Il 14 luglio 2025 la Commissione europea ha pubblicato le linee guida sull'articolo 28 del Digital Services Act, il documento che traduce in pratica l'obbligo di tutelare i minori per ogni piattaforma online raggiungibile da under 18. È il testo che ogni blogger, creator, gestore di community o startup digitale italiana dovrebbe stampare e tenere sulla scrivania per i prossimi due anni, perché insieme alla raccomandazione del 29 aprile 2026 e al blueprint tecnico per la verifica dell'età forma il primo vero quadro operativo continentale sulla protezione dei minori nel mondo digitale. Questo articolo è la casa madre normativa: spiega nel dettaglio cosa dice il DSA, cita i passaggi operativi delle linee guida, e indica come la stessa materia è toccata (più tangenzialmente) dall'AI Act e dal GDPR.
Se invece ti interessa il risvolto professionale — le sei figure nuove nate da questi obblighi, le competenze richieste, le fasce di reddito, e i programmi di affiliazione dei fornitori KYC e age verification — leggi l'articolo complementare Sei nuove professioni nate dagli obblighi europei sulla verifica dell'età online, nella sezione lavoro-digitale.
Il Digital Services Act (Reg. UE 2022/2065) è in vigore dal 17 febbraio 2024. L'art. 28 obbliga ogni piattaforma online accessibile ai minori ad adottare misure adeguate per garantire un livello elevato di privacy, sicurezza e protezione. Le linee guida della Commissione del 14 luglio 2025 (C/2025/5519) specificano dieci famiglie di misure, dai default privati ai parental control child-friendly. La raccomandazione del 29 aprile 2026 chiede a tutti gli Stati membri di rendere disponibile un sistema di verifica dell'età entro il 31 dicembre 2026, basato sul blueprint tecnico del 14 luglio 2025 (tecnicamente pronto dal 15 aprile 2026). Il metodo di riferimento è il cosiddetto "doppio cieco" con zero-knowledge proof: l'utente dimostra di avere almeno 18 anni senza rivelare identità né età esatta. Sanzioni DSA: fino al 6% del fatturato globale annuo.
Perché il 2025-2026 è l'anno di svolta
Fino al 2024 la protezione dei minori online era una nuvola di soft law, codici di condotta volontari, raccomandazioni del Consiglio d'Europa. Il DSA cambia la natura giuridica del problema: da impegno morale a obbligo regolamentare, con sanzioni proporzionali al fatturato. La Commissione ha pubblicato le linee guida il 14 luglio 2025 in tutte le 24 lingue ufficiali, e contemporaneamente ha rilasciato il blueprint tecnico per la verifica dell'età, una specifica aperta e open source che qualsiasi Stato membro o piattaforma può adottare senza pagare royalty.
Il 15 aprile 2026 la Commissione ha annunciato che la soluzione blueprint è tecnicamente pronta e può essere customizzata dai singoli paesi. Il 29 aprile 2026 è arrivata la raccomandazione formale agli Stati membri: ogni paese UE deve rendere disponibile ai propri cittadini almeno una soluzione di age verification basata sul blueprint entro il 31 dicembre 2026. In Italia, il percorso è iniziato con la delibera AGCOM 96/25/CONS, che fissa le scadenze del 12 novembre 2025 (siti con server in Italia) e 1 febbraio 2026 (siti extra-UE che servono utenti italiani) per l'age verification obbligatoria sui contenuti pornografici, ed è proseguito con il recepimento nel Decreto Caivano (art. 13-bis D.L. 123/2023).
In parallelo, l'AI Act (Reg. UE 2024/1689) il 2 agosto 2026 ha visto entrare in vigore gli obblighi generali di trasparenza, con norme specifiche per i sistemi che interagiscono con i minori (art. 5 sui divieti, con la lett. b che vieta le pratiche manipolative e i sistemi che sfruttano vulnerabilità di età). Il GDPR, in vigore dal 2018, continua a essere il pilastro del consenso digitale: in Italia l'età del consenso è fissata a 14 anni dall'art. 2-quinquies del D.Lgs 196/2003 (Codice Privacy) come modificato dal D.Lgs 101/2018.
Il quadro normativo in cinque atti
Per orientarsi serve una mappa. Le fonti che contano sono cinque, e vanno lette insieme perché si integrano:
| Atto | Tipo | Data chiave | Cosa fa |
|---|---|---|---|
| DSA · Reg. UE 2022/2065 | Regolamento UE direttamente applicabile | In vigore dal 17/2/2024 | Art. 28: obbligo di tutelare i minori per le piattaforme online. Sanzioni fino al 6% del fatturato globale |
| Linee guida C/2025/5519 | Atto di soft law della Commissione (ex art. 28(4) DSA) | 14/7/2025 | Specifica le 10 famiglie di misure, i 3 metodi di age assurance, gli standard di design child-friendly |
| Blueprint UE + raccomandazione | Specifica tecnica aperta + raccomandazione della Commissione | 14/7/2025 (blueprint) → 15/4/2026 (tecnicamente pronto) → 29/4/2026 (raccomandazione formale) | Soluzione "doppio cieco" con zero-knowledge proof. Stati membri devono adottarla entro il 31/12/2026 |
| AI Act · Reg. UE 2024/1689 | Regolamento UE direttamente applicabile | Divieti art. 5 dal 2/2/2025, obblighi generali dal 2/8/2026 | Art. 5(b): divieto di sistemi che sfruttano vulnerabilità di età. Obblighi di trasparenza per sistemi che interagiscono con minori |
| GDPR · Reg. UE 2016/679 + D.Lgs 196/2003 (art. 2-quinquies) | Regolamento UE + norma italiana di recepimento | In vigore dal 2018; età digitale in Italia = 14 anni | Consenso digitale, diritti degli interessati, sanzioni fino al 4% del fatturato |
A livello nazionale si aggiungono tre atti chiave: il Decreto Caivano (art. 13-bis D.L. 123/2023, convertito in L. 159/2023) che ha introdotto l'obbligo di age verification per i siti pornografici, la delibera AGCOM 96/25/CONS che ha fissato le scadenze operative in Italia, e la guida "Social privacy" del Garante aggiornata il 14 novembre 2025, che riepiloga regole e strumenti per minori, genitori e piattaforme.
Cosa dice davvero l'art. 28 del DSA
L'art. 28 del Digital Services Act si compone di quattro paragrafi. Il primo è il cuore della norma: "I fornitori di piattaforme online accessibili ai minori adottano misure adeguate e proporzionate per garantire un livello elevato di privacy, sicurezza e protezione dei minori". La formulazione apparentemente generica è in realtà molto precisa: adeguate significa tarate sul rischio effettivo del servizio, proporzionate significa che le misure non possono essere né minime (per evitare di aggirare l'obbligo) né sproporzionate (per non ledere diritti come la libertà di espressione).
Il secondo paragrafo precisa che l'obbligo non si applica alle micro e piccole imprese come definite dalla raccomandazione UE 2003/361/CE — quindi sotto i 10 dipendenti e con fatturato annuo inferiore a 2 milioni di euro — ma solo per le piattaforme online, non per gli hosting services o i motori di ricerca. Il terzo paragrafo è una clausola di proporzionalità inversa: la conformità all'art. 28 non può obbligare il fornitore a trattare dati personali aggiuntivi solo per accertare se l'utente è minorenne. Il quarto paragrafo, infine, delega alla Commissione il potere di adottare linee guida per facilitare l'applicazione: sono quelle del 14 luglio 2025.
L'esenzione per micro e piccole imprese si applica SOLO alle piattaforme online. Un servizio di hosting, un forum aperto, un server Discord, un canale Telegram con bot di moderazione: tutti questi sono in scope indipendentemente dalla dimensione, perché rientrano tra i "servizi di hosting" o "piattaforme di messaggistica" che il DSA tratta diversamente. La soglia dimensionale è una scorciatoia mentale rischiosa.
Le 10 famiglie di misure delle linee guida 14/7/2025
Le linee guida C/2025/5519 sono il documento operativo. Definiscono dieci famiglie di misure che la Commissione considera adeguate per valutare la conformità all'art. 28. Non sono obblighi tassativi — la Commissione scrive esplicitamente che "seguire le linee guida è volontario e non garantisce automaticamente la conformità" — ma costituiscono il benchmark con cui misurerà le piattaforme in caso di indagine. Ecco le dieci famiglie, raggruppate per area tematica.
1. Risk review periodica
Il fornitore deve condurre una valutazione del rischio almeno una volta all'anno, e ogni volta che modifica in modo significativo il design del servizio. La valutazione deve considerare quattro fattori: la capacità del servizio di attrarre minori, le funzionalità che possono nuocere (chat, condivisione foto, raccomandazioni algoritmiche), i segnali di uso improprio già osservati, e le migliori pratiche internazionali. La valutazione deve dare "primary consideration" al superiore interesse del minore, principio cardine della Convenzione ONU sui diritti dell'infanzia.
2. Account privati di default
Gli account di minori devono essere impostati automaticamente al massimo livello di privacy, sicurezza e protezione. Questo significa, in concreto, che solo i contatti accettati dal minore possono vedere i suoi contenuti, commentare, mandare messaggi diretti, taggarlo o aggiungerlo a gruppi. Geolocalizzazione, microfono, fotocamera e tracciamento opzionale devono essere spenti di default. Nessun account, eccetto quello del minore, può scaricare o fare screenshot dei contenuti pubblicati dal minore. Sono misure che le linee guida considerano il "minimo sindacale".
3. Sistemi di raccomandazione sicuri
Le linee guida vietano che i sistemi di raccomandazione raccolgano continuativamente dati comportamentali (tempo di visione, click-through, attività off-platform) per profilare i minori. I sistemi devono dare priorità ai segnali espliciti forniti dall'utente rispetto ai segnali impliciti basati sull'engagement. Il minore deve poter scegliere un'opzione di raccomandazione non basata su profilazione, e deve poter resettare completamente il proprio feed in modo permanente. Le piattaforme devono anche testare e adattare i sistemi regolarmente consultando minori, genitori ed esperti indipendenti.
4. Funzionalità addictive disattivate di default
Streaks di comunicazione, contenuti effimeri, conferme di lettura, autoplay, notifiche push: tutte le funzionalità che contribuiscono all'uso eccessivo devono essere disattivate per i minori. Anche le funzionalità persuasive orientate al puro engagement vanno rimosse. Quando una piattaforma integra chatbot AI, questi devono avere safeguards specifici per i minori: niente legami affettivi simulati, niente spinta al prolungamento della conversazione, niente raccolta di dati per profilazione.
5. Blocco, muting e protezione da contatti indesiderati
I minori devono poter bloccare e silenziare qualsiasi utente, anche se non è un contatto accettato. Non devono poter essere aggiunti a gruppi senza consenso esplicito. I profili dei minori non devono comparire nei suggerimenti di contatto verso altri utenti, e in particolare non devono essere raccomandati ad account adulti o a profili sospetti di essere falsi account di minori. Le funzionalità di blocco devono essere anonime, child-friendly e accessibili da qualsiasi punto dell'interfaccia.
6. Divieto di screenshot e protezione dei contenuti
Le piattaforme devono tecnicamente impedire che altri utenti (diversi dal minore) possano scaricare o fare screenshot dei contenuti postati dal minore. È una misura esplicita contro la distribuzione non consensuale di immagini intime e contro il sextortion. Le piattaforme devono inoltre fornire al minore strumenti per limitare la visibilità dei contenuti già pubblicati.
7. Parental control child-friendly
Gli strumenti di controllo parentale devono essere facili da usare, adatti all'età, compatibili con tutti i dispositivi e sistemi operativi, e non devono ledere in modo sproporzionato la privacy del minore. Le linee guida impongono che l'attivazione del parental control sia notificata chiaramente al minore in tempo reale, per evitare che diventi uno strumento di sorveglianza occulta. Le modifiche alle impostazioni richiedono lo stesso grado di autorizzazione dell'attivazione iniziale.
8. Strumenti di segnalazione e supporto
Le piattaforme devono avere meccanismi di reporting che siano efficaci, visibili, child-friendly e accessibili. Devono permettere a qualsiasi utente (non solo al minore) di segnalare un sospetto account di minore, contenuti inappropriati, comportamenti pericolosi. I report devono avere riscontro rapido e impatto duraturo sui parametri dei sistemi di raccomandazione. Le piattaforme devono inoltre offrire strumenti di supporto emotivo e link a linee telefoniche di aiuto nazionali quando un minore cerca o riceve contenuti potenzialmente dannosi.
9. Tutela dalla pubblicità e dallo sfruttamento commerciale
È vietata la pubblicità profilata rivolta a minori, e le piattaforme non devono permettere che la limitata alfabetizzazione finanziaria dei minori venga sfruttata. Niente valute virtuali o loot-box pensate per creare dipendenza, niente pubblicità che sfrutti la suggestionabilità dei minori. Le piattaforme devono avere una responsible marketing and advertising policy che definisca chiaramente cosa è permesso e cosa no, e che sia comunicata in modo comprensibile.
10. Governance dedicata
Le piattaforme devono assegnare a una persona o a un team dedicato la responsabilità di garantire un elevato livello di privacy, sicurezza e protezione dei minori. Devono avere procedure interne scritte, formazione specifica per i moderatori e per chi gestisce i report, e procedure di monitoraggio periodico della conformità. Le piattaforme designate come very large online platforms (VLOP) sotto il DSA hanno obblighi aggiuntivi di audit e trasparenza, ma il principio della governance dedicata vale per tutti.
I tre metodi di age assurance
L'age assurance è il capitolo più tecnico e più controverso. Le linee guida del 14 luglio 2025 e la raccomandazione del 29 aprile 2026 distinguono tre metodi, da usare in modo proporzionato al rischio del servizio.
| Metodo | Quando si usa | Cosa comporta per l'utente | Cosa comporta per la piattaforma | Esempio di servizio |
|---|---|---|---|---|
| Autodichiarazione | Servizi a basso rischio, dove la semplice conferma dell'età è sufficiente | Il minore dichiara la propria età al momento della registrazione | Nessuna verifica; fiducia nell'utente | Forum di discussione, community tematiche |
| Stima dell'età (age estimation) | Quando i termini di servizio prescrivono un'età minima inferiore a 18 anni, in contesti a medio rischio | La piattaforma stima l'età da segnali comportamentali o biometrici (analisi del volto, pattern di digitazione) | Integrazione di un sistema di AI che opera sul dispositivo o server-side; pseudonimizzazione dell'identità | Social network con limite 13+, app di dating under 18 |
| Verifica dell'età (age verification) | Servizi ad alto rischio, contenuti per adulti, gioco d'azzardo, alcol, categorie vietate ai minori dalla legge nazionale | L'utente dimostra la maggiore età tramite documento, eID, bank-ID, o EU Digital Identity Wallet | Integrazione con un fornitore di identity verification; il risultato è un attributo "over 18" senza altri dati | Siti pornografici, scommesse, vendita alcolici online |
Lo standard di riferimento europeo è la soluzione blueprint rilasciata dalla Commissione il 14 luglio 2025, tecnicamente pronta dal 15 aprile 2026. È costruita sul principio del "doppio cieco": l'utente scarica un'app di verifica, dimostra la propria età tramite un documento o un eID nazionale, l'app rilascia un proof of age (prova di età) che contiene solo l'attributo "over 18" — niente nome, niente data di nascita, niente numero di documento. La piattaforma ricevente verifica la validità della prova ma non vede chi è l'utente. La tecnologia di base è lo zero-knowledge proof, una tecnica crittografica che permette di dimostrare un'affermazione senza rivelare i dati sottostanti.
L'utente non scarica l'app blueprint della Commissione direttamente: ogni Stato membro può costruire la propria app nazionale basandosi sulla specifica aperta, e a fine 2026 ogni cittadino UE avrà accesso a una soluzione nazionale interoperabile con l'EU Digital Identity Wallet (Reg. UE 2024/1183). Per chi gestisce una piattaforma, il percorso di integrazione sarà simile a un pagamento con Stripe: la piattaforma reindirizza l'utente al wallet, il wallet restituisce un attributo "over 18" firmato crittograficamente, la piattaforma concede l'accesso. La privacy by design è il principio architetturale, non un'aggiunta.
Accenni all'AI Act per i minori
L'AI Act (Reg. UE 2024/1689) tocca la protezione dei minori in tre punti principali, da non confondere con il quadro DSA.
Il primo è l'art. 5, lettera b, in vigore dal 2 febbraio 2025, che vieta in modo assoluto "lo sfruttamento di vulnerabilità di età, disabilità o situazione economica" da parte di sistemi AI, a meno che non siano in gioco motivi di salute pubblica o sicurezza. In pratica: chatbot che manipolano minori spingendoli a prolungare la conversazione, sistemi di raccomandazione che sfruttano la suggestionabilità, dark pattern AI: tutti vietati, punto.
Il secondo è l'art. 50 sulla trasparenza dei contenuti generati o manipolati da AI, in vigore dal 2 agosto 2026: chi distribuisce contenuti AI (testi, immagini, audio, video) deve etichettarli in modo machine-readable, in modo che l'utente sappia che sta interagendo con materiale sintetico. Per i sistemi che interagiscono con minori, l'etichettatura è doppia: il sistema deve dichiararsi come AI, e la piattaforma deve segnalare all'utente che si tratta di un'interazione non-umana.
Il terzo è l'obbligo, per i sistemi di AI che trattano dati di minori, di condurre una Data Protection Impact Assessment (DPIA) prima dell'implementazione, e di nominare un responsabile della conformità. Le sanzioni AI Act per queste violazioni arrivano fino a 15 milioni di euro o al 3% del fatturato globale annuo, con obblighi proporzionati al rischio del sistema.
Accenni al GDPR per i minori
Il GDPR resta il pilastro del consenso digitale. L'art. 8 fissa a 16 anni l'età standard per esprimere autonomamente il consenso al trattamento dei dati personali per l'offerta diretta di servizi della società dell'informazione, ma lascia agli Stati membri la possibilità di abbassare la soglia fra i 13 e i 16 anni. L'Italia ha scelto 14 anni, con l'art. 2-quinquies del D.Lgs 196/2003 modificato dal D.Lgs 101/2018.
In concreto, prima dei 14 anni il consenso al trattamento dei dati (iscrizione a un social, profilazione, pubblicazione di immagini) deve essere prestato da chi esercita la responsabilità genitoriale — di regola entrambi i genitori, come ha chiarito il Garante con il provvedimento del 13 novembre 2024 (doc. web n. 10076481). Dai 14 anni in su il minore può decidere autonomamente, ma i genitori mantengono la responsabilità genitoriale per gli atti che eccedono l'ordinaria amministrazione.
Per i creator e le piattaforme, la regola operativa è: non dare per scontato che basti un flag "ho più di 14 anni" su un form. Il Garante ha ripetuto in più provvedimenti che il consenso deve essere libero, specifico, informato e inequivocabile, e che per i dati sensibili (tra cui l'immagine del minore) il consenso deve essere documentato e verificabile. Il Provvedimento del 26 marzo 2026 (doc. web n. 10244097) ha confermato che la pubblicazione di immagini di minori sui social network di enti pubblici è illecita senza una base giuridica adeguata, anche con il consenso dei genitori: lo squilibrio di potere rende il consenso non valido. Sanzioni GDPR: fino al 4% del fatturato globale annuo.
Il caso Meta: un esempio reale di enforcement
Il 29 aprile 2026 la Commissione europea ha adottato una raccomandazione formale sull'age verification, ma la stessa data è significativa per un altro motivo: è il giorno in cui la Commissione ha aperto un procedimento formale contro Meta per non aver bloccato l'accesso ai minori di 13 anni su Instagram e Facebook, in violazione dell'art. 28(1) DSA. I preliminary findings della Commissione ipotizzano che le misure di Meta per verificare l'età degli utenti siano insufficienti, e che la piattaforma non abbia implementato adeguati strumenti di parental control.
Il caso è importante per tre motivi. Primo, dimostra che la Commissione non esita a usare i suoi poteri di enforcement contro le big tech: il procedimento può concludersi con sanzioni fino al 6% del fatturato globale di Meta, che nel 2025 era di circa 165 miliardi di dollari. Secondo, fissa un precedente: per le piattaforme medio-piccole, il messaggio è che se Meta non basta, basta ancora meno una PMI che non ha un team di 500 persone dedicato alla compliance. Terzo, ribadisce che il self-assessment non funziona: la Commissione ha effettuato audit tecnici indipendenti per verificare le affermazioni di Meta.
Cosa fare se gestisci una piattaforma: i sei passi operativi
Se gestisci un servizio che potenzialmente raggiunge minori — un social network, un forum, un'app, una piattaforma di e-learning, un gioco online, una community Telegram o Discord — ecci i sei passi operativi da fare entro fine 2026, in ordine di priorità.
1. Classifica il tuo servizio per livello di esposizione ai minori. Le linee guida chiedono di considerare se i termini di servizio vietano i minori, se il servizio è effettivamente utilizzato da minori, e se le funzionalità offerte (chat, foto, raccomandazioni) sono rischiose. Un forum di cucina per adulti è a basso rischio; una piattaforma di chat vocale per gamer teenager è ad alto rischio. La classificazione determina le misure da adottare.
2. Fai la risk review documentata. Scrivi un documento di valutazione del rischio, anche breve, che identifichi i pericoli specifici del tuo servizio, le funzionalità da tutelare, e le misure che intendi implementare. Aggiorna il documento almeno una volta all'anno e ogni volta che modifichi significativamente il design. Conservalo come prova di diligenza in caso di audit.
3. Scegli il metodo di age assurance proporzionato. Se il tuo servizio è a basso rischio e l'autodichiarazione è coerente con i termini, può bastare. Se è a medio rischio, integra un sistema di stima dell'età basato su AI (Yoti, Jumio, Sumsub hanno API documentate). Se è ad alto rischio o hai contenuti per adulti, integra una soluzione di verifica con documento o eID, possibilmente compatibile con il blueprint UE.
4. Implementa i default di privacy per minori. Account privati di default, geolocalizzazione e microfono spenti, parental control child-friendly, divieto di screenshot, sistemi di raccomandazione che danno priorità ai segnali espliciti. Sono misure tecniche che richiedono interventi di sviluppo, ma sono il cuore della conformità.
5. Crea strumenti di segnalazione e supporto. Pulsanti di blocco e mute visibili, form di report accessibili, link a linee telefoniche di aiuto nazionali (in Italia: Telefono Azzurro 1.96.96, e la linea nazionale per la sicurezza online). Tempi di risposta rapidi ai report.
6. Assegna la responsabilità e documenta. Nomina una persona o un team responsabile della conformità DSA. Tieni un registro dei report, delle azioni intraprese, e delle decisioni prese. La documentazione è la tua assicurazione in caso di indagine.
Cosa fare se sei un genitore o un minore
Per i genitori, il primo passo è sapere che il consenso digitale in Italia scatta a 14 anni: prima di quell'età, ogni iscrizione a un social network, ogni pubblicazione di immagini, ogni consenso alla profilazione deve essere autorizzato da entrambi i genitori. La guida "Social privacy" del Garante, aggiornata il 14 novembre 2025, è lo strumento di riferimento: spiega in modo chiaro cosa può fare il minore, cosa no, e come configurare la privacy sui principali social.
Per i minori sopra i 14 anni che vogliono gestire la propria presenza online, il messaggio è che la responsabilità genitoriale non è un ostacolo: è una tutela. I genitori restano titolari della responsabilità ma il minore può esprimere le proprie preferenze in modo autonomo. La comunicazione aperta con i genitori evita che una foto pubblicata a 15 anni diventi un problema a 25.
Per i creator o i blogger che ospitano contenuti generati da minori (ad esempio un creator di family vlog, un canale di recensioni di adolescenti, un podcast con under 18 come ospiti), le linee guida del 14 luglio 2025 e i provvedimenti del Garante richiedono consenso documentato di entrambi i genitori, valutazione del rischio, e tutela della privacy del minore anche dopo la maggiore età: il principio del best interest of the child si applica retroattivamente, come ha chiarito una sentenza del Tribunale di Roma del 2025.
Cosa ci aspetta entro fine 2026
Il calendario dei prossimi mesi è fitto. Entro il 31 dicembre 2026 ogni Stato membro UE deve rendere disponibile ai propri cittadini una soluzione nazionale di age verification basata sul blueprint. L'Italia sta lavorando a una soluzione nazionale che sarà probabilmente integrata con SPID e CIE, e che dialogherà con l'EU Digital Identity Wallet quando quest'ultimo sarà pienamente operativo. Entro fine 2026, inoltre, il Garante per la protezione dei dati personali pubblicherà le linee guida definitive sull'applicazione del GDPR art. 8 ai sistemi di AI che interagiscono con minori.
Per chi gestisce una piattaforma, il messaggio è chiaro: il 2026 è l'anno in cui la conformità DSA, AI Act e GDPR per i minori passa da nice-to-have a must-have. Le linee guida del 14 luglio 2025 e la raccomandazione del 29 aprile 2026 hanno fissato lo standard; le scadenze italiane del 12 novembre 2025 e 1 febbraio 2026 sono già operative; il blueprint tecnico è pronto. Le scuse per rimandare sono finite.
Per chi lavora nel digitale, queste norme aprono anche un'opportunità professionale senza precedenti. Le figure nuove nate da questi obblighi — Age Assurance Specialist, DSA Compliance Officer, AI Trust & Safety Specialist, EUDI Wallet Integration Specialist, Child Safety Policy Manager, DPO specializzato minori — sono descritte nell'articolo complementare Sei nuove professioni nate dagli obblighi europei sulla verifica dell'età online, che include anche i programmi di affiliazione dei principali fornitori KYC e age verification per chi volesse proporsi come consulente.
Le linee guida del 14 luglio 2025 e la raccomandazione del 29 aprile 2026 hanno fissato le regole. Adesso la domanda non è più se la compliance arriverà, ma chi la implementerà per primo — e chi saprà farlo bene.