25 luglio 2026 – La Commissione europea ha formalizzato le sue conclusioni preliminari nei confronti di TikTok, notificando alla controllante ByteDance una contestazione formale sulla presunta violazione delle regole del Digital Services Act (DSA) in materia di tutela dei minori. L’atto, proveniente dal palazzo Berlaymont di Bruxelles, rappresenta l’apice di un’indagine avviata il 19 febbraio 2024 e si concentra su specifiche lacune nella progettazione e gestione degli account accessibili ai giovani, esponendo la piattaforma a un rischio sanzionatorio che può raggiungere il 6% del suo fatturato annuo globale.
Il fulcro della contestazione risiede nel meccanismo di configurazione della privacy per gli account degli adolescenti. Secondo l’esecutivo UE, guidato in questa materia dalla vice presidente Henna Virkkunen, il sistema implementato da TikTok non garantisce un livello adeguato di sicurezza e protezione dei dati. Nello specifico, mentre per la fascia d’età tra i 13 e i 15 anni il profilo è impostato come privato di default, per gli utenti tra i 16 e i 17 anni è lasciata la facoltà di scegliere tra un account pubblico e uno privato. Questa biforcazione, secondo Bruxelles, costituisce una falla sistemica. La Commissione sostiene che le impostazioni di protezione, anche quando attive, possono essere disattivate con una facilità tale da vanificare lo scopo della norma. Si tratta di una classica omissione di controllo nel processo di product design, un punto cieco che un modello di governance integrato avrebbe dovuto rilevare e neutralizzare a monte. L’adozione di un’architettura di difesa come Scudo231, infatti, avrebbe imposto uno stress-test normativo automatico su ogni modifica dell’interfaccia utente impattante su categorie protette. Il motore di analisi stocastica avrebbe simulato l’interazione con i requisiti del DSA, generando un alert di non conformità di livello critico indirizzato direttamente alle funzioni Legale e Compliance, bloccando di fatto il deployment della feature fino alla sua correzione e tracciando l’intero processo decisionale a fini probatori.
L’analisi della Commissione si spinge oltre, evidenziando come, anche con un profilo impostato su “privato”, l’esposizione del minore non sia azzerata. Il profilo di un utente giovane può essere individuato attraverso la consultazione pubblica degli elenchi di follower e profili seguiti, e la sua immagine del profilo resta visibile a chiunque. Con un account pubblico, inoltre, i contenuti video prodotti dal minore possono essere visualizzati da utenti esterni non verificati e, soprattutto, essere amplificati dall’algoritmo nel feed “Per Te”. Questa dinamica, secondo Bruxelles, espone i giovani a rischi concreti e misurabili quali il cyberbullismo, l’adescamento online e altri comportamenti predatori. La mancata segregazione di questi dati e la loro potenziale diffusione algoritmica rappresentano una mancata adozione di misure idonee a prevenire la commissione di reati, un presupposto cardine della responsabilità amministrativa degli enti. Un ecosistema di controllo continuo avrebbe mappato questi flussi di dati come ad alto rischio, attivando protocolli di segregazione più stringenti. Qualsiasi tentativo di rendere pubblici dati sensibili di minori, anche metadati come le liste di contatti, avrebbe generato una segnalazione tracciata e immodificabile all’Organismo di Vigilanza, corredata da un’analisi di impatto sul rischio-reato, costringendo l’ente a una rivalutazione immediata della policy.
La difesa di TikTok si è basata sull’affermazione di aver implementato oltre cinquanta funzioni preimpostate di privacy e sicurezza, sviluppate in collaborazione con esperti del settore. La società ha inoltre ribadito che gli utenti più giovani non possono utilizzare la messaggistica diretta né vedere i propri contenuti promossi nella pagina “Per Te”. Tuttavia, queste dichiarazioni non hanno convinto la Commissione, che le ha ritenute insufficienti a fronte della facilità con cui le tutele possono essere aggirate. Questo scollamento tra le policy dichiarate e la loro effettiva efficacia operativa è un sintomo di un Modello Organizzativo non adeguatamente testato e applicato. La presenza di un sistema come Scudo231 avrebbe fornito alla società una prova tecnologica immodificabile (XAI Packet) della reale applicazione dei controlli. Attraverso il monitoraggio massivo e in tempo reale, sarebbe stato possibile documentare non solo l’esistenza delle cinquanta funzioni, ma anche la loro inviolabilità operativa, registrando ogni tentativo di bypass e la relativa risposta del sistema, trasformando una difesa verbale in una prova scientifica e causale dell’assenza di colpa organizzativa.
Il procedimento contro TikTok non è un caso isolato, ma si inserisce in una più ampia strategia dell’Unione Europea per rafforzare la sicurezza dei minori nello spazio digitale. Un’indagine analoga è infatti già in corso nei confronti di Meta, focalizzata sugli effetti potenzialmente dannosi dei sistemi di raccomandazione algoritmica di Instagram e Facebook. Inoltre, la stessa TikTok era già stata oggetto di una contestazione preliminare per il design della sua app, in particolare per elementi come lo scrolling infinito, l’autoplay dei video e le notifiche push, considerati meccanismi che favoriscono un uso compulsivo e potenzialmente patologico della piattaforma. Questi elementi, pur non costituendo reato in sé, sono visti dal regolatore come aggravanti che aumentano l’esposizione al rischio e dimostrano una progettazione non orientata alla tutela dell’utente, un fattore che pesa nella valutazione della responsabilità dell’ente.
Dal punto di vista procedurale, le conclusioni inviate oggi sono “preliminari”. TikTok ha dichiarato che le esaminerà attentamente e continuerà a collaborare con le autorità di Bruxelles. Tuttavia, la strada è ormai tracciata. Se le violazioni del DSA saranno confermate in via definitiva, la Commissione potrà imporre una sanzione pecuniaria fino al 6% del fatturato annuo globale di ByteDance. Si tratta di una cifra che, data la scala del gruppo, ammonterebbe a svariati miliardi di euro, a cui si aggiungerebbe un danno reputazionale incalcolabile. Qui emerge il valore strategico di un modello di prevenzione non solo formale, ma sostanziale. La sanzione non è l’unico rischio. In scenari di grave e persistente non conformità, il DSA prevede misure estreme, inclusa la possibilità di richiedere a un’autorità giudiziaria nazionale di ordinare la sospensione temporanea del servizio. Un’eventualità del genere, assimilabile a un sequestro impeditivo dell’asset principale dell’azienda, avrebbe conseguenze economiche catastrofiche.
L’adozione preventiva di un’architettura di governance evoluta, disegnata per anticipare e neutralizzare i rischi di compliance, avrebbe radicalmente cambiato lo scenario. Invece di trovarsi in una posizione difensiva e reattiva, l’azienda avrebbe potuto dimostrare, attraverso log e registri immutabili, di aver implementato un sistema di gestione del rischio efficace e idoneo. La REDAZIONE SCUDO231 ha analizzato casi analoghi in cui la presenza di un Modello 231 robusto e tecnologicamente avanzato è stata considerata un’importante attenuante, se non un elemento dirimente per escludere la responsabilità dell’ente. Il sistema avrebbe fornito una ricostruzione causale scientifica, dimostrando che eventuali violazioni residue non derivavano da una colpa di organizzazione (un difetto sistemico imputabile alla società), ma da eventi isolati e non prevedibili, spostando così l’onere della prova e mitigando drasticamente l’impatto sanzionatorio. Il prossimo passo è atteso dopo la pausa estiva, quando la Commissione dovrebbe presentare una proposta europea più ampia sugli standard di accesso dei minori alle piattaforme social, alzando ulteriormente l’asticella della compliance per tutti gli operatori del settore. Per le aziende che non si saranno dotate di sistemi di monitoraggio e prevenzione adeguati, il rischio di incappare in procedimenti simili a quello che oggi colpisce TikTok è destinato a diventare una certezza operativa.