L'Illinois obbliga il sistema operativo a controllare la vostra età
La verifica dell'età in Illinois non è più una proposta di legge. Il governatore JB Pritzker ha firmato la HB 5511, il Children's Social Media Safety Act, il 31 luglio 2026, dopo il voto unanime di entrambe le camere. La norma sposta il controllo dell'età dai siti web al dispositivo stesso: dal 2028 il sistema operativo di telefono, tablet o computer dovrà sapere quanti anni avete e comunicare la risposta a qualsiasi app la richieda. Non è prevista alcuna deroga per l'open source, ed è per questo che i manutentori delle distribuzioni Linux hanno passato la prima settimana di agosto a leggere una legge su Instagram.
Che cosa impone la legge dell'Illinois sulla verifica dell'età
Il meccanismo è volutamente semplice. Durante la configurazione del dispositivo o dell'account, il fornitore del sistema operativo deve mostrare un'interfaccia che chiede la data di nascita al titolare. Il sistema converte quella data in una di quattro categorie: sotto i 13 anni, da 13 a 15, da 16 a 17, e 18 o più. Le app interrogano poi il sistema operativo tramite un'interfaccia e ricevono la categoria in forma cifrata. L'app non vede mai la data di nascita, solo la fascia.
Tutto il resto della legge poggia su quel segnale. Le piattaforme interessate devono attivare impostazioni di privacy più severe per impostazione predefinita per gli utenti sotto i 18 anni, limitare il feed di raccomandazioni dei minori ai contenuti che hanno richiesto, cercato o che seguono, e disattivare le notifiche tra le 22 e le 7, salvo i messaggi di amici e familiari. I profili dei minori restano invisibili agli adulti sconosciuti, senza condivisione della posizione e senza transazioni finanziarie con estranei. L'ufficio del governatore ha citato Instagram, TikTok, Facebook, Snapchat, X e Roblox come esempi di servizi coinvolti; testate giornalistiche, operatori di banda larga, servizi di posta elettronica e piattaforme didattiche sono esclusi.
L'applicazione spetta al procuratore generale dell'Illinois, con sanzioni civili fino a 50 000 dollari per violazione.
Diciotto mesi al controllo a livello di sistema operativo
I produttori di dispositivi e i fornitori di sistemi operativi hanno tempo fino al 1 gennaio 2028 per rilasciare l'interfaccia di verifica dell'età. Le app hanno tempo fino al 1 luglio 2028 per iniziare a richiedere e rispettare quel segnale. Il calendario scaglionato è la vera spia: lo Stato non chiede alle app niente di complicato, chiede che il livello della piattaforma diventi il livello dell'identità, e poi concede agli sviluppatori mezzo anno per agganciarsi.
La presentazione ufficiale la descrive come l'opzione rispettosa della privacy. Poiché il controllo avviene una sola volta, in fase di configurazione, le singole app non devono più pretendere la scansione del passaporto o del volto per stabilire che l'utente è maggiorenne. L'argomento non è vuoto. Rispetto a ogni sito che raccoglie documenti d'identità per conto proprio, una sola fascia attestata espone meno dati. L'obiezione non è che il progetto sia peggiore del caricamento dei documenti, ma che rende il controllo universale e permanente invece che occasionale.
Perché le distribuzioni Linux rientrano nella HB 5511
La legge definisce il fornitore di sistema operativo in modo abbastanza ampio da comprendere soggetti commerciali e senza scopo di lucro che sviluppano o forniscono un sistema operativo connesso a internet. In pratica tutti si aspettano che i destinatari siano Apple, Google e Microsoft. Alla lettera del testo, una distribuzione gestita da volontari che viene distribuita con un installer e uno stack di rete non esce in modo evidente dalla definizione.
Altri due Stati lo avevano previsto. La SB26-051 del Colorado e la AB-1043 della California sono state entrambe emendate prima dell'approvazione per aggiungere un'esenzione per i progetti open source. L'Illinois non ne ha nessuna. Un manutentore di Debian o Fedora non può chiedere a un installer amatoriale di raccogliere una data di nascita verificata, non può sostenere 50 000 dollari per violazione e non può geobloccare l'Illinois sulla distribuzione di un'immagine ISO.
Che cosa sosteneva la EFF prima della firma della HB 5511
La Electronic Frontier Foundation ha chiesto a Pritzker di porre il veto il 29 giugno 2026. L'obiezione era che un controllo dell'età a livello di dispositivo "smantellerebbe di fatto l'anonimato online", metterebbe a rischio la sicurezza dei dati e "limiterebbe gravemente l'accesso a espressioni tutelate dalla Costituzione, sia per i giovani sia per gli adulti". La EFF ha inoltre sostenuto che la norma taglierebbe canali di sostegno vitali per i ragazzi vulnerabili di famiglie non tradizionali, definendola una minaccia esistenziale per l'ecosistema open source su cui poggia internet.
Una critica tecnica merita attenzione particolare: la legge non specifica come il sistema operativo verifichi che una data di nascita dichiarata sia vera. Se un adolescente digita 1985 nella schermata di configurazione, nulla di quanto previsto lo intercetta. Restano due futuri, e nessuno dei due è confortevole. O il segnale resta non verificato, e allora l'onere di conformità è reale mentre la protezione è scenografia, oppure una modifica successiva aggiunge una verifica vera, e la scansione del documento che tutti dovevano evitare arriva al livello del sistema operativo invece che a quello del sito. NetChoice, associazione di categoria, ha presentato una propria richiesta di veto; i ricorsi contro leggi statali simili sono ormai la regola, e questa è una candidata forte.
Perché conta anche fuori dall'Illinois
Nessun produttore compila una versione speciale di Android per un singolo Stato americano. Se Apple, Google e Microsoft implementano un'interfaccia di verifica dell'età per soddisfare l'Illinois, quell'interfaccia esisterà nella build globale, dormiente o attiva a seconda della giurisdizione. Lo stesso schema si è già visto con i controlli dell'età sul web: una manciata di leggi ha prodotto un'infrastruttura che tutti gli altri hanno ereditato. L'Illinois è il primo Stato del paese a collocare l'obbligo al livello del sistema operativo, e il cricchetto gira in una sola direzione.
Qui passa anche il limite onesto degli strumenti di privacy di rete. Cambiare l'IP di uscita non cambia quello che il vostro dispositivo dichiara su di voi. Una categoria d'età affermata dal sistema operativo viaggia con la sessione a prescindere dal paese da cui il traffico sembra arrivare, ed è un problema diverso dai controlli a livello di sito per cui la bozza precedente della legge era già criticata e dal mosaico di regole nazionali raccolte nel nostro elenco dei paesi che limitano i social network per età. Una VPN continua a fare quello che ha sempre fatto: nascondere il traffico al provider e spostare la posizione apparente. Ma non si frappone tra un'app e il sistema operativo che le sta sotto. Chi dava per scontato che un abbonamento coprisse anche questa categoria di leggi farebbe bene a correggere l'assunto adesso, non nel 2028.
