Dagli Stati Uniti all’Europa, quando la regolazione dell’intelligenza artificiale entra direttamente nel codice. 

Sta accadendo qualcosa di profondo nel modo in cui le società contemporanee costruiscono le proprie regole. Per secoli abbiamo immaginato una sequenza relativamente semplice: un Parlamento approva una norma, un’autorità la applica, un giudice interviene quando qualcuno la viola. Nel mondo digitale questo schema non scompare, ma viene affiancato da un meccanismo nuovo. La regola può nascere da una sentenza, da un accordo giudiziario, da un’autorità amministrativa o da uno standard tecnico e, alla fine del processo, essere incorporata direttamente nel software. A quel punto non abbiamo più soltanto una legge che prescrive un comportamento. Abbiamo un codice informatico che lo rende possibile, difficile o addirittura impossibile. Un caso americano di questi giorni mostra con particolare chiarezza questa trasformazione.

Il precedente americano

Nell’agosto 2026 Meta ha raggiunto un accordo con un gruppo bipartisan di 52 procuratori generali di Stati e territori americani per chiudere una vasta controversia riguardante gli effetti di Facebook e Instagram sui minori. L’intesa è stata successivamente approvata dal giudice federale. Ciò che interessa maggiormente non sono soltanto le conseguenze economiche della transazione, ma gli obblighi destinati a modificare concretamente le piattaforme. Per gli utenti sotto i diciotto anni viene introdotto un limite giornaliero predefinito di due ore, cumulativo fra Facebook e Instagram, modificabile soltanto con l’autorizzazione di un genitore. Tra mezzanotte e le sei del mattino è previsto un blocco predefinito; durante l’orario scolastico, dalle 8 alle 15, gran parte delle notifiche viene silenziata. Dopo quindici minuti consecutivi di utilizzo compaiono avvisi. Sono inoltre previsti controlli più incisivi sull’età, un feed non personalizzato, restrizioni sui filtri cosmetici e maggiori strumenti di supervisione parentale.

Sembrano dettagli tecnici. In realtà contengono una novità politica e giuridica considerevole. Non si dice più semplicemente a un’impresa: «Devi proteggere i minori». Si stabilisce che una funzione debba interrompersi a una certa ora, che una notifica non debba essere inviata, che un algoritmo debba funzionare diversamente.

La norma entra nel prodotto. Ed è qui che il caso Meta diventa un possibile precedente per qualcosa di molto più importante: il governo degli algoritmi e, domani, dell’intelligenza artificiale.

America ed Europa: due strade che convergono

Stati Uniti ed Europa hanno storicamente seguito impostazioni differenti.

Il sistema americano procede spesso dal caso concreto alla regola: intervengono leggi federali e statali, class actions, procuratori generali, autorità e tribunali; un contenzioso produce un accordo e quell’accordo modifica il comportamento dell’impresa. L’Europa ha seguito prevalentemente il percorso inverso. Prima costruisce l’architettura normativa e poi vi riconduce i casi concreti: GDPR per i dati personali, Digital Services Act per le piattaforme, AI Act per l’intelligenza artificiale. La contrapposizione, però, sta diventando meno netta. Nel luglio 2025 la Commissione europea ha pubblicato gli orientamenti per la protezione dei minori nell’ambito del Digital Services Act. Non sono, in sé, una nuova legge vincolante, ma indicano le misure che le piattaforme possono adottare per rispettare gli obblighi del DSA. Ed è significativo il loro livello di dettaglio. La Commissione raccomanda di ridurre le caratteristiche che favoriscono un uso eccessivo, di intervenire sui sistemi di raccomandazione, di privilegiare le preferenze espresse dal minore rispetto ai segnali comportamentali impliciti e di evitare l’impiego di dati raccolti sulla sua attività al di fuori della piattaforma.

Il giovane dovrebbe inoltre poter azzerare il proprio profilo di raccomandazione e comprendere perché gli viene mostrato un determinato contenuto. Il diritto, dunque, non stabilisce più soltanto che cosa un’impresa non debba fare. Comincia a indicare come dovrebbe essere progettato il sistema che essa utilizza. La regolamentazione entra nell’algoritmo.

Il paradosso dell’età

Qui emerge però un problema formidabile. Se vogliamo costruire un ambiente digitale diverso per bambini, adolescenti e adulti, dobbiamo sapere a quale categoria appartiene chi si trova dall’altra parte dello schermo. Il vecchio pulsante «Ho più di 18 anni» non basta. Bisogna verificare, o almeno stimare, l’età. Nasce così un paradosso: per proteggere meglio la privacy dei minori potremmo essere costretti a verificare l’età di tutti, adulti compresi. Una verifica mal progettata rischierebbe di trasformarsi in una gigantesca infrastruttura di identificazione. L’Europa sta tentando una strada più sofisticata. Nel luglio 2025 la Commissione ha presentato un blueprint europeo per la verifica dell’età, inizialmente sperimentato da Danimarca, Francia, Grecia, Italia e Spagna e ulteriormente sviluppato nel 2026.

Il principio è semplice e potente: dimostrare l’età senza rivelare l’identità. Una piattaforma non deve necessariamente conoscere nome, data di nascita e identità dell’utente. Le può bastare sapere: «Questo utente ha più di diciotto anni». Le architetture europee cercano precisamente di separare identità e attributo. La prova dell’età può derivare da documenti o identità digitali, mentre il servizio online riceve soltanto la conferma del superamento della soglia richiesta. Le zero-knowledge proofs portano il principio ancora più avanti: consentono di dimostrare che un’affermazione è vera senza rivelare l’informazione dalla quale quella verità deriva. In altre parole: non devo dirti chi sono; devo dimostrarti soltanto ciò che hai il diritto di sapere.

L’intelligenza artificiale entra nel problema

Meta utilizza già sistemi di IA per contribuire alla cosiddetta age assurance, analizzando segnali presenti nei profili e nelle attività per individuare account che potrebbero appartenere a persone di età diversa da quella dichiarata.

Abbiamo dunque già un primo cortocircuito concettuale: usiamo l’intelligenza artificiale per stabilire quali regole debbano essere applicate agli utenti di un sistema digitale. Ma il vero salto di scala si verifica quando passiamo dai social network all’intelligenza artificiale generativa.

Un social network osserva il nostro comportamento e decide soprattutto che cosa mostrarci. Un sistema conversazionale può interpretare il linguaggio, ricordare preferenze, adattare il registro espressivo, ricostruire interessi e instaurare nel tempo una relazione personalizzata.

Un algoritmo di raccomandazione decide quale video viene dopo. Un’intelligenza artificiale conversazionale può contribuire a decidere quale pensiero viene dopo. Non significa che possa controllare il nostro pensiero, ma che la capacità di adattamento e persuasione dell’interazione cresce enormemente. Ed è qui che la regolazione dell’IA incontra inevitabilmente il problema dell’età.

Quando l’IA sa di parlare con un bambino

L’articolo 5 dell’AI Act europeo vieta determinati sistemi che utilizzano tecniche manipolative o ingannevoli capaci di compromettere significativamente la capacità di una persona di prendere decisioni informate, quando ciò possa provocare un danno significativo.

Vieta inoltre lo sfruttamento di vulnerabilità legate, fra l’altro, all’età, quando ciò distorca materialmente il comportamento causando o potendo causare un danno significativo.

Il punto, però, è comprendere dove possa condurre questa logica.

Immaginiamo un assistente artificiale utilizzato quotidianamente da un tredicenne. È ragionevole che utilizzi gli stessi meccanismi di personalizzazione adottati con un adulto? Deve possedere la stessa memoria delle conversazioni? Può utilizzare le medesime tecniche persuasive? Può sviluppare lo stesso coinvolgimento emotivo, suggerire prodotti o presentarsi come amico e confidente?

Sono domande giuridiche, ma richiederanno soprattutto risposte tecniche.

Dall’Age Verification all’Age-Aware AI

Potremmo quindi essere all’inizio del passaggio dalla semplice verifica dell’età a ciò che potremmo definire Age-Aware Artificial Intelligence.

Non è oggi una categoria giuridica prevista dall’AI Act. È una possibile evoluzione derivante dall’incontro fra age assurance, protezione dei minori e intelligenza artificiale personalizzata.

Una IA age-aware non dovrebbe necessariamente conoscere l’identità della persona. Potrebbe ricevere soltanto un’informazione certificata sulla fascia d’età e modificare il proprio comportamento.

Non avremmo più necessariamente lo stesso assistente per tutti. Potrebbero esistere modalità differenti per bambini, adolescenti e adulti, non limitate ai filtri sui contenuti, ma estese alla struttura stessa dell’interazione.

Per un minorenne potrebbero essere ridotte la persistenza della memoria e la profilazione; limitate determinate tecniche persuasive e forme di personalizzazione commerciale; introdotti vincoli al coinvolgimento emotivo, pause e avvisi.

La distinzione è fondamentale. Non si tratterebbe più soltanto di decidere quali risposte l’IA possa fornire a un minore. Bisognerebbe stabilire quale rapporto l’IA possa costruire con lui.

Dalla regolazione dei contenuti alla regolazione delle relazioni

Per trent’anni il dibattito sulla regolazione di Internet si è concentrato prevalentemente sui contenuti: che cosa può essere pubblicato, che cosa deve essere rimosso, chi ne risponde.

Con l’intelligenza artificiale la questione cambia natura.

Continueremo a domandarci che cosa una macchina possa dire o generare. Ma dovremo porci una domanda più sottile: come può comportarsi una macchina nei confronti di un essere umano?

È il passaggio dalla regolazione dell’informazione alla regolazione della relazione.

Un sistema di IA potrebbe non pronunciare mai una frase vietata e, nello stesso tempo, esercitare attraverso migliaia di microinterazioni un’influenza considerevole sulle scelte di una persona.

La singola risposta può essere innocua. La sequenza delle risposte potrebbe non esserlo.

Quando la legge diventa codice

Più di un quarto di secolo fa Lawrence Lessig intuì uno degli elementi essenziali del mondo digitale. Nel suo Code and Other Laws of Cyberspace sostenne che l’architettura informatica costituisce essa stessa una forma di regolazione.

La formula è diventata celebre: Code is law. Il codice è legge.

Oggi siamo forse arrivati alla fase successiva: Law becomes code. La legge diventa codice.

Se una regola stabilisce un limite di utilizzo per un adolescente, non è necessario che qualcuno controlli l’orologio: lo fa il software. Se durante l’orario scolastico le notifiche devono essere silenziate, nessun funzionario deve intervenire alle otto del mattino: il comportamento è incorporato nella piattaforma.

Il diritto non agisce più soltanto dall’esterno. Penetra nel codice.

La regolamentazione diventa architettura del comportamento.

Chi controllerà il controllore?

Ed emerge il paradosso finale.

Useremo algoritmi per individuare contenuti problematici, sistemi automatici per stimare l’età, intelligenza artificiale per controllare altre intelligenze artificiali.

L’accordo americano con Meta prevede anche un auditor indipendente incaricato di verificare periodicamente la conformità dell’azienda. È un elemento importante: in sistemi dominati da algoritmi complessi non basta dichiararsi conformi. Servono misure, verifiche e audit.

Ci avviciniamo così a un mondo nel quale macchine controlleranno altre macchine affinché rispettino norme scritte dagli esseri umani.

Ma chi controllerà quelle macchine? Chi stabilirà le metriche? Chi definirà il confine fra persuasione e manipolazione? Chi verificherà gli errori? Chi conserverà la responsabilità ultima quando una decisione sarà il risultato di una catena composta da legge, regolatore, standard tecnico e algoritmo?

Sono domande giuridiche. Ma, soprattutto, sono domande di democrazia.

Due modelli destinati a incontrarsi

America ed Europa sembrano partire da estremi differenti.

Gli Stati Uniti procedono spesso ex post: nasce un problema, intervengono giudici e procuratori, l’impresa negozia e modifica il prodotto.

L’Europa tende invece a procedere ex ante: stabilisce principi, categorie di rischio, obblighi e divieti prima che tutti i possibili casi si manifestino.

L’intelligenza artificiale potrebbe costringere i due modelli a convergere.

Nessun Parlamento potrà prevedere tutte le forme che l’IA assumerà nei prossimi dieci anni. Le leggi saranno indispensabili, ma non sufficienti. Serviranno linee guida, standard tecnici, audit, decisioni delle autorità, sentenze e continue modifiche delle architetture tecnologiche.

Il diritto dell’intelligenza artificiale diventerà probabilmente un diritto dinamico, costruito contemporaneamente da legislatori, giudici, autorità indipendenti, tecnici, imprese e organismi di standardizzazione.

Il codice che nessun Parlamento voterà

Quando una modifica apparentemente tecnica decide ciò che milioni di persone possono vedere, quanto tempo possono trascorrere su una piattaforma, quali contenuti ricevono e quale tipo di relazione possono instaurare con un’intelligenza artificiale, quella modifica smette di essere soltanto tecnica.

Diventa una decisione sociale. E quindi politica.

Il caso Meta non riguarda soltanto i social network o i minori. Ci mostra in anticipo uno dei problemi centrali della società algoritmica: il confine sempre più incerto fra legge, codice e comportamento.

Nel Novecento lo Stato scriveva una norma e chiedeva al cittadino di rispettarla. Nella società digitale lo Stato può scrivere una norma e chiedere al software di incorporarla.

Nella società dell’intelligenza artificiale potremmo compiere un passo ulteriore: il sistema potrebbe riconoscere la categoria alla quale apparteniamo, adattare il proprio comportamento e applicare in tempo reale regole differenti, milioni o miliardi di volte al giorno.

La grande domanda del futuro, allora, non sarà soltanto: «Quali leggi dobbiamo scrivere per governare l’intelligenza artificiale?»

Dovremo porcene un’altra: «Quanto potere siamo disposti ad affidare al codice incaricato di trasformare quelle leggi in comportamento?»

Perché una parte decisiva del diritto del futuro potrebbe non trovarsi nelle pagine di una Gazzetta Ufficiale. Potrebbe essere contenuta in milioni di righe di software che nessun Parlamento avrà mai letto, discusso o votato. E che, nondimeno, governeranno una parte crescente della nostra vita.

FONTI E RIFERIMENTI

1. California Department of Justice – Office of the Attorney General, Attorney General Bonta Secures Transformative $17 Billion Settlement with Meta, Proposed Settlement Includes Fundamental Changes to Instagram and Facebook, 26 agosto 2026.

2. Meta Newsroom, Our Agreement With Bipartisan Attorneys General: Calling on TikTok and YouTube to Join Us in Supporting Teens, 26 agosto 2026, aggiornato il 27 agosto 2026.

3. European Commission – Shaping Europe’s Digital Future, Commission publishes guidelines on the protection of minors, 14 luglio 2025.

4. Commissione europea / EUR-Lex, Guidelines on measures to ensure a high level of privacy, safety and security for minors online pursuant to Article 28(1) of Regulation (EU) 2022/2065, 2025.

5. European Commission – Shaping Europe’s Digital Future, Blueprint for an age verification solution to help protect minors online, versione aggiornata 2026.

6. European Commission, The EU approach to age verification.

7. Regolamento (UE) 2024/1689 – Artificial Intelligence Act, art. 5, EUR-Lex.

8. European Commission – AI Act Service Desk, Timeline for the Implementation of the EU AI Act.

9. Meta Newsroom, New AI-Powered Age Assurance Measures to Place Teens in Age-Appropriate Experiences, 5 maggio 2026, aggiornato 31 luglio 2026.

10. Lawrence Lessig, Code and Other Laws of Cyberspace, Basic Books, 1999; Code: And Other Laws of Cyberspace, Version 2.0, Basic Books, 2006.

Nota dell’autore. L’espressione Age-Aware Artificial Intelligence non indica una categoria normativa prevista dall’AI Act o dal Digital Services Act. È utilizzata in questo articolo come definizione prospettica di sistemi di IA capaci di adattare modalità e limiti dell’interazione alla fascia d’età certificata dell’utente.