Chat Control: inițiativa UE care ar putea schimba comunicațiile online

Uniunea Europeană încearcă de mai bine de patru ani să introducă reguli care ar putea schimba radical felul în care funcționează comunicațiile online, în numele luptei împotriva abuzului sexual asupra copiilor. Propunerea, cunoscută drept „Chat Control”, a stârnit una dintre cele mai aprinse dispute europene despre granița dintre siguranța copiilor și dreptul la viață privată, scrie HotNews.ro.

„Chat Control” este numele neoficial dat unei inițiative europene care urmărește să combată abuzul sexual asupra copiilor în online. UE vrea ca servicii precum Gmail, Facebook Messenger, Instagram, WhatsApp sau alte servicii de mesagerie și comunicații să poată detecta și raporta materiale de abuz sexual asupra copiilor (CSAM – Child Sexual Abuse Material) și posibile tentative de grooming, care înseamnă, simplificat, situația în care un adult încearcă să câștige încrederea unui copil pentru a ajunge la o formă de exploatare sexuală.

Organizațiile pentru drepturi digitale, precum Asociația pentru Tehnologie și Internet (ApTI) sau rețeaua European Digital Rights (EDRi), și numeroase organizații pentru protejarea vieții private au susținut încă de la început că obiectivul combaterii abuzului sexual asupra copiilor este legitim, dar că mecanismul propus de Comisie merge prea departe. Principala lor problemă este că un sistem creat pentru a găsi abuzuri asupra copiilor ar putea ajunge să permită monitorizarea pe scară largă a comunicațiilor private ale unor oameni care nu sunt suspectați de nicio infracțiune. Organizațiile pentru drepturi digitale avertizează asupra „supravegherii în masă”, pentru că verificarea pornește de la ideea că sistemele trebuie să caute preventiv abuzuri sexuale în comunicațiile oamenilor.

Povestea începe înainte ca „Chat Control” să existe ca proiect legislativ. În 2020, platforme precum Meta sau Google foloseau deja voluntar sisteme automate pentru a căuta materiale de abuz sexual asupra copiilor în conținutul pe care îl puteau procesa, inclusiv în conversațiile private ale oamenilor. Problema juridică a apărut atunci când UE și-a schimbat regulile pentru comunicațiile electronice, iar servicii precum Gmail, Facebook sau Messenger au intrat într-un cadru mai strict de protecție a confidențialității. Comisia Europeană a venit cu o soluție temporară: să permită explicit, pentru o perioadă limitată, detectarea voluntară.

În 2021, Parlamentul European și Consiliul au ajuns la un acord, iar pe 14 iulie a fost adoptat Regulamentul (UE) 2021/1232. Regulamentul permitea folosirea tehnologiilor pentru detectarea materialelor de abuz sexual asupra copiilor deja cunoscute, detectarea unor materiale noi și detectarea unor posibile cazuri de „solicitation of children”, adică situații care puteau indica grooming; pentru ultimele două cazuri, însă, era prevăzut explicit că era nevoie și de o confirmare umană până la alertarea autorităților. Regulamentul nu a fost primit cu brațele deschise de toată lumea din cauza îngrijorărilor cu privire la viața privată.

„Noi suntem împotriva acestei derogări. În primul pentru că este absurd să spui că, în principiu, avem o directivă de ePrivacy care ne protejează viața privată în mediul digital, dar cumva există o mână de companii exceptate. Cum se împacă asta cu principiul de a avea viață privată? Cum mai ai un drept dacă sunt, totuși, unii care ți-l pot încălca? Și nu vorbim aici de încălcări ale vieții private care vin cu mandat judecătoresc sau care vin după ce a existat o dovadă a unui act criminal. Nici măcar suspiciuni. Nu, e o scanare preventivă”, spune într-un dialog cu HotNews Sabina-Alexandra Ștefănescu, activistă pentru drepturile digitale și Chief Technology Officer la Asociația pentru Tehnologie și Internet.

Regulamentul venea și cu limite importante: tehnologiile trebuiau să fie, pe cât posibil, cele mai puțin intruzive pentru viața privată și să fie folosite strict pentru detectarea și raportarea abuzului. Un detaliu esențial este că regulamentul din 2021 nu spunea că criptarea end-to-end (prin care doar expeditorul și destinatarul pot citi mesajele) trebuie spartă. El preciza că nimic din regulament nu trebuie interpretat ca interzicând sau slăbind criptarea end-to-end, dar nici nu excludea explicit mesajele criptate end-to-end de la scanare.

Regulamentul a fost, de la început, unul temporar. El urma să expire la 3 august 2024, dar aplicarea sa a fost prelungită ulterior până la 3 aprilie 2026. La 24 iulie 2026, Parlamentul European și Consiliul au adoptat Regulamentul (UE) 2026/1881, care a intrat în vigoare la 31 iulie 2026 și se aplică până la 3 aprilie 2028. Și acesta permite furnizorilor să folosească voluntar tehnologii pentru detectarea CSAM și a grooming-ului, dar introduce o diferență foarte importantă: exclude explicit comunicațiile protejate prin criptare end-to-end, cum sunt cele de pe WhatsApp sau Signal, de exemplu. Acest regulament temporar, aflat în vigoare, este numit de mulți „Chat Control 1.0”.

În paralel, UE negociază de mai mulți ani o lege permanentă, propusă de Comisia Europeană în 2022. Spre deosebire de regulamentul temporar, care doar permite furnizorilor să detecteze voluntar astfel de materiale, proiectul permanent introduce posibilitatea unor „ordine de detectare”: în anumite condiții, autoritățile ar putea cere unui serviciu să detecteze CSAM, după o evaluare a riscurilor și cu anumite garanții procedurale.

Propunerea Comisiei nu era doar despre scanarea mesajelor. Era un regulament mult mai amplu, care încerca să creeze un sistem european complet pentru combaterea abuzului sexual asupra copiilor online: prevenție, evaluarea riscurilor, detectare, raportare, eliminarea conținutului, blocarea accesului la anumite materiale și sprijinirea victimelor. Comisia propunea, de asemenea, crearea unui nou centru european pentru prevenirea și combaterea abuzului sexual asupra copiilor.

Ideea de bază era că responsabilitatea nu trebuia să înceapă în momentul în care poliția descoperă un material ilegal. Comisia voia ca platformele și aplicațiile pe care oamenii le folosesc pentru a comunica să analizeze cât de mare este riscul ca serviciile lor să fie folosite pentru abuz sexual asupra copiilor. Fiecare companie ar fi trebuit să se uite la propriul serviciu și să răspundă la întrebări de tipul: Poate fi folosit pentru distribuirea de imagini cu abuzuri asupra copiilor? Poate fi folosit pentru ca un adult să contacteze și să ademenească un copil? Ce caracteristici ale platformei fac acest lucru mai ușor? Pe baza acestei evaluări, platformele ar fi fost încadrate în funcție de riscul identificat, iar măsurile pe care trebuiau să le ia ar fi trebuit să fie proporționale cu acel risc.

Dacă autoritățile constatau că există un risc semnificativ ca un anumit serviciu să fie folosit pentru abuz sexual asupra copiilor și măsurile de reducere a riscului nu erau suficiente, putea fi solicitat un ordin de detectare. Ordinul trebuia să fie emis pentru un furnizor și un serviciu specific și să precizeze ce anume trebuie detectat, pentru cât timp și ce indicatori trebuie folosiți. Procedura nu era una simplă: mai întâi, autoritatea națională competentă trebuia să investigheze situația, să consulte platforma și, după caz, Centrul UE pentru combaterea abuzului sexual asupra copiilor, iar apoi ordinul trebuia aprobat de o autoritate judiciară sau administrativă independentă.

În forma propusă de Comisie în 2022, proiectul nu introducea o interdicție asupra criptării end-to-end, însă problema era alta: dacă un furnizor primește un ordin de detecție, trebuie să poată să-l execute. Una dintre soluțiile discutate public este „client-side scanning”: verificarea conținutului pe dispozitiv înainte ca acesta să fie criptat și transmis. Criticii spun că acest lucru schimbă fundamental natura criptării end-to-end: practic, nu mai ai un sistem în care conținutul este privat din momentul în care îl creezi până când ajunge la destinatar, ci unul în care dispozitivul tău verifică mai întâi conținutul și abia apoi îl criptează.

Parlamentul European a încercat să răspundă exact acestei probleme în poziția sa adoptată în 2023. A păstrat ideea ordinelor de detecție, dar a spus că ar trebui să fie țintite către utilizatori specifici sau grupuri de utilizatori pentru care există „motive rezonabile de suspiciune”, nu să permită scanarea generală a unui serviciu. Cea mai importantă schimbare este că Parlamentul a spus explicit că mesajele protejate prin criptare end-to-end trebuie excluse din ordinele de detecție. După poziția Parlamentului din noiembrie 2023, dosarul a rămas blocat aproape doi ani în Consiliul UE.

În cele din urmă, în noiembrie 2025, Consiliul UE și-a stabilit propria poziție de negociere. Consiliul a renunțat la ordinele obligatorii de detectare din cadrul legii permanente și a propus ca mecanismul de detectare voluntară, introdus temporar în 2021, să devină permanent. În versiunea Consiliului, o companie ar putea continua să scaneze voluntar serviciile sale pentru CSAM, dar regulamentul permanent nu i-ar permite unei autorități să-i ordone să înceapă scanarea. Consiliul a păstrat însă o mare parte din arhitectura propusă de Comisie: evaluări de risc, măsuri de reducere a riscurilor, împărțirea serviciilor în categorii de risc (scăzut, mediu și ridicat), mecanisme pentru eliminarea și blocarea conținutului, precum și sprijinul acordat victimelor. În privința criptării end-to-end, Consiliul spune explicit că regulamentul nu trebuie să slăbească, să ocolească sau să submineze măsurile de securitate și că nu poate să oblige furnizorii să decripteze datele sau să creeze acces la date protejate prin criptare end-to-end.

În momentul de față, negocierile pentru legea permanentă („Chat Control 2.0”) sunt încă în desfășurare, în trilog, între Parlamentul European, Consiliu și Comisie. Nu există încă un text final asupra căruia cele trei instituții să fi ajuns la un acord.

Criticii proiectului spun că, în forma propusă inițial de Comisie și în unele dintre variantele discutate ulterior în Consiliu, statul ar crea un sistem prin care comunicațiile digitale ale unor oameni care nu sunt suspectați de nicio infracțiune ar putea fi analizate automat. Organizațiile pentru drepturi digitale descriu acest lucru drept supraveghere în masă. De altfel, în septembrie 2025, peste 500 de experți în criptografie și securitate cibernetică au semnat o scrisoare deschisă în care avertizează că propunerile sunt imposibil de aplicat din punct de vedere tehnic și ar submina complet securitatea și intimitatea tuturor cetățenilor europeni, deschizând ușa atacurilor hackerilor sau statelor ostile.

Discuția e legată de prezumția de nevinovăție și proporționalitate. În lumea offline, poliția nu deschide corespondența tuturor oamenilor pentru a vedea dacă cineva trimite materiale ilegale. Criticii Chat Control spun că proiectul inversează această logică în mediul digital: întâi verificăm comunicațiile unui număr enorm de oameni, iar abia apoi sistemul încearcă să identifice persoanele suspecte.

O a doua problemă este acuratețea tehnologiei. Detectarea unei fotografii deja cunoscute este relativ simplă, dar lucrurile devin mult mai complicate când i se cere unui algoritm să descopere materiale pe care nu le-a mai văzut sau să decidă dacă o conversație reprezintă grooming. EDRi și alte organizații susțin că folosirea unor astfel de filtre la scară foarte mare poate genera un volum enorm de alerte. „Sunt forțele de ordine capabile să răspundă la tot soiul de notificări de tipul «utilizatorul X a pus pe Telegram poza asta care a fost făcută în 2017»? Au apărut niște rapoarte de la echivalentul MAI din alte țări care spun că, pentru ei, e mult mai mare volumul decât pot ei să proceseze. Adică nu toate aceste notificări se încheie cu un arest sau cu o condamnare penală. Și atunci întrebarea este: dacă nu cresc numărul de condamnări, dacă nu cresc numărul de persoane care sunt salvate, care sunt pe cale să fie victimizate, atunci, dacă nu cresc beneficiile pentru societate, la ce bună această măsură?”, spune Sabina Alexandra Ștefănescu de la ApTI.

O altă critică importantă este că tehnologia poate ajunge să fie folosită pentru mai mult decât scopul inițial, fenomen cunoscut ca „function creep”: creezi o infrastructură pentru un scop considerat bun și, în timp, apar presiuni pentru folosirea ei și în alte scopuri.

La prima vedere, poate părea contraintuitiv ca marile platforme să susțină sau să accepte mecanisme care le obligă să scaneze conversațiile utilizatorilor. Însă, spune Sabina Alexandra Ștefănescu, problema trebuie privită și prin prisma modelului de business al acestor companii: datele despre utilizatori sunt una dintre cele mai importante resurse ale lor. „Companiile astea fac bani când îți vând reclame și când te țin pe platformă cât mai mult. Ca să-ți vândă reclame trebuie să ai un profil personalizat cât cu cât mai multe detalii despre tine și ca să te țină pe platformă trebuie ca algoritmul de recomandare să te enervezez sau să te intereseze pe tine în particular. Și atunci e nevoie de cât mai multe date și meta date despre tine, în ce categorii te încadrezi și așa mai departe.”, spune ea.

„Motivul numărul doi este că toate aceste companii acum își și antrenează LLM-uri (n.r. chatboturi AI) și atunci au nevoie de conținut creat de utilizatori în limbaj natural, din conversații ca să continue să antreneze aceste modele. Și atunci e în interesul lor să aibă toate porțile deschise, pe toate palierele de acces la date. Derogarea asta de e-privacy le dă posibilitatea să scaneze conținutul, dar scanând conținutul e clar că ei ar putea să deducă încă un set de metadate despre noi. Și pentru companiile astea, ăsta este singurul lucru care le produce profitul”, adaugă Ștefănescu.