AI e droni per la Polizia USA, evitare squilibri tra ordine pubblico e diritti
L’AI nelle forze di Polizia USA: efficienza, controllo e rischio di deriva tecnologica
Negli Stati Uniti, l’intelligenza artificiale (AI) sta rapidamente trasformando il modo in cui viene gestito l’ordine pubblico. Dalla scelta dei quartieri da pattugliare alla redazione dei verbali, dall’analisi delle prove digitali fino all’uso di droni come “primi soccorritori” automatizzati, l’AI è ormai entrata nel cuore operativo delle forze di Polizia. La promessa è chiara: più velocità, maggiore efficienza, meno carichi burocratici per agenti sempre più sotto organico. Ma dietro l’innovazione tecnologica si nasconde una questione cruciale per le democrazie liberali: chi controlla questi strumenti e quali garanzie esistono per i diritti dei cittadini?
Perché la Polizia punta tanto sull’AI
Il contesto spiega molto. Le forze dell’ordine americane (e forse anche di molti altri Paesi, tra cui l’Italia) affrontano da anni una cronica carenza di personale, mentre cresce la pressione politica e sociale per ridurre la criminalità violenta. Secondo un recente sondaggio riportato da Russell Contreras su Axios, tre agenti su quattro denunciano ritardi nei rinforzi durante le emergenze, mentre oltre la metà afferma di essere più esposta ad interventi e azioni ad alto rischio.
In questo scenario, l’intelligenza artificiale viene presentata come una soluzione quasi inevitabile. Software generativi permettono di trasformare automaticamente l’audio delle bodycam in rapporti di polizia, riducendo ore di lavoro amministrativo. Sistemi di analisi avanzata aiutano investigatori sommersi da enormi quantità di dati digitali — intercettazioni, filmati, messaggi — a individuare rapidamente elementi rilevanti, come confessioni o conversazioni chiave.
Il mercato dell’AI applicata alle forze dell’ordine è in forte espansione. Secondo la società di consulenza Consainsights, si stima che il mercato delle soluzioni di intelligenza artificiale per le forze dell’ordinecrescerà da circa 3,5 miliardi di dollari nel 2024 a oltre 6,6 miliardi di dollari entro il 2033. Per molti dipartimenti locali, già alle prese con bilanci limitati, queste tecnologie rappresentano un moltiplicatore di capacità operative.
Efficienza sì, ma a quale prezzo?
Il problema non è l’uso dell’AI in sé, ma il modo in cui viene adottata. La diffusione di questi strumenti sta procedendo molto più rapidamente delle regole pubbliche che dovrebbero disciplinarli. Algoritmi che suggeriscono dove pattugliare o quali dati analizzare rischiano di incorporare pregiudizi storici già presenti nei database di polizia, rafforzando discriminazioni razziali e sociali.
Se un sistema impara dai dati del passato, dagli arresti alle segnalazioni, passando per i controlli e quei dati riflettono pratiche di polizia diciamo “aggressive”, l’AI può amplificare questi bias rendendoli meno visibili e più difficili da contestare. Il rischio è quello di una “oggettività algoritmica” solo apparente, che sposta decisioni sensibili in una zona grigia tra tecnologia e responsabilità umana.
Inoltre, resta aperta una domanda fondamentale: chi possiede e controlla i dati raccolti? Molte piattaforme sono sviluppate da aziende private che collaborano direttamente con le forze dell’ordine, spesso senza un quadro normativo chiaro su conservazione, accesso e riutilizzo delle informazioni.
Droni e nuovi occhi sul territorio, che ne sarà della nostra privacy?
Il cambiamento più visibile già oggi riguarda l’uso di droni dotati di intelligenza artificiale. Negli Stati Uniti oltre 1.500 dipartimenti di polizia utilizzano già questi sistemi per inseguimenti, ricerche di persone scomparse, gestione di scene del crimine e risposta a chiamate di emergenza. In alcuni casi i droni vengono inviati direttamente in risposta a una chiamata al 911, fornendo immagini in tempo reale e persino consegnando farmaci salvavita come il Narcan in caso di overdose da stupefacenti.
Dal punto di vista operativo, i vantaggi sono evidenti: i droni costano molto meno degli elicotteri, riducono l’esposizione fisica degli agenti e offrono una visione aerea immediata della situazione. Grazie all’AI, non si limitano a “guardare”: leggono targhe, analizzano movimenti, ricostruiscono incidenti, monitorano folle e, secondo i produttori, possono persino rilevare parametri biometrici a distanza.
È qui che emergono le preoccupazioni più gravi. La raccolta massiva di immagini e dati biometrici solleva interrogativi profondi sulla privacy, soprattutto quando avviene senza mandato giudiziario. Alcuni casi mostrano come i droni siano stati utilizzati per osservare proprietà private, cortili o interni delle abitazioni, con conseguenze dirette per i cittadini sotto forma di sanzioni o controlli amministrativi.
I limiti necessari in una democrazia
Le democrazie si fondano su un principio essenziale: il potere dello Stato deve essere limitato, controllabile e proporzionato. L’intelligenza artificiale, se applicata alla sicurezza pubblica senza adeguate garanzie, rischia di alterare questo equilibrio.
Servono regole chiare su quando e come l’AI può essere utilizzata, trasparenza sugli algoritmi impiegati, audit indipendenti per verificare discriminazioni e abusi, e soprattutto la certezza che la decisione finale resti in mano a esseri umani responsabili e identificabili. Come ricordano alcuni operatori del settore, l’AI dovrebbe aiutare a trovare le prove, non sostituirsi al giudizio umano in tribunale.
Il futuro dell’ordine pubblico negli Stati Uniti (e in prospettiva in tutta Europa, in Italia, ad esempio, si è avuto un primo utilizzo massiccio durante la gestione dell’emergenza sanitaria legata alla pandemia da Covid-19) sarà inevitabilmente più tecnologico. La vera sfida non è fermare l’innovazione, ma governarla. Perché senza solide regole democratiche, l’efficienza promessa dall’intelligenza artificiale rischia di trasformarsi in una sorveglianza pervasiva, difficile da contenere e contestare e ancora di più da controllare. La sicurezza pubblica in una democrazia è fondamentale e le forze di Polizia devono essere messe in condizione di fare al meglio il loro lavoro, ma allo stesso tempo si deve evitare di finire in uno scenario alla “Robocop”. Ad oggi mancano solo i robot umanoidi in divisa, ma a sentire gli annunci delle Big Tech sembra ci siamo quasi.
The nation’s strictest privacy law just took effect, to data brokers’ chagrin
Californians are getting a new, supercharged way to stop data brokers from hoarding and selling their personal information, as a recently enacted law that’s among the strictest in the nation took effect at the beginning of the year.
According to the California Privacy Protection Agency, more than 500 companies actively scour all sorts of sources for scraps of information about individuals, then package and store it to sell to marketers, private investigators, and others.
The nonprofit Consumer Watchdog said in 2024 that brokers trawl automakers, tech companies, junk-food restaurants, device makers, and others for financial info, purchases, family situations, eating, exercising, travel, entertainment habits, and just about any other imaginable information belonging to millions of people.
Con l’adozione di un documento sulla libera circolazione dei dati e del Piano d’azione 2026, si è conclusa la presidenza canadese del G7 delle Autorità di protezione dei dati.
Dopo l’appuntamento a Ottawa, i rappresentanti dei Garanti privacy dei 7 Grandi si sono trovati online il 9 e 10 dicembre per una riunione (Roundtable) al termine della quale hanno ribadito l’impegno nel continuare a promuovere e supportare la fiducia per un’innovazione responsabile che tuteli il diritto alla riservatezza, in particolare dei minori.
La delegazione del Garante per la protezione dei dati personali è stata guidata nel corso della prima giornata dall’avv. Guido Scorza e nella seconda dalla Vice Presidente, prof.ssa Ginevra Cerrina Feroni.
Browser extensions with 8 million users collect extended AI conversations
Besides ChatGPT, Claude, and Gemini, the extensions harvest all conversations from Copilot, Perplexity, DeepSeek, Grok, and Meta AI. Koi said the full description of the data captured includes:
Every prompt a user sends to the AI
Every response received
Conversation identifiers and timestamps
Session metadata
The specific AI platform and model used
The executor script runs independently from the VPN networking, ad blocking, or other core functionality. That means that even when a user toggles off VPN networking, AI protection, ad blocking, or other functions, the conversation collection continues. The only way to stop the harvesting is to disable the extension in the browser settings or to uninstall it.
Koi said it first discovered the conversation harvesting in Urban VPN Proxy, a VPN routing extension that lists “AI protection” as one of its benefits. The data collection began in early July with the release of version 5.5.0.
“Anyone who used ChatGPT, Claude, Gemini, or the other targeted platforms while Urban VPN was installed after July 9, 2025 should assume those conversations are now on Urban VPN’s servers and have been shared with third parties,” the company said. “Medical questions, financial details, proprietary code, personal dilemmas—all of it, sold for ‘marketing analytics purposes.’”
Following that discovery, the security firm uncovered seven additional extensions with identical AI harvesting functionality. Four of the extensions are available in the Chrome Web Store. The other four are on the Edge add-ons page. Collectively, they have been installed more than 8 million times.
They are:
Chrome Store
Urban VPN Proxy: 6 million users
1ClickVPN Proxy: 600,000 users
Urban Browser Guard: 40,000 users
Urban Ad Blocker: 10,000 users
Edge Add-ons:
Urban VPN Proxy: 1,32 million users
1ClickVPN Proxy: 36,459 users
Urban Browser Guard – 12,624 users
Urban Ad Blocker – 6,476 users
Read the fine print
The extensions come with conflicting messages about how they handle bot conversations, which often contain deeply personal information about users’ physical and mental health, finances, personal relationships, and other sensitive information that could be a gold mine for marketers and data brokers. The Urban VPN Proxy in the Chrome Web Store, for instance, lists “AI protection” as a benefit. It goes on to say:
Google will end dark web reports that alerted users to leaked data
As Google admits in the email alert, its dark web scans didn’t offer much help. “Feedback showed that it did not provide helpful next steps,” Google said of the service. Here’s the full text of the email.
Credit: Google
With other types of personal data alerts provided by the company, it has the power to do something. For example, you can have Google remove pages from search that list your personal data. Google doesn’t run anything on the dark web, though, so all it can do is remind you that your data is being passed around in one of the shadier corners of the Internet.
The shutdown begins on January 15, when Google will stop conducting new scans for user data on the dark web. Past data will no longer be available as of February 16, 2026. Google says it will delete all past reports at that time. However, users can remove their monitoring profile earlier in the account settings. This change does not impact any of Google’s other privacy reports.
The good news is that the best ways to protect your personal data from being shuffled around the dark web are the same ones that keep you safe on the open web. Google suggests always using two-step verification, and tools like Passkeys and Google’s password checkup can ensure you don’t accidentally reuse a compromised password. Stay safe out there.
Nel periodo compreso tra il 6 e il 12 dicembre, il CERT-AGID ha rilevato e analizzato 62 campagne malevole che hanno interessato il territorio italiano.
Di queste, 25 hanno avuto obiettivi specificamente italiani, mentre 37 campagne di natura generica hanno comunque coinvolto utenti e organizzazioni nel Paese.
Nel complesso, sono stati messi a disposizione degli enti accreditati 1.293 indicatori di compromissione (IoC).
I temi della settimana
Sono 22 i temi sfruttati per la diffusione di malware e phishing, con la consueta attenzione su temi quali banking, ordini, verifiche e pagamenti.
Il CERT-AGID ha rilevato 62 campagne malevole in Italia, ed emesso 1.293 indicatori di compromissione.
Il tema Banking è stato utilizzato in sette campagne malware generiche finalizzate alla diffusione di FvncBot, ClayRat, Anatsa, Albiriox, DroidLock e PhantomStealer, tutte mirate al furto di credenziali e informazioni finanziarie, in particolare su dispositivi mobili.
Parallelamente è stata osservata una campagna di phishing italiana ai danni di Intesa Sanpaolo, che conferma l’attenzione costante verso i clienti bancari.
Il tema Ordine ha interessato cinque campagne, sia italiane che internazionali, tutte orientate alla distribuzione di malware come AgentTesla, FormBook, PhantomStealer, XWorm e Remcos.
Lo stesso tema è stato sfruttato anche in due operazioni di phishing rivolte a utenti OneDrive e a servizi di webmail generici, sfruttando la consueta leva degli acquisti e delle spedizioni.
Il tema Verifica è comparso in cinque campagne di phishing, due delle quali italiane, che hanno abusato del nome di American Express, Roundcube, Nexi e cPanel, simulando richieste di controllo o aggiornamento degli account per indurre le vittime a inserire le proprie credenziali.
Il tema Pagamenti, osservato in quattro campagne di phishing, ha preso di mira DocuSign, Autostrade per l’Italia e InfoCert. Una campagna generica parallela ha invece diffuso il malware DarkCloud.
Tra gli eventi di particolare interesse, il CERT-AGID segnala una campagna di phishing che sfrutta nome e logo della Polizia di Stato per sottrarre credenziali email.
L’operazione si distingue per l’uso di un endpoint API di Webflow, utilizzato dagli attaccanti per ottenere in modo automatico i dati inseriti dalle vittime.
Fonte: CERT-AGID
È stata inoltre rilevata una campagna mirata contro studenti e personale di atenei italiani, che utilizza come esca una mail con oggetto “R: Urgente – Elenco dei borsisti”.
Il link presente nel messaggio conduce a una pagina che replica il logo del Ministero dell’Università e della Ricerca (MUR) e successivamente reindirizza verso un falso portale di login Microsoft, dove avviene il furto delle credenziali istituzionali.
Infine, a partire dall’8 dicembre, è in corso una campagna che sfrutta account email compromessi della Pubblica Amministrazione per colpire in modo massivo altri destinatari appartenenti alla PA, mediante invii in CCN.
I messaggi contengono allegati PDF con link a risorse ospitate su Figma, sfruttando la fiducia nella filiera istituzionale per sottrarre credenziali o diffondere ulteriori payload malevoli.
Malware della settimana
Nel corso della settimana sono state individuate 14 famiglie di malware attive in Italia.
AgentTesla è stato osservato in una campagna italiana a tema “Fattura” e in quattro campagne generiche legate a “Ordine”, “Fattura”, “Contratti” e “Prezzi”, veicolate tramite allegati TAR, RAR e LZH.
FormBook ha colpito attraverso una campagna italiana a tema “Ordine” con allegato DOCX e due campagne generiche “Prezzi” distribuite tramite RAR e XLSX.
Fonte: CERT-AGID
Remcos è stato utilizzato in una campagna italiana e in due generiche a tema “Booking” e “Fattura”, veicolate con allegati DOCX e 7Z.
DarkCloud compare in due campagne generiche a tema “Prezzi” e “Pagamenti”, mentre Guloader è stato osservato in una campagna italiana “Contratti” e in una generica “Delivery”.
PhantomStealer è stato individuato in due campagne generiche che hanno sfruttato i temi “Banking” e “Ordine”. In entrambi i casi il malware è stato distribuito tramite email contenenti allegati RAR.
Rilevante anche la presenza di numerose campagne malware per dispositivi Android, che diffondono Albiriox, Anatsa, ClayRat, DroidLock e FvncBot tramite SMS con link a file APK dannosi, tutte concentrate sul tema Banking.
Completano il quadro alcune campagne generiche che hanno diffuso Grandoreiro, Obj3ctivity e XWorm, utilizzando allegati XLAM, JS e ISO inviati via email.
Phishing della settimana
Sono 22 i brand coinvolti nelle campagne di phishing analizzate.
Fonte: CERT-AGID
Per numerosità spiccano le operazioni che sfruttano i nomi di cPanel e PagoPA, insieme alle sempre presenti campagne di webmail non brandizzate, ancora largamente utilizzate per il furto di credenziali.
Formati e canali di diffusione
Gli archivi compressi restano lo strumento principale per la diffusione dei contenuti malevoli.
Nel periodo osservato sono state individuate 13 tipologie di file, con APK al primo posto (7 utilizzi), seguiti da RAR e TAR (4).
Fonte: CERT-AGID
Seguono DOCX (3) e 7Z, ZIP e JS (2). Con un solo utilizzo figurano ISO, XLSX, XLS, LZH, PDF e XLAM.
Chat Control 2.0: il punto di non ritorno della sorveglianza digitale europea
Chat Control 2.0 rappresenta il più ambizioso progetto di sorveglianza digitale mai proposto in Europa: un regolamento che autorizzerebbe la scansione automatica di messaggi, email e contenuti privati di centinaia di milioni di cittadini. L’obiettivo dichiarato è contrastare la pedopornografia online, ma il prezzo da pagare potrebbe essere la fine della segretezza delle comunicazioni. Con l’avvio dei triloghi a dicembre 2025, l’UE si trova a un bivio tra sicurezza e libertà fondamentali.
Perché l’astensione dell’Italia potrebbe trasformarsi in un diniego costituzionale al regolamento
Chat Control è una proposta della Commissione Europea che prevede l’introduzione di sistemi automatizzati in grado di scansionare messaggi, immagini e video privati alla ricerca di contenuti illegali relativi allo sfruttamento dei minori. La misura si applicherebbe potenzialmente a:
piattaforme di gaming con messaggistica integrata;
strumenti di comunicazione interna nelle aziende;
backup personali.
Una delle caratteristiche più criticate della proposta è che la scansione avverrebbe anche in assenza di un sospetto, configurando una forma di sorveglianza generalizzata e preventiva, senza distinzione tra cittadini innocenti e criminali.
L’obiettivo dichiarato è nobile e incontestabile: contrastare la pedopornografia online, un fenomeno odioso e in crescita. Tuttavia, la strada scelta dall’Unione Europea apre scenari delicatissimi per la privacy, la sicurezza digitale e, in ultima analisi, la tenuta democratica del continente.
La fase finale dei negoziati tra Parlamento Europeo, Commissione e Consiglio (trilogo) è iniziata il 9 dicembre 2025. Se non ci saranno impedimenti, Chat Control potrebbe diventare effettivo tra marzo e aprile 2026. L’avvio del trilogo rappresenta molto più della fase conclusiva di un iter legislativo: è il momento in cui l’UE decide se costruire o meno la più grande infrastruttura di sorveglianza preventiva della storia democratica europea.
L’astensione dell’Italia, insieme a quella della Germania, non è un dettaglio politico. È un segnale d’allerta: molti elementi del regolamento appaiono in contrasto con i principi costituzionali degli Stati membri, in particolare con l’articolo 15 della Costituzione italiana, che garantisce l’inviolabilità della libertà e della segretezza delle comunicazioni. Non è un tecnicismo giuridico, ma il cuore del rapporto tra individuo e potere pubblico.
Il paradosso strutturale di Chat Control 2.0: una sorveglianza preventiva, non reattiva
Il regolamento nasce per contrastare gli abusi sessuali sui minori online, obiettivo che nessuno contesta. Ma la modalità scelta rappresenta un cambio di paradigma: dalla sorveglianza mirata, basata su indizi concreti e autorizzata da un giudice, alla sorveglianza preventiva, generalizzata e algoritmica su tutta la popolazione. Una svolta che ricorda il passaggio dal “controllo su indizi” al “profiling predittivo” tipico dell’intelligence, applicato però al cuore della vita digitale: le comunicazioni private.
Il falso mito della “volontarietà” e il meccanismo di pressione normativa
La prima bozza (bocciata il 9 ottobre 2025) prevedeva esplicitamente la scansione generalizzata dei contenuti delle chat, comprese quelle protette da crittografia end-to-end. Non sorprende che le critiche siano arrivate da EDPS, Garanti nazionali, esperti di sicurezza, giuristi e attivisti per i diritti digitali, che la consideravano una forma di sorveglianza di massa incompatibile con i principi europei.
La versione riscritta dalla Danimarca modifica l’impianto originario. Secondo il mandato negoziale approvato dal Consiglio, la rilevazione diventa formalmente volontaria: i gestori dei servizi possono scegliere se applicarla o meno. Il nuovo impianto prevede che:
i provider possano scegliere se attivare la scansione;
debbano comunque effettuare una valutazione obbligatoria del rischio;
se risultano “ad alto rischio”, le autorità possano imporre misure correttive;
sul piano economico e reputazionale, la scelta più sicura diventa attivare la scansione.
È un classico caso di compliance indotta: la legge non ordina esplicitamente, ma rende troppo rischioso non conformarsi. Per questo gli analisti definiscono la scansione “volontaria” solo sulla carta ma coercitiva nella sostanza.
La scelta non spetta agli utenti, ma ai provider: sono loro a decidere se i nostri messaggi saranno analizzati.
C’è poi un ulteriore incentivo: più comunicazioni vengono scansionate, più dati possono essere usati per addestrare modelli di intelligenza artificiale. Un vantaggio economico e tecnologico che può spingere verso una sorveglianza permanente.
La storia recente suggerisce che la distinzione tra obbligo formale e pressione informale è spesso teorica, durante la pandemia, molte piattaforme hanno rimosso o penalizzato contenuti su pressioni politiche, come rivelato dai Twitter Files e dalle dichiarazioni di Mark Zuckerberg al Congresso USA, il risultato è stato un ecosistema di censura di fatto su contenuti perfettamente leciti, etichettati come disinformazione o “lawful but awful”, tecnicamente legali ma politicamente scomodi. Ciò che era “volontario” si è trasformato in uno standard di fatto. Applicata a Chat Control, la dinamica diventa particolarmente pericolosa.
Una tensione giuridica irrisolta: privacy e sicurezza in conflitto strutturale
Il regolamento promette che la crittografia end-to-end non verrà indebolita. Ma per rilevare contenuti illeciti in una comunicazione cifrata, l’unico punto di intervento è il dispositivo dell’utente, prima della cifratura, cioè il client-side scanning, tecnicamente equivalente ad una intercettazione generalizzata.
La vera spia di allarme rosso su cui riflettere, è nell’articolo 85(1a) della bozza di regolamento, che incarica la Commissione di valutare periodicamente tecnologie di rilevazione per servizi con crittografia E2EE. Oggi non possono imporre il client-side scanning, ma si riservano il diritto di riprovarci.
La domanda diventa inevitabile: se ogni messaggio può essere analizzato prima di essere cifrato, la comunicazione è ancora “segreta” ai sensi dell’articolo 15 della Costituzione? Molti giuristi rispondono NO.
Da qui la possibile trasformazione dell’astensione italiana in un diniego costituzionale: l’ordinamento non può approvare una norma che svuota di fatto la segretezza delle comunicazioni per 60 milioni di cittadini.
Function creep: un’infrastruttura pronta per usi futuri
Il regolamento delinea un apparato completo:
un EU Centre con database, indicatori e metriche;
comitati tecnici incaricati di sviluppare ulteriormente tecnologie di mitigazione;
obblighi per i provider di integrare strumenti di rilevazione quando richiesto.
Oggi il focus è il CSAM. Domani potrebbe essere terrorismo, hate speech, disinformazione, opposizione politica “radicale”. Una volta costruita l’infrastruttura, ampliarne lo scopo sarà una decisione politica, non tecnica. È il rischio classico di function creep, che in un contesto democratico dovrebbe essere considerato inaccettabile.
L’EU Centre: un nuovo potere sovranazionale con capacità operative ibride
L’EU Centre on Child Sexual Abuse:
riceve segnalazioni da provider e piattaforme • le valida con algoritmi e revisori umani • coopera direttamente con le forze dell’ordine • può influenzare tecnologie e standard europei sulle comunicazioni private
Nasce così una struttura sovranazionale, non eletta, con poteri operativi, tecnici e normativi. È esattamente il contesto in cui il function creep diventa più probabile: una volta installato un sistema di sorveglianza generalizzata, impedirne l’estensione è quasi impossibile.
Il rischio strategico: la normalizzazione della sorveglianza algoritmica in Europa
La tecnologia raramente rimane confinata allo scopo originario. Se esiste un’infrastruttura capace di analizzare contenuti, identificare pattern, coordinare polizie, profilare rischi, la tentazione di estenderla sarà inevitabile. Storicamente, il passaggio dall’abuso sui minori al dissenso politico è il più documentato nello sviluppo dei sistemi di sorveglianza.
Proporzionalità e necessità: due principi europei ignorati
La Corte di Giustizia dell’UE ha stabilito in più sentenze (Digital Rights Ireland, Tele2 Sverige, La Quadrature du Net) che:
la sorveglianza generalizzata delle comunicazioni non è mai proporzionale;
è ammessa solo su individui o gruppi specifici;
la raccolta preventiva e indiscriminata viola la Carta dei Diritti Fondamentali.
Chat Control 2.0 entra pienamente in questo schema vietato. Come potrà superare il vaglio della Corte una volta approvato?
La vulnerabilità sistemica della società digitale europea
Creare un meccanismo di scansione centralizzato significa:
aumentare la superficie d’attacco per spionaggio e cybercrime;
introdurre backdoor potenziali nelle piattaforme;
facilitare abusi interni;
indebolire l’ecosistema della crittografia.
Qualsiasi infrastruttura progettata per “controllare tutto” diventa un bersaglio irresistibile per Stati ostili e cybercriminali. Una vulnerabilità in un tale sistema comporta rischi sistemici per milioni di cittadini.
L’effettività: il regolamento colpisce davvero i criminali?
Gli abusi reali vengono spesso scambiati:
in darknet chiuse;
su reti P2P cifrate;
tramite strumenti decentralizzati;
in circoli privati offline;
in contesti che il regolamento non può raggiungere.
Chat Control rischia dunque di colpire soprattutto i cittadini comuni, lasciando intatti i criminali più organizzati, producendo falsi positivi e sovraccaricando le indagini.
Falsi positivi e “danno collaterale digitale”
Il regolamento riconosce formalmente l’esistenza degli errori, citando falsi positivi, falsi negativi, oversight umano e metriche di errore.
Tabella 1
Dalla Tabella 1 emergono elementi strutturali inquietanti :
Gli errori sono considerati inevitabili
Il testo richiede tecnologie “sufficientemente affidabili”, invita a “limitare al massimo possibile il tasso di errori” e prevede valutazioni periodiche, ma:
non esistono soglie minime di accuratezza;
non esistono limiti oltre i quali la tecnologia è vietata;
non esistono criteri chiari per definire l’accettabilità dell’errore.
L’errore, però, non è neutrale: significa cittadini innocenti che finiscono in database, sotto indagine o con account sospesi.
“Limitare al massimo possibile”: una formula vaga
Chi decide qual è “il massimo possibile”? Quali benchmark? Con quali sanzioni in caso di imprecisione? Il rischio è che la formula diventi un paracadute retorico per giustificare sistemi con numerosi falsi positivi.
Oversight umano: paracadute o illusione?
Il regolamento insiste su “oversight umano regolare”, ma nella pratica:
i volumi saranno altissimi; il lavoro è psicologicamente gravoso; la pressione regolatoria spinge al “meglio segnalare troppo”.
Il controllo umano può trasformarsi in un clic routinario.
Metriche per le autorità, opacità per gli utenti
L’articolo 83 impone metriche ai provider, ma:
solo EU Centre e autorità vedono i dati;
gli utenti non hanno accesso a statistiche dettagliate;
manca trasparenza granulare.
Lo Stato può normalizzare statisticamente l’errore; chi vi finisce dentro lo vive come una violazione gravissima.
Incentivo all’over-reporting
Segnalare troppo poco comporta rischi; segnalare troppo non comporta costi. Il sistema è strutturalmente orientato all’eccesso di segnalazione.
Tutela ex post, danno ex ante
Il regolamento prevede:
reclami;
ricorsi;
rappresentanza tramite enti.
Ma quando l’utente agisce:
il contenuto è già stato rimosso:
l’account può essere sospeso;
la segnalazione è già arrivata alle autorità;
un’indagine può essere iniziata.
Anche in caso di archiviazione restano log, copie, danni emotivi e reputazionali. È un modello “ti proteggo dopo averti colpito”. Nel complesso, il regolamento appare costruito per accettare l’errore come costo sistemico, confidando che metriche e oversight lo mantengano gestibile.
Asimmetria informativa e crisi di fiducia
Le autorità vedono tutto in macro; i provider controllano l’infrastruttura; i cittadini vedono solo gli effetti sul proprio account. Questo si inserisce in un contesto europeo già segnato dal crollo di fiducia verso istituzioni, media e organismi sovranazionali.
In tale scenario, Chat Control può essere percepito:
come strumento di ordine in un mondo instabile;
come strumento di sorveglianza contro dissidenti, giornalisti e oppositori.
Più la fiducia cala, più cresce la tentazione dei governi di usare il controllo al posto del consenso. E più cresce il controllo, più la fiducia cala: un circolo vizioso.
Guerra, intelligence e libertà: un equilibrio fragile
L’Europa si sta riarmando come non accadeva da decenni, in un contesto di confronto ibrido con la Russia e di instabilità globale. In scenari del genere, la privacy tende a diventare un ostacolo operativo. La storia lo dimostra: dopo l’11 settembre, il Patriot Act ha compresso diritti che, vent’anni dopo, sono ancora lì. Il rischio è che Chat Control diventi il primo pezzo di un’architettura permanente di sorveglianza digitale, giustificata dalla protezione dei minori ma pronta a espandersi ad altre emergenze future.
Perché l’Italia potrebbe dire definitivamente “no”: l’argomento costituzionale
Nessuna legge, nemmeno europea, può introdurre un sistema generalizzato di controllo delle comunicazioni in contrasto con l’articolo 15 della Costituzione. L’unica eccezione ammessa richiede:
un’indagine specifica;
un atto motivato dell’autorità giudiziaria;
destinatari determinati.
Chat Control 2.0 viola tutti e tre questi criteri. L’Italia deve quindi scegliere tra approvare un regolamento anticostituzionale o porre un diniego formale, avviando un conflitto giuridico con Bruxelles. L’astensione è un messaggio: l’Italia non può accettare un regolamento che viola un diritto “inviolabile”.
La questione politica più ampia: quale modello di società digitale vuole l’Europa?
Chat Control 2.0 non è solo un tema tecnico. È una scelta di civiltà. Si delineano due modelli:
Sicurezza preventiva attraverso sorveglianza pervasiva Simile ai modelli cinesi, russi o a quelli post-11 settembre.
Tutela dei diritti fondamentali come limite al potere Tradizione europea basata su proporzionalità, necessità, segretezza delle comunicazioni, warrant giudiziario, presunzione di innocenza.
Con Chat Control l’UE rischia di abbandonare gradualmente il secondo modello per avvicinarsi al primo.
Una società che rinuncia alla privacy rinuncia alla democrazia
La privacy non è un lusso: è la condizione che consente a giornalisti, attivisti, dissidenti e cittadini di operare senza paura. La sorveglianza preventiva produce autocensura sistemica e modifica i comportamenti umani prima ancora dell’intervento repressivo.
Chat Control 2.0 è una scelta antropologica, non tecnica
La questione è semplice, radicale, si basa su queste domande: Siamo disposti ad accettare una società in cui ogni comunicazione può essere analizzata da algoritmi? Siamo pronti a sacrificare la segretezza delle comunicazioni sulla promessa di tecnologie che generano errori elevati? Siamo consapevoli che i criminali continueranno a operare su canali invisibili mentre il controllo ricadrà sui cittadini comuni?
L’Italia, con il suo quadro costituzionale, ha la responsabilità di sollevare queste domande. Una volta costruita un’infrastruttura di sorveglianza generalizzata, smantellarla sarà quasi impossibile. Il 9 dicembre 2025 rischia di essere ricordato non come il giorno in cui l’Europa ha difeso i minori, ma come il giorno in cui ha aperto la porta alla più grande infrastruttura di sorveglianza mai approvata in tempo di pace. Per chi si occupa di democrazia, diritto e cybersicurezza, la posta in gioco è altissima: superata la linea della segretezza delle comunicazioni, tornare indietro sarà quasi impossibile.
Profilo Autore
Progettista di sistemi esperti, software developer, network e system engineer, con oltre 30 anni di esperienza nell’ambito della sicurezza delle informazioni, Francesco Arruzzoli è il Resp. del Centro Studi Cyber Defense Cerbeyra, dove svolge attività di R&D, analisi delle cyber minacce e progettazione di nuove soluzioni per la cyber security di aziende ed enti governativi. Esperto di Cyber Threat Intelligence e contromisure digitali, autore di libri ed articoli sue riviste del settore, in passato ha lavorato per multinazionali, aziende della sanità italiana, collaborato con enti governativi e militari. In qualità di esperto cyber ha svolto inoltre attività di docenza presso alcune università italiane.
Nel periodo compreso tra il 29 novembre e il 5 dicembre, il CERT-AGID ha analizzato 77 campagne malevole dirette verso cittadini, aziende e pubbliche amministrazioni italiane.
Di queste, 43 hanno avuto obiettivi specifici in Italia, mentre 34 campagne generiche hanno comunque coinvolto utenti italiani.
Gli enti accreditati hanno ricevuto 1.615 indicatori di compromissione (IoC), uno dei volumi più alti delle ultime settimane.
I temi della settimana
Sono 24 i temi utilizzati dai criminali per diffondere phishing e malware, con una prevalenza di attività legate a banking, multe, verifiche documentali e ordini commerciali.
Il tema Banking è stato sfruttato in sette campagne di phishing, quasi tutte italiane, che hanno preso di mira i clienti di SumUp, Morgan Stanley, Crédit Agricole, Intesa Sanpaolo e Unicredit.
77 campagne malevole rilevate in Italia, con 1.615 indicatori di compromissione.
In parallelo, attività malware hanno diffuso varianti come Copybara, AgentTesla, Lokibot, GoldFactory e PhantomStealer, confermando l’interesse costante dei criminali verso le credenziali finanziarie.
Il tema Multe, osservato in nove campagne, ha continuato a generare un forte volume di phishing basato su finte comunicazioni PagoPA. Le email simulano avvisi di sanzioni non pagate e indirizzano le vittime su pagine malevole progettate per sottrarre dati personali e bancari.
Il tema Verifica è emerso in sette campagne, quattro delle quali italiane. I criminali hanno abusato del nome di Mooney, Roundcube, iCloud, MetaMask e persino del Governo italiano, sfruttando la pressione esercitata dalle richieste di aggiornamento dei dati per convincere gli utenti a inserire credenziali e informazioni sensibili.
Il tema Ordine, presente in sei campagne, è stato usato esclusivamente per veicolare malware come AgentTesla, FormBook, StrRAT, XWorm e Remcos, confermando l’efficacia degli allegati fittizi relativi a spedizioni e acquisti.
Tra gli eventi di particolare interesse, il CERT-AGID ha segnalato una campagna di phishing che sfrutta nome e insegne della Presidenza del Consiglio dei Ministri, veicolata tramite email che invita le vittime a “verificare i dati bancari” per rispettare presunte nuove disposizioni.
La pagina di destinazione replica l’aspetto di un portale istituzionale e propone un menu di selezione multi-banca, attraverso il quale i criminali tentano di catturare le credenziali di home banking.
Fonte: CERT-AGID
Un’ulteriore campagna di rilievo riguarda un phishing che imita il sito ufficiale dell’Agenzia delle Entrate, promettendo un rimborso di 115,50 euro e conducendo le vittime a inserire dati personali e della carta di credito in una replica della piattaforma originale.
Malware della settimana
Sono 18 le famiglie di malware registrate nella settimana.
Remcos è stato diffuso tramite una campagna italiana a tema “Ordine”, veicolata con allegato RAR, e attraverso cinque campagne generiche legate a “Aggiornamenti”, “Contratti”, “Preventivi” e “Prezzi”. I criminali hanno utilizzato formati diversi, tra cui file Z, ZIP, RAR, 7Z e DOCX.
FormBook è comparso in cinque campagne generiche a tema “Delivery”, “Pagamenti”, “Ordine” e “Prezzi”, tramite allegati ZIP, 7Z, RAR e DOCX, confermandosi uno dei trojan più ricorrenti del trimestre.
AgentTesla è stato osservato in due campagne italiane, relative ai temi “Fattura” e “Ordine”, distribuite tramite file TAR, oltre che in due campagne generiche a tema “Banking” e “Booking”, veicolate con archivi ZIP e 7Z.
Fonte: CERT-AGID
XWorm ha riguardato due campagne italiane, con temi “Contratti” e “Booking”, distribuite rispettivamente tramite RAR e PDF, mentre due campagne generiche hanno sfruttato formati XLAM e RAR.
DarkCloud è stato individuato in due campagne generiche a tema “Pagamenti” e “Fattura”, mentre Lokibot ha colpito tramite due campagne generiche a tema “Banking” e “Pagamenti”, diffuse con allegati ZIP e DOC.
La settimana ha registrato anche una serie di campagne distribuite via SMS che hanno sfruttato APK dannosi.
Tra queste compaiono Albiriox a tema “Aggiornamenti”, Copybara in una campagna italiana a tema “Banking”, GoldFactory in una campagna generica sempre legata al settore finanziario e SeedSnatcher in un’operazione a tema “Cryptovalute”.
Completano il quadro ulteriori campagne che hanno diffuso ClayRat, Grandoreiro a tema Documenti, e PhantomStealer, PureLogs Stealer, StrRAT a tema Banking, Contratti e Ordine.
Si segnalano infine due campagne generiche QuasarRAT e zgRAT a tema Pagamenti e Prezzi, veicolate attraverso file RAR e ZIP
Phishing della settimana
Sono 25 i brand coinvolti nelle campagne di phishing rilevate nel periodo.
Prevalgono ancora una volta le campagne che imitano PagoPA, insieme a quelle che sfruttano iCloud e le numerose webmail non brandizzate, usate per sottrarre credenziali personali e aziendali.
Fonte: CERT-AGID
Formati e canali di diffusione
Gli archivi compressi restano lo strumento più utilizzato per diffondere malware.
Sono state individuate 15 tipologie di file, con RAR al primo posto (9 utilizzi), seguito da ZIP (6) e APK (5).
Seguono i formati 7Z (4), HTM, TAR e DOCX (2), mentre MSI, DOC, Z, PDF, ISO, VBS, XLAM e JAR hanno avuto un solo utilizzo.
La posta elettronica si conferma il canale dominante con 72 campagne, seguita da 4 campagne via SMS e 1 tramite Chat.
Digital Omnibus, la società civile europea è contraria. La Lettera dei 127
La Lettera congiunta di 127 organizzazioni civili contro il pacchetto Omnibus Digitale della Commissione europea
Il pacchetto Digital Omnibus approvato nei giorni scorsi continua a far discutere e 127 organizzazioni della società civile, insieme a sindacati e gruppi impegnati nella difesa dei diritti dei cittadini, hanno pubblicato una Lettera congiunta in cui spiegano i motivi della loro contrarietà alla proposta della Commissione europea.
Abbiamo seguito da vicino il percorso del pacchetto Omnibus, in particolare questa settima proposta di semplificazione, che riguarda il mondo delle tecnologie e dei servizi digitali, mirata a ridurre gli oneri amministrativi di almeno il 25 % e di almeno il 35 % per le piccole e medie imprese fino alla fine del 2029.
Ma dietro questa operazione di “pulizia tecnica” del digital acquis, il corpus legislativo europeo sul digitale, si intravede un cambio di paradigma che potrebbe ridisegnare — secondo molti al ribasso — alcuni tra i più importanti baluardi regolatori degli ultimi anni: GDPR, AI Act, Data Act, Direttiva e-Privacy e Direttiva NIS2.
<!-- ARUBA - 300x250 -->
Un rischio denunciato anche dai gruppi firmatari la Lettera in questione, attraverso cui hanno lanciato un appello pubblico per chiedere l’immediato stop di una misura che va investire leggi di massima rilevanza per la difesa dei diritti del cittadino. Secondo le 127 organizzazioni, ciò che è ancora descritto come un intervento tecnico di “semplificazione normativa” è in realtà un tentativo di smantellare alcune delle protezioni digitali più avanzate al mondo.
Omnibus Digitale e strategia di “deregolamentazione mascherata”
La lettera denuncia come la Commissione stia portando avanti una strategia di deregolamentazione mascherata, destinata a trasformare radicalmente le principali leggi europee su privacy, diritti digitali, intelligenza artificiale e governance delle piattaforme.
Il Digital Omnibus, infatti, riapre contemporaneamente testi legislativi fondamentali come il Regolamento generale sulla protezione dei dati (GDPR), la normativa europea che regola la privacy e la riservatezza nelle comunicazioni elettroniche, come l’uso dei cookie, il marketing via email e il tracciamento online (direttiva ePrivacy), la normativa europea sull’intelligenza artificiale, peraltro la prima al mondo (l’AI Act recentemente approvato), il Digital Services Act (DSA), il Digital Markets Act (DMA) e lo storico regolamento sulla neutralità della rete. Per la società civile si trattava della più ampia revisione al ribasso mai proposta nell’Unione europea in materia di diritti fondamentali.
Indebolimento del quadro normativo ePrivacy
Uno dei punti più contestati riguarda il rischio di indebolire il quadro ePrivacy, che negli ultimi anni era rimasto l’unico argine normativo a impedire che governi e aziende potessero tracciare costantemente ciò che avviene sui dispositivi personali degli utenti.
Le modifiche previste dall’Omnibus, secondo l’interpretazione proposta nella Lettera, potrebbero aprire la strada a forme di sorveglianza diffusa e potenzialmente legittimata, in un momento in cui varie indagini giornalistiche hanno già dimostrato come dati di localizzazione venduti sul mercato possono essere usati per spiare funzionari europei e semplici cittadini, rivelando perfino visite a luoghi sensibili come ospedali, cliniche e luoghi di culto. Indebolire le regole proprio in questo contesto, sostengono le ONG, rappresenta un passo indietro gravissimo per la protezione della vita privata.
Toccando l’AI Act si riducono le garanzie di sicurezza pensate per i sistemi più rischiosi
Preoccupazioni altrettanto forti riguardano l’impatto del pacchetto sull’AI Act. Il Digital Omnibus introduce, secondo i firmatari, modifiche capaci di ridurre le garanzie di sicurezza e trasparenza pensate per i sistemi di intelligenza artificiale più rischiosi.
Uno degli aspetti più problematici su cui è si chiede attenzione è la possibilità per gli sviluppatori di auto-esentarsi dalle regole: dichiarando unilateralmente che i loro sistemi non rientrano nelle categorie ad alto rischio si da loro la possibilità di sottrarsi alle verifiche obbligatorie.
Questo renderebbe molto più difficile per cittadini e autorità comprendere quali sistemi vengono usati per decisioni cruciali, come l’accesso a servizi sociali, prestiti o opportunità lavorative. Anche la riduzione degli obblighi di registrazione dei sistemi ad alto impatto è considerata un attacco alla trasparenza e alla tracciabilità dell’AI.
La protezione dei dati personali a rischio?
Non meno grave è l’attacco al GDPR, si legge nel documento. Il regolamento europeo sulla protezione dei dati, considerato uno standard globale, rischia di essere svuotato dall’interno attraverso modifiche che permetterebbero alle aziende di valutare autonomamente la propria conformità, senza un controllo efficace delle autorità garanti.
Ciò potrebbe compromettere uno degli strumenti che permette ai cittadini – compresi categorie vulnerabili come lavoratori, minori e persone senza documenti – di contestare abusi da parte di imprese e amministrazioni pubbliche. La deregolamentazione, denunciano i firmatari, non porterebbe maggiore efficienza o chiarezza, ma più potere nelle mani degli attori più grandi del mercato digitale.
L’impatto ambientale dell’AI
La lettera richiama anche il tema dell’impatto ambientale dell’intelligenza artificiale, evidenziando come i sistemi di ultima generazione richiedano quantità enormi di energia, acqua e risorse naturali. Invece di rafforzare i controlli e incentivare pratiche sostenibili, l’Omnibus rende ancora più semplice per le aziende addestrare modelli sempre più grandi, senza valutazioni adeguate sugli effetti per il pianeta e senza prove chiare del reale beneficio sociale di tecnologie così dispendiose.
Gli strumenti Omnibus aggirano il confronto democratico
Un altro nodo critico riguardava il metodo politico utilizzato dalla Commissione. Le organizzazioni denunciano un processo decisionale opaco, accelerato e strutturato per aggirare il normale confronto democratico con Parlamento europeo, società civile e comunità scientifica. Gli strumenti Omnibus, nati per armonizzazioni tecniche, vengono così usati per interventi strutturali su norme fondamentali, rischiando di creare un precedente pericoloso.
Nonostante il Digital Omnibus sia stato nel frattempo approvato, le osservazioni avanzate nella lettera restano pienamente attuali. I timori di una progressiva erosione delle tutele, di una maggiore concentrazione di potere nelle mani delle grandi piattaforme e di un indebolimento del controllo democratico continuano a essere al centro del dibattito europeo sulla governance tecnologica.
Semplificare non può significare deregolamentare
Il messaggio della Lettera è chiaro: semplificare non può significare deregolamentare e l’innovazione non può essere costruita sacrificando privacy, sicurezza e trasparenza.
La speranza, condivisa da molte delle organizzazioni che hanno lanciato l’allarme, è che le istituzioni europee tornino a considerare i diritti digitali non come ostacoli burocratici, ma come condizioni essenziali per uno sviluppo tecnologico realmente rispettoso delle persone e dell’ambiente. In gioco non c’è solo il futuro della regolamentazione digitale, ma la credibilità stessa del modello europeo basato sulla tutela dei diritti fondamentali.
Ue. Digital Omnibus, più rischi che crescita. Meno vincoli sull’AI, ma anche meno diritti
Digital Omnibus: la grande semplificazione Ue che rischia di indebolire la protezione dei dati. Favorite le Big Tech?
Oggi il trilogo europeo — il negoziato tra Consiglio dell’Unione europea, Parlamento europeo e Commissione europea — ha dato il via libera al Digital Omnibus, l’ampio pacchetto di semplificazione normativa con cui Bruxelles promette di rendere l’Europa “più semplice e veloce”. Si tratta della settima proposta omnibus, che si prefigge di realizzare uno sforzo di semplificazione mirato a ridurre gli oneri amministrativi di almeno il 25 % e di almeno il 35 % per le piccole e medie imprese fino alla fine del 2029.
“Abbiamo tutti gli ingredienti per avere successo nell’UE. Abbiamo talento, infrastrutture, un grande mercato interno unico. Ma le nostre aziende, in particolare le nostre start-up e le piccole imprese, sono spesso trattenute da strati di regole rigide. Riducendo la burocrazia, semplificando le leggi dell’UE, aprendo l’accesso ai dati e introducendo un portafoglio comune europeo per le imprese, diamo spazio all’innovazione affinché avvenga e sia commercializzata in Europa. Ciò avviene in modo europeo: facendo in modo che i diritti fondamentali degli utenti rimangano pienamente tutelati“, ha dichiarato Henna Virkkunen, Vicepresidente esecutiva per la Sovranità tecnologica, la sicurezza e la democrazia.
Di fatto, con l’omnibus digitale di oggi, la Commissione fa fare passi in avanti concreti alla sua proposta di semplificare le norme esistenti in materia di intelligenza artificiale (AI), cybersecurity e dati. Il meccanismo verrà inoltre utilizzato, secondo gli intenti di Bruxelles, anche per “pagare le tasse”.
<!-- ARUBA - 300x250 -->
Il pacchetto, come spiegato da Bruxelles in un comunicato ufficiale, “mira a facilitare il rispetto degli sforzi di semplificazione stimati per risparmiare fino a 5 miliardi di euro” in costi amministrativi entro il 2029. Inoltre, i portafogli europei delle imprese potrebbero sbloccare altri 150 miliardi di euro di risparmi ogni anno da reinvestire nel tessuto imprenditoriale continentale.
Ma dietro questa operazione di “pulizia tecnica” del digital acquis, il corpus legislativo europeo sul digitale, si intravede un cambio di paradigma che potrebbe ridisegnare — secondo molti al ribasso — alcuni tra i più importanti baluardi regolatori degli ultimi anni: GDPR, AI Act, Data Act, Direttiva e-Privacy e Direttiva NIS2.
Più spazio per innovare e crescere? O un indebolimento della tutela dei nostri diritti?
Secondo la Commissione, si tratta di un lavoro puramente tecnico per eliminare ridondanze, allineare definizioni e alleggerire gli oneri per imprese e pubbliche amministrazioni.
“La proposta odierna rappresenta un primo passo importante nella nostra agenda per la semplificazione digitale, volta a creare un contesto imprenditoriale più favorevole per le imprese europee. Semplificando le norme, riducendo gli oneri amministrativi e introducendo norme più flessibili e proporzionate, continueremo a mantenere il nostro impegno di dare alle imprese dell’UE più spazio per innovare e crescere“, ha affermato Valdis Dombrovskis, Commissario per l’Economia e la produttività e per l’Attuazione e la semplificazione.
Tuttavia, una lettura più attenta del pacchetto mostra come questa “semplificazione” rischi di tradursi in un indebolimento delle tutele, un aumento delle incertezze e un vantaggio competitivo soprattutto per le grandi piattaforme tecnologiche.
Un paradosso, se si considera che la narrazione ufficiale punta a “sostenere la crescita e la competitività delle imprese europee”.
Che cos’è il Digital Omnibus
Il Digital Omnibus è l’intervento più ampio mai realizzato sul digital acquis, perchè tocca quasi tutti i grandi atti legislativi del digitale europeo. L’obiettivo dichiarato è eliminare sovrapposizioni normative e rendere più chiari gli obblighi per imprese e pubbliche amministrazioni, dopo anni in cui le nuove norme — dal GDPR al DMA, dal DSA alla NIS2 — si sono accumulate senza un coordinamento organico.
In altre parole, Bruxelles ammette che la stratificazione normativa è diventata un problema in sé, generando:
costi amministrativi elevati,
incertezza giuridica,
difficoltà di applicazione,
incoerenze tra atti legislativi diversi.
Fin qui, nulla di male: una revisione tecnica era attesa. Il punto è “come” la Commissione ha scelto di risolvere il problema.
Cosa cambia sul GDPR: semplificazione o deregulation mascherata?
Tra le parti più delicate del pacchetto c’è la revisione del GDPR, ancora oggi il regolamento più citato come modello globale di tutela dei dati personali. Il rischio, però, è che la riforma finisca per ridurre proprio quella protezione che ha reso il GDPR uno standard internazionale.
Il problema, come ha spiegato l’avvocato Laura Greco, Studio Legale Giusella Finocchiaro, su Ntplus del Sole 24Ore, sono le “eccezioni”, che vogliono essere introdotte.
Tra gli interventi potenzialmente più problematici emergono:
1. Estensione della categoria dei “dati non personali”
2. Uso di categorie sensibili per l’addestramento dell’AI
Si aprirebbe alla possibilità di usare dati sensibili — come salute, orientamento sessuale o opinioni politiche — purché non vengano “direttamente” rivelati. Peccato che gli algoritmi possano inferire queste caratteristiche in modo estremamente preciso, anche senza dati dichiarati. Esempio:
il genere può essere dedotto da pattern salariali o cronologia di navigazione;
l’orientamento sessuale è stato inferito con alta accuratezza da immagini facciali.
3. Accesso più difficile ai propri dati
Le persone potrebbero vedersi respingere richieste di accesso, portabilità o opposizione alla profilazione se il titolare ritiene che la richiesta “non sia finalizzata alla protezione dei dati personali”. Un criterio vago che rischia di impedire l’accesso ai dati anche nei contenziosi di lavoro o in caso di discriminazioni algoritmiche.
4. Raccolta diretta di dati dai dispositivi degli utenti
Il Digital Omnibus potrebbe legittimare pratiche invasive, come l’estrazione di dati dagli smartphone per presunte finalità di sicurezza. Un terreno scivoloso, perché abbassa la soglia di protezione contro la sorveglianza commerciale e tecnica.
Un regalo per Big Tech, non per l’innovazione europea
Uno dei motivi dichiarati dal Digital Omnibus è la necessità di favorire la competitività delle aziende europee. Ma gli effetti potrebbero essere opposti.
Le grandi piattaforme statunitensi — già dominanti nel mercato europeo — dispongono di risorse, infrastrutture e basi dati tali da trarre enormi vantaggi dall’allentamento dei vincoli su utilizzo ed estrazione dei dati. Le PMI europee, invece, rischiano di non beneficiare affatto della riforma, perché il divario tecnologico non dipende principalmente dalla regolazione, bensì da: mancanza di competenze, difficoltà di accesso ai capitali, frammentazione dei mercati nazionali, scarsità di dataset europei.
Semplificare gli obblighi non risolve queste criticità, semmai favorisce i player che hanno già un vantaggio competitivo consolidato.
Il gruppo dei Verdi al Parlamento europeo ha accusato Ursula von der Leyen di cedere “sotto la pressione dell’amministrazione Trump e delle lobby delle Big Tech. Mettendo in discussione i nostri successi digitali, l’UE rischia di stendere il tappeto rosso per un modello di business basato su dati rubati, clamore e nessuna considerazione per i diritti umani o il pianeta“, ha dichiarato l’eurodeputata olandese Kim van Sparrentak. Secondo l’eurodeputata ceca Markéta Gregorová.
“La fuga di informazioni sul Digital Omnibus rivela che la Commissione sta lavorando a un piano di portata molto più ampia di quanto annunciato e questo senza una valutazione d’impatto. Ciò solleva seri dubbi sulla sua capacità di valutare adeguatamente le implicazioni per l’applicazione dei nostri diritti fondamentali. Sono sorpresa e preoccupata che il GDPR venga riaperto e indebolito nella sua sostanza“, ha sottolineato l’eurodeputata
Tornano in mente le parole di Giovanni Zorzoni, oggi vice presidente dell’AIIP, sulla pericolosità del Cloud Act americano per i dati personali dei cittadini, “perché consente di fatto alle autorità statunitensi di ottenere l’accesso ai dati detenuti da aziende americane anche al di fuori dei confini USA, senza adeguate tutele giuridiche“.
Il vento deregolatorio che tira da Washington e passa per Parigi e Berlino
“Gli investimenti nell’intelligenza artificiale stanno contribuendo a rendere l’economia statunitense la più dinamica al mondo, ma l’eccessiva regolamentazione da parte degli Stati minaccia di indebolire questo motore di crescita“, ha scritto Trump su Truth Social. “Dobbiamo avere un unico standard federale invece di un mosaico di 50 regimi normativi statali. Possiamo farlo in un modo che protegga i bambini e impedisca la censura!”, ha sottolineato Trump.
L’obiettivo è chiaro: permettere alle aziende americane di innovare più rapidamente e senza vincoli.
Il Digital Omnibus si inserisce quindi in un clima politico in cui la disciplina europea sul digitale viene sempre più percepita come un freno, non come un vantaggio competitivo.
Semplificare sì, indebolire no: cosa servirebbe davvero all’Europa
Il paradosso è evidente: mentre la Commissione parla di “chiarezza normativa”, molte delle misure in discussione rischiano di generare più incertezza e più rischi per i cittadini, senza contribuire realmente a rafforzare l’ecosistema europeo dell’AI.
L’alternativa esiste ed è già stata proposta da diversi esperti: creare una Digital Enforcement Agency europea, un’autorità indipendente capace di:
applicare in modo uniforme le norme digitali,
fornire interpretazioni tecniche chiare,
coordinare le autorità nazionali,
offrire certezza agli operatori economici.
Non servono meno regole, ma regole più chiare, coerenti e applicate con efficienza.
Una semplificazione che complica
Il Digital Omnibus potrebbe rivelarsi un passaggio storico: non perché semplifichi l’Europa digitale, ma perché rischia di dismettere, pezzo dopo pezzo, i principi fondanti della protezione dei dati e della governance dell’AI in Europa.
Mentre si parla di competitività, si rischia di:
indebolire il GDPR,
rendere opaca la gestione dei dati,
favorire l’espansione incontrollata delle Big Tech,
aumentare i rischi di discriminazione algoritmica,
diminuire la fiducia dei cittadini.
Il trilogo di oggi non è un mero passaggio tecnico: è una scelta politica sull’identità digitale dell’Europa. La domanda è: continuerà a essere un modello globale di protezione dei dati e innovazione responsabile, o diventerà il terreno di gioco delle grandi piattaforme?
Si rischia di di produrre un quadro normativo frammentato e di incertezza per le imprese
L’ENNHRI, la rete europea che riunisce le istituzioni nazionali indipendenti per i diritti umani, avverte che la proposta Omnibus della Commissione — insieme alle posizioni negoziali di Consiglio e Parlamento — si discosta, in diversi punti, dai principali standard internazionali su imprese e diritti umani. Tra questi, i Principi guida ONU su imprese e diritti umani (UNGPs) e le Linee guida OCSE sulla condotta d’impresa responsabile, oltre che dalle buone pratiche che molte aziende europee stanno già adottando in materia di due diligence ambientale e sociale.
Secondo l’organizzazione europea, tali deviazioni rischiano di produrre un quadro normativo frammentato, generando incertezza per le imprese e vanificando l’occasione di colmare le lacune ancora esistenti. Un passo indietro che potrebbe indebolire la capacità dell’Unione europea di prevenire o contrastare in modo efficace violazioni dei diritti umani e danni ambientali lungo le catene globali del valore.
Le proposte legislative sull’omnibus digitale saranno ora presentate al Parlamento europeo e al Consiglio per l’adozione. La Commissione ha inoltre avviato oggi la seconda fase dell’agenda per la semplificazione, con un’ampia consultazione sul controllo dell’adeguatezza digitale aperta fino all’11 marzo 2026.
