Tribunale nello Utah: la geolocalizzazione tramite IP non è precisa

Il 24 settembre 2026, il giudice federale nello Utah, David Barlow, ha sospeso quella parte della legge SB 73 che richiedeva ai siti di identificare la reale posizione del visitatore anche attraverso VPN o proxy. L'argomento principale del tribunale è stato formulato quasi in modo ingegneristico: una geolocalizzazione perfetta tramite IP non esiste attualmente, mentre la legge richiedeva proprio questo. Alla fine di ottobre, l'Ofcom britannico dovrebbe pubblicare le sue raccomandazioni per l'identificazione delle VPN. Di seguito analizziamo cosa ha deciso il tribunale, come si differenzia dalla posizione del Regno Unito e cosa cambia per coloro che lavorano con servizi geo-dipendenti, scraping e proxy.

Cosa ha deciso il tribunale nello Utah

Il ricorso è stato presentato da Aylo (proprietario di Pornhub e altri siti per adulti), caso Aylo Freesites Ltd v. Utah, n. 2:26-cv-00340. È stata colpita una norma: la sezione 78B-3-1002(3), aggiunta dalle modifiche del 2026. Essa considerava un visitatore, fisicamente presente nello Utah, un residente dello stato, anche se la sua posizione era nascosta da VPN o proxy. Il sito era responsabile per tale utente.

Il tribunale ha emesso un ingiunzione preliminare. I principali argomenti sono:

Non c'è una clausola sui "ragionevoli sforzi". Formalmente, il sito è responsabile per ogni utente non identificato, il che significa che deve geolocalizzare tutti senza errori. Entrambe le parti hanno concordato che una geolocalizzazione perfetta è impossibile.
Carico sul commercio al di fuori dello stato. Poiché non è possibile distinguere con precisione un residente dello Utah da un residente di Seattle o Shanghai tramite VPN, il sito dovrebbe verificare l'età di tutti i visitatori del mondo. Nel provvedimento è citato un numero: Aylo dovrebbe verificare 28 milioni di utenti. Il tribunale ha ritenuto che ciò probabilmente violi la cosiddetta clausola commerciale "dormiente" della Costituzione degli Stati Uniti (dormant Commerce Clause).
Lo stato ha modi meno gravosi per proteggere i minori.

Lo Utah ha obiettato che la legge non richiede perfezione, ma misure ragionevoli: l'uso probabile di VPN può essere calcolato, e la posizione può essere dedotta dalle impostazioni del dispositivo e dall'attività dell'account. Il tribunale ha risposto che analizza il testo della legge, adottato dalla legislatura, e non come il procuratore generale propone di applicarla.

Cosa rimane in vigore

Il principale obbligo dei siti per adulti di verificare l'età "con metodi ragionevoli" rimane in vigore.
Il divieto per tali siti di spiegare come eludere la verifica tramite VPN non è stato contestato da Aylo, e rimane anch'esso.
Le regole di attuazione R152-78B, pubblicate il 1° settembre e che potrebbero entrare in vigore l'8 ottobre, non possono essere applicate finché è in vigore il divieto del tribunale.
Le parti hanno concordato di rinviare il processo fino alla fine della sessione legislativa dello Utah del 2027: si prevede che la legge venga riscritta.

Contesto: le leggi sulla verifica dell'età per contenuti per adulti sono state adottate in 27 stati degli Stati Uniti (ad agosto 2026), ma solo lo Utah ha tentato di obbligare direttamente i siti a identificare gli utenti tramite VPN. Come appariva questa norma prima del tribunale e perché spingeva i siti a bloccare massicciamente gli IP, ne abbiamo discusso nell'articolo sul SCREEN Act e Utah SB 73.

Perché l'IP non indica dove si trova una persona

La conclusione del tribunale è tecnicamente corretta e va ben oltre i siti per adulti. La geolocalizzazione IP è una stima probabilistica basata su un database, non una misurazione. Il sito vede solo l'indirizzo da cui è arrivata la richiesta. Se il traffico passa attraverso una VPN o un proxy, si tratta dell'indirizzo di un server intermedio o di un dispositivo esterno.

Anche senza VPN, la precisione non è alta. Secondo i dati di MaxMind (uno dei più grandi database geolocalizzati), per gli Stati Uniti, nel raggio di 50 km, circa 60% degli indirizzi IP sono identificati correttamente, un altro 33% sono associati a una città, ma sbagliano di oltre 50 km, e per il 7% dei dati non ci sono informazioni a livello cittadino. L'azienda specifica che non garantisce la precisione in futuro.

L'errore si accumula da diversi strati:

Associazione dei blocchi alla regione di registrazione. Il provider può registrare una sottorete in una città e distribuirla ai suoi abbonati in un'altra.
NAT mobile. Negli operatori cellulari, molti abbonati condividono un unico IP pubblico, e l'accesso a Internet spesso avviene tramite un nodo in un'altra regione.
Reti aziendali e cloud. Un dipendente nello Utah con una VPN aziendale appare come un utente dalla sede in California o da un data center.
Ritardo nell'aggiornamento dei database. Le sottoreti passano tra provider e paesi, e i database impiegano settimane per aggiornarsi.

Quindi, qualsiasi richiesta di "identificare con precisione" si scontra con la fisica della rete. Il tribunale dello Utah è diventato, di fatto, il primo tribunale a registrare questo nella decisione riguardante le VPN.

Il Regno Unito segue un'altra strada

Nel Regno Unito, la verifica dell'età secondo l'Online Safety Act è in vigore dal 25 luglio 2025, con multe che possono arrivare a £18 milioni o al 10% del fatturato globale. La reazione degli utenti è stata immediata: le registrazioni di Proton VPN nel Regno Unito sono aumentate del 1400% nel giorno in cui le regole sono entrate in vigore, e l'app è temporaneamente superata da ChatGPT nell'App Store britannico.

La posizione delle autorità è stata, tuttavia, più cauta rispetto a quella americana:

Il 15 luglio 2026, il ministro della tecnologia Liz Kendall ha dichiarato in parlamento che il governo non intende vietare le VPN e introdurre la verifica dell'età per esse.
Ofcom afferma chiaramente che la legge non gli conferisce il diritto di richiedere il blocco delle VPN.
Nel rapporto di luglio 2026, il regolatore ha riconosciuto che nessun metodo di verifica dell'età esclude completamente l'elusione e raccomanda un approccio multilivello che coinvolga i negozi di applicazioni e il controllo a livello di dispositivo.
Ofcom è stato incaricato di pubblicare entro la fine di ottobre 2026 raccomandazioni su cosa i servizi possono fare per identificare e prevenire l'uso delle VPN.

Quindi, il modello britannico non è "geolocalizza perfettamente sotto pena di multa", ma "prendi misure ragionevoli". Le analisi di settore già descrivono per i servizi uno schema di tre stati: utente sicuramente dal Regno Unito (applichiamo i requisiti), sicuramente non dal Regno Unito (fuori legge) e "posizione non verificabile" - una decisione separata sul rischio, ad esempio verificare l'età per tutti in questo gruppo.

Come i siti identificheranno VPN e proxy

Né il tribunale americano né il regolatore britannico annullano il fatto che i siti continueranno a contrassegnare il traffico sospetto. Un insieme tipico di segnali:

ASN di hosting. Gli indirizzi provenienti da intervalli di cloud e data center (AWS, Hetzner, OVH, M247 e simili) vengono contrassegnati per primi: gli utenti domestici normali non li utilizzano.
Elenco dei server VPN. Molti VPN pubblicano gli indirizzi dei loro server, altri possono essere facilmente raccolti collegandosi al servizio.
Densità degli utenti su IP. Centinaia di account diversi da un unico indirizzo in breve tempo indicano un nodo di uscita.
Incongruenze. Fuso orario del browser, lingua del sistema, layout, località della carta di pagamento rispetto al paese dell'IP.
Segnali comportamentali e dell'account - esattamente ciò a cui si riferiva lo Utah in tribunale.

È importante notare che tutti questi metodi forniscono probabilità, non prove. I falsi positivi sono inevitabili: vengono colpiti dipendenti con VPN aziendali, abbonati di operatori mobili, viaggiatori e sistemi automatizzati che necessitano di geolocalizzazione per affari.

Cosa significa per le aziende che lavorano con geo

La decisione riguarda i siti per adulti, ma le conseguenze sono più ampie. La geolocalizzazione tramite IP è utilizzata per la determinazione dei prezzi, la licenza dei contenuti, la lotta contro le frodi, la verifica pubblicitaria e il monitoraggio dei risultati. Ecco alcune conclusioni pratiche.

Se sei il proprietario di un servizio

Non basare la conformità ai requisiti su un solo database geolocalizzato. Anche senza VPN, ogni terzo indirizzo negli Stati Uniti può essere associato a una città errata. Per decisioni con conseguenze legali è necessaria una registrazione di quali "misure ragionevoli" hai adottato.
Prevedi un terzo stato "non so". Il binario "nostra regione / non nostra" funziona male sul traffico mobile e aziendale.
Confronta più fonti. I diversi database possono differire per lo stesso indirizzo. Come differiscono IPQS, Scamalytics, IPinfo e altri checker, lo abbiamo confrontato su indirizzi reali.

Se raccogli dati o verifichi la pubblicità per regioni

Gli indirizzi dei data center saranno bloccati per primi. L'ondata di leggi sulla verifica dell'età e le raccomandazioni dei regolatori spingono i siti a bloccare interi ASN di hosting. Per compiti in cui è necessario vedere il sito attraverso gli occhi di un utente locale, sono adatti proxy residenziali con scelta di paese e città: l'indirizzo appartiene a un provider domestico della regione desiderata.
Gli indirizzi mobili sono più resistenti ai blocchi, ma meno precisi per la città. A causa del NAT dell'operatore, il sito vede un solo indirizzo per molti abbonati, quindi bloccarlo è costoso. Se è importante la regione e non la città esatta, i proxy mobili sono un'opzione affidabile.
Controlla dove "si trova" il tuo IP in diversi database. Il sito potrebbe utilizzare un database diverso da quello del tuo checker e vedere una regione diversa. Prima di una raccolta su larga scala, esegui richieste di test e confronta quale versione locale restituisce il sito target.
Mantieni il fingerprint del browser in accordo con l'IP. Fuso orario, lingua e località devono corrispondere al paese di uscita: le incongruenze vengono rilevate più frequentemente dell'IP stesso.

Cosa succede dopo

Eventi imminenti da tenere d'occhio:

Fine ottobre 2026 - raccomandazioni dell'Ofcom per l'identificazione delle VPN. La domanda principale è: ci saranno metodi tecnici specifici o rimarrà la formula delle "misure ragionevoli".
Sessione legislativa dello Utah del 2027 - la legge sarà probabilmente riscritta con una clausola sulle misure ragionevoli. Allora la disputa si sposterà da "è possibile richiedere l'ideale" a "cosa considerare ragionevole".
Altri stati - l'EFF ha già dichiarato che contesterebbe iniziative simili, ma le leggi sulla verifica dell'età continuano ad espandersi anche ai social media.

Conclusione

Il tribunale dello Utah ha confermato ciò che gli ingegneri di rete sapevano da tempo: l'IP è un'indicazione della posizione, non una prova. I legislatori possono richiedere ai siti misure ragionevoli, ma non una geolocalizzazione perfetta. Per le aziende, ciò significa due cose. I proprietari dei servizi dovrebbero costruire la logica geo con un margine di errore e un terzo stato "non so". E coloro che necessitano di accesso onesto ai risultati locali dovranno monitorare ancora più attentamente la qualità degli indirizzi: sotto pressione dei regolatori, i siti bloccheranno più frequentemente i data center e si affideranno prima di tutto a IP residenziali e mobili.