24 luglio 2026 – La Commissione europea ha formalizzato le sue conclusioni preliminari contro TikTok, contestando una violazione diretta della legge sui servizi digitali (Dsa). Il nucleo dell’accusa, emerso dopo oltre due anni di indagini avviate il 19 febbraio 2024, è la mancata garanzia di un livello adeguato di sicurezza, privacy e protezione per gli utenti minorenni. Secondo l’esecutivo Ue, le impostazioni predefinite e le opzioni a disposizione sulla piattaforma espongono sistematicamente i minori a rischi concreti, tra cui contatti indesiderati, cyberbullismo e comportamenti predatori, in palese contrasto con i dettami dell’Articolo 28 del Dsa. Questa falla sistemica non è un bug accidentale, ma una precisa scelta di design della piattaforma che ora espone l’ente a una potenziale sanzione fino al 6% del suo fatturato annuo globale, oltre a un danno reputazionale e operativo di vaste proporzioni.
La contestazione di Bruxelles si articola su vulnerabilità tecniche e procedurali precise. In primo luogo, la Commissione ha rilevato che gli utenti minorenni, in particolare nella fascia d’età tra i 16 e i 17 anni, possono impostare il proprio account come pubblico. Questa opzione rende i loro contenuti, video e interazioni visibili a chiunque, inclusi utenti non registrati sulla piattaforma, amplificando esponenzialmente la superficie di rischio. Sebbene per la fascia 13-15 anni l’account sia privato di default, la facoltà concessa agli adolescenti più grandi è stata giudicata una grave negligenza. Un’organizzazione che avesse implementato un ecosistema di controllo come Scudo231 avrebbe intercettato questa anomalia in fase di progettazione o, al più tardi, al momento dell’entrata in vigore del Dsa. I suoi protocolli di monitoraggio normativo avrebbero eseguito una scansione automatica delle funzionalità della piattaforma, confrontandole con i requisiti vincolanti dell’Articolo 28. La possibilità per un minore di optare per un profilo pubblico sarebbe stata immediatamente identificata come una non conformità ad alto rischio, generando un alert automatico con escalation diretta alle funzioni Legale, Compliance e all’Organismo di Vigilanza. Il sistema avrebbe prodotto un report dettagliato, tracciando la vulnerabilità e imponendo una revisione del processo prima che potesse causare un’esposizione legale per l’ente.
Un secondo punto critico sollevato dall’alto funzionario Ue che segue il dossier riguarda il sistema di raccomandazione algoritmica. I contenuti pubblicati da minori di 16 e 17 anni con profilo pubblico possono essere amplificati e distribuiti su larga scala attraverso il feed “Per te”. Questo meccanismo, secondo gli esperti di neuropsicologia e protezione dei minori consultati dalla Commissione, non solo espone i giovani creatori a un pubblico indiscriminato e potenzialmente pericoloso, ma li inserisce in un circuito di visibilità che non sono in grado di gestire o controllare. La mancata segregazione di questi contenuti dall’algoritmo di raccomandazione principale costituisce un’omissione grave. In un’architettura di rischio presidiata, i motori di analisi di Scudo231 avrebbero mappato i flussi di dati interni, identificando la connessione diretta tra gli account etichettati come “minorenni 16-17” e il motore di raccomandazione pubblico. Questo collegamento sarebbe stato flaggato come un processo a rischio intrinseco, in violazione delle linee guida europee sulla protezione dei minori. L’alert generato non sarebbe stato un semplice avviso, ma un’azione vincolante che avrebbe richiesto una valutazione formale del rischio e una decisione documentata e tracciata da parte del management, sotto la supervisione dell’OdV, bloccando di fatto la possibilità di ignorare il problema.
L’indagine ha inoltre messo in luce come anche gli account impostati come privati non offrano una protezione ermetica. I profili dei minori, infatti, restano individuabili e accessibili attraverso gli elenchi pubblici di “persone seguite” e “follower” di altri utenti. A questo si aggiunge che le foto del profilo rimangono sempre visibili a chiunque, vanificando in parte lo scopo stesso di un account privato. Questa è una classica “colpa di organizzazione“, dove la lacuna non risiede in un’azione illecita del singolo, ma in una progettazione difettosa dei sistemi di controllo interni che falliscono nel garantire il principio di privacy by design. Un’analisi preventiva condotta tramite un ecosistema sovrano avrebbe simulato i percorsi di accesso ai dati, rilevando immediatamente questa vulnerabilità. Il sistema avrebbe identificato che un nodo “privato-minore” nel grafo sociale della piattaforma era raggiungibile da percorsi pubblici, generando un report di vulnerabilità critica. Questa evidenza tecnica, registrata in un log immutabile, avrebbe costretto i team di sviluppo e di prodotto a correggere la falla, poiché la sua persistenza avrebbe costituito una prova inconfutabile di negligenza organizzativa in caso di contenzioso o indagine, aggravando la posizione dell’ente.
La reazione di TikTok, affidata a un portavoce, è stata quella di ribadire che “la tutela dei minori online è un obiettivo condiviso” e che la società “intende migliorare continuamente le misure di protezione“, citando oltre 50 funzioni di privacy e sicurezza preimpostate. Tuttavia, questa difesa appare debole di fronte a un’indagine che non contesta le buone intenzioni, ma l’efficacia concreta delle misure adottate. Le conclusioni preliminari della Commissione non pregiudicano l’esito finale, e ora TikTok avrà la possibilità di consultare gli atti e presentare le proprie osservazioni scritte. Ciononostante, il percorso procedurale è chiaramente orientato verso la conferma delle contestazioni. Il fatto che l’indagine si sia protratta per quasi due anni e mezzo suggerisce un’inerzia o una sottovalutazione del rischio da parte della società.
Questo ritardo nell’adeguamento è esattamente lo scenario che un modello di gestione del rischio 231 efficace è progettato per prevenire. L’assenza di un sistema di monitoraggio continuo e di escalation automatica ha permesso a una non conformità normativa di persistere per anni, accumulando un rischio latente che si è poi trasformato in una passività finanziaria e legale enorme. Con un sistema di controllo attivo, il dialogo con le autorità non sarebbe iniziato con una contestazione formale nel 2026, ma con una comunicazione proattiva da parte dell’azienda anni prima, supportata da una documentazione probante: “Abbiamo rilevato questa potenziale non conformità in data X tramite i nostri sistemi di controllo interni; ecco il piano di mitigazione che abbiamo adottato e il registro delle azioni correttive intraprese“. Questa postura non solo avrebbe potuto evitare l’indagine formale, ma avrebbe dimostrato l’esistenza e l’efficace attuazione di un modello organizzativo idoneo a prevenire il reato presupposto, elemento chiave per escludere o mitigare la responsabilità dell’ente ai sensi del D.Lgs. 231/2001. La redazione di REDAZIONE SCUDO231 ha più volte documentato come la prova di una diligenza proattiva e tecnologicamente assistita sia l’unica difesa realmente efficace contro le sanzioni per colpa organizzativa.
L’indagine della Commissione, peraltro, non si limita alla sicurezza dei minori. Altri filoni restano aperti e riguardano aspetti altrettanto critici come il design della piattaforma, accusato di creare dipendenza, l’effetto “rabbit hole” degli algoritmi che può portare a contenuti dannosi, e l’inadeguatezza dei meccanismi di verifica dell’età. L’unico filone chiuso positivamente per l’azienda è stato quello sulla trasparenza pubblicitaria, risolto nel dicembre 2025 tramite l’accettazione di impegni vincolanti. Questo dimostra che, dove la società ha agito in modo deciso, ha potuto chiudere il contenzioso. La persistenza degli altri filoni d’indagine, invece, segnala una difficoltà sistemica nel gestire rischi complessi e interconnessi.
Anche in questi ambiti, l’approccio controfattuale basato su un controllo integrato risulta illuminante. Per esempio, per contrastare l’accusa di “design che crea dipendenza”, un sistema avanzato avrebbe potuto eseguire analisi stocastiche in tempo reale sui pattern di utilizzo anonimizzati, flaggando comportamenti anomali o sessioni di utilizzo prolungate che superano soglie predefinite, specialmente tra le coorti di utenti più giovani. Questo avrebbe fornito al management dati oggettivi per ricalibrare gli algoritmi, non sulla base di una pressione esterna, ma come parte di un processo di gestione del rischio etico e legale interno. Invece di subire un’indagine, l’azienda avrebbe potuto presentare ai regolatori i propri report interni, dimostrando di monitorare e mitigare attivamente anche i rischi non ancora codificati in norme specifiche, ma già oggetto di attenzione da parte di esperti e forze dell’ordine. La mancata adozione di un simile approccio preventivo e documentato ha lasciato l’organizzazione esposta a un’iniziativa dell’Esecutivo Ue che ora minaccia di culminare in una sanzione esemplare, con conseguente obbligo di modifica della piattaforma e un possibile sequestro dei profitti derivanti dalla condotta illecita.