L'entrata in vigore, il 1° agosto 2026, della guida alla conformità AI per gli elettrodomestici intelligenti (EU/2026/1147) segna un punto di rottura nel rapporto tra consumatori e Internet delle Cose (IoT). La Commissione Europea ha trasformato la privacy da opzione a requisito di accesso al mercato: per essere venduti nell'Unione, forni AI e sistemi di cucina connessi devono ora superare la certificazione EN 303 645 e l'analisi del modulo di rischio AI (ARM-v2.1). Questa mossa normativa arriva mentre l'ecosistema smart home emerge come uno dei vettori più critici per la sorveglianza non autorizzata.

Friggitrici e TV: l'estrazione silenziosa dei dati

Il rischio non è più teorico, ma risiede in dispositivi di uso quotidiano. L'Information Commissioner's Office (ICO) del Regno Unito ha evidenziato come friggitrici ad aria e tostapane intelligenti possano raccogliere dati personali in modo invasivo. Molti modelli economici richiedono l'accoppiamento con lo smartphone, aprendo la strada al tracciamento della posizione esatta e, in alcuni casi, alla registrazione audio a insaputa dell'utente. Ricerche condotte da Which? indicano che parte di questi flussi di dati viene convogliata verso server in Cina senza giustificazioni tecniche plausibili.

Il settore dei display non è esente. Le smart TV Hisense sono attualmente al centro di una causa federale per l'uso della tecnologia Automatic Content Recognition (ACR), che catturerebbe ogni contenuto visualizzato sullo schermo ogni 500 millisecondi, trasmettendo le informazioni alla casa madre cinese. Parallelamente, l'obbligo di collegare account terzi (come nel caso di Vizio e Walmart) per sbloccare funzionalità base trasforma l'hardware domestico in un sofisticato strumento di profilazione commerciale.

Vulnerabilità hardware e botnet pre-installate

La minaccia si sposta dall'estrazione di dati al controllo remoto dell'hardware. Una falla critica nei robot aspirapolvere Shark RV2320EDUS permette a un attaccante, tramite l'estrazione di un certificato dalla scheda madre, di assumere il controllo di altri dispositivi nella stessa regione AWS. L'exploit consente non solo di mappare l'abitazione, ma anche di accedere alla camera del dispositivo e sottrarre le password della rete Wi-Fi.

Ancor più allarmante è il fenomeno dei dispositivi "infetti alla nascita". L'autorità tedesca per la cybersecurity ha individuato circa 30.000 media player e cornici digitali già compromessi al momento dell'acquisto, integrati nel botnet BadBox. Questo scenario si inserisce in una più ampia crisi di fiducia informatica che vede l'IoT diventare un terreno fertile per attacchi di rete coordinati, come dimostrato dallo smantellamento del servizio SocksEscort da parte di Europol.

Verso una responsabilità obbligatoria del produttore

Il passaggio al modulo ARM-v2.1 dell'UE sposta l'onere della sicurezza dall'utente finale al produttore. Se finora la difesa principale consisteva nel disattivare le connessioni internet o evitare l'accoppiamento con app superflue, la nuova normativa lega strettamente la documentazione tecnica alla sdoganamento e all'accesso al mercato. Questo approccio mira a eliminare i dispositivi che utilizzano la comodità dell'AI come cavallo di Troia per l'estrazione massiva di dati, imponendo test pre-market rigorosi prima che il prodotto raggiunga le cucine dei cittadini.