I paradossi della regolazione
Keynote, CNR di Pisa — 30 aprile 2026
Internet di cui oggi ricordiamo il 40° anniversario del primo collegamento dell’Italia è diventata la più importante infrastruttura del mondo moderno. Il suo successo a partire dagli anni novanta non è solo il frutto di una serie di importanti innovazioni tecnologiche. È la conseguenza di un disegno politico visionario e ambizioso concepito da Al Gore e da Bill Clinton e perseguito con coerenza da tutte le amministrazioni successive.
Rispetto alle promesse iniziali, oggi appaiono in tutta evidenza non solo i benefici ma anche i problemi che la rivoluzione di internet ha prodotto: in termini di controllo sociale, di dipendenza, di sicurezza e di concentrazione della ricchezza. Tuttavia, mentre gli Stati Uniti hanno enormemente beneficiato sul piano geopolitico e commerciale della tecnologia, per quasi quaranta anni l’Europa ha subito l’iniziativa americana e si trova oggi senza un vero presidio tecnologico autonomo.
Contrariamente ad una opinione diffusa non è stato l’eccesso di regolazione a penalizzare la crescita europea nel settore della tecnologia ma esattamente il contrario. È stata l’assenza o l’inefficacia della regolamentazione europea prima della recente approvazione del Digital Services Act e del Digital Markets Act che ha permesso alle piattaforme americane di conquistare il mercato europeo realizzando una concentrazione di potere di mercato senza precedenti.
I quattro elementi che hanno consentito il predominio americano in Europa sono stati l’accesso senza controllo ai dati personali degli europei che hanno favorito la penetrazione sul mercato degli Hyperscalers della Silicon Valley, l’immunità da responsabilità civili e penali delle piattaforme, la proliferazione di contenuti che creano dipendenza e la dottrina antitrust americana che ha consentito operazioni di concentrazione inammissibili in Europa. Tutti questi fattori hanno decisamente aiutato le Big Tech americane ma l’Europa avrebbe potuto costruire i propri campioni digitali anche in presenza di quei vantaggi americani se avesse avuto un mercato dei capitali integrato, un mercato digitale unico, una cultura aperta a sostenere il rischio imprenditoriale, una capacità avanzata di trasferimento tecnologico e appalti pubblici orientati all’innovazione. In quaranta anni su questi temi l’Europa ha fatto molto poco, la sfida di oggi è fare tesoro della esperienza e degli errori del passato ed evitare che all’alba di una nuova rivoluzione: quella dell’Intelligenza Artificiale, l’Europa arrivi impreparata.
Tutto parte dalla intuizione originaria di Al Gore agli inizi degli anni novanta di diffondere internet promuovendone l’utilizzo commerciale che allora era fortemente avversato dalla National Science Foundation, titolare dell’internet backbone.
Gore attribuiva alla rete una funzione civica e internazionale. Nelle sue parole, la Global Information Infrastructure doveva servire ad estendere conoscenza e prosperità, rafforzare la partecipazione democratica e rendere più difficile sopprimere la libertà d’espressione.
Il processo di creazione degli Information Superhighways prese concretezza con la privatizzazione della rete posseduta dalla NSF nel 1995, e il Telecommunications Act del 1996 che smantellava la struttura fisica e regolamentare dei vecchi monopoli delle telecomunicazioni e apriva la strada alle nuove piattaforme della banda larga che potevano agire senza vincoli regolatori.
Mentre gli Stati Uniti costruivano un sistema basato sull’autoregolamentazione, l’Europa seguiva una filosofia radicalmente diversa. La Direttiva Europea sulla Protezione dei Dati 95/46/CE, adottata nell’ottobre 1995 e divenuta pienamente applicabile il 24 ottobre 1998, all’articolo 25 vietava il trasferimento di dati personali dai paesi membri dell’UE verso qualsiasi paese che non offrisse un livello di protezione “adeguato”. Poiché gli Stati Uniti non soddisfacevano tale standard, la prima cosa di cui gli americani si preoccuparono fu quella di fare accettare anche dall’Europa i principi che erano stati stabiliti negli USA.
Si arrivò così nel 2000 alla firma dell’accordo di Safe Harbour con il quale le aziende americane potevano dichiarare la propria conformità a principi di privacy derivati dalla Direttiva europea, e ottenere così il diritto a ricevere dati dall’UE. Le aziende che si autocertificavano venivano inserite in un registro pubblico tenuto dal Dipartimento del Commercio, e gli stati membri dell’UE erano obbligati a riconoscerle come “adeguate” ai sensi della regolamentazione europea.
Il coordinamento delle autorità nazionali europee per la privacy aveva ripetutamente avvertito, all’epoca, che i principi erano troppo deboli, le eccezioni troppo ampie e l’enforcement troppo dipendente dall’autoregolamentazione. Il difetto più grave era però di natura strutturale: le leggi sulla sicurezza nazionale americana — in particolare quelle che autorizzavano la sorveglianza di massa da parte della NSA — prevalevano su qualsiasi impegno Safe Harbour, rendendo i dati dei cittadini europei accessibili ai servizi di intelligence americani senza alcun rimedio giuridico.
L’accordo sopravvisse fino al 6 ottobre 2015, quando la Corte di Giustizia dell’UE lo invalidò nella sentenza Schrems vs. Facebook Ireland perché le pratiche di sorveglianza di massa americane di cui si erano registrati numerosi esempi erano incompatibili con i diritti fondamentali europei, e i cittadini UE non disponevano di alcun rimedio giurisdizionale effettivo.
Dopo l’invalidazione del Safe Harbour, la Commissione europea e gli Stati Uniti annunciarono il 2 febbraio 2016 un nuovo quadro per i trasferimenti transatlantici, il Privacy Shield, presentato come risposta ai rilievi della Corte. Ma in realtà nemmeno questo risolveva i problemi sollevati da Schrems che infatti riformulò il reclamo contro Facebook Ireland sostenendo che, anche caduto il Safe Harbour, i trasferimenti verso gli Stati Uniti restavano incompatibili con il diritto UE perché il diritto e le pratiche USA non garantivano una protezione sufficiente contro l’accesso delle autorità pubbliche.
Anche questa volta la Corte dette ragione a Schrems invalidando il Privacy Shield con la sentenza del 16 luglio 2020.
L’ulteriore risposta politica dell’UE fu il Data Privacy Framework del 2023: il 10 luglio 2023 la Commissione adottò una nuova decisione di adeguatezza affermando che gli Stati Uniti avevano introdotto garanzie vincolanti per limitare l’accesso dell’intelligence a quanto “necessario e proporzionato” e un nuovo meccanismo di ricorso per gli interessati europei. In sostanza, Bruxelles tentò una terza architettura giuridica per preservare i flussi di dati, mantenendo il modello dell’adeguatezza ma cercando di rispondere ai due difetti che avevano fatto cadere Safe Harbour e Privacy Shield, cioè sorveglianza e tutela giurisdizionale.
In realtà Data Privacy Framework non impedisce all’intelligence americana di accedere ai dati personali dei cittadini europei, ma pretende di limitarne l’accesso a quanto “necessario e proporzionato” per la sicurezza nazionale e di sottoporlo a nuovi meccanismi di controllo e ricorso.
La criticità decisiva non è solo che i servizi americani possano accedere ai dati, ma che i diritti europei in materia di privacy e protezione dei dati non si trasformano automaticamente in pretese direttamente azionabili contro l’intelligence statunitense davanti a un giudice indipendente negli USA. Questo significa che manca il momento chiave in cui un soggetto esterno e imparziale verifichi se la raccolta sia davvero necessaria, proporzionata e limitata al minimo indispensabile secondo lo standard europeo.
Per quasi vent’anni — dalla nascita del web commerciale nel 1995 fino al 2018 — le imprese americane hanno quindi operato in Europa senza vincoli effettivi sulla raccolta dei dati personali e sulle conseguenti tecniche di profilazione. Le piattaforme hanno utilizzato le proprie condizioni d’uso come base contrattuale, sostenendo che l’utente accettando i termini di servizio acconsentisse implicitamente alla raccolta e al trattamento dei propri dati.
Il Regolamento Generale sulla Protezione dei Dati entrato in applicazione il 25 maggio 2018 ha introdotto un cambio di paradigma ma oramai la situazione era compromessa. Il risultato netto di questo percorso è che le piattaforme americane hanno costruito il proprio vantaggio competitivo globale — database di profilazione con miliardi di profili, algoritmi di targeting addestrati su decenni di dati comportamentali, infrastrutture pubblicitarie integrate verticalmente in un periodo in cui non esistevano regole efficaci.
Il problema non è però solo il vantaggio competitivo derivante dall’accesso ai dati personali degli utenti ma anche il fatto che alle piattaforme è stato consentito di utilizzare tecniche manipolatorie per creare dipendenza dai network.
Per questo bisogna risalire ad un altro provvedimento varato dal congresso americano La Section 230 del Communications Decency Act, che è parte integrante del Telecommunications Act del 1996. Per effetto di questo provvedimento i provider non sarebbero stati considerati “editori” né “distributori” del contenuto altrui, dunque non soggetti a responsabilità civile o penale per esso.
L’effetto fu immediato e trasformativo: le imprese tecnologiche poterono ospitare quantità illimitate di contenuti generati dagli utenti senza il rischio di finire in giudizio per ogni post diffamatorio, contenuto illecito o informazione falsa. I tribunali americani interpretarono la Section 230 in modo sempre più estensivo, esonerando le piattaforme non solo dalla responsabilità per contenuti terzi, ma anche per le scelte algoritmiche che determinavano quali contenuti amplificare.
Le piattaforme scoprirono presto che i contenuti emotivamente intensi — rabbia, paura, indignazione — generavano il maggiore engagement, e quindi i maggiori ricavi pubblicitari. Dal momento che nessuna norma le obbligava a moderare tale amplificazione, e che l’autoregolamentazione era esattamente il principio che Magaziner aveva codificato nel Framework del 1997, le imprese non solo tollerarono la tossicità ma la ingegnerizzarono deliberatamente nei propri prodotti.
Quando l’UE costruì il proprio regime di responsabilità delle piattaforme con la Direttiva sul commercio elettronico 2000/31/CE — adottata quattro anni dopo la Section 230 — scelse un approccio formalmente diverso ma sostanzialmente compatibile con quello americano. La Direttiva esonera i provider di hosting dalla responsabilità purché non siano a conoscenza di contenuti illegali o, una volta venuti a conoscenza, li rimuovano tempestivamente. Non introdusse obblighi proattivi di monitoraggio, non impose trasparenza algoritmica, non riconobbe la distinzione tra contenuto e design della piattaforma.
Il risultato fu che le imprese americane operarono in Europa sostanzialmente alle stesse condizioni che avevano in patria: protette da responsabilità per contenuti terzi, libere di progettare algoritmi di amplificazione senza obbligo di rendiconto, autorizzate ad autoregolarsi.
Questa convergenza non fu casuale: il diritto europeo si sviluppò in parallelo alla Section 230, in un contesto in cui la liberalizzazione del commercio digitale era l’obiettivo condiviso da Washington e Bruxelles, e in cui l’accordo Safe Harbour del 2000 aveva già stabilito il principio che le imprese americane avrebbero operato in Europa secondo i propri standard interni.
L’UE iniziò a prendere consapevolezza del problema a partire dal 2016-2018, sull’onda dello scandalo Cambridge Analytica, delle accuse di manipolazione elettorale e delle pressioni politiche crescenti sulle piattaforme. Dopo anni di soft law e codici di condotta volontari la Commissione europea cambiò strategia e nel dicembre 2020 presentò il Digital Services Act. Il DSA, entrato pienamente in vigore per le piattaforme molto grandi nel 2023, introduce per la prima volta un sistema di responsabilità basato non sulla singola illiceità del contenuto ma sul rischio sistemico della piattaforma: le imprese devono valutare se la propria architettura, inclusi gli algoritmi di raccomandazione, produca effetti negativi sul discorso civico, sulla sicurezza pubblica, sui minori.
Questo cambiamento di paradigma ha prodotto una reazione durissima da parte americana. Nel 2024 le imprese tech USA hanno ricevuto dall’UE sanzioni complessive per oltre 3,8 miliardi di euro. La risposta dell’amministrazione Trump è stata sistematica: minacce di tariffe, pressioni diplomatiche, visti negati a funzionari europei coinvolti nell’enforcement del DSA, accuse di censura e attacchi all’ordinamento regolatorio europeo definito “orwelliano” dal Segretario di Stato Rubio.
Solo ora anche negli Stati Uniti, i tribunali stanno iniziando a distinguere tra immunità per il contenuto degli utenti — che rimane protetta dalla Section 230 — e responsabilità per la condotta della piattaforma, cioè per le scelte progettuali che amplificano contenuti tossici. I giudici dei casi contro Meta, YouTube, Snap e TikTok hanno riconosciuto che funzionalità come lo scroll infinito, la distribuzione algoritmica e i sistemi di reward rientrano nella sfera della condotta e non sono protette dalla Section 230. Questa evoluzione giurisprudenziale americana, combinata con il DSA europeo, configura per la prima volta un doppio fronte di accountability sistemica per le piattaforme, pur muovendo da tradizioni giuridiche profondamente diverse.
Veniamo all’ultimo fattore che ha favorito il sostanziale monopolio delle piattaforme americane e che assieme alla insufficiente disponibilità di capitale di rischio in Europa, ha impedito alle imprese tecnologiche europee di crescere fino a rappresentare un rischio sotto il profilo della concorrenza. La differenza nella dottrina antitrust tra Stati Uniti ed Europa è uno dei fattori strutturali più importanti nella spiegazione del perché le grandi imprese tecnologiche siano tutte americane e non europee. Fino agli anni Settanta, il diritto antitrust americano aveva una vocazione strutturalista: le grandi concentrazioni di potere di mercato erano considerate di per sé sospette, indipendentemente dall’effetto immediato sui prezzi. Il punto di svolta fu la pubblicazione nel 1978 del libro “The Antitrust Paradox” del giurista Robert Bork nel quale si sostiene che l’unico obiettivo legittimo del diritto antitrust è quello di massimizzare il benessere del consumatore, definito quasi esclusivamente attraverso prezzi, output e efficienza produttiva. Se un’acquisizione o una pratica di mercato non aumenta i prezzi al consumatore nel breve periodo, essa è per definizione accettabile, anche se riduce strutturalmente la concorrenza.
L’amministrazione Reagan recepì questa dottrina in modo organico e l’antitrust americano smise di chiedersi se un’impresa dominante stesse soffocando la concorrenza futura, e si limitò a verificare se i prezzi pagati dai consumatori nell’immediato fossero alti.
Il problema esplose nel settore tecnologico perché i servizi delle grandi piattaforme — Google Search, Facebook, Gmail, YouTube — erano formalmente gratuiti per l’utente finale. Il consumer welfare standard, misurato sul prezzo pagato dal consumatore, non rilevava alcun danno: il prezzo era zero. Così Google poté acquisire DoubleClick nel 2008, YouTube nel 2006, Waze nel 2013, Nest nel 2014 — costruendo un sistema verticalmente integrato — senza che nessuna autorità americana bloccasse seriamente una singola operazione. Facebook poté acquisire Instagram nel 2012 per 1 miliardo di dollari e WhatsApp nel 2014 per 19 miliardi, eliminando i propri principali concorrenti emergenti senza ricevere opposizione antitrust. Il ragionamento implicito era sempre lo stesso: i consumatori non pagano di più, dunque non c’è danno.
Il diritto europeo della concorrenza muove da presupposti radicalmente diversi. Gli articoli 101 e 102 del TFUE proibiscono rispettivamente accordi anticoncorrenziali e abusi di posizione dominante, e quest’ultimo concetto è costruito in modo strutturale: un’impresa dominante ha la responsabilità di non distorcere la concorrenza anche con comportamenti che, se attuati da un’impresa non dominante, sarebbero leciti. La Commissione europea non deve dimostrare che i prezzi al consumatore siano aumentati: è sufficiente dimostrare che la condotta dell’impresa dominante esclude o penalizza i concorrenti e rafforza la posizione di mercato. Questo ha consentito all’Europa di multare Google per 8 miliardi di euro in tre procedimenti tra il 2017 e il 2019, di colpire Apple con 1,84 miliardi per le restrizioni nell’App Store, e di avviare procedimenti contro Amazon, Meta e Microsoft.
La combinazione di enforcement antitrust permissivo negli USA e mercato dei capitali europeo frammentato ha prodotto un meccanismo di drenaggio tecnologico dall’Europa verso gli USA. Le imprese tecnologiche americane hanno acquistato sistematicamente le startup europee più promettenti in fasi pre-IPO, usando la loro enorme liquidità — generata proprio dal mancato enforcement antitrust in patria — per operazioni che spesso sfuggivano anche alle soglie di notifica previste dalla normativa UE.
Il quadro è aggravato da un secondo fattore strutturale europeo: il mercato dei capitali frammentato e le differenze negli ordinamenti giuridici che comportano costi di compliance cumulativi che un’impresa americana non incontra mai all’interno del proprio mercato domestico. Prendendo atto che le tradizionali procedure antitrust — basate su indagini caso per caso, lunghe anni e con sanzioni irrogate solo ex post — erano inadeguate per mercati tecnologici in cui il vantaggio competitivo si costruisce in mesi, l’UE ha cambiato approccio con il Digital Markets Act del 2022. Il DMA non aspetta di dimostrare un abuso: designa preventivamente le piattaforme dominanti come “gatekeeper” e impone loro obblighi proattivi — divieto di self-preferencing, apertura all’interoperabilità, obbligo di condivisione dei dati con terzi — a prescindere da qualsiasi accertamento di danno concreto.
La reazione americana è stata immediata: la pressione diplomatica dell’amministrazione Trump contro il DSA e il DMA, le accuse di discriminazione verso imprese americane, le minacce di tariffe — tutto ciò configura il conflitto digitale transatlantico non come un’astratta disputa giuridica, ma come uno scontro di sovranità economica in cui il diritto della concorrenza è diventato uno strumento di geopolitica tecnologica.
Come negli anni Novanta con Internet, la rivoluzione dell’IA riproduce oggi lo stesso schema di fondo: gli Stati Uniti costruiscono la tecnologia e il mercato lasciando che il settore privato corra senza vincoli; l’Europa risponde con la regolazione. L’AI Act del 2024 è ciò che il GDPR è stato per i dati personali: un tentativo di fissare standard di sicurezza, trasparenza e accountability prima che il mercato si consolidi in modo irreversibile. Il rischio simmetrico è lo stesso: la regolazione arriva quando il vantaggio competitivo americano è già strutturalmente consolidato, e diventa così un ulteriore ostacolo per chi deve recuperare un ritardo.
Qui però il parallelo con Internet si ferma. Negli anni Novanta il confronto era bilaterale: USA da un lato, Europa dall’altro, con Washington che dettava le regole del gioco e Bruxelles che cercava di imporre le proprie. Oggi il campo è tripolare e la geometria del potere è radicalmente diversa.
La Cina non è un attore che subisce la regolazione come l’Europa: ha una strategia nazionale di AI che copre l’intero stack tecnologico — ricerca di base, semiconduttori, modelli fondazionali, applicazioni verticali, 6G, quantum. Soprattutto, la Cina ha adottato una strategia open source — con DeepSeek, Qwen, Alibaba e altri — che ha una funzione geopolitica precisa: abbassare le barriere di accesso alla tecnologia AI per i paesi che vogliono ridurre la dipendenza dagli USA, guadagnare quote di mercato globali e costruire ecosistemi dipendenti dall’infrastruttura cinese. DeepSeek R1 costa 20-30 volte meno dei modelli americani equivalenti, il che lo rende accessibile a startup europee con limitata capacità di spesa.
L’Europa si trova dunque in un dilemma classico: usare la tecnologia cinese per ridurre la dipendenza americana rischia di creare una dipendenza cinese altrettanto o più pericolosa. La risposta più organica e autorevole è contenuta nel Rapporto Draghi del settembre 2024, che ha diagnosticato il problema con chiarezza: l’Europa rischia di perdere la sovranità tecnologica non per mancanza di talento ma per mancanza di scala, capitali e coordinamento.
Draghi raccomanda di aprire i supercomputer pubblici europei a un modello federato pubblico-privato che metta la potenza di calcolo a disposizione delle PMI e delle startup europee per training e fine-tuning dei modelli, così da colmare il divario di accesso all’infrastruttura rispetto agli operatori americani. Propone inoltre una legge ad hoc per armonizzare i requisiti di architettura cloud, coordinare gli acquisti pubblici e creare un quadro unico europeo per il “computing capital” accessibile alle imprese innovative. Questo fornirebbe alle startup europee un’alternativa reale ai cloud provider americani — AWS, Azure, Google Cloud — che oggi controllano oltre l’80% del mercato europeo del cloud.
Nell’era dell’Intelligenza Artificiale l’UE possiede vantaggi competitivi reali in settori come manifattura avanzata, farmaceutica, energia, automotive, agroalimentare e servizi finanziari. Per sfruttare questi vantaggi serve un piano che finanzi lo sviluppo di modelli AI specializzati in questi settori, costruiti su dati europei e protetti dall’enforcement antitrust. Per creare valore europeo nell’AI non serve competere frontalmente sui modelli fondazionali generalisti — dove il vantaggio americano e cinese è strutturale — ma eccellere nelle applicazioni verticali dove i dati, il know-how industriale e la regolazione europea sono un asset. Rispetto al mondo di internet, nell’AI la posta in gioco è la competitività industriale diretta, non solo la protezione dei diritti individuali. Se l’Europa non riuscirà a sviluppare il proprio modello di sviluppo della tecnologia AI il rischio è che l’industria europea — manifattura, sanità, energia, finanza — si trovi a usare AI americana o cinese per i propri processi produttivi critici perdendo tutto il vantaggio competitivo che ancora possiede.