di Mauro Ziani*
Sintesi: questo breve contributo analizza le politiche di digitalizzazione dello Stato italiano attraverso le lenti della criminologia d’impresa e della vittimologia critica. Partendo dalle incongruenze infrastrutturali e normative del Polo Strategico Nazionale (PSN)e dei decreti attuativi dell’AI Act, lo studio esamina la retorica istituzionale sulla “sovranità tecnologica”. Vengono messi a confronto gli argomenti difensivi dell’esecutivo in materia di protezione dei dati con le repliche tecniche e giuridiche fornite da esperti indipendenti, evidenziando così le profonde asimmetrie sistemiche che subordinano le istituzioni pubbliche democratiche alle oligarchie private transnazionali.
L’incoerenza italiana: fortezze di vetro e responsabilità penali
La cronaca italiana degli ultimi mesi offre un osservatorio privilegiato per cogliere lo squilibrio di potere tra lo Stato e i colossi transnazionali della tecnologia[1]. Nel corso del 2026, l’Italia porterà a compimento la migrazione del 75% dei dati della Pubblica Amministrazione sul Polo Strategico Nazionale (PSN)[2]. Presentato come baluardo invalicabile per garantire autonomia tecnologica e protezione dei dati sensibili dei cittadini, il progetto rivela garanzie strutturali fragili non appena se ne esamina l’architettura funzionale: i servizi cloud, di calcolo e di intelligenza artificiale più avanzati non sono sviluppati localmente, ma affidati, tramite accordi commerciali, ai giganti statunitensi Microsoft, Google e Oracle. Lo Stato italiano ha quindi costruito una fortezza nazionale consegnando la progettazione e la manutenzione delle serrature virtuali proprio ai soggetti esteri da cui intendeva difendersi. Su questo fragile impianto si innesta una seconda, vistosa frizione giuridico-politica. Nel giugno 2026, il Consiglio dei Ministri ha licenziato lo schema di decreto legislativo per l’adeguamento nazionale all’AI Act europeo (la cui approvazione definitiva è prevista entro l’autunno 2026), presentando l’introduzione del reato di omessa adozione di misure di sicurezza nei sistemi di IA ad alto rischio[3]. La proposta normativa – proprio in questi giorni al centro di un duro scontro politico nelle commissioni parlamentari per via del tentato allargamento sull’uso della biometria – evidenzia, sotto il profilo criminologico, la classica dinamica di sdoppiamento e “scaricamento della colpa” da parte dello Stato. Il legislatore si appresta a criminalizzare i funzionari pubblici e le imprese locali, minacciando pesanti sanzioni qualora non vigilino sulla sicurezza di algoritmi complessi, pur sapendo che nessuno in Italia possiede le chiavi d’accesso reali, il codice sorgente o il controllo logico dei sistemi forniti dalle Big Tech d’oltreoceano. Si immagina di punire penalmente il custode italiano per non aver sorvegliato la cassaforte, ignorando deliberatamente che la combinazione è custodita in un server in California.
Lo scudo istituzionale e la replica degli esperti
Il dibattito pubblico sul PSN vede contrapposte le rassicurazioni del Governo e lo scetticismo tecnico-giuridico degli analisti di settore. La linea istituzionale, promossa dal Dipartimento per la Trasformazione Digitale e dall’Agenzia per la Cybersicurezza Nazionale, si fonda sul postulato del “Sovereign Key Management”: poiché le chiavi crittografiche per la decifratura dei dati sensibili rimangono sotto l’esclusivo controllo delle autorità nazionali e della società di progetto (composta da TIM, Leonardo, Sogei e Cassa Depositi e Prestiti), i dati ospitati sulle infrastrutture dei provider statunitensi risulterebbero inaccessibili all’esterno. Tuttavia, gli esperti di sicurezza informatica confutano decisamente questa tesi: per elaborare le informazioni e addestrare i modelli di intelligenza artificiale, i dati devono necessariamente essere decifrati in memoria RAM durante l’esecuzione dei calcoli. In quel preciso intervallo temporale, il software proprietario (il cui codice sorgente è invisibile e controllato esclusivamente dalle Big Tech) ha visibilità del dato in chiaro. Inoltre, la ricezione automatica di continui aggiornamenti firmware e software da remoto rende impraticabile una verifica puntuale da parte dei controllori statali, lasciando aperta la possibilità tecnica di backdoor silenziose. Anche sul piano strettamente geografico, l’argomento ministeriale secondo cui la collocazione fisica dei data center entro i confini italiani garantisca l’inapplicabilità di leggi estere si scontra con la realtà giuridica transnazionale. Giuristi ed esperti di diritto digitale sottolineano che le filiali europee delle tech company rispondono direttamente alle case madri. Di conseguenza, strumenti normativi come il Cloud Actstatunitense permettono alle autorità investigative federali di intimare alle imprese americane la consegna di flussi di dati indipendentemente da dove si trovi l’hard disk fisico[4]. La localizzazione fisica sul suolo nazionale si rivela così uno schermo protettivo puramente formale[5].
Il racket della protezione algoritmica e il “Vendor Lock-in”
Questo squilibrio strutturale non è un incidente di percorso, ma l’esito di una raffinata strategia economica nota alla criminologia d’impresa. Nelle dinamiche tradizionali, il racket della protezione si fonda sulla diffusione preventiva della paura — il rischio di ritorsioni o attacchi — per poi vendere alla vittima il proprio riparo. Sul piano geopolitico, le multinazionali del tech replicano lo stesso schema: alimentano l’ansia collettiva sulla vulnerabilità informatica e sullo spionaggio, per poi presentarsi come gli unici garanti possibili attraverso il paradigma della “IA sovrana” o del “cloud sovrano”. A livello europeo, il tentativo di disciplinare questo spazio ha prodotto, nel giugno 2026, il Tech Sovereignty Package, comprensivo della proposta di legge denominata CADA (Cloud and AI Development Act)[6], volta a classificare i rischi di sicurezza nazionale connessi all’uso di tecnologie estere. Il mercato, però, ha risposto stringendo la presa. Un esempio paradigmatico si è registrato il 15 gennaio 2026 con l’annuncio da parte di Amazon Web Services della disponibilità generale dell’AWS European Sovereign Cloud, una nuova infrastruttura indipendente situata all’interno dello spazio comunitario[7]. Collocando server fisicamente in territorio europeo e impiegando personale residente, Amazon commercializza l’illusione della sovranità locale. Tuttavia, come documentato da una recente ricerca dello Stanford Institute for Human-Centered Artificial Intelligence[8], la proprietà intellettuale profonda, i brevetti operativi e l’architettura logica restano nella disponibilità esclusiva del colosso americano. Questa discrasia genera il fenomeno del vendor lock-in o intrappolamento tecnologico: quando uno Stato ha integrato i propri gangli vitali — sanità, fisco, difesa — in una di queste infrastrutture, uscirne diventa impraticabile. La sovranità formale si dissolve in una dipendenza quasi irreversibile nella quale il potere effettivo di veto e di governance si sposta dai parlamenti eletti ai consigli di amministrazione delle Big Tech. Affidare i servizi nevralgici del Paese a infrastrutture proprietarie straniere significa esporsi alla minaccia latente del “Kill Switch” (l’interruttore di spegnimento). Qualora un governo decidesse di adottare politiche fiscali o geopolitiche sgradite alle multinazionali o al loro paese d’origine, i fornitori detengono il potere tecnico unilaterale di sospendere gli aggiornamenti, limitare l’accesso ai dati o disattivare i servizi essenziali a distanza, paralizzando l’intera nazione senza sparare un solo colpo.
Nuove forme di colonialismo digitale e criminologia ambientale
La vittimologia critica consente di misurare la reale portata del danno subito dagli Stati in questa transizione di potere. Se il colonialismo storico si caratterizzava per l’occupazione fisica delle terre e per il saccheggio delle risorse minerarie, quello digitale contemporaneo procede attraverso l’appropriazione delle infrastrutture pubbliche e l’estrapolazione sistematica di dati sensibili. I Paesi minori o culturalmente isolati si trovano in una condizione di subalternità estrema. Lo studio di Stanford[9] richiama l’emblematico caso dell’Islanda, costretta a negoziare accordi diretti con OpenAI per integrare la propria lingua nativa nei modelli di calcolo globali ed evitare l’estinzione culturale digitale. Lo Stato cessa di essere regolatore e si riduce a supplicante alla corte dei monopolisti dell’algoritmo. Questo modello espansivo e accentratore si scontra violentemente con i limiti fisici del pianeta, sollevando gravi questioni di “green criminology”. Il timore ossessivo di rimanere esclusi dalla corsa all’IA spinge i governi a una rincorsa tecnologica frenetica, destinata a tradursi in devastazione ecologica. Le cronache di marzo 2026 mostrano come l’India stia acquistando decine di migliaia di chip grafici (GPU) ad alto consumo energetico per ampliare la propria rete nazionale di IA[10]. La proliferazione incontrollata di data center e “fabbriche di IA” comporta un uso idrico drammatico per i sistemi di raffreddamento e una domanda elettrica colossale, spesso a carico di territori già provati da severi stress climatici. È la contraddizione ecologica della sicurezza computazionale: si compromette l’ecosistema reale per accumulare un fittizio potere algoritmico.
Oltre la sovranità di facciata
L’analisi sin qui condotta mette quindi in luce come il concetto politico di “sovranità digitale”, esibito nelle campagne promozionali e nei documenti governativi, sia una sovrastruttura ideologica funzionale a occultare un processo di sottomissione materiale. Per interrompere questo circolo vizioso, gli Stati non possono limitarsi a innalzare barriere burocratiche o trasferire le responsabilità penali sui propri amministratori e cittadini. La riconquista dello spazio pubblico richiede una cesura netta con il modello proprietario e oligopolistico. È indispensabile che gli investimenti pubblici siano orientati verso tecnologie aperte, ispezionabili e davvero controllate dalla collettività. Solo restituendo trasparenza al codice e autonomia materiale alle infrastrutture fisiche sarà possibile sottrarre la democrazia al controllo e al ricatto dei nuovi padroni digitali.
* Mauro Ziani Criminologo Qualificato – Colonnello dell’Arma dei Carabinieri (ris) già Security Officer del NATO Stability Policing Centre of Excellence
__________________________________
NOTE:
[1]Per una ricognizione di cronaca italiana recente sul tema della sovranità digitale, del cloud sovrano e del rapporto tra infrastrutture pubbliche, PA e Big Tech, si veda:
Innocenzo Genna, “L’impatto del cloud sovrano europeo sulle Big Tech”, HuffPost Italia, 8 giugno 2026, su: https://www.huffingtonpost.it/blog/2026/06/08/news/limpatto_del_cloud_sovrano_europeo_sulle_big_tech-22085711
Tom’s Hardware Italia, , “CADA, i quattro livelli del cloud sovrano UE rimettono in gioco lo stack della PA italiana, 12 giugno 2026, su: https://www.tomshw.it/business/cada-cloud-sovrano-ue-quattro-livelli-pa-italia
Fabio Lalli, “Cloud sovrano italiano: PSN e AI nel 2026”, 22 giugno 2026, su: https://fabiolalli.com/2026/06/22/cloud-sovrano-italiano-psn-e-ai-nel-2026
Francesco Marino, “Sovranità digitale: cos’è, perché conta e cosa cambia per aziende e PA”, Digitalic, 6 luglio 2026, su: https://www.digitalic.it/tech-news/sovranita-digitale-guida-completa
Roberto Bargone, “Cloud sovrano, Netalia punta alla quotazione in Borsa e a un fatturato annuo da 50 milioni di euro”, la Repubblica, 16 luglio 2026, su: https://www.repubblica.it/dossier/economia/top-story/2026/07/16/news/cloud_sovrano_netalia_punta_alla_quotazione_in_borsa_e_a_un_fatturato_annuo_da_50_milioni_di_euro-425475396
Agenzia ADNKRONOS “Digitale, la sovranità europea passa da reti, cloud, AI e cybersicurezza”, La Gazzetta del Mezzogiorno, 27 luglio 2026, su: https://www.lagazzettadelmezzogiorno.it/news/ultima-ora/2070032/digitale-la-sovranita-europea-passa-da-reti-cloud-ai-e-cybersicurezza.html
[2]https://www.polostrategiconazionale.it/media/news/pnrr-con-oltre-300-milioni-di-euro-prosegue-la-migrazione-delle-pa-centrali-su-psn/
[3]https://www.sistemapenale.it/it/notizie/disposizioni-attuative-in-materia-di-intelligenza-artificiale-reato-di-omessa-adozione-di-misure-di-sicurezza
[4] https://avvocatonardini.it/rete-pubblica-sovranita-digitale-italiana/
[5] https://www.agendadigitale.eu/sicurezza/privacy/cloud-act-la-norma-usa-che-fa-a-pugni-con-la-privacy-europea-i-nodi/
[6] https://www.eu-cloud-ai-act.com/
[7]https://press.aboutamazon.com/it/notizie/aws/2026/1/amazon-web-services-aws-european-sovereign-cloud-espansione-cloud-europa
[8] https://hai.stanford.edu/policy/the-commercial-landscape-of-ai-sovereignty-offerings
[9] Vedi nota n. 6.
[10] https://www.pib.gov.in/PressReleasePage.aspx?PRID=2245069®=48&lang=2