Impostazioni predefinite: il valore che nessuno ha toccato è comunque una vostra scelta

Il 24 luglio 2026 la Commissione europea ha comunicato a TikTok le proprie constatazioni preliminari: gli account dei minori, a suo avviso preliminare, non soddisfano gli standard di sicurezza richiesti dal regolamento (UE) 2022/2065, il Digital Services Act (comunicato IP/26/1679). Va detto subito ciò che quasi tutte le cronache appiattiscono: non è un accertamento di violazione, è l’atto con cui la Commissione mette per iscritto le proprie obiezioni e apre il contraddittorio. «Tali constatazioni preliminari non pregiudicano l’esito finale dell’indagine», scrive.

Ce ne occupiamo per una ragione che con i social non c’entra. L’oggetto della contestazione è una configurazione predefinita. Non un contenuto illecito, non un algoritmo segreto, non una violazione di dati: il valore preimpostato di un’opzione.

Che cosa è stato contestato

Dal comunicato: su TikTok i minori possono impostare l’account come «pubblico», e allora «qualsiasi utente, compresi quelli senza un account TikTok», può vederne i contenuti; la stessa impostazione consente che i contenuti dei minori «più grandi» (16-17 anni) siano raccomandati a chiunque nel feed For You. La Commissione ritiene in via preliminare che TikTok «dovrebbe adeguare le impostazioni predefinite» di quegli account, perché i contenuti siano visibili solo agli utenti che il minore ha accettato e non finiscano nel feed.

L’obbligo invocato è quello dell’articolo 28, paragrafo 1, del DSA: i fornitori di piattaforme accessibili ai minori «adottano misure adeguate e proporzionate per garantire un elevato livello di tutela della vita privata, di sicurezza e di protezione dei minori sul loro servizio». Il comunicato non cita articoli, ma la disposizione compare nell’elenco del procedimento formale aperto il 19 febbraio 2024 — con gli articoli 34, paragrafi 1 e 2, 35, paragrafo 1, 39, paragrafo 1, e 40, paragrafo 12 — che già allora indicava fra le aree d’indagine le impostazioni predefinite di riservatezza per i minori.

TikTok ha replicato con una dichiarazione di un portavoce ripresa dalle agenzie — sul newsroom dell’azienda non risulta un comunicato dedicato: proteggere i minori online «è un obiettivo che condividiamo», gli account degli adolescenti hanno «più di 50 impostazioni di privacy e sicurezza preimpostate» fin dalla creazione e quelli degli under 18 sono privati per impostazione predefinita. Le due posizioni non si escludono, e il punto d’attrito è nel comunicato: gli orientamenti sulla protezione dei minori — 14 luglio 2025, articolo 28, paragrafo 4 — raccomandano di progettarli perché restino sicuri anche quando quelle impostazioni vengono modificate.

Che cosa succede adesso, in termini esatti

Il meccanismo sta agli articoli 73 e 79. Le constatazioni preliminari precedono necessariamente una decisione di non conformità e vi spiegano le misure che la Commissione ritiene necessarie (art. 73, par. 2). Da quel momento la società ha diritto di essere ascoltata, di accedere al fascicolo «alle condizioni previste per una divulgazione negoziata» — esclusi documenti interni e informazioni riservate — e di presentare osservazioni scritte entro un termine che «non può essere inferiore a 14 giorni»; la Commissione decide poi solo sulle obiezioni su cui le parti hanno potuto esprimersi (art. 79). In parallelo è consultato il comitato europeo per i servizi digitali (art. 66, par. 4).

Gli esiti possibili sono tre, non uno: chiudere l’indagine con una decisione (art. 73, par. 5); rendere vincolanti gli impegni offerti dalla società (art. 71), come il 5 dicembre 2025 sul filone della trasparenza pubblicitaria, chiuso senza sanzione; oppure adottare una decisione di non conformità. Solo nel terzo caso si apre la sanzione dell’articolo 74, paragrafo 1: non superiore al 6% del fatturato totale realizzato a livello mondiale nell’esercizio precedente, e soltanto se l’infrazione è commessa «intenzionalmente o per negligenza»; l’importo segue natura, gravità, durata e recidiva. E sull’importo decide in ultimo la Corte di giustizia, con competenza estesa al merito (art. 81).

Lo stesso procedimento ha già prodotto altre constatazioni preliminari — 24 ottobre 2025 sull’accesso ai dati dei ricercatori, 6 febbraio 2026 sul design che induce dipendenza — allo stesso stadio: obiezioni scritte, nessun accertamento definitivo.

Un valore predefinito è una decisione di conformità

Qui sta la lezione che vale fuori dalle piattaforme, per chi installa sistemi in azienda o in un ente. Il diritto europeo il default lo disciplina già: l’articolo 25, paragrafo 2, del GDPR obbliga il titolare a garantire che «per impostazione predefinita» siano trattati solo i dati necessari a ogni specifica finalità — quantità, portata, conservazione, accessibilità — e in particolare che «non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l’intervento della persona fisica».

La conseguenza è scomoda: ogni impostazione lasciata come veniva dalla fabbrica è una scelta, e non averla toccata non è una difesa. Chi un giorno vi chiederà conto — un’autorità, un cliente, un revisore, un giudice — non distinguerà il valore che avete deciso da quello che avete ereditato. Troverà il valore.

Cinque default che quasi nessuno decide

Scenari tipici, non casi reali:

Condivisione preimpostata. Un nuovo spazio di collaborazione nasce con «chiunque abbia il link». Nessuno lo cambia. Sei mesi dopo contiene documenti di gara.
Conservazione dei log. Il prodotto ne tiene trenta giorni; l’articolo 26, paragrafo 6, dell’AI Act ne chiede al deployer almeno sei, un’indagine interna di più.
Telemetria attiva. Diagnostica e statistiche partono accese verso il fornitore: un flusso che nessuno ha autorizzato per iscritto.
Accesso del fornitore. L’assistenza remota è abilitata all’installazione. La domanda non è «ci fidiamo?», ma «chi è entrato, quando, e come lo dimostrate?».
Addestramento sui dati del cliente, salvo opposizione. L’opposizione va esercitata e documentata prima dell’uso. Fra account consumer ed enterprise la differenza è in gran parte di valori predefiniti: è il cuore dello shadow AI.

Cosa mettere per iscritto

Il rimedio non è spegnere tutto: è registrare le impostazioni come si registrano le decisioni. Per ogni opzione che tocca dati personali, segreti industriali o prove: valore scelto, valore di fabbrica, chi ha deciso, quando, con quale motivazione, chi può cambiarlo e come ve ne accorgete se cambia. Sta nello stesso raccoglitore delle evidenze NIS2 e rende esigibile la policy interna sull’IA, altrimenti fatta di principi senza valori. Vale poi la regola degli orientamenti: la configurazione deve reggere anche dopo essere stata modificata. Un default sicuro che si disattiva in due clic protegge finché nessuno ci prova.

Un valore predefinito si può decidere, motivare e documentare solo se l’ambiente è vostro. Su un servizio condiviso il default lo sceglie il fornitore, cambia con un aggiornamento e ve ne accorgete dopo. Per questo consegniamo in due modalità, mai una sola: on-premise dentro l’infrastruttura del cliente, oppure su cloud dedicato riservato al singolo cliente, con VPN dedicata, data center residente in Italia e locali che presidiamo direttamente. In entrambe la configurazione iniziale è una decisione scritta, e la governance dell’IA comincia da lì: nessun valore arriva «dalla fabbrica» senza che qualcuno l’approvi.

Volete sapere quali impostazioni predefinite dovreste poter giustificare, e come conservarne la prova? Mezz’ora con un nostro esperto per la prima mappa.

Che cosa è stato contestato

Che cosa succede adesso, in termini esatti

Un valore predefinito è una decisione di conformità

Cinque default che quasi nessuno decide

Cosa mettere per iscritto

Fonti