Per scaricare un’app, d’ora in poi, in Texas bisognerà mostrare i documenti. Non a un negozio fisico, ma a Google e Apple. La Corte Suprema degli Stati Uniti ha appena rifiutato di sospendere la legge statale che trasforma i due store in cancelli anagrafici del software mobile, un passaggio che ridisegna il perimetro del controllo sulle piattaforme digitali.

La norma, pensata per proteggere i minori, impone agli store di verificare l’età di ogni utente prima di consentire l’installazione di un’app. Al di là delle intenzioni, il meccanismo innesca una frizione profonda con l’architettura attuale degli ecosistemi mobili: finora l’età era gestita a livello di singola app o di account, con un’esposizione frammentata dei dati. Adesso il Texas centralizza la funzione, obbligando i due gatekeeper globali a raccogliere e trattare informazioni anagrafiche su scala potenzialmente sconfinata.

Qui si inserisce il nervo scoperto che tocca da vicino chiunque oggi ragioni in termini di sovranità dei dati. Apple e Google, di fronte all’obbligo, potrebbero poggiare l’infrastruttura di verifica su servizi cloud esterni, con tutto ciò che comporta in termini di flussi di dati personali, conformità a regolamenti come il GDPR e rischio di esposizione a richieste di sorveglianza. Oppure potrebbero sospingere modelli di verifica on-device, dove l’età viene attestata senza mai uscire dal dispositivo, magari appoggiandosi a enclave sicure e a sistemi di autenticazione decentralizzati. È la stessa alternativa che il mondo dei Large Language Models conosce bene: eseguire l’inference in cloud o in locale, con un trade-off tra praticità e controllo.

La vicenda ha un valore di segnalazione strutturale. Da anni l’ecosistema dell’on-premise nella AI cresce perché aziende e sviluppatori non vogliono delegare a terzi la gestione di dati sensibili. La legge texana, se farà scuola in altri stati o in Europa, spingerà nella stessa direzione anche il layer dell’identità: non più un servizio esternalizzato ai grandi fornitori, ma una funzione radicata nel dispositivo o in infrastrutture sotto il proprio controllo. Chi oggi orchestra pipeline di machine learning self-hosted, con modelli di quantization spinta per farli girare su hardware modesto, potrebbe trovarsi a dover integrare anche moduli di verifica dell’età senza cedere dati a intermediari, per conformarsi a leggi simili.

Certo, il duopolio Apple-Google non resterà a guardare. L’implementazione effettiva della legge potrebbe tradursi in meccanismi opachi, validi solo per lo store di riferimento, e in una barriera aggiuntiva per gli store alternativi o per il sideloading. Ma proprio qui emerge uno spazio per architetture aperte: se la verifica dell’età diventa un requisito legale, un sistema basato su attestazioni anonime e su zero-knowledge proof potrebbe restituire all’utente il controllo della propria identità, trasformando il dispositivo in un deposito di credenziali verificabili e non in un semplice terminale di un database remoto.

Il Texas ha appena acceso una miccia che va ben oltre la tutela dei minori. Ha messo sul piatto la domanda che da anni tormenta il cloud: chi custodisce l’identità, e con quali garanzie? La risposta, ancora tutta da costruire, potrebbe premiare chi già oggi sceglie di non delegare nulla che possa restare sotto chiave, dentro i propri server o, meglio ancora, dentro i chip del dispositivo che abbiamo in tasca.