La legge californiana sui social per gli under 16 controlla il tuo telefono, non la tua posizione: cosa significano AB 1709 e AB 1856 per gli utenti VPN

Il 10 settembre il governatore Gavin Newsom ha firmato tredici leggi sulla sicurezza dei minori in un’unica seduta. Quella in tutti i titoli è l’AB 1709, che vieta alle piattaforme social di offrire «funzioni che creano dipendenza» a chiunque abbia meno di 16 anni in California. Quella di cui quasi nessuno ha scritto è l’AB 1856, ed è la legge che decide come una piattaforma saprà l’età di un utente in primo luogo.

È in questa seconda questione che la storia tocca gli utenti VPN. Gli ultimi tre anni hanno abituato internet ad aspettarsi una sequenza: un parlamento approva una legge sul controllo dell’età, i siti web iniziano a chiedere un documento o una scansione del volto, e la domanda di VPN esplode nel giro di ore. È successo nell’Utah nel 2023, in Francia a giugno 2025, nel Regno Unito quel luglio e in Australia a dicembre. Quindi il riflesso di giovedì sera era prevedibile: arriva il divieto della California, è ora di procurarsi una VPN.

Il sistema californiano non funziona così. Il suo controllo dell’età non chiede alcun documento e non si interessa a dove ti trovi. Chiede al telefono. Ecco cosa fanno le due leggi, come viene costruito il segnale di età, perché una VPN non cambia nessuno dei suoi input, e cosa significa la legge per chi ne usa già una.

Cosa ha firmato la California il 10 settembre 2026?

L’ufficio del Governatore elenca tredici leggi firmate quel giorno nella contea di Marin, dalle regole sui chatbot di compagnia per i minori (SB 1119, «Adam’s Law») al divieto di chatbot nei giocattoli (SB 867). «La sicurezza dei nostri figli merita di essere al centro di ogni conversazione sulla tecnologia», ha dichiarato Newsom nel comunicato.

Due delle tredici contano qui.

AB 1709, del deputato Josh Lowenthal di Long Beach, è intitolata «Covered platforms: age restriction: e-Safety Advisory Commission» (piattaforme coperte: limiti di età: commissione consultiva e-Safety). È la regola per gli under 16, e ha superato entrambe le camere il 31 agosto.

AB 1856, della deputata Buffy Wicks di Oakland, è intitolata «Age verification signals: software applications» (segnali di verifica dell’età: applicazioni software). Modifica il Digital Age Assurance Act, la legge scritta da Wicks l’anno scorso (AB 1043, firmata il 13 ottobre 2025) che trasforma il sistema operativo di un telefono nella fonte di verità sull’età di un utente. L’AB 1709 si appoggia a quella legge citandola per nome, ed è per questo che le due leggi vanno lette insieme.

Cosa vieta l'AB 1709?

La frase operativa, nel testo definitivo, è breve: «Una piattaforma coperta non deve fornire una funzione che crea dipendenza a un utente di età inferiore a 16 anni».

Una funzione che crea dipendenza è definita come una qualsiasi delle «funzioni psicologicamente manipolative pensate per massimizzare il coinvolgimento che prevedibilmente portano a un uso compulsivo», e la legge ne nomina due: un feed che crea dipendenza e l’autoplay. L’Attorney General può aggiungerne altre per regolamento. Una piattaforma coperta è qualsiasi sito, servizio o app che «offre o fornisce agli utenti una funzione che crea dipendenza come parte significativa del servizio», con l’esclusione dei siti di commercio e dell’archiviazione cloud.

Di per sé questo non è un divieto di account. Una piattaforma può continuare a offrire a un minore una versione priva delle funzioni che creano dipendenza. I denti della legge spuntano quando non lo fa: una piattaforma che non può o non vuole offrire quella versione deve «cancellare l’account di un utente di età inferiore a 16 anni e qualsiasi informazione personale associata all’utente». La Electronic Frontier Foundation, che ha chiesto a Newsom di porre il veto, definisce il risultato «un divieto di fatto dell’uso dei social media per le persone sotto i 16 anni». Newsom l’ha inquadrata diversamente il giorno della firma, dicendo al Los Angeles Times che «si tratta delle funzioni in sé. Si tratta di affrontare davvero il problema, lo scrolling, gli algoritmi».

Le sanzioni ricadono sulla piattaforma. Una violazione consapevole costa fino a 50.000 dollari per ogni minore coinvolto; una negligente fino a 25.000 dollari. Solo l’Attorney General o un procuratore locale possono avviare la causa, e il tribunale «deve considerare le dimensioni della piattaforma coperta, la gravità e la durata della violazione» e i suoi sforzi in buona fede per conformarsi. La legge crea anche una e-Safety Advisory Commission di sette membri all’interno del Department of Justice, che riferisce al Parlamento statale ogni gennaio.

Il testo non fissa una data operativa propria. In base alla regola predefinita della California per le leggi approvate in sessione ordinaria, ciò significa il 1° gennaio 2027, che è per coincidenza il giorno in cui si accende il segnale di età da cui la legge dipende.

Come farà una piattaforma a sapere che un utente ha meno di 16 anni?

Una sola frase separa la California da ogni altra legge sul controllo dell’età oggi in vigore: «Prima di fornire una funzione che crea dipendenza a un utente, una piattaforma coperta deve verificare l’età dell’utente ai sensi del Digital Age Assurance Act».

Non scansionando un documento. Non stimando l’età da un selfie. Non leggendo un indirizzo IP. Chiedendo al sistema operativo.

L’analisi dell’AB 1856 della Commissione Privacy dell’Assemblea espone il meccanismo che la legge già contiene. Un fornitore di sistema operativo, cioè in pratica Apple, Google o Microsoft, deve presentare alla configurazione dell’account un’interfaccia «che richieda al titolare dell’account di indicare la data di nascita, l’età o entrambe dell’utente di quel dispositivo». Da quell’inserimento il sistema operativo ricava i «dati di fascia di età», definiti come «dati non identificabili personalmente derivati dalla data di nascita o dall’età di un utente», in quattro fasce: sotto i 13, da 13 a 16, da 16 a 18 e 18 o più. Quando un’app viene scaricata e avviata deve richiedere il segnale, che arriva «tramite un’interfaccia di programmazione applicativa in tempo reale ragionevolmente coerente». Uno sviluppatore che riceve il segnale è «considerato a conoscenza effettiva della fascia di età dell’utente» e deve trattarlo come indicatore primario dell’età a meno che non disponga di informazioni chiare e convincenti in senso contrario.

La commissione è insolitamente schietta sul perché la California abbia preso questa strada. I controlli documentali, scrive, richiedono «agli utenti di trasmettere documenti di identità sensibili a potenzialmente decine di piattaforme, creando seri rischi per la privacy e la sicurezza dei dati», mentre i metodi biometrici e comportamentali «richiedono una raccolta di dati estesa» e «funzionano in modo inaffidabile proprio ai confini di età che contano di più». La fascia dichiarata alla configurazione è il compromesso: un inserimento, fatto una volta, dall’adulto che ha configurato il telefono, condiviso come intervallo anziché come data.

L’AB 1856 rafforza l’impianto. Secondo la sintesi del Legislative Counsel, elimina la definizione che limitava «utente» a un minore che è l’utente principale di un dispositivo; applica l’obbligo dell’interfaccia solo «se un sistema operativo funziona su un dispositivo e dispone di una funzione di configurazione dell’account»; impone che il segnale raggiunga sia gli app store sia gli sviluppatori; e aggiunge un divieto che prima non esisteva: «Nessuno può richiedere un segnale relativo a un particolare utente a un fornitore di sistema operativo o a un app store coperto se non è tenuto a farlo da questo titolo o da qualsiasi altra legge applicabile». I distributori di sistemi operativi open source sono esclusi, dopo che progetti come GrapheneOS hanno dichiarato pubblicamente che non avrebbero costruito l’interfaccia. Il calendario resta invariato: i sistemi operativi devono fornire i segnali dal 1° gennaio 2027, i dispositivi configurati prima di quella data ricevono un’interfaccia entro il 1° luglio 2027, e gli sviluppatori devono richiedere i segnali entro la stessa scadenza di luglio.

Apple e Google sono avanti rispetto alla legge. La Declared Age Range API di Apple, arrivata con iOS 26 a settembre 2025, restituisce «la fascia o la categoria di età, a seconda dei requisiti legali della regione» insieme al modo in cui quell’età è stata stabilita: autodichiarata, dichiarata da un tutore, verificata con un documento governativo, verificata con una carta di pagamento. La Play Age Signals API di Google restituisce 0-12, 13-15, 16-17 o 18+ con un livello di fonte da «autodichiarata» a «documento governativo e selfie», e Google ha annunciato il 29 luglio 2026 che l’avrebbe aperta a tutti gli sviluppatori Play del mondo.

Un’altra clausola conta per quanto segue. Se una piattaforma «non è in grado di verificare l’età dell’utente» tramite la legge, l’AB 1709 la rimanda al metodo di determinazione dell’età del Protecting Our Kids from Social Media Addiction Act del 2024 (SB 976), la cui disposizione sulla verifica dell’età è anch’essa operativa dal 1° gennaio 2027 e i cui metodi sono fissati dall’Attorney General per regolamento. Una sessione da browser desktop senza segnale del sistema operativo è il caso ovvio. Quel percorso di riserva è l’unico punto in cui un documento o una stima potrebbero entrare in gioco, e cosa richiederà non è ancora scritto.

L'Utah chiede dove sei. La California chiede quanti anni hai.

Le VPN sono entrate nel dibattito sulla verifica dell’età a causa di una legge di tipo diverso. La SB 73 dell’Utah, di cui abbiamo parlato quando i titoli «entra in vigore il 3 settembre» si sono rivelati sbagliati, è costruita sulla posizione. La sua disposizione sulla localizzazione presunta stabilisce che un individuo «è considerato accedere al sito web da questo Stato se si trova effettivamente nello Stato, indipendentemente dal fatto che utilizzi una rete privata virtuale, un server proxy o altri mezzi per mascherare o falsare la propria posizione geografica…». Il sito deve quindi verificare l’età di quel visitatore. Tutto l’impianto dipende dal sapere dove ti trovi. È l’unica cosa che una VPN cambia, ed è per questo che il regolamento proposto dall’Utah ha ora una sezione sull’«offuscamento della geolocalizzazione» e per questo Aylo ha fatto causa.

Le due leggi californiane non contengono alcuna clausola paragonabile. L’AB 1709 non menziona posizione, indirizzi IP o VPN. Nemmeno l’AB 1856. Nel diritto statunitense esistono ora tre modelli distinti, e trattano una VPN in modo molto diverso:

La frase da ricordare: un segnale di età è un’affermazione su chi ha configurato il telefono. Una VPN è un’affermazione su dove il telefono sembra trovarsi. Le due cose non si incontrano mai.

Una VPN aggira la regola californiana per gli under 16?

No, e non è fatta per questo.

Una VPN fa due cose. Sostituisce l’indirizzo IP che siti e app vedono con l’indirizzo del server VPN, così l’altro capo vede Parigi o Francoforte invece della tua connessione di casa. E cifra tutto ciò che passa tra il tuo dispositivo e quel server, così il router del bar e il tuo provider internet vedono un tunnel cifrato invece del tuo traffico. Entrambe sono utili. Nessuna delle due raggiunge la fascia di età memorizzata nell’account Apple o Google del dispositivo, né l’API sul dispositivo che consegna quella fascia a un’app. Un quindicenne il cui genitore ha inserito una data di nascita del 2011 alla configurazione porta con sé la fascia da 13 a 16 su una rete Wi-Fi di Los Angeles come su un server VPN ad Amsterdam.

La posizione entra in gioco in un punto, e vale la pena essere precisi su quale. L’AB 1709 protegge gli utenti in California, e il suo testo non prescrive come una piattaforma decida che un utente lo sia. In pratica i fornitori hanno legato il loro comportamento specifico per Stato all’account, non alla rete del momento: Apple ha applicato i requisiti del Texas ai «nuovi Apple Account in Texas» dal 1° gennaio 2026, e Google agli account texani creati dopo il 28 maggio 2026. Un account configurato in California con la data di nascita di un minore sarà trattato come l’account di un minore californiano ovunque il telefono si connetta.

Due avvertenze, perché la versione ordinata qui sopra le nasconde. Il percorso di riserva esiste, e finché l’Attorney General non scriverà i regolamenti della SB 976 nessuno può dire cosa chiederà una piattaforma che non riceve alcun segnale. E ogni modello nella tabella sopra, compreso quello californiano, dipende dalla veridicità di ciò che è stato inserito alla configurazione: un dispositivo configurato con la data di nascita di un adulto porta la fascia di un adulto, e l’analisi della commissione riconosce che il semplice fatto di chiedere una data di nascita, pur non gravando su nessuno, non verifica nulla che un minore non sia disposto a rispondere onestamente. La scommessa della California è che la persona che inserisce la data alla configurazione sia un genitore, non il figlio.

Ciò che nessun modello nella tabella fa è punire l’utente. Nulla nell’AB 1709 o nell’AB 1856 multa una persona per l’uso di una VPN, per qualsiasi scopo. Era vero anche per la legge dell’Utah, nonostante i titoli, ed è vero qui. La nostra guida 2026 su dove le VPN sono legali copre la manciata di Paesi in cui la risposta è diversa.

Cosa è successo nel Regno Unito, in Australia e in Francia quando sono arrivati i controlli dell'età?

La California arriva tardi. Le tre giurisdizioni che si sono mosse per prime hanno testato ciascuna un modello diverso, e ciascuna ha prodotto dei numeri.

Il Regno Unito ha scelto il modello del sito web. Dal 25 luglio 2025 l’Online Safety Act ha imposto ai siti che ospitano contenuti per adulti e altri contenuti vietati ai minori di applicare una «verifica dell’età altamente efficace», cioè confronto con un documento con foto, stima dell’età dal volto o simili, sul sito. Il tracker della domanda di Top10VPN ha registrato una domanda di VPN nel Regno Unito superiore del 1.327% alla media dei 28 giorni precedenti il 25 luglio, del 1.712% il 26 luglio e del 1.987% il 27 luglio. Un anno dopo, il primo rapporto ufficiale di Ofcom sulla verifica dell’età, pubblicato a metà luglio 2026, ha contato più di 69 milioni di controlli dell’età su un campione di 32 servizi nella seconda metà del 2025, 23 volte i sei mesi precedenti, e ha indicato che la quota di minori che incontrano un controllo altamente efficace è salita dal 25% al 43% tra luglio 2025 e gennaio 2026. I controlli funzionano; i controlli spingono anche le persone verso le VPN. Entrambe le cose sono vere, e il mercato VPN del Regno Unito ha un aspetto diverso da allora.

L’Australia ha scelto un obbligo per le piattaforme senza un metodo imposto. La sua età minima di 16 anni è entrata in vigore il 10 dicembre 2025, imponendo alle piattaforme di adottare «misure ragionevoli» per tenere fuori gli under 16, con multe fino a 49,5 milioni di dollari australiani e nessuna sanzione per minori o genitori. Il 16 gennaio 2026 eSafety ha riferito che le piattaforme avevano rimosso l’accesso a 4,7 milioni di account under 16 entro metà dicembre; Meta afferma di aver rimosso da sola l’accesso a più di 750.000 account Facebook e Instagram entro il 30 giugno 2026. Top10VPN ha registrato un picco di domanda del 103% il 7 dicembre. Il verdetto di Newsom sull’approccio australiano, secondo il Los Angeles Times, è stato che i giovani stanno «tutti trovando un modo per aggirare quel sistema», che è l’argomento a favore del prendere di mira le funzioni anziché gli account.

La Francia ha scelto un divieto per gli under 15, e la sua corte suprema lo ha bocciato. Il 14 agosto 2026 la decisione 2026-911 DC del Conseil constitutionnel ha censurato l’articolo 1 della legge che avrebbe vietato i social network agli under 15 dal 1° settembre. Il divieto era una restrizione sproporzionata della libertà di espressione, ha stabilito la corte, e violava la privacy perché la legge «implica, di per sé, che ogni persona, anche maggiorenne, fornisca la prova della propria età» senza che il legislatore ne fissasse le condizioni e i limiti. Il governo punta ora a riscrivere il testo entro la primavera del 2027. La Francia aveva già visto cosa fanno i controlli a livello di sito alla domanda di VPN: Top10VPN ha misurato una domanda del 570% superiore al normale il 5 giugno 2025, quando la verifica dell’età è arrivata sui siti per adulti. La EFF ha citato la sentenza francese nella dichiarazione pubblicata il giorno in cui la California ha firmato la legge.

Lo schema regge in tutti e tre i casi. L’impennata delle VPN segue le leggi che fanno controllare un documento al sito web. Il modello californiano evita il documento, che è la stessa obiezione sollevata dalla corte francese, ed evita la posizione, che è ciò che rende una VPN rilevante nell’Utah. Se questo eviti anche l’impennata è una domanda per gennaio 2027, non per settembre 2026.

Quando inizia tutto questo?

• 10 settembre 2026: firma dell'AB 1709 e dell'AB 1856.
• 22 ottobre 2026: fine del periodo di non applicazione dell'Utah contro Aylo, a meno che il giudice non decida prima sull'ingiunzione preliminare.
• 1° gennaio 2027: l'AB 1709 entra in vigore. I fornitori di sistemi operativi devono iniziare a fornire i segnali di età in base al Digital Age Assurance Act. Diventa operativa la disposizione sulla verifica dell'età della SB 976.
• 1° luglio 2027: scadenza per un'interfaccia di età sui dispositivi configurati prima del 2027, e per gli sviluppatori di app aggiornate da gennaio 2026 per richiedere i segnali.
• Primavera 2027: obiettivo del governo francese per una legge riscritta sugli under 15.
• Date in tribunale: nessuna per ora. La reazione di NetChoice alla firma, «lo Stato non può semplicemente definire un discorso come fonte di dipendenza e poi rivendicare il diritto di regolarne l'accesso», suona come una bozza di ricorso. Il Nono Circuito ha lasciato in piedi gran parte della SB 976 a settembre 2025; la legge texana sugli app store è sopravvissuta fino al rifiuto della Corte Suprema di intervenire. Aspettati contenziosi, e aspettati che le date di entrata in vigore qui sopra siano la prima cosa che prenderanno di mira.

Cosa significa se usi una VPN in California

Per un adulto non cambia nulla. Il tuo account porta una fascia da adulto; le app la leggeranno da gennaio e ti tratteranno come oggi. La tua VPN continua a fare ciò per cui l’hai comprata: tenere il tuo indirizzo IP fuori dai registri di ogni sito, cifrare il tuo traffico sulle reti di hotel e aeroporti e permetterti di raggiungere i tuoi servizi di casa quando viaggi. Se tutto questo è nuovo per te, la nostra guida all’uso di una VPN negli Stati Uniti è il punto da cui partire; i piani di Le VPN coprono 10 dispositivi contemporaneamente e includono una garanzia di rimborso di 30 giorni.

Se sei un genitore, la protezione della legge per tuo figlio si regge ora su un solo inserimento: la data di nascita che digiti quando configuri il suo telefono. Inserisci la tua e il dispositivo dirà a ogni app di appartenere a un adulto. Inserisci la sua e la fascia seguirà il telefono. Quel singolo campo, non la pagina delle impostazioni di un’app, è dove inizia la regola californiana. Vale la pena dare uno sguardo più ampio a come vengono configurati i dispositivi dei bambini prima di gennaio.