La legge dell'Utah sulle VPN non è entrata in vigore oggi: cosa fa davvero la SB 73 agli utenti VPN

Se questa settimana hai letto la stampa tecnologica, hai visto qualche versione dello stesso titolo: la prima legge statunitense che prende di mira l’uso delle VPN entra in vigore il 3 settembre. È la data che Gizmodo ha messo nel suo titolo del 31 agosto, ed è la data che si è diffusa tra forum e social nel fine settimana. Ed è anche sbagliata, in due direzioni contemporaneamente.

Il Senate Bill 73 dell’Utah è in vigore dal 6 maggio 2026. La sua disposizione sulle VPN è legge da quattro mesi. Ciò che doveva concludersi il 3 settembre non era il letargo della legge ma una tregua giudiziaria: la promessa dell’Utah di non applicare la clausola VPN contro una sola società, Aylo, l’operatore di Pornhub, mentre un giudice federale valuta il ricorso dell’azienda. E quella tregua è stata prorogata il 27 agosto, una settimana prima che uscissero i titoli. Oggi non è cambiato nulla per nessuno nell’Utah con un’app VPN sul telefono.

Ecco cosa dice la legge, chi vincola, a che punto è la causa e cosa significa tutto questo per chi usa una VPN.

La legge dell'Utah sulle VPN è entrata in vigore il 3 settembre?

No. La confusione nasce dal sovrapporre due documenti.

Il primo è la legge stessa. La SB 73, gli Online Age Verification Amendments, è stata promossa dal senatore Calvin Musselman e dal deputato Steve Eliason e firmata dal governatore Spencer Cox il 19 marzo 2026. La Sezione 22 del testo definitivo ne fissa la data di entrata in vigore: 6 maggio 2026, con una manciata di disposizioni fiscali a seguire il 1° ottobre. Il linguaggio sulle VPN si trova nella Sezione 14, che modifica lo Utah Code 78B-3-1002, e porta la data del 6 maggio come tutto il resto.

Il secondo documento è una dichiarazione congiunta depositata in tribunale federale il 27 aprile 2026, cinque giorni dopo la causa di Aylo. In essa la Division of Consumer Protection e il Department of Commerce dell’Utah hanno accettato di astenersi dall’applicare la «Deemed-Location Provision» contro Aylo e le sue affiliate «fino al 3 settembre 2026, ossia 120 giorni dopo la data in cui la disposizione sarebbe altrimenti entrata in vigore». Aylo, da parte sua, ha accettato di non modificare il proprio attuale geofencing nell’Utah, il che significa che Pornhub e i siti gemelli sarebbero rimasti bloccati per gli indirizzi IP dell’Utah, come lo sono dal 2023.

Ecco da dove viene la data del 3 settembre. Non è mai stata una data di entrata in vigore. Era la scadenza di una promessa di non applicazione fatta a una sola parte in causa. E secondo il fascicolo del tribunale, il 27 agosto le parti hanno depositato un’ulteriore «Joint Stipulation for Extension of Non-Enforcement», di cui il tribunale ha preso atto il giorno successivo. Come ha riportato XBIZ il 28 agosto, la proroga arriva al 22 ottobre 2026, o fino a quando il tribunale deciderà sulla mozione di Aylo per un’ingiunzione preliminare, a seconda di quale evento arrivi prima. La dichiarazione inquadra il tempo aggiuntivo intorno a un procedimento regolamentare dell’Utah: «questo Periodo di Astensione Continuata consente ai Ricorrenti di partecipare a tale procedimento regolamentare senza la minaccia di responsabilità nel frattempo».

Quindi la frase corretta è più lunga di quanto un titolo consenta. La clausola VPN è legge, e lo è da maggio. L’Utah ha promesso di non usarla contro Aylo fino a fine ottobre. Per ogni altro sito coperto, la clausola si applica tecnicamente dal 6 maggio, anche se non abbiamo trovato alcuna traccia pubblica di un’azione della Division contro un sito per traffico VPN.

Cosa richiede davvero la SB 73, e a chi?

L’Utah impone la verifica dell’età sui siti per adulti dal 2023. La SB 73 ricostruisce quel regime: aggiunge l’applicazione pubblica da parte della Division of Consumer Protection accanto al diritto già esistente dei privati di fare causa, aggiunge multe, crea un’accisa sui siti coperti e aggiunge due paragrafi sulle VPN. Quei due paragrafi, nel testo definitivo, recitano quanto segue.

La regola della localizzazione presunta, nuovo comma (3) del 78B-3-1002: «Un individuo è considerato accedere al sito web da questo Stato se l’individuo si trova effettivamente nello Stato, indipendentemente dal fatto che l’individuo utilizzi una rete privata virtuale, un server proxy o altri mezzi per mascherare o falsare la propria posizione geografica in modo da far apparire che l’individuo acceda a un sito web da una località al di fuori di questo Stato».

Il divieto di facilitazione, nuovo comma (4): un sito coperto «non può facilitare o incoraggiare l’uso di una rete privata virtuale, di un server proxy o di altri mezzi per aggirare i requisiti di verifica dell’età», anche fornendo «istruzioni su come usare una rete privata virtuale o un server proxy per accedere al sito web» o «mezzi affinché individui in questo Stato aggirino il geofencing o il blocco».

Entrambe le regole si rivolgono a una «entità commerciale che gestisce un sito web contenente una porzione sostanziale di materiale dannoso per i minori». Porzione sostanziale ha un numero: più del 33 1/3 per cento del materiale totale presente sul sito. Un sito che si presenta come prevalentemente per adulti, o che usa un dominio a tema adulto, si presume superi quella linea.

Le sanzioni sono rivolte alla stessa entità. In base alla nuova sezione 78B-3-1004, il direttore della Division può imporre una multa amministrativa fino a 2.500 dollari per ogni violazione, e un tribunale può aggiungere una sanzione civile fino a 2.500 dollari per violazione, la restituzione dei profitti, ingiunzioni e il risarcimento dei danni effettivi, più fino a 5.000 dollari per violazione per chi ignora un’ordinanza. La sezione 78B-3-1002(6) esenta provider di servizi internet, motori di ricerca e provider cloud per il semplice trasporto del traffico, e il comma (5) esenta i contenuti giornalistici e di interesse pubblico in buona fede.

Nota cosa manca. Non c’è alcuna definizione di «utente VPN», nessun obbligo imposto a un provider VPN, e nessuna multa, reato o responsabilità civile per un individuo che si connette tramite VPN. La versione da citare: la SB 73 dell’Utah non regola gli utenti VPN; regola i siti web, stabilendo che un visitatore fisicamente nell’Utah conta come visitatore dell’Utah qualunque sia l’indirizzo IP che il sito vede.

Adesso è illegale usare una VPN nell'Utah?

No, e non lo era neanche il 6 maggio. Ogni clausola operativa della SB 73 indica un’entità commerciale come la parte gravata dall’obbligo. Un residente di Salt Lake City che accende una VPN per usare il Wi-Fi dell’hotel, raggiungere la rete aziendale, impedire al proprio ISP di profilare la sua navigazione o guardare un abbonamento di casa mentre è in viaggio non ha fatto nulla di cui la legge si occupi.

Ciò che la legge cambia è l’esposizione del sito web. Prima della SB 73, un sito coperto poteva sostenere che un visitatore proveniente da un indirizzo IP olandese o canadese si trovasse, ai suoi fini, nei Paesi Bassi o in Canada. Ora l’Utah dice che il sito ne risponde se quel visitatore era in realtà nell’Utah. Se il sito possa saperlo è la domanda successiva, ed è l’intero caso.

Come dovrebbe fare un sito a sapere che sei nell'Utah se usi una VPN?

In larga parte non può, ed è per questo che le critiche alla SB 73 arrivano da angolazioni molto diverse.

La Electronic Frontier Foundation ha definito il blocco degli indirizzi VPN «un gioco tecnico di acchiappa la talpa che probabilmente nessuna azienda può vincere», osservando che i provider VPN aggiungono indirizzi in continuazione e che non esiste alcuna blocklist completa. Citata da KUER a maggio, Lia Holland di Fight for the Future è stata più diretta: determinare da dove naviga un utente di una VPN affidabile è «letteralmente impossibile per come è progettata». NordVPN, interpellata da Gizmodo, ha descritto la norma come una «trappola di responsabilità» in cui «le piattaforme affrontano un’esposizione finanziaria reale per il fallimento in un compito tecnico che nessuno attualmente sa svolgere in modo affidabile».

Le ragioni tecniche non sono controverse. La geolocalizzazione IP è un’inferenza commerciale ricavata da dati di routing e registri di registrazione, non una misurazione di dove si trova un dispositivo, ed è regolarmente sbagliata a livello di Stato anche per le connessioni ordinarie. Il rilevamento di VPN e proxy si basa su liste di indirizzi di uscita noti che restano indietro rispetto alla realtà. E gli stessi segnali che segnalano una VPN consumer segnalano anche reti aziendali, reti universitarie, operatori mobili che instradano il traffico attraverso gateway fuori dallo Stato e funzioni per la privacy integrate nei browser più diffusi. Un sito che blocca tutto ciò che assomiglia a una VPN blocca una quota rilevante di visitatori legittimi, nell’Utah e ovunque.

L’argomento di Aylo in una frase: l’unico modo per essere certi di rispettare la legge nell’Utah è verificare l’età di tutti, ovunque, il che secondo quanto l’azienda ha detto al tribunale farebbe fuggire fino all’80 per cento dei suoi clienti, oppure bloccare chiunque possa plausibilmente trovarsi nell’Utah. La risposta del senatore Musselman, citata da KUER, è che «la SB 73 riguarda la responsabilità», e che i siti possono verificare l’età o confermare la posizione «preservando comunque le opzioni di cifratura per gli utenti».

La risposta dell’Utah sta arrivando per via regolamentare. La SB 73 autorizza la Division a fissare standard di verifica dell’età tramite regolamento, con un porto sicuro per i siti che li rispettano. Il regolamento proposto dalla Division, R152-78B, è aperto ai commenti pubblici fino al 1° ottobre e dovrebbe entrare in vigore l’8 ottobre, e secondo XBIZ include standard sull’«offuscamento della geolocalizzazione». Ciò che quegli standard chiederanno a un sito deciderà se la clausola della localizzazione presunta sia un obiettivo di conformità praticabile o impossibile.

Di cosa tratta la causa di Aylo, e quando deciderà il giudice?

Aylo Freesites e Aylo Group hanno presentato ricorso il 22 aprile 2026 presso la US District Court for the District of Utah, causa 2:26-cv-00340, contro la Division of Consumer Protection, la sua direttrice Katie Hass, il Department of Commerce e la sua direttrice esecutiva Margaret Busse. Il caso è affidato al giudice David Barlow. Il ricorso prende di mira specificamente la disposizione sulla localizzazione presunta e sostiene, secondo Deseret News, che la clausola «trasforma quella che è nominalmente una norma dell’Utah in un mandato globale de facto», in violazione dei limiti costituzionali alla regolamentazione statale del commercio interstatale ed estero.

Aylo non contesta la verifica dell’età in quanto tale. La Corte Suprema ha chiuso quella questione nel giugno 2025 in Free Speech Coalition v. Paxton, confermando la legge texana sulla verifica dell’età. La pretesa di Aylo è più circoscritta: uno Stato può richiedere controlli sull’età per i propri residenti, ma non può rendere una società straniera responsabile per visitatori che non ha alcun modo affidabile di collocare dentro lo Stato.

La cronologia finora, dal fascicolo e dagli atti delle parti:

Non c’è una data annunciata per la decisione sull’ingiunzione. La trascrizione dell’udienza del 30 luglio è stata depositata il 27 agosto, e la proroga è stata inquadrata dalle parti intorno all’idea di far arrivare il regolamento prima che il caso vada avanti. Aspettati le prossime vere notizie a ottobre, non a settembre.

Quali altri Stati stanno copiando l'approccio dell'Utah?

La verifica dell’età sui siti per adulti è ormai la norma negli Stati Uniti. La Age Verification Providers Association contava almeno 25 Stati che avevano approvato leggi di questo tipo a febbraio 2026, e i tracker aggiornati nel corso dell’estate collocano il numero ancora più in alto. L’Utah è stato il secondo Stato a muoversi, con una legge entrata in vigore il 3 maggio 2023 che ha spinto Pornhub a bloccare l’intero Stato due giorni prima. Google Trends mostrava le ricerche di VPN nell’Utah salire al picco di popolarità nelle prime ore del 2 maggio 2023, come riportava Newsweek all’epoca. Quell’episodio, più di ogni altra cosa, spiega perché la legge del 2026 menzioni le VPN.

Copiare la clausola VPN è un altro discorso. Nel 2025 alcuni legislatori del Michigan hanno proposto di andare molto oltre con un disegno di legge che avrebbe obbligato gli ISP a bloccare del tutto il traffico VPN; si è arenato in commissione. Il disegno di legge del Wisconsin sulla verifica dell’età conteneva inizialmente un linguaggio sulle VPN, eliminato a febbraio 2026 prima che il governatore ponesse il veto sul testo ad aprile. Il ricorso di Aylo afferma che nessuno Stato aveva mai approvato prima una clausola di localizzazione presunta, e noi non abbiamo trovato nessun’altra legge statunitense in vigore che nomini le VPN. Le assemblee legislative che, a quanto si riferisce, seguono il caso aspettano di vedere se la clausola della localizzazione presunta sopravviva alla mozione per l’ingiunzione prima di redigere le proprie. È in questo senso che l’Utah è un caso di prova: l’esito nel tribunale del giudice Barlow verrà letto in due dozzine di altre capitali.

Cosa dovrebbe fare chi vive nell'Utah con la propria VPN?

Niente, nel senso che nessun obbligo è ricaduto su di te e nessuno è in proposta. Qualche nota pratica, però, perché gli effetti di secondo ordine di leggi come questa li sentono gli utenti comuni più che i siti a cui sono rivolte.

1. Tieni la VPN accesa per ciò a cui serve. La cifratura sul Wi-Fi pubblico, un IP stabile per gli accessi bancari e di lavoro e una barriera tra la tua navigazione e il tuo ISP restano tutti intatti. Se vuoi un’uscita vicina, Le VPN gestisce un server a Salt Lake City accanto alle altre sedi statunitensi, così una connessione dall’Utah può restare nell’Utah.
2. Aspettati che più siti contestino il traffico VPN, ovunque. La risposta razionale a una regola di responsabilità senza rilevamento affidabile è il blocco eccessivo. Se un sito che non ha nulla a che fare con l’Utah inizia a rifiutare la tua connessione VPN, è il riflesso della conformità che si diffonde, non un segno che la tua VPN stia facendo qualcosa di sbagliato. Cambiare server di solito basta.
3. Non prendere la legge come un rompicapo da risolvere. La SB 73 vieta ai siti coperti di insegnare ai visitatori come aggirare i controlli sull’età, e questo articolo non lo farà al posto loro. La verifica dell’età per i contenuti per adulti è costituzionale ed è destinata a restare; la questione aperta nell’Utah è solo chi porta il peso quando gli strumenti non riescono a dire dove si trova una persona.
4. Guarda a ottobre, non a settembre. La scadenza dei commenti sul regolamento è il 1° ottobre, il regolamento potrebbe entrare in vigore l’8 ottobre e la tregua sull’applicazione con Aylo finisce il 22 ottobre salvo decisione anticipata del tribunale. Ognuna di queste cose potrebbe cambiare il quadro pratico, e nessuna è successa questa settimana.

Se vuoi la mappa più ampia di dove le VPN sono limitate e dove sono semplicemente regolamentate, la nostra guida Paese per Paese alla legalità delle VPN nel 2026 la copre, e la nostra pagina sugli Stati Uniti elenca le sedi dei server statunitensi. Per un parallelo europeo, l’anno scorso l’autorità di regolamentazione francese ha attraversato uno scontro molto simile sui controlli dell’età per i siti per adulti; abbiamo raccontato come è andata, inclusa la stessa dinamica di blocco eccessivo che l’Utah sta ora importando.

La versione breve da girare a chiunque ti mandi il titolo: la legge dell’Utah sulle VPN è reale, è in vigore da maggio, regola i siti web e non le persone, e la prossima data che conta è il 22 ottobre.