Andrea Lisi l’ho incontrato sui social network. Luoghi strani, nei quali la relazione rischia spesso di stare in tutti i posti e in nessun luogo, dentro comunità conviviali e fittizie, comunità prefabbricate, comunità emotive simulate, strette tra like e commenti. Nel nostro caso, e chissà di quanti altri, è successo altro. Quello spazio è diventato conoscenza, relazione, empatia e ricerca comune. Una relazione fondata su qualcosa di più solido: reciprocità, lealtà, curiosità intellettuale e voglia di capire insieme ciò che sta accadendo. Andrea è un avvocato, ma questa definizione racconta solo una parte del suo modo di stare nelle cose.
Mi viene da pensare a lui come a un artista che lavora anche con le norme: porta il diritto accanto alle immagini, ai corpi, alla tecnologia, alla filosofia, e osserva che cosa succede quando questi linguaggi cominciano a interrogarsi a vicenda. ANABASI, di cui è coautore, racconta bene questa attitudine, mettendo nello stesso spazio norma, immagine e corpo. DIGEAT, di cui è ideatore e fondatore, nasce dalla stessa tensione: creare luoghi nei quali saperi diversi possano contaminarsi e produrre nuove domande sul digitale, sulla tecnologia e su ciò che queste trasformazioni fanno alla nostra vita. Ecco allora che il suo pensiero va ben oltre l’AI e le norme, attraversa l’arte, l’umanesimo, il diritto e il modo stesso in cui proviamo ad abitare questo tempo. È ciò che emerge da questa conversazione, per la quale lo ringrazio molto.
Alex Karp, il grande manovratore di Palantir, dice che l’Europa “si è regolamentata fuori dal mercato” e che le sue aziende “esistono solo dietro il muro della regolamentazione”. È la retorica di chi vende lo stack americano, ma contiene un fondo di verità che non possiamo permetterci di ignorare.
Credo che Alex Karp abbia purtroppo le sue ragioni nel sottolineare i limiti della regolamentazione europea dei mercati digitali. Allo stesso tempo, però, ho la sensazione che stia guardando soltanto metà del problema. L’errore europeo non è stato, a mio avviso, regolamentare. L’errore è stato piuttosto quello di pensare che quella regolamentazione potesse sostituire una politica industriale.
I principi della data protection e della libera concorrenza, la tutela dei diritti e delle libertà fondamentali nei contesti digitali, la trasparenza algoritmica e la cybersicurezza non sono ostacoli all’innovazione. Anzi, secondo la visione unionale, costituiscono le condizioni necessarie affinché l’innovazione resti umana e democratica. Soprattutto, il rispetto dei diritti e delle libertà fondamentali che ci riguardano deve continuare a essere considerato il presupposto ineludibile per garantire fiducia nei mercati che si poggiano sugli altrimenti fragili binari dei bit, almeno per noi cittadini europei.
Il punto è che, mentre l’Europa ha costruito il quadro normativo probabilmente più sofisticato del mondo, altri invece continuano a sviluppare piattaforme, infrastrutture, ecosistemi e modelli, sfruttando dati che quegli stessi cittadini – che si intendono proteggere attraverso la regolamentazione europea – hanno rilasciato (e continuano a rilasciare) in modo totalmente inconsapevole a soggetti extra-SEE.
Una voragine che ha favorito la crescita esponenziale di oligopoli oltre i confini europei. E così oggi l’Unione Europea rischia di apparire come l’urbanista di una città che non abbiamo contribuito a edificare.
Eppure, sarebbe un errore speculare pensare che la soluzione sia l’assenza di regole per semplicemente legittimare ciò che c’è e favorirne una crescita selvaggia. La storia digitale degli ultimi vent’anni ci insegna che quando la tecnologia corre senza contrappesi giuridici ed etici produce concentrazioni di potere difficili da governare.
Il problema odierno non è avere regole: è avere soltanto regole in un deserto di infrastrutture e di soggetti consapevoli. Perché già la consapevolezza farebbe tanto. Ma avere favorito la crescita smisurata di oligopoli assetati di dati (quindi dei nostri pensieri, delle nostre abitudini, della nostra intimità e dei nostri sogni), e avere consentito che tutto questo patrimonio umano nutrisse ingordamente modelli di IA generativa e agentica altrui, è un errore che pagheremo per anni. Un errore al quale è difficile porre rimedio soltanto attraverso normative, pur strutturate con attenzione alla qualità. La partita, tuttavia, non è ancora definitivamente persa: il tempo per reagire si sta semplicemente, e pericolosamente, riducendo.
Il passaggio normativo europeo era corretto; l’errore è stato regolare senza costruire. GDPR, DSA, DMA, AI Act: le regole più sofisticate del mondo, scritte per tecnologie che non possediamo. L’Europa aveva in mano ASML, il chokepoint dell’intera filiera dei chip e lo ha trattato come un’azienda qualunque, mentre legiferava su prodotti altrui. La regola senza proprietà è un muro attorno a una stanza vuota.
Sì, è proprio così, come ho provato a spiegare anche prima. Condivido senz’altro l’idea secondo la quale oggi stiamo assistendo al paradosso europeo di una “regola senza proprietà”, quindi, di sviluppare le regole di “paradisi” (o “inferni”) che non sono nostri e sui quali non abbiamo poteri reali, anche perché hanno natura a-nazionale e dimensioni economiche oggi difficilmente controllabili.
La vera titolarità strategica oggi non riguarda soltanto i modelli, i chip o le infrastrutture cloud, che appunto non possediamo. E quando possedevamo qualcosa di incredibilmente strategico, come nel caso di ASML, probabilmente non ne eravamo abbastanza consapevoli.
Oggi il vero valore risiede, infatti, nei dati, nella loro qualità, nella loro interoperabilità, nella loro contestualizzazione, nella loro conservazione nel tempo e nella loro granularità agentica. Ormai i dati su di noi sono così profondi e vivi, considerando la nostra leggerezza quotidiana nel rilasciarli, che i sistemi di intelligenza artificiale possono nutrirsene avidamente, sviluppando architetture che si potenziano attraverso questa umanità così spensieratamente ceduta.
In questi anni ho spesso sostenuto che la vera sfida europea non fosse produrre l’ennesimo adempimento, ma presidiare ecosistemi affidabili di dati. Per questo considero centrale tutto ciò che ruota attorno all’identità digitale, all’interoperabilità, alla governance documentale, alla conservazione digitale e alla qualità del dato. Se non governi il patrimonio informativo, non governi neppure l’intelligenza artificiale che di quel patrimonio si alimenta. La sovranità non si misura soltanto da ciò che possediamo, ma anche dalla capacità di far dialogare ciò che è di nostra titolarità.
L’Europa ha compreso la necessità di disciplinare i rischi dell’IA. Molto meno quella di investire organicamente nella filiera della conoscenza che rende possibile un’intelligenza artificiale realmente autonoma.
Il rischio altissimo di porre in essere una ragnatela di norme, pur ben articolate, senza possedere né le radici della proprietà materiale (cioè infrastrutture e cloud), né quelle della proprietà immateriale (cioè dati profilati e patrimoni di conoscenza umana), e senza aver favorito una consapevolezza diffusa nei cittadini europei su ciò che sta accadendo e sui suoi rischi reali, è che si perda persino il gusto della conoscenza e dell’apprendimento. I rischi reali, infatti, non riguardano la nascita di una fantomatica IA sovrumana, ma la concentrazione di poteri extra-SEE su di noi.
Peccato che gli interessi di questi sistemi non siano necessariamente orientati a tutelare i nostri diritti e le nostre libertà fondamentali, come la normativa UE vorrebbe.
Torkel Klingberg e Åsa Wikforss, nel loro volume “Perché imparare se le macchine sanno già tutto?” (Feltrinelli, 2026), riferiscono giustamente che “la domanda che ci attende non è cosa sapranno fare le macchine, ma cosa renderà insostituibile la conoscenza umana”.
La marcia indietro. Il 2 agosto entrano in vigore gli obblighi di trasparenza dell’AI Act, mentre il Digital Omnibus rinvia l’alto rischio al 2027-28. Rischiamo il peggiore dei mondi: la reputazione del muro senza nemmeno il muro. E intanto, se ho capito bene come hai detto tu durante un recente evento in Senato dedicato alla normativa in materia, i giuristi stessi ignorano in larga parte questo mare magnum normativo. Una norma che nessuno sa applicare è ancora una norma o rischia di rivelarsi un semplice rito?
L’accelerazione normativa è stata impressionante in questi ultimi anni. È sufficiente ricordare gli acronimi di alcune recenti normative per rendersene conto: GDPR, NIS2, Data Governance Act, Data Act, AI Act, Regolamento eIDAS 2.0, European Health Data Space, DORA, Cyber Resilience Act. Ma il livello medio di comprensione reale di queste norme è ancora limitato.
Questa è probabilmente la questione più delicata. Durante diversi confronti istituzionali ho avuto modo di evidenziare un problema che oggi osservo quotidianamente nelle organizzazioni. Una norma non diventa cogente soltanto perché lo si prevede astrattamente con un termine ultimo da rispettare. Diventa efficace quando produce consapevolezza organizzativa, sviluppando comportamenti in linea con essa.
In estrema sintesi, una norma è effettiva ed efficace quando c’è una comprensione diffusa della sua necessità e una reale consapevolezza di quanto richiesto.
Il discorso si complica ulteriormente se poi il legislatore è consapevole delle difficoltà burocratiche di attuazione e favorisce così rinvii applicativi in successive regolamentazioni. È successo con la normativa UE sui dispositivi medici, il MDR, e sta accadendo oggi con l’AI Act.
Un paradosso, perché proprio per i sistemi ad alto rischio vediamo rinviati adempimenti che, se fossero davvero indispensabili a minimizzarne i rischi, dovrebbero essere applicati subito e senza esitazioni. Altrimenti si finisce per trasmettere un messaggio contraddittorio: quei rischi sono considerati gravi, ma le misure per affrontarli possono attendere. C’è effettivamente qualcosa che non sta funzionando pienamente.
La sovranità come marchio. Palantir vende ai governi “sovranità”: possiedi i pesi del modello, ma affitti l’ontologia, l’orchestrazione, l’audit. È il notaio feudale: ti consegna la pergamena della proprietà formale e si riserva strade, mulini e tribunali. Le PA italiane ed europee comprano “cloud sovrano” da fornitori americani: c’è un equivoco giuridico, prima ancora che politico, in quella parola.
Anch’io sono sempre più convinto che la sovranità digitale sia diventata una delle parole più abusate del nostro tempo. Sarebbe stato più appropriato discuterne quando governi precedenti hanno concluso accordi diretti con le Big Tech, arrivando a consegnare le chiavi digitali del nostro Sistema Paese al vice di Bezos, nel silenzio generale. Oggi si ripete come un mantra che dobbiamo garantire una sovranità digitale, senza definire cosa sia e senza strutturare alcuna strategia, necessariamente di lungo periodo, che possa renderla credibile. Molti progetti vengono definiti “sovrani” semplicemente perché i dati restano fisicamente in Europa o perché l’utilizzatore mantiene formalmente la titolarità di un asset.
Ma le domande da porsi sono ben altre:
- Chi controlla l’architettura?
- Chi definisce le ontologie?
- Chi governa gli standard?
- Chi decide come i dati dialogano tra loro?
- Chi può verificare realmente il funzionamento dei sistemi?
E ancora:
- Chi ha effettivo potere su queste infrastrutture e su questi dati?
- Chi governa i contratti e le condizioni di servizio?
- Chi conosce il funzionamento degli algoritmi ed è titolare dei codici sorgenti?
E così via.
Se le vere dimensioni del potere restano esterne a noi, parlare di sovranità rischia di diventare un’operazione semantica più che sostanziale. Per questo ritengo che il dibattito europeo debba spostarsi progressivamente dalla proprietà dei dati alla governance delle infrastrutture cognitive. La dipendenza tecnologica oggi non nasce soltanto dall’uso di strumenti in mano a Big Tech extra-SEE, ma dall’incapacità di comprendere e governare i processi che quegli strumenti generano.
Ciò che il diritto non vede. L’AI Act e la legge 132/2025 disciplinano chi usa l’IA. Ma non hanno strumenti per chi conferisce: i territori che cedono acqua ed energia ai data center, le comunità i cui dati addestrano i modelli. Il diritto europeo conosce la compliance, non la reciprocità. È qui il suo vizio d’origine e forse è qui che andrebbe scritto l’articolo mancante.
Il diritto europeo, al fine di minimizzare i rischi per le parti deboli, cioè gli interessati coinvolti in trattamenti di dati personali o in decisioni algoritmiche, è stato costruito attorno alle figure dei titolari, dei produttori, dei fornitori e degli utilizzatori.
Ma chi alimenta realmente i sistemi? E chi mette a disposizione i dati, l’energia, il territorio e le competenze necessarie al loro sviluppo e alla loro manutenzione? Forse il prossimo passaggio evolutivo del diritto digitale non riguarderà soltanto nuove regole di compliance, ma nuove forme di reciprocità, in una dimensione democratica sovranazionale capace di guardare a una reale sinallagmaticità del progresso tecnologico da governare. Perché l’intelligenza artificiale, effettivamente, non è soltanto una questione tecnologica. È una questione redistributiva: chi genera valore? Chi lo cattura? Chi lo restituisce alla collettività che ne ha consentito lo sviluppo?
Effettivamente, dall’era della proprietà siamo passati all’era dell’accesso ai dati, come sostenuto più di 20 anni fa da Jeremy Rifkin. Ma oggi siamo andati oltre, perché siamo nell’era della condivisione della conoscenza e occorre trovare nuove chiavi di lettura e di redistribuzione rispetto a questo spossessamento dell’essere umano che è pericolosamente in atto. Sono domande che il diritto del Novecento non poteva porsi, ma che il diritto del XXI secolo non potrà più evitare.
Quale potrebbe essere oggi la possibile via d’uscita da questo guado normativo?
La prima, necessaria, è quella degli accordi sovranazionali. La normativa europea è evidentemente insufficiente in una dimensione intimamente sovranazionale come quella digitale. L’effetto domino del GDPR ha funzionato solo in parte e la complessità burocratica dell’AI Act sembra provocare un effetto opposto, a livello internazionale e, purtroppo, anche europeo: quasi un vero e proprio rifiuto dell’eccessivo carico di adempimenti derivante dall’intreccio di troppe normative tra loro convergenti.
Andrebbe rafforzata, ad esempio, la Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale e i diritti umani, la democrazia e lo Stato di diritto. Questa è l’unica strada coerente sul piano normativo.
Poi occorre affrontare un reale percorso interdisciplinare. Il limite principale del dibattito sull’intelligenza artificiale è che continuiamo ad affrontarlo separando discipline che dovrebbero dialogare tra loro: tecnologi da una parte, giuristi dall’altra, filosofi da un’altra ancora.
Infine, la strada culturale. Occorre investire in alfabetizzazione e formazione: da una parte cittadini alfabetizzati, dall’altra professionisti e manager consapevoli delle opportunità e dei rischi. Occorre recuperare l’attenzione verso le fonti, l’interpretazione critica, la ricerca e la conoscenza: sono armi formidabili contro possibili involuzioni umane derivanti da un uso spasmodico dell’IA.
Il progetto Digeat nasce esattamente dall’idea di provocare contaminazione. Perché il futuro non sarà deciso soltanto dagli algoritmi né soltanto dalle norme. Sarà deciso dalla nostra capacità di costruire luoghi in cui culture e linguaggi diversi imparino a confrontarsi prima che sia troppo tardi. Da questi luoghi, come la Rivista trimestrale di divulgazione scientifica Digeat, nascono poi altre entusiasmanti iniziative, come il Digeat Festival, che si terrà a Lecce dal 5 all’8 novembre o realtà come lo “Spazio ANABASI”.
La vera sovranità, prima ancora che digitale, è culturale. Ed è forse l’unica sfida che possiamo permetterci davvero di combattere. Abbiamo discusso per anni di chi possiede i dati. Oggi dovremmo iniziare a preoccuparci di chi possiede la nostra capacità di interpretarli.
Foto crediti Marcello Moscara
