Chat Control, una dintre cele mai controversate inițiative ale UE, ar putea schimba pentru totdeauna felul în care comunicăm online
În numele luptei împotriva abuzului sexual asupra copiilor, Uniunea Europeană încearcă de mai bine de patru ani să introducă reguli care ar putea schimba radical felul în care funcționează comunicațiile online. Propunerea, cunoscută drept „Chat Control”, a stârnit una dintre cele mai aprinse dispute europene despre granița dintre siguranța copiilor și dreptul la viață privată.
- Organizațiile pentru drepturi digitale avertizează asupra „supravegherii în masă”, pentru că verificarea pornește de la ideea că sistemele trebuie să caute preventiv abuzuri sexuale în comunicațiile oamenilor.
- „Cum mai ai dreptul la viață privată dacă unii ți-l pot încălca?”, se întreabă Sabina-Alexandra Ștefănescu, activistă pentru drepturile digitale de la Asociația pentru Tehnologie și Internet.
- În acest moment nu există un text final al legii: Parlamentul European, Consiliul și Comisia negociază o formă finală.
- Articolul de față analizează controversele din acest act normativ și care sunt pozițiile tuturor părților implicate.
„Chat Control” este numele neoficial dat unei inițiative europene care urmărește să combată abuzul sexual asupra copiilor în online. UE vrea ca servicii precum Gmail, Facebook Messenger, Instagram, WhatsApp sau alte servicii de mesagerie și comunicații să poată detecta și raporta materiale de abuz sexual asupra copiilor (CSAM – Child Sexual Abuse Material) și posibile tentative de grooming. Grooming-ul înseamnă, simplificat, situația în care un adult încearcă să câștige încrederea unui copil pentru a ajunge la o formă de exploatare sexuală. Însă inițiativa este una controversată.
Organizațiile pentru drepturi digitale, precum Asociația pentru Tehnologie și Internet (ApTI) sau rețeaua European Digital Rights (EDRi), și numeroase organizații pentru protejarea vieții private au susținut încă de la început că obiectivul combaterii abuzului sexual asupra copiilor este legitim, dar că mecanismul propus de Comisie merge prea departe. Principala lor problemă este că un sistem creat pentru a găsi abuzuri asupra copiilor ar putea ajunge să permită monitorizarea pe scară largă a comunicațiilor private ale unor oameni care nu sunt suspectați de nicio infracțiune.
Chat Control: cum a început totul
Povestea începe înainte ca „Chat Control” să existe ca proiect legislativ. În 2020, platforme precum Meta sau Google foloseau deja voluntar sisteme automate pentru a căuta materiale de abuz sexual asupra copiilor în conținutul pe care îl puteau procesa, inclusiv în conversațiile private ale oamenilor.
Problema juridică a apărut atunci când UE și-a schimbat regulile pentru comunicațiile electronice. Din 2020, noile reguli europene au început să se aplice și unor servicii precum Gmail, Facebook, Messenger sau alte servicii de mesagerie care nu folosesc numere de telefon pentru identificarea utilizatorilor. Aceste servicii au intrat într-un cadru mai strict de protecție a confidențialității. De aici și noua contradicție: unele servicii analizau deja automat conversațiile private pentru a identifica CSAM, dar noile reguli europene privind confidențialitatea nu ofereau o bază juridică suficient de clară pentru ca ele să continue să facă acest lucru.
Comisia Europeană a venit atunci cu o soluție temporară: să permită explicit, pentru o perioadă limitată, această detectare voluntară. Ideea era să nu ajungem în situația în care Gmail, Messenger sau alte servicii care detectau deja CSAM să fie obligate brusc să oprească aceste sisteme, în timp ce UE pregătea o legislație permanentă. Drept urmare, Bruxelles-ul a creat o excepție temporară de la anumite reguli ale Directivei ePrivacy, special pentru combaterea abuzului sexual asupra copiilor.
În 2021, Parlamentul European și Consiliul au ajuns la un acord, iar pe 14 iulie a fost adoptat Regulamentul (UE) 2021/1232. Regulamentul permitea folosirea tehnologiilor pentru detectarea materialelor de abuz sexual asupra copiilor deja cunoscute, detectarea unor materiale noi și detectarea unor posibile cazuri de „solicitation of children”, adică situații care puteau indica grooming; pentru ultimele două cazuri, însă, era prevăzut explicit că era nevoie și de o confirmare umană până la alertarea autorităților.
Regulamentul nu a fost însă primit cu brațele deschise de toată lumea din cauza îngrijorărilor cu privire la viața privată.
„Noi suntem împotriva acestei derogări. În primul pentru că este absurd să spui că, în principiu, avem o directivă de ePrivacy care ne protejează viața privată în mediul digital, dar cumva există o mână de companii exceptate. Cum se împacă asta cu principiul de a avea viață privată? Cum mai ai un drept dacă sunt, totuși, unii care ți-l pot încălca? Și nu vorbim aici de încălcări ale vieții private care vin cu mandat judecătoresc sau care vin după ce a existat o dovadă a unui act criminal. Nici măcar suspiciuni. Nu, e o scanare preventivă”, spune într-un dialog cu HotNews Sabina-Alexandra Ștefănescu, activistă pentru drepturile digitale și Chief Technology Officer la Asociația pentru Tehnologie și Internet.
Tehnologii mai puțin intruzive
Regulamentul venea și cu limite importante. Tehnologiile trebuiau să fie, pe cât posibil, cele mai puțin intruzive pentru viața privată și să fie folosite strict pentru detectarea și raportarea abuzului. În cazul scanării textului, sistemele nu trebuiau să fie capabile să deducă substanța conversației, ci să identifice doar tipare care puteau indica motive concrete pentru suspiciunea unui abuz. Pentru detectarea grooming-ului trebuiau luate în calcul indicatori obiectivi, precum diferența de vârstă și probabilitatea ca în conversație să fie implicat un copil.
Un detaliu esențial este că regulamentul din 2021 nu spunea că criptarea end-to-end (prin care doar expeditorul și destinatarul pot citi mesajele) trebuie spartă. Mai mult, el preciza că nimic din regulament nu trebuie interpretat ca interzicând sau slăbind criptarea end-to-end. Pe de altă parte, în mod problematic, nici nu excludea explicit mesajele criptate end-to-end de la scanare și lăsa astfel la latitudinea companiilor ce să facă.
Regulamentul a fost, de la început, unul temporar. El urma să expire la 3 august 2024, dar aplicarea sa a fost prelungită ulterior până la 3 aprilie 2026. După această dată, derogarea a încetat să mai fie valabilă.
A urmat un nou regulament temporar. La 24 iulie 2026, Parlamentul European și Consiliul au adoptat Regulamentul (UE) 2026/1881, care a intrat în vigoare la 31 iulie 2026 și se aplică până la 3 aprilie 2028. Și acesta permite furnizorilor să folosească voluntar tehnologii pentru detectarea CSAM și a grooming-ului, în aceleași linii generale: derogare temporară de la anumite prevederi ale Directivei ePrivacy, folosirea unor tehnologii cât mai puțin intruzive și limitarea procesării la ceea ce este necesar pentru detectarea și raportarea abuzului.
Dar noul regulament din 2026 introduce o diferență foarte importantă față de cel din 2021: exclude explicit comunicațiile protejate prin criptare end-to-end, cum sunt cele de pe WhatsApp sau Signal, de exemplu.
Aici suntem cu regulamentul temporar, care este în vigoare și acum, ceea ce mulți numesc Chat Control 1.0.
Însă în paralel, UE negociază de mai mulți ani o lege permanentă, propusă de Comisia Europeană în 2022. Propunerea ar înlocui acest mecanism temporar cu un cadru permanent pentru prevenirea și combaterea abuzului sexual asupra copiilor online.
Spre deosebire de regulamentul temporar, care doar permite furnizorilor să detecteze voluntar astfel de materiale, proiectul permanent introduce posibilitatea unor „ordine de detectare”: în anumite condiții, autoritățile ar putea cere unui serviciu să detecteze CSAM, după o evaluare a riscurilor și cu anumite garanții procedurale.
Chat Control 2.0: ce a propus Comisia Europeană
Propunerea Comisiei nu era doar despre scanarea mesajelor. Era un regulament mult mai amplu, care încerca să creeze un sistem european complet pentru combaterea abuzului sexual asupra copiilor online: prevenție, evaluarea riscurilor, detectare, raportare, eliminarea conținutului, blocarea accesului la anumite materiale și sprijinirea victimelor. Comisia propunea, de asemenea, crearea unui nou centru european pentru prevenirea și combaterea abuzului sexual asupra copiilor, care să funcționeze ca un hub european pentru aceste activități.
Ideea de bază era că responsabilitatea nu trebuia să înceapă în momentul în care poliția descoperă un material ilegal. Comisia voia ca platformele și aplicațiile pe care oamenii le folosesc pentru a comunica să analizeze cât de mare este riscul ca serviciile lor să fie folosite pentru abuz sexual asupra copiilor.
Aici intră, de exemplu, servicii precum WhatsApp, Facebook Messenger, Instagram, Gmail, Google Drive sau alte platforme unde oamenii pot trimite mesaje, fotografii, videoclipuri sau alte fișiere. Regulamentul nu tratează însă toate aceste servicii ca fiind identice: o aplicație de mesagerie are alte riscuri decât un serviciu de stocare în cloud sau o platformă unde utilizatorii publică fotografii.
Fiecare companie ar fi trebuit să se uite la propriul serviciu și să răspundă la întrebări de tipul: Poate fi folosit pentru distribuirea de imagini cu abuzuri asupra copiilor? Poate fi folosit pentru ca un adult să contacteze și să ademenească un copil? Ce caracteristici ale platformei fac acest lucru mai ușor? Cât de des a fost serviciul folosit în trecut în astfel de cazuri?
Pe baza acestei evaluări, platformele ar fi fost încadrate în funcție de riscul identificat, iar măsurile pe care trebuiau să le ia ar fi trebuit să fie proporționale cu acel risc. Dacă, de exemplu, o aplicație de mesagerie constata că este folosită frecvent pentru ca adulții să contacteze copii în scopuri sexuale, compania trebuia să introducă măsuri pentru a reduce riscul.
Aici puteau intra instrumente mai bune de raportare, setări de confidențialitate mai stricte pentru minori, limitarea modului în care necunoscuții pot contacta copiii, mecanisme de verificare a vârstei sau modificări ale modului în care funcționează anumite funcții ale platformei.
Ideea Comisiei era, în principiu, să se înceapă cu prevenția: faci serviciul mai greu de folosit pentru abuz, iar scanarea mesajelor intervine doar atunci când măsurile de reducere a riscului nu sunt suficiente.
Însă, dacă autoritățile constatau că există un risc semnificativ ca un anumit serviciu să fie folosit pentru abuz sexual asupra copiilor și măsurile de reducere a riscului nu erau suficiente, putea fi solicitat un ordin de detectare.
Ordinul trebuia să fie emis pentru un furnizor și un serviciu specific și să precizeze ce anume trebuie detectat, pentru cât timp și ce indicatori trebuie folosiți.
Procedura nu era una simplă. Mai întâi, autoritatea națională competentă trebuia să investigheze situația, să consulte platforma și, după caz, Centrul UE pentru combaterea abuzului sexual asupra copiilor, iar apoi ordinul trebuia aprobat de o autoritate judiciară sau administrativă independentă. Aceasta trebuia să verifice dacă există un risc semnificativ și dacă măsura este proporțională cu impactul asupra drepturilor utilizatorilor. În plus, ordinul trebuia să fie specific, limitat și cât mai puțin intruziv; de exemplu, să vizeze un anumit serviciu, canal sau grup de utilizatori, dacă acest lucru era suficient.
Furnizorii care detectau ceea ce putea constitui CSAM sau grooming trebuiau să raporteze informația către Centrul UE pentru abuz sexual asupra copiilor. Centrul urma să proceseze aceste rapoarte și, dacă era cazul, să le transmită autorităților competente.
Criptarea mesajelor, una dintre marile controverse ale Chat Control
În forma propusă de Comisie în 2022, proiectul nu introducea o interdicție asupra criptării end-to-end însă problema era alta: dacă un furnizor primește un ordin de detecție, trebuie să poată să-l execute. De aici a apărut una dintre marile controverse tehnice și juridice ale proiectului: dacă un serviciu precum WhatsApp folosește criptare end-to-end și furnizorul nu poate vedea conținutul mesajelor, cum poate executa un ordin de detecție pentru acele comunicații?
Una dintre soluțiile discutate public este „client-side scanning”: verificarea conținutului pe dispozitiv înainte ca acesta să fie criptat și transmis. Propunerea Comisiei nu impunea însă în text această tehnologie; ea spunea doar că furnizorul trebuie să execute ordinul folosind o tehnologie care îndeplinește cerințele de eficiență, fiabilitate și minimă intruziune.
Criticii spun că acest lucru schimbă fundamental natura criptării end-to-end. Criptarea poate rămâne intactă din punct de vedere tehnic, dar apare un nou mecanism care inspectează conținutul înainte de criptare. Practic, nu mai ai un sistem în care conținutul este privat din momentul în care îl creezi până când ajunge la destinatar, ci unul în care dispozitivul tău verifică mai întâi conținutul și abia apoi îl criptează.
Mai există și problema erorilor. Pentru materiale deja cunoscute, detectarea prin hashing poate fi relativ precisă: sistemul compară amprenta digitală a unei imagini cu amprentele unor materiale deja identificate. Dar dacă tehnologia trebuie să identifice materiale noi sau, mai ales, grooming, situația este mult mai complicată. Un algoritm trebuie să decidă dacă o imagine este suspectă sau dacă o conversație pare să indice o tentativă de ademenire sexuală a unui copil.
De aici vine una dintre criticile fundamentale aduse propunerii Comisiei: chiar dacă regulamentul nu cerea explicit spargerea criptării, obligația de a putea executa un ordin de detecție ar putea determina platformele să introducă mecanisme de verificare înainte de criptare.
Ce a făcut Parlamentul European
Parlamentul European a încercat să răspundă exact acestei probleme în poziția sa adoptată în 2023. A păstrat ideea ordinelor de detecție, dar a spus că ar trebui să fie țintite către utilizatori specifici sau grupuri de utilizatori pentru care există „motive rezonabile de suspiciune” că au legătură cu abuzul sexual asupra copiilor, nu să permită scanarea generală a unui serviciu.
Cea mai importantă schimbare pentru discuția despre criptare este însă că Parlamentul a spus explicit că mesajele protejate prin criptare end-to-end trebuie excluse din ordinele de detecție. Prin urmare, în versiunea Parlamentului, un ordin de detecție nu ar putea fi folosit pentru a obliga WhatsApp, Signal sau un alt serviciu să introducă un mecanism de scanare a conversațiilor sale criptate.
După poziția Parlamentului din noiembrie 2023, dosarul a rămas blocat aproape doi ani în Consiliul UE. Statele membre nu reușeau să cadă de acord asupra celei mai controversate părți a proiectului: dacă noua lege permanentă trebuie să permită ordine obligatorii de detectare. Unele state susțineau ideea inițială a Comisiei, în timp ce altele se opuneau, iar negocierile au continuat sub mai multe președinții succesive ale Consiliului.
Care e poziția Consiliului UE
În cele din urmă, în noiembrie 2025, Consiliul UE și-a stabilit propria poziție de negociere. Aici observăm o schimbare foarte importantă față de propunerea Comisiei din 2022 și, în anumite privințe, față de poziția Parlamentului: Consiliul a renunțat la ordinele obligatorii de detectare din cadrul legii permanente. În schimb, a propus ca mecanismul de detectare voluntară, care fusese introdus temporar în 2021, să devină permanent. În versiunea Consiliului, o companie ar putea continua să scaneze voluntar serviciile sale pentru CSAM, dar regulamentul permanent nu i-ar permite unei autorități să-i ordone să înceapă scanarea.
Consiliul a păstrat însă o mare parte din arhitectura propusă de Comisie. Platformele ar trebui să facă evaluări de risc și să ia măsuri pentru reducerea acestor riscuri, iar serviciile ar urma să fie împărțite în categorii de risc: scăzut, mediu și ridicat. Autoritățile naționale ar putea obliga platformele să adopte anumite măsuri de prevenție și ar putea aplica sancțiuni dacă nu se conformează. Ar rămâne și mecanismele pentru eliminarea și blocarea conținutului, precum și sprijinul acordat victimelor.
În privința criptării end-to-end, Consiliul spune explicit că regulamentul nu trebuie să slăbească, să ocolească sau să submineze măsurile de securitate, inclusiv criptarea end-to-end, și că nu poate să oblige furnizorii să decripteze datele sau să creeze acces la date protejate prin criptare end-to-end.
În momentul de față, negocierile pentru legea permanentă („Chat Control 2.0”) sunt încă în desfășurare, în trilog, între Parlamentul European, Consiliu și Comisie. Nu există încă un text final asupra căruia cele trei instituții să fi ajuns la un acord.
De ce e Chat Control una dintre cele mai controversate propuneri legislative
Criticii proiectului spun că, în forma propusă inițial de Comisie și în unele dintre variantele discutate ulterior în Consiliu, statul ar crea un sistem prin care comunicațiile digitale ale unor oameni care nu sunt suspectați de nicio infracțiune ar putea fi analizate automat în căutarea unor indicii de abuz. Organizațiile pentru drepturi digitale descriu acest lucru drept supraveghere în masă, pentru că verificarea nu pornește de la suspiciunea că o anumită persoană a comis o infracțiune, ci de la ideea că sistemul trebuie să caute preventiv astfel de materiale în comunicațiile oamenilor.
De altfel, în septembrie 2025, peste 500 de experți în criptografie și securitate cibernetică au semnat o scrisoare deschisă în care avertizează că propunerile sunt imposibil de aplicat din punct de vedere tehnic și ar submina complet securitatea și intimitatea tuturor cetățenilor europeni, deschizând ușa atacurilor hackerilor sau statelor ostile.
Discuția e legată de prezumția de nevinovăție și proporționalitatea. În lumea offline, poliția nu deschide corespondența tuturor oamenilor pentru a vedea dacă cineva trimite materiale ilegale, după care încearcă să descopere cine ar putea fi suspect. În mod normal, există o suspiciune, o investigație și, atunci când este necesar, un mandat. Criticii Chat Control spun că proiectul inversează această logică în mediul digital: întâi verificăm comunicațiile unui număr enorm de oameni, iar abia apoi sistemul încearcă să identifice persoanele suspecte.
O a doua problemă este acuratețea tehnologiei. Detectarea unei fotografii deja cunoscute este relativ simplă. Lucrurile devin însă mult mai complicate când i se cere unui algoritm să descopere materiale pe care nu le-a mai văzut sau să decidă dacă o conversație reprezintă grooming. EDRi și alte organizații de drepturi digitale susțin că folosirea unor astfel de filtre la scară foarte mare poate genera un volum enorm de alerte și că nu există suficiente dovezi că această abordare ar fi suficient de precisă pentru a justifica intruziunea în comunicațiile private.
Dincolo de asta, e discutabil și dacă autoritățile ar face față la un volum uriaș de notificări.
„Sunt forțele de ordine capabile să răspundă la tot soiul de notificări de tipul «utilizatorul X a pus pe Telegram poza asta care a fost făcută în 2017»? Au apărut niște rapoarte de la echivalentul MAI din alte țări care spun că, pentru ei, e mult mai mare volumul decât pot ei să proceseze. Adică nu toate aceste notificări se încheie cu un arest sau cu o condamnare penală. Și atunci întrebarea este: dacă nu cresc numărul de condamnări, dacă nu cresc numărul de persoane care sunt salvate, care sunt pe cale să fie victimizate, atunci, dacă nu cresc beneficiile pentru societate, la ce bună această măsură?”, spune Sabina Alexandra Ștefănescu de la ApTI.
„Tehnosoluționismul ăsta e pastila care ne ajută să ignorăm în fiecare zi faptul că, la nivel local, suntem politic inepți sau atrofiați să schimbăm ceva în bine pentru victime. Sunt aceste cazuri pe care le avem documentate de abuzatori care au scăpat și atunci te întrebi dacă nu cumva încercăm să rezolvăm printr-o soluție tehnologică o problemă care este, de fapt, una instituțională”, adaugă ea.
O altă critică importantă este că tehnologia poate ajunge să fie folosită pentru mai mult decât scopul inițial. Astăzi vorbim despre CSAM și grooming. Dar odată ce există infrastructura tehnică și juridică pentru scanarea automată a comunicațiilor private, e logic că ea poate fi extinsă în viitor pentru alte tipuri de infracțiuni sau alte categorii de conținut.
E vorba de fenomenul cunoscut ca „function creep”: creezi o infrastructură pentru un scop considerat bun și, în timp, apar presiuni pentru folosirea ei și în alte scopuri.
Este în interesul giganților tech să ne scaneze mesajele private
La prima vedere, poate părea contraintuitiv ca marile platforme să susțină sau să accepte mecanisme care le obligă să scaneze conversațiile utilizatorilor. Însă în momentul în care în aprilie regulamentul temporar a expirat, toate marile companii de tehnologie au cerut imediat prelungirea lui. Ceea ce poate părea ciudat pentru că până la urmă, astfel de sisteme înseamnă costuri și infrastructură suplimentară.
Dar, spune Sabina Alexandra Ștefănescu, problema trebuie privită și prin prisma modelului de business al acestor companii: datele despre utilizatori sunt una dintre cele mai importante resurse ale lor.
„Companiile astea fac bani când îți vând reclame și când te țin pe platformă cât mai mult. Ca să-ți vândă reclame trebuie să ai un profil personalizat cât cu cât mai multe detalii despre tine și ca să te țină pe platformă trebuie ca algoritmul de recomandare să te enerveze sau să te intereseze pe tine în particular. Și atunci e nevoie de cât mai multe date și meta date despre tine, în ce categorii te încadrezi și așa mai departe.”, spune ea.
„Motivul numărul doi este că toate aceste companii acum își și antrenează LLM-uri (n.r. chatboturi AI) și atunci au nevoie de conținut creat de utilizatori în limbaj natural, din conversații ca să continue să antreneze aceste modele. Și atunci e în interesul lor să aibă toate porțile deschise, pe toate palierele de acces la date. Derogarea asta de e-privacy le dă posibilitatea să scaneze conținutul, dar scanând conținutul e clar că ei ar putea să deducă încă un set de metadate despre noi. Și pentru companiile astea, ăsta este singurul lucru care le produce profitul”, adaugă Ștefănescu.
Good Tech
Descoperă instrumente, idei și tendințe din tehnologie care îți fac viața mai simplă și mai eficientă.
Good Tech
Descoperă instrumente, idei și tendințe din tehnologie care îți fac viața mai simplă și mai eficientă.
Felicitări! Te-ai abonat la „Good Tech”.
Confirmă abonarea pe e-mail.
Apasă pe linkul din email pentru a primi edițiile.