Porno, accesso con verifica dell’età: tutti i dubbi chiariti

L’introduzione dell’obbligo di verifica dell’età per l’accesso ai siti pornografici è un passaggio cruciale nel rapporto tra tutela dei minori e libertà digitale.

Verifica età per accesso al porno: le regole e le date

Dopo anni di discussioni, l’Italia ha finalmente stabilito un quadro normativo chiaro: a partire dal 12 novembre 2025, chiunque diffonda in Italia contenuti pornografici dovrà assicurarsi che l’utente sia maggiorenne. Chi non si adegua rischia multe fino a 250 mila euro e il possibile oscuramento del sito da parte dell’Agcom.

Agcom ha pubblicato una lista di siti che continua ad aggiornare, ad oggi sono 45.

Termine del primo febbraio 2026

L’Agcom ha poi chiarito il 12 novembre sera che per i siti con sede all’estero – ossia quasi tutti quelli della lista – il termine scatta il primo febbraio.

Sono italiani solo due (Hentai Ita e Giochi Premium), che comunque non si sono adeguati.

La scadenza discende in modo lineare dal combinato disposto dell’art. 13-bis del “Decreto Caivano” e della delibera AGCOM n. 96/25/CONS, pubblicata il 12 maggio 2025, che concedeva sei mesi ai gestori per adeguarsi. Per quelli stranieri si parlava in modo ambiguo di tre mesi in più dalla pubblicazione della lista (dal 31 ottobre quindi). Ora il chiarimento.

Quindi entro il 12 novembre o, per gli stranieri, il primo febbraio i siti porno della lista dovranno avere un sistema di age verification attivo e conforme alle indicazioni dell’Autorità, pena l’inibizione dell’accesso dal territorio italiano.

I siti porno per i quali scatta obbligo verifica età (lista Agcom 3 novembre 2025)

• Pornhub;
• Youporn;
• Redtube;
• Stripchat;
• Xnxx;
• Xvideos;
• Cameraboys.com;
• Maturescam.com;
• Mycams.com;
• Mytrannycams.com;
• Porndoelive.lsl.com;
• Pornhdlive.com;
• Joyourself.com;
• Livejasmin;
• Liveprivates.com;
• Livesexasian.com;
• Lsawards.com;
• Lsl;
• Pornhdlive.com;
• Superporno;
• Porn300;
• Porndroids;
• Faphouse;
• Jacquie Et Michel;
• Olecams;
• OnlyFans;
• Xfree;
• Xhamster;
• Tiava;
• Lupoporno;
• Ixxx;
• Tubegalore;
• Gaymaletube;
• Porn.com;
• Solo Porno Italiani;
• Cam4;
• Pornzog;
• Hentai – Ita;
• Giochi Premium;
• Xhamster Live;
• Clip4sale;
• Chaturbate;
• Bang;
• Tnaflix;
• Tukif.love

Novembre o gennaio: chiarimento sulle date

Più interessante, sul piano giuridico, è il riferimento ai “tre mesi dalla pubblicazione della lista”, contenuto nell’art. 4, comma 2, dell’Allegato A alla delibera.

La norma serve a regolare l’estensione dell’applicazione del provvedimento anche ai soggetti stabiliti in altri Stati membri dell’Unione europea, in conformità al principio del “Paese di origine” previsto dal diritto UE. In sostanza, AGCOM ha introdotto una finestra di tre mesi per consentire le necessarie comunicazioni alle autorità competenti degli altri Stati e garantire il rispetto delle procedure di notifica previste dal Digital Services Act e dalla direttiva e-commerce.

Questo significa che, se la lista dei siti soggetti alla verifica è stata pubblicata il 31 ottobre 2025, il termine dei tre mesi conduce al 31 gennaio 2026.

Il momento a partire dal quale l’Autorità potrà esercitare pienamente i propri poteri anche verso operatori con sede in altri Paesi UE, come i grandi colossi del settore.

In questa doppia scansione temporale — 12 novembre per l’obbligo sostanziale, 31 gennaio per l’applicabilità piena ai soggetti UE — si coglie l’equilibrio cercato dal legislatore e da AGCOM tra esigenze di protezione dei minori e rispetto delle libertà del mercato digitale europeo.

Non si tratta di un rinvio o di un escamotage, ma di un raffinato compromesso giuridico che tiene conto delle dinamiche del diritto dell’Unione e della necessità di un approccio graduale. In definitiva, la nuova disciplina non rinvia l’obbligo: lo chiarisce, lo struttura e lo colloca in un contesto coerente con la cornice europea. Dal 12 novembre 2025 l’Italia compie un passo concreto — e giuridicamente ponderato — verso una rete più responsabile, mentre dal 31 gennaio 2026 l’AGCOM potrà esercitare appieno la propria vigilanza anche oltre i confini nazionali.

Come funziona l’accesso ai siti web porno

Il sistema pratico di accesso può cambiare da sito a sito, ma ci sono alcuni punti fermi. Il principio è quello del “doppio anonimato”: chi verifica l’età non sa a quale sito l’utente vuole accedere, e il sito non conosce l’identità dell’utente. Tutto avviene tramite un’app o un portafoglio digitale – in futuro l’IT Wallet – che rilascia una credenziale crittografata valida su più piattaforme. L’Europa ha già messo a disposizione un’app, mentre l’Italia lavora per averne una, che potrebbe essere anche integrata in app IO.

Onlyfans, che ha già attivato una verifica dell’età, utilizza il sistema internazionale Yoti (già usato nel Regno Unito, Francia e altri Paesi), basato su verifica algoritmica del selfie (inquadrato con la fotocamera del cellulare) o foto a documenti d’identità.

Non ci sarà un’autenticazione Spid o Cie per l’accesso, appunto per garantire l’anonimato.

• In pratica, quando si tenta di entrare in un sito per adulti compare una schermata di verifica. Sullo smartphone si apre l’app certificata, che controlla la maggiore età dell’utente una sola volta, tramite un documento o un’identità digitale. L’uso del selfie, adottato da Yoti e altri sistemi in vigore, può essere critico e facilmente aggirabile. L’app genera poi una prova d’età (“over 18”) che può essere riutilizzata.
• Chi naviga da computer vedrà invece un QR code: basta inquadrarlo sul telefono per autorizzare l’accesso e poi si aprirà il sistema adottato da quel sito per la verifica. Il sito riceve solo l’informazione “maggiorenne sì/no”, senza conoscere nome, documento o dati anagrafici.

Il sistema potrà essere gestito da soggetti terzi certificati – come banche, gestori d’identità o enti pubblici – e dovrà garantire sicurezza, anonimato e interoperabilità europea. In alternativa potranno essere usati metodi conformi come la verifica via operatore mobile o carta di credito, ma solo se rispettano gli stessi standard di protezione dati.

Francia, Regno Unito, Germania

In Europa la pornografia online è diventata il banco di prova delle nuove tecnologie di verifica dell’età. Francia, Germania e Regno Unito hanno già scelto, prima dell’Italia, tre modelli diversi: tutti superano il vecchio “sei maggiorenne? sì/no”, ma con filosofie opposte su identità, privacy e ruolo dei fornitori terzi come Yoti, Veriff, Didit.

Il risultato è un laboratorio regolatorio che sta già producendo effetti concreti: cali di traffico sui grandi siti, boom di servizi di age-assurance, primi contenziosi e un dibattito sempre più acceso sull’uso dei dati biometrici.

Francia: il “doppio anonimato” come compromesso tra controllo e privacy

In Francia l’obbligo di verificare l’età per i siti pornografici arriva con la legge SREN, che rende operativo il divieto – già previsto dal codice penale – di esporre i minori a contenuti pornografici. La legge affida all’authority ARCOM il compito di definire come, tecnicamente, questa verifica deve avvenire.

Il punto di svolta è il “référentiel technique” pubblicato nel 2024: la verifica dell’età non può essere svolta direttamente dal sito porno, ma deve passare per un prestatore terzo indipendente. È una richiesta che il garante privacy francese porta avanti da anni proprio per evitare la creazione di “liste di utenti di pornografia”.

Il cuore del modello è il cosiddetto “double anonymat”. Da un lato, il sito pornografico non deve mai vedere documento, selfie o altri dati identificativi dell’utente. Dall’altro, il prestatore di verifica non deve sapere quale sito si sta cercando di visitare. Nessun attore, insomma, deve poter collegare in modo stabile le diverse visite della stessa persona a siti diversi.

In pratica, l’utente che tenta di accedere a un sito 18+ viene reindirizzato verso un fornitore di age-verification. Lì può scegliere fra più opzioni: caricamento di un documento con controllo biometrico (confronto tra foto del documento e selfie), stima automatica dell’età da selfie con test di “liveness” anti-spoofing, oppure utilizzo di un “wallet d’identità” che contiene soltanto l’attributo “18+ sì/no”. Il prestatore calcola l’esito e genera una prova di maggior età sotto forma di token anonimo. È quel token che viene poi presentato al sito, che si limita a controllare che sia valido e riferito a un adulto, senza accedere alla fonte della prova né alla data di nascita.

Il référentiel impone che siano disponibili almeno due metodi di verifica, di cui almeno uno basato sul doppio anonimato, che i dati non siano conservati più del necessario e che non possano essere riutilizzati per profilare la navigazione. La verifica deve essere rinnovata periodicamente, per evitare che il controllo diventi un semplice “semaforo” permanente.

Dal 2025 i siti pornografici accessibili dalla Francia sono formalmente obbligati ad adeguarsi, con sanzioni che possono arrivare a una percentuale rilevante del fatturato e con la possibilità di bloccare l’accesso dal territorio nazionale. La prospettiva di dover integrare un’architettura complessa, con nuovi intermediari specializzati nel generare token anonimi di maggior età, ha già spinto alcuni grandi operatori a ridurre o bloccare il traffico francese in segno di protesta.

Germania: il modello storico dei “closed user group”

In Germania la protezione dei minori nei media è disciplinata dal JMStV, il Trattato interstatale sulla protezione dei minori, che ha introdotto molto presto il concetto di “closed user group” per i contenuti riservati agli adulti. L’idea è semplice ma rigida: pornografia e contenuti equivalenti possono essere messi online solo all’interno di un’area “Adults only”, accessibile soltanto a utenti identificati come maggiorenni tramite un sistema di verifica dell’età approvato (AVS).

La Commissione per la protezione dei minori nei media (KJM) ha codificato, in una sorta di “AVS-Matrix”, i criteri per giudicare se un sistema di verifica è sufficiente. Il modello prevede due fasi distinte: una identificazione iniziale forte e una autenticazione ricorrente a ogni accesso.

Nella fase di identificazione l’utente deve dimostrare una volta per tutte di essere maggiorenne. Tradizionalmente ciò avveniva di persona, allo sportello postale o in banca, tramite servizi come PostIdent: l’operatore controllava il documento e abilitava un account per l’area 18+. Negli ultimi anni la KJM ha approvato anche sistemi completamente online basati sulla combinazione documento + selfie con verifica biometrica automatizzata. Servizi come Veriff, che confrontano la foto del documento con un selfie o un breve video, vengono considerati equivalenti alla verifica faccia a faccia.

Esistono anche modelli che sfruttano i dati bancari: l’utente viene reindirizzato a un provider che, con il suo consenso, accede all’home banking per verificare che il conto sia intestato a un maggiorenne. Poiché l’apertura di un conto corrente in Germania richiede già un controllo d’identità, questo schema viene considerato sufficientemente affidabile anche per l’età.

Una volta superata l’identificazione iniziale, l’accesso ai contenuti per adulti avviene tramite un sistema di autenticazione che deve rendere difficile “prestare” l’account a un minore. Per questo vengono privilegiati credenziali forti, token hardware, codici via SMS o altri meccanismi che creano un costo o un rischio concreto in caso di abuso. L’obiettivo dichiarato della KJM è che l’area “Adults only” sia, nella pratica, inaccessibile a un minore anche motivato.

Il rovescio della medaglia è evidente: il modello tedesco è fortemente legato all’identità reale. A differenza del doppio anonimato francese, qui il gestore del servizio 18+ può associare in modo stabile un account a una persona identificata, anche se – almeno sul piano formale – non dovrebbe profilare la fruizione dei contenuti per finalità diverse dalla tutela dei minori.

Negli ultimi anni la KJM ha iniziato a riconoscere anche la stima biometrica dell’età come componente dei nuovi AVS, a condizione che la precisione nella fascia 13-18 anni sia molto elevata. È un tentativo di alleggerire l’esperienza utente, mantenendo però la logica dei “closed user groups” e un livello di controllo che resta fra i più severi in Europa.

Regno Unito: “age assurance” modulare, con il vincolo dell’efficacia

Il Regno Unito ha scelto una strada ancora diversa, puntando sulla flessibilità tecnologica ma imponendo un vincolo sostanziale molto chiaro: l’age-assurance deve essere “highly effective”.

L’Online Safety Act, approvato nel 2023 ed entrato progressivamente in vigore tra il 2024 e il 2025, impone ai servizi che consentono accesso a pornografia – dai siti dedicati alle piattaforme con contenuti generati dagli utenti – di impedire che i minori possano “normalmente” incontrare contenuti pornografici. Non basta più filtrare qualcosa in home page: il legislatore chiede alle piattaforme di dimostrare con numeri, modelli di rischio e misure tecniche che l’esposizione dei minori sia effettivamente ridotta in modo drastico.

Ofcom, il regolatore delle comunicazioni, ha pubblicato una guida specifica su come implementare controlli di età “highly effective”. Dal 25 luglio 2025 tutti i servizi che consentono pornografia per utenti britannici devono avere in produzione sistemi di age-assurance robusti: il vecchio banner “dichiaro di avere più di 18 anni” viene esplicitamente escluso e non è più considerato una misura valida.

La scelta politica è di non prescrivere un’unica architettura, ma di definire una “cassetta degli attrezzi” e lasciare alle piattaforme la responsabilità di selezionare, combinare e calibrare le soluzioni. In questa cassetta rientrano, ad esempio, l’analisi biometrica del volto per stimare l’età da selfie o video con verifiche di liveness, la verifica presso la banca tramite open banking, i controlli sui documenti d’identità gestiti da provider specializzati, l’uso di servizi di identità digitale e wallet che conservano attestazioni d’età da presentare ai siti su richiesta, fino a integrazioni con dati di operatori mobili e altri soggetti già obbligati a verificare l’età dei clienti.

In questo quadro, servizi come Yoti si propongono come soluzioni chiavi in mano: l’utente scatta un selfie o inquadra un documento, il sistema stima l’età o verifica l’ID e comunica al sito solo l’esito “18+ sì/no”, senza trasferire immagini o dati anagrafici completi.

Ofcom non impone il doppio anonimato alla francese, ma sottolinea la necessità di minimizzare i dati trattati e di evitare che la verifica dell’età diventi un pretesto per raccogliere enormi quantità di informazioni su abitudini di consumo di contenuti sensibili. Allo stesso tempo, il regolatore insiste sull’efficacia: in caso di inosservanza, le piattaforme rischiano multe fino al 10% del fatturato globale e misure come il blocco dell’accesso dal Regno Unito.

I primi effetti si vedono già: diversi operatori hanno segnalato un brusco calo del traffico dall’UK dopo l’introduzione dei controlli, accompagnato da un aumento dell’uso di VPN per aggirare i sistemi di age-assurance.