Facebook e Instagram cambiano per legge. Che cosa insegna alla tua organizzazione

1Che cosa è successo davvero

Non è stata un'azione collettiva di utenti. È stata una causa federale promossa nel 2023 da 29 Stati americani contro Meta, la società che controlla Facebook e Instagram, accusata di aver progettato deliberatamente lo scorrimento infinito, le raccomandazioni algoritmiche e le notifiche frequenti per trattenere bambini e adolescenti, di aver ingannato il pubblico sui rischi e di aver raccolto dati di minori di 13 anni senza il consenso dei genitori. Il processo era iniziato il 18 agosto 2026 a Oakland, in California, e sarebbe dovuto proseguire fino ai primi di ottobre; nel frattempo i procuratori generali aderenti erano diventati 52, tra Stati e territori.

L'accordo è stato depositato mercoledì 26 agosto 2026 e deve ancora essere approvato dal giudice federale. Meta ha negato ogni responsabilità e la transazione non contiene alcuna ammissione di illecito.

Vale la pena fermarsi un istante su questo dettaglio, perché è il cuore della questione. Gli Stati chiedevano fino a 1.400 miliardi di dollari di sanzioni potenziali. Chiudere per una frazione di quella cifra, senza ammettere nulla, è una decisione di gestione del rischio perfettamente razionale. Il problema è che, per ottenerla, l'azienda ha accettato di modificare il prodotto. E questo, giuridicamente, pesa più di qualsiasi dichiarazione.

2Perché le cifre non coincidono

Se hai letto tre giornali diversi hai trovato tre numeri diversi, e non è un errore: dipende da che cosa si conta. Il pagamento iniziale è di circa 12,1 miliardi di dollari, la somma sale fino a 17,1 miliardi solo se anche le piattaforme concorrenti adottano misure equivalenti, mentre Meta parla di circa 18 miliardi complessivi distribuiti in dieci anni, includendo pretese diverse da questa causa.

3Le misure concordate

Questa è la parte che conta, ed è anche quella che i riassunti tendono a semplificare. Le principali misure a carico di Meta per gli utenti con meno di 18 anni:

1. Tetto giornaliero di utilizzo. Due ore complessive su Instagram e Facebook combinati, con pause obbligatorie dopo 15 minuti di uso continuativo e di nuovo a 60 e a 90 minuti; il limite può essere rimosso solo con il permesso di un genitore. Se anche le piattaforme concorrenti aderiscono, il limite scende a 60 minuti per ciascun servizio e la durata dell'impegno passa da cinque a dieci anni.
2. Blocco notturno. Accesso ai flussi di contenuti interdetto dalla mezzanotte alle 6 del mattino e notifiche silenziate a partire dalle 22.
3. Silenzio in orario scolastico. Nessuna notifica dalle 8 alle 15 nei giorni feriali durante l'anno scolastico.
4. Riduzione del confronto sociale. Conteggio dei "mi piace" e delle reazioni nascosto per impostazione predefinita, divieto dei filtri di chirurgia estetica e dei filtri di bellezza estremi per i minori.
5. Flusso non algoritmico. Possibilità di scegliere un flusso non personalizzato e di disattivare la riproduzione automatica.
6. Verifica dell'età e controlli familiari. Misure di accertamento anagrafico più solide e strumenti parentali più semplici da usare.
7. Verifiche di conformità indipendenti. Un revisore indipendente valuterà periodicamente attuazione ed efficacia delle misure, sotto la vigilanza degli Stati firmatari.

Restano esclusi dai limiti i messaggi diretti, perché l'obiettivo dichiarato non è isolare i ragazzi ma interrompere il consumo passivo. Una scelta ragionevole, che però lascia aperto un varco non piccolo.

4Il fronte europeo: il Digital Services Act

Qui la vicenda smette di essere americana. La Commissione europea aveva aperto un procedimento formale contro Meta il 16 maggio 2024, proprio sul sospetto che i sistemi di Facebook e Instagram potessero stimolare dipendenze comportamentali nei bambini e sull'inadeguatezza dei metodi di verifica dell'età. Un primo esito preliminare è arrivato il 29 aprile 2026 sui sistemi di accertamento dell'età per gli utenti sotto i 13 anni.

Il 10 luglio 2026 la Commissione ha notificato conclusioni preliminari secondo cui l'architettura stessa delle due piattaforme viola il regolamento sui servizi digitali (DSA), perché progettata in modo da favorire comportamenti di dipendenza, in particolare nei minori. Gli elementi contestati sono lo scorrimento infinito, la riproduzione automatica, le notifiche di richiamo e i sistemi di raccomandazione fortemente personalizzati, valutati non singolarmente ma per il loro effetto cumulativo. La fase resta preliminare, nessuna sanzione è stata irrogata e Meta può accedere al fascicolo e replicare per iscritto; un accertamento definitivo consentirebbe alla Commissione di imporre correzioni e una sanzione fino al 6 per cento del fatturato annuo mondiale. L'azienda ha respinto le conclusioni preliminari, rivendicando gli strumenti già introdotti per gli adolescenti.

Osserva la simmetria: Bruxelles chiede la disattivazione predefinita della riproduzione automatica e dello scorrimento infinito, e negli Stati Uniti l'accordo transattivo introduce misure della stessa famiglia. Due ordinamenti diversi, due strumenti diversi (la sanzione amministrativa da un lato, la transazione giudiziale dall'altro) e la stessa conclusione: la progettazione predefinita è il vero terreno di gioco.

5Il punto giuridico: progettare è già trattare

Per anni la retorica dominante è stata quella della neutralità dello strumento. Il regolamento generale sulla protezione dei dati (GDPR) l'ha smontata già nel 2016, e conviene ricordarlo perché la norma è nostra, non americana.

L'articolo 25 impone la protezione dei dati fin dalla progettazione e per impostazione predefinita: non è un principio decorativo, è un obbligo che riguarda le scelte di interfaccia. L'articolo 35 impone la valutazione d'impatto sulla protezione dei dati (DPIA) quando il trattamento presenta rischi elevati, e il considerando 38 chiarisce che i minori meritano una tutela specifica perché meno consapevoli dei rischi. In Italia l'articolo 2-quinquies del codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196) fissa a 14 anni l'età per il consenso autonomo ai servizi della società dell'informazione.

Il DSA aggiunge il tassello mancante: l'articolo 25 vieta le interfacce che distorcono le scelte dell'utente e l'articolo 28 impone misure adeguate di tutela dei minori, oggetto degli orientamenti pubblicati dalla Commissione nel luglio 2025.

6Che cosa riguarda la tua organizzazione

Potresti pensare che tutto questo appartenga a un mondo lontano. Non è così, e ti spiego perché con esempi che vedo ogni settimana negli enti e nelle imprese che seguo.

1. Comunicazione istituzionale delegata alle piattaforme. Se il tuo comune o la tua scuola pubblica gli avvisi principali su una pagina social, stai affidando a quell'architettura il rapporto con i cittadini e con le famiglie. La Corte di giustizia dell'Unione europea, con le sentenze Wirtschaftsakademie (causa C-210/16) e Fashion ID (causa C-40/17), ha chiarito che il gestore di una pagina condivide con la piattaforma la qualifica di titolare per i trattamenti connessi. Serve un accordo di contitolarità ai sensi dell'articolo 26 del GDPR e un'informativa che lo dica.
2. Strumenti didattici e minori. Chiedere a uno studente di iscriversi a un servizio pensato per l'ingaggio pubblicitario, per accedere a un contenuto scolastico, è una scelta che va motivata. Nella maggior parte dei casi esiste un'alternativa istituzionale.
3. Valutazione d'impatto. Quando tratti dati di minori con strumenti che profilano, la valutazione d'impatto non è un adempimento formale: è il documento che ti permette di dimostrare che hai pensato prima, non dopo.
4. Impostazioni predefinite dei tuoi servizi. Il portale, l'applicazione, il modulo online che hai commissionato: quali caselle sono già spuntate? Quali notifiche partono senza che nessuno le abbia chieste? È esattamente la domanda che le autorità stanno rivolgendo alle grandi piattaforme, in scala ridotta.
5. Formazione del personale e delle famiglie. La misura più economica e la più trascurata.

7L'illusione tecnocratica

Nascondere il conteggio dei "mi piace" e spegnere le notifiche di notte risolve il problema? In parte, e non è poco. Ma esiste un rischio evidente: credere che una riga di codice o un'opzione predefinita possano sanare un fenomeno sociale.

La vera questione non è rendere l'algoritmo meno invasivo, ma restituire alla persona il controllo sul proprio tempo e sulla propria capacità critica.

La regolamentazione definisce il perimetro della legalità, non l'intero campo di gioco. Non serve demonizzare la tecnologia né invocare neoluddismi di maniera: la maturità digitale di una comunità si misura nella capacità di governare gli strumenti anziché esserne governata.

Nelle scuole, nelle famiglie, negli enti, la domanda di fondo non è quanto tempo un ragazzo passa davanti a uno schermo, ma che cosa fa mentre è davanti a quello schermo e quale alternativa di senso la comunità è capace di offrirgli. Il primo compito, però, è degli adulti che progettano e acquistano i servizi. Prima di chiedere consapevolezza ai ragazzi, conviene verificare la consapevolezza di chi decide.

Il maxi accordo di Meta traccia una linea nell'industria digitale. Ma per chi si occupa di formazione, innovazione e protezione dei dati il messaggio è un altro: le regole e i divieti definiscono i confini della legalità, mentre è l'educazione critica, unita alla consapevolezza dei meccanismi tecnologici, a costruire una reale cittadinanza digitale.

Marco La Diega

OltreCode: Oltre la norma, verso la cultura del dato.