spinto molte imprese a scegliere tra tre opzioni: bloccare l’accesso ai servizi nel Regno Unito, sviluppare soluzioni proprietarie per la verifica dell’età o affidarsi a terze parti specializzate in sistemi di “doppio anonimato”. Quest’ultima soluzione è particolarmente apprezzata perché trasferisce gran parte degli oneri sugli operatori subappaltati, i quali offrono sul web molteplici soluzioni, anche se alcune si dimostrano estremamente vulnerabili a tentativi di elusione.
Just a few minutes after the Online Safety Act went into effect last night, Proton VPN signups originating in the UK surged by more than 1,400%.
Unlike previous surges, this one is sustained, and is significantly higher than when France lost access to adult content. pic.twitter.com/W9R5FQBWKa
Nei minuti successivi all’entrata in vigore dell’OSA, Proton, azienda svizzera nota per il focus sulla privacy, ha per esempio registrato un aumento del 1.800 % nell’uso dei suoi servizi VPN. Per evitare i processi di verifica, molti utenti hanno pertanto immesso dati di connessione contraffatti per simulare l’accesso da altre aree geografiche, una decisione che riflette da vicino quanto già successo in passato in contesti omologhi. Sia negli Stati Uniti che in Europa.
In modo ancora più creativo, gli utenti britannici hanno inoltre scoperto che i sistemi di analisi facciale k-ID e Persona, adottati rispettivamente da Discord e Reddit, possono essere ingannati utilizzando delle immagini ricavate dalla “modalità fotografica” dal videogame Death Stranding. Sfruttando questa funzione opzionale, è possibile modificare liberamente le espressioni facciali del protagonista Sam Porter Bridges – interpretato dall’attore Norman Reedus –, una facoltà che permette di soddisfare con una certa facilità i requisiti di movimento richiesti dagli strumenti di verifica. “Il 60% della popolazione inglese è ormai Norman Reedus”, fa notare ironicamente un utente di Reddit in un post che ha suscitato grandi ondate di approvazione, metro empirico di come una parte considerevole di utenti sia poco felice di sottostare a norme digitali percepite come invadenti.
You can use Death Stranding's photo mode to bypass Discord's age verification https://t.co/o9n0c0lwkI pic.twitter.com/mvYmhZZCVp
Le carenze e le fragilità delle soluzioni attualmente impiegate potrebbero tuttavia avere vita breve: il Regno Unito sta valutando di introdurre un sistema di identità digitale noto come “Britcard“. Questo portafoglio digitale mima da vicino l’eID dell’Unione Europea ed è pensato per entrare in risonanza con i portali di servizio pubblico, tuttavia la sua bontà sarà da giudicare in futuro, al momento dell’uso applicato. Qualora le aziende terze non fossero in grado di garantire sistemi di identificazione validi, non è da escludere che il Governo possa proporre l’identità digitale come via prediletta per garantire il rispetto dell’Online Safety Act. I detrattori temono però che l’introduzione della Britcard sia uno stratagemma utile a monitorare meglio gli abitanti privi di permesso di soggiorno e intensificare il tasso di sorveglianza dello Stato.
