Alternative allo scanning di massa — Strategie tecniche, politiche e ibride per preservare la privacyAlternative allo scanning di massa — Strategie tecniche, politiche e ibride per preservare la privacy

Se l'unico strumento che proponi è un martello, forse il problema non è che tutti i problemi siano chiodi, ma che sai solo costruire martelli.

---

Il dibattito su Chat Control è da anni intrappolato in una falsa dicotomia: o si scansionano tutte le comunicazioni, o non si rileva alcun CSAM. Questa dicotomia è tanto comoda per i difensori della regolamentazione (presentano lo scanning come l'unica opzione) quanto per i difensori della crittografia (possono denunciare lo scanning come inaccettabile senza offrire alternative). Ma la realtà, come quasi sempre, è più sfumata.

Questo documento esplora le alternative allo scanning di massa, classificandole per maturità tecnica, impatto sulla privacy e fattibilità politica.

Quadro di valutazione

Ogni alternativa deve essere valutata secondo tre criteri:

1. Efficacia nel rilevamento: quale proporzione di CSAM rileverebbe rispetto allo scanning di massa?
2. Preservazione della privacy: rispetta la crittografia E2EE e la privacy dei non sospetti?
3. Fattibilità politica: è implementabile nel quadro legale europeo attuale?

Alternative tecniche

1. Rafforzamento dei sistemi di segnalazione

L'alternativa più ovvia e meno disruptiva è migliorare i meccanismi di segnalazione esistenti. Oggi, la maggior parte delle piattaforme permette di segnalare contenuti sospetti. Il problema è che questi sistemi sono lenti, manuali e hanno bassi tassi di risposta.

Sistema attuale:
    Utente → Segnala → Moderazione umana → Verifica → Azione

Proposta di miglioramento:
    Utente → Segnala + [metadati del contesto] 
           → Moderazione assistita da IA (solo su ciò che è segnalato) 
           → Prioritizzazione automatica 
           → Verifica umana entro 24h

Vantaggi: compatibile con E2EE, collaudato, scalabile, non richiede modifiche all'infrastruttura di crittografia.

Svantaggi: rileva solo contenuto che gli utenti segnalano; non rileva CSAM che nessuno segnala (vittime che non possono segnalare, contenuto condiviso in gruppi chiusi senza denuncianti).

Stima di efficacia: studi interni delle piattaforme suggeriscono che la segnalazione degli utenti rileva tra il 30-50% del CSAM che i sistemi automatizzati rilevano. Il divario non è banale, ma non è nemmeno un fallimento assoluto.

2. Rilevamento nei metadati (non nel contenuto)

I metadati delle comunicazioni —chi parla con chi, quando, da dove, con quale frequenza, dimensione dei messaggi— possono essere più rivelatori di quanto sembri. Un'analisi dei pattern di comunicazione potrebbe identificare comportamenti sospetti senza ispezionare il contenuto:

Segnali di metadati utili per il rilevamento di CSAM:
    - Utente adulto che comunica intensamente con più minori
    - Invio ricorrente di file immagine/video di notte
    - Uso di account usa e getta o appena creati
    - Pattern di inoltro che coincidono con reti di distribuzione note
    - Comunicazione incrociata tra utenti già identificati come sospetti

Vantaggi: non richiede accesso al contenuto, compatibile con E2EE, già utilizzato (Signal e WhatsApp lo fanno per identificare e segnalare account sospetti alle autorità).

Svantaggi: alto tasso di falsi positivi (un insegnante che parla con studenti, un genitore che invia foto notturne dei propri figli), profilazione di massa della popolazione, rischio di discriminazione algoritmica.

Precauzione necessaria: i sistemi di metadati devono essere trasparenti, verificabili e limitati a segnali specifici di CSAM, non aperti a "qualsiasi comportamento sospetto". La storia della sorveglianza basata su metadati (NSA, programma di metadati telefonici) dimostra che tendono a espandersi.

3. Rilevamento in contenuto non crittografato (upload pubblico)

Il contenuto che gli utenti caricano pubblicamente (non in messaggi privati) può e deve essere analizzato. Questo include:

• Immagini e video in profili pubblici
• Contenuto condiviso in gruppi pubblici
• File caricati su servizi di archiviazione pubblica

Vantaggi: non influisce sull'E2EE, cattura la maggior parte del contenuto CSAM che circola sulle piattaforme (studi indicano che >70% del CSAM rilevato oggi proviene da upload pubblici o semipubblici, non da messaggi privati).

Svantaggi: non rileva CSAM condiviso esclusivamente in messaggi privati crittografati.

Stato attuale: già implementato (PhotoDNA, hash matching su Facebook/Instagram, YouTube Content ID). È l'alternativa con il miglior rapporto costo-beneficio.

4. Sistemi di soglia di segnalazioni

Un approccio ibrido proposto da crittografi di Signal e accademici: il contenuto di un utente viene scansionato solo quando ha ricevuto un numero sufficiente di segnalazioni indipendenti (ad esempio, 5 segnalazioni da utenti diversi in 24 ore).

Utente A invia M a B, C, D...
    B segnala M → contatore = 1
    C segnala M → contatore = 2  (soglia non raggiunta)
    D segnala M → contatore = 3  (soglia non raggiunta)
    ...
    Se contatore ≥ K → M viene scansionato (con supervisione giudiziaria o fiduciaria)

Vantaggi: lo scanning non è di massa ma reattivo alle segnalazioni; protegge la stragrande maggioranza degli utenti dallo scanning; preserva l'E2EE per le comunicazioni non segnalate.

Svantaggi: vulnerabile ad attacchi di molestie (5 persone coordinano false segnalazioni contro un bersaglio); richiede una soglia attenta per evitare sia falsi positivi che elusione; non rileva CSAM che nessuno segnala.

Variante migliorata: la soglia non è sul numero di segnalazioni ma sulla diversità delle fonti (segnalazioni da diversi gruppi sociali, senza coordinamento apparente). Questo riduce il rischio di attacchi coordinati.

Alternative politiche e istituzionali

5. Riforma del sistema di segnalazione NCMEC

Il National Center for Missing & Exploited Children (NCMEC) degli USA riceve attualmente ~30 milioni di segnalazioni di CSAM all'anno (2023), delle quali solo una frazione viene investigata. Il collo di bottiglia non è il rilevamento ma la capacità di indagine e perseguimento.

Un'alternativa politica sarebbe:

• Rafforzare i centri di segnalazione nazionali (INHOPE e le hotline nazionali in Europa)
• Aumentare la capacità di indagine di Europol e delle polizie nazionali
• Migliorare la cooperazione transfrontaliera per il perseguimento

Vantaggi: affronta il problema reale (la mancanza di capacità investigativa, non di rilevamento), compatibile con tutti i diritti fondamentali, non richiede modifiche tecniche.

Svantaggi: meno spettacolare politicamente di una nuova legge; richiede investimenti di bilancio; non risponde alla richiesta di "fare qualcosa" contro il CSAM.

6. Quadro di supervisione giudiziaria per eccezioni

Se si stabilisce che debba esistere un meccanismo di accesso eccezionale a comunicazioni crittografate (come esiste per l'intercettazione legale tradizionale), questo deve essere soggetto alle stesse garanzie:

• Autorizzazione giudiziaria individualizzata
• Proporzionalità e sussidiarietà
• Notifica differita all'interessato
• Supervisione indipendente
• Limiti temporali rigorosi
• Divieto di scanning di massa

Vantaggio: coerente con il quadro legale europeo esistente (l'intercettazione legale è già regolamentata).

Svantaggio: non scala per CSAM (servirebbero milioni di autorizzazioni giudiziarie); non risolve il problema del rilevamento iniziale (serve un sospetto per richiedere l'ordine).

7. Crittografia in gruppi piccoli, scansione in gruppi grandi

Una proposta di compromesso: preservare l'E2EE per comunicazioni 1:1 e gruppi piccoli (ad esempio, ≤10 partecipanti), e permettere forme limitate di scansione in gruppi grandi (canali, comunità, gruppi di >100 partecipanti) dove l'E2EE è tecnicamente più complesso e l'aspettativa di privacy è minore.

Vantaggio: protegge la comunicazione interpersonale (dove l'aspettativa di privacy è massima) pur permettendo il rilevamento in spazi semipubblici.

Svantaggio: arbitrarietà della soglia (perché 10 e non 50?); anche i gruppi piccoli possono essere usati per condividere CSAM; crea un incentivo perverso per cui gli abusatori mantengano gruppi piccoli.

Confronto aggregato

Conclusione

Nessuna alternativa allo scanning di massa è perfetta. Ma questo non è un argomento a favore dello scanning di massa, perché lo scanning di massa non è perfetto nemmeno —ha i suoi problemi di falsi positivi, elusione, costo e, soprattutto, rottura strutturale della crittografia.

La domanda corretta non è "quale alternativa rileva tanto CSAM quanto lo scanning di massa?" ma "quale combinazione di alternative massimizza il rilevamento di CSAM soggetta al vincolo di preservare la crittografia end-to-end?".

Sotto questa formulazione, la risposta è un pacchetto di misure:

1. Breve termine: rafforzare i sistemi di segnalazione, le hotline e la cooperazione internazionale
2. Medio termine: implementare rilevamento basato su metadati con garanzie rigorose di trasparenza e audit
3. Sempre: mantenere il rilevamento negli upload pubblici e nei contenuti non crittografati
4. Ricerca: esplorare sistemi di soglia di segnalazioni con garanzie crittografiche
5. Politica: aumentare la capacità investigativa delle autorità invece di delegare alle piattaforme la sorveglianza di massa

Ciò che nessuna alternativa può offrire —e ciò che il dibattito dovrebbe riconoscere onestamente— è una soluzione tecnica che rilevi tutto il CSAM in comunicazioni crittografate senza rompere la crittografia. Questa soluzione non esiste, non perché la tecnologia sia insufficiente, ma perché il problema è mal posto: non si può sapere cosa c'è dentro una busta chiusa senza aprirla. E una busta che può essere aperta non è una busta chiusa.

---

Documenti correlati:

• Chat Control — Definizione e contesto
• Crittografia e sorveglianza — Perché lo scanning di massa rompe l'E2EE
• Crittografia omomorfica — Promesse e limiti
• Proof a conoscenza zero — Applicazioni al problema del rilevamento