Chi scrive il tempo di risposta del Garante? Da oltre un anno lo fa la Corte di Cassazione e prima lo facevano i tribunali di merito. Sei pronunce della Cassazione e una del Tribunale di Roma hanno dovuto ricostruire, caso per caso, le regole sulla durata dei procedimenti dell’Autorità, perché i regolamenti del 2019 fissano i termini ma tacciono su tre cose: che cosa sia l’accertamento da cui si contano, se siano vincolanti, che cosa accada per ciascuno di essi, quando scadono. Sono le tre righe che mancano. Il tempo non è un dettaglio. Una tutela può dirsi realmente effettiva solo se è anche prevedibile nei tempi, e chi attende una decisione, come chi è chiamato a difendersi, deve poter conoscere, entro limiti ragionevoli, il percorso e la durata del procedimento. Il potere di scrivere quelle righe non è dei giudici, che lo hanno detto con chiarezza; il legislatore lo ha affidato all’Autorità, ed è nelle sue mani. Questo articolo auspica che quel potere venga esercitato. Muove dall’idea che il Garante possa applicare alla propria organizzazione gli stessi principi di responsabilizzazione e di governo dei processi che il GDPR richiede a chi tratta dati personali: obiettivi chiari sui tempi, responsabilità definite, monitoraggio e trasparenza. Le regole così individuate potrebbero poi essere tradotte, dove servono effetti giuridici, nei regolamenti che l’Autorità può modificare autonomamente. Non occorre una riforma legislativa. Occorre una scelta di indirizzo e di regolamentazione, capace di rendere più prevedibile l’esercizio dei poteri del Garante e di rafforzare, al tempo stesso, la fiducia dei cittadini e la credibilità dell’istituzione.

L’arma e l’orologio

Molti anni fa, quando ero un giovane ufficiale dei Carabinieri al mio primo comando, durante un posto di blocco fermammo un’autovettura. La perquisizione del veicolo portò alla scoperta di una pistola con la matricola abrasa. Non era addosso al conducente: era nell’abitacolo, dove chiunque avesse avuto accesso a quell’auto avrebbe potuto lasciarla. Era un’arma clandestina e per noi l’arresto era obbligatorio; stabilire se quell’arma fosse davvero sua, però, non spettava a noi: spettava a un giudice. Mentre gestivamo l’intervento e valutavamo se estendere la perquisizione all’abitazione dell’arrestato, un maresciallo anziano mi mostrò l’orologio indicando l’ora. Non capii subito quel gesto. Lui sorrise e mi spiegò che, da quell’istante, erano iniziati a decorrere i termini entro i quali l’autorità giudiziaria avrebbe dovuto convalidare l’arresto. Io stavo guardando l’arma; lui stava guardando il tempo. Quell’orologio proteggeva innanzitutto la persona che avevamo appena privato della libertà, e che poteva essere innocente. Garantiva che un giudice avrebbe deciso entro un termine certo e che, trascorso quel termine, il nostro potere su di lei sarebbe finito.  Il potere di limitare la libertà era nostro; il potere di giudicare no; e il tempo era ciò che teneva separati i due poteri. Quel termine era, ed è, scritto, prima ancora che nel codice di procedura penale, nella Costituzione, all’articolo 13; ma una norma, da sola, non si rispetta: serve qualcuno che guardi l’orologio. Da quell’esperienza ho imparato una lezione importante: una garanzia esiste effettivamente soltanto quando la regola è scritta e l’organizzazione è costruita per rispettarla.  Occorre sapere quando iniziano i termini, seguirne il decorso e intervenire prima che vengano superati. Oggi ritrovo la stessa esigenza nell’attività del Garante per la protezione dei dati personali.

Il tempo è parte della tutela

Nel mondo della protezione dei dati il fattore tempo non è un elemento secondario. Chi si rivolge al Garante per fermare la diffusione illecita di dati sanitari ha bisogno di una risposta rapida, perché il danno aumenta giorno dopo giorno. Allo stesso modo, un’organizzazione destinataria di una contestazione deve poter preparare la propria difesa conoscendo con chiarezza le regole temporali del procedimento e sapendo fino a quando resta esposta. Anche gli uffici dell’Autorità hanno bisogno di tempi definiti, perché solo così possono programmare il lavoro, individuare i ritardi e adottare per tempo i correttivi. Per questa ragione il tempo non è soltanto una variabile organizzativa; è una componente della tutela stessa, e lo dice lo stesso GDPR, quando chiede che i poteri delle autorità di controllo siano esercitati «entro un termine ragionevole».^[1]

Un quadro ancora incerto

Negli ultimi mesi è stata soprattutto la giurisprudenza a dover ricostruire il sistema dei termini applicabili ai procedimenti del Garante. La Corte di cassazione ha chiarito alcuni punti importanti. Ha affermato che il procedimento di reclamo e quello sanzionatorio sono distinti e seguono regole differenti.^[2] Ha precisato che il termine di centoventi giorni fissato nella tabella del Regolamento n. 2/2019 è perentorio e decorre dal momento in cui l’Autorità ha effettivamente accertato la violazione, non da quando ne ha avuto una semplice notizia.^[3] Il Tribunale di Roma, nel noto caso Report, era andato oltre, dichiarando decadute le sanzioni per il superamento dei termini del reclamo: una lettura che la Cassazione ha poi superato, e che misura quanto il tema fosse, e sia, controverso.^[4] Resta infatti aperta una questione decisiva: una volta effettuata la contestazione, esiste un termine entro il quale il procedimento deve concludersi?

Su questo punto si confrontano due letture. 

Per la prima, sostenuta dal Segretario generale dell’Autorità, i centoventi giorni servono a notificare la contestazione e, dopo, vale soltanto la prescrizione quinquennale.^[5]

Per la seconda, sostenuta da una parte della dottrina, i centoventi giorni decorrono dalla contestazione e vincolano la decisione finale.^[6]

La Corte costituzionale, già nel 2021 e in una vicenda che non riguardava il Garante, aveva avvertito che la sola prescrizione non basta a garantire la prevedibilità della durata di un procedimento sanzionatorio, rimettendo però al legislatore la scelta dei termini.^[7] La Cassazione, nelle pronunce del 31 agosto 2026, ha ricordato che non spetta ai giudici creare termini che il legislatore non ha previsto.^[8] Il Segretario generale del Garante, nell’articolo citato, ha spiegato che questo assetto è lo stesso delle sanzioni bancarie e finanziarie, dove dopo la contestazione vale solo la prescrizione, e ha concluso che, nelle sue parole, «non vi è, in questo schema, alcuna urgenza di natura regolamentare: le sentenze non impongono modifiche al Regolamento n. 2/2019, ma si limitano a interpretare, con validità generale, un quadro normativo che resta quello attuale e che governa, in modo del tutto fisiologico, anche le sanzioni delle altre Autorità indipendenti».^[9] Questo è vero ed è precisamente il motivo per cui la certezza non arriverà da una sentenza: chi la vuole deve scriverla. Il risultato è una situazione che il cittadino comune fatica a comprendere.

Alcuni tasselli esistono: la tabella dei termini, l’informazione al reclamante sullo stato del reclamo, la relazione annuale. Chi presenta un reclamo legge che la decisione dovrebbe arrivare entro nove mesi, estensibili a dodici nei casi più complessi.^[10] Chi riceve una contestazione sa che essa deve essere notificata entro centoventi giorni dall’accertamento. Eppure, nessuno può leggere in un solo luogo l’intera scansione temporale del procedimento, il momento esatto dal quale decorrono i termini e le conseguenze dei ritardi. Oggi queste risposte vengono cercate nelle sentenze. Ed è qui che nasce la domanda di fondo di questo articolo.  L’art. 156, comma 3, lettera a), del Codice affida al Garante il potere di disciplinare con propri regolamenti l’organizzazione e il funzionamento dell’Ufficio, anche ai fini dei compiti e dei poteri che il Codice e il GDPR gli attribuiscono; l’art. 166, comma 9, gli affida le modalità del procedimento sanzionatorio; l’art. 2, comma 5, della legge n. 241/1990 gli affida i termini dei propri procedimenti. Il Garante ha usato questi poteri nel 2019 e ha scritto i termini. Non ha scritto tre cose: che cosa sia l’accertamento da cui si contano, se siano vincolanti, che cosa accada, per ciascuno di essi, quando scadono. Quelle tre righe le stanno scrivendo i giudici, una sentenza alla volta: la Cassazione da oltre un anno, i tribunali di merito da prima. Perché? Non per colpa di nessuno: nel 2019 questo contenzioso non esisteva. Ma oggi esiste, il quadro è chiaro, e il potere di scrivere quelle tre righe è rimasto dov’era: nelle mani dell’Autorità.

La responsabilizzazione come modello di governo dei procedimenti del Garante

Il GDPR richiede a imprese e pubbliche amministrazioni di organizzare i trattamenti attraverso politiche, responsabilità, controlli e verifiche.^[11] Non basta rispettare le regole: occorre dimostrare di essere organizzati per rispettarle. È il principio di responsabilizzazione. Chi decide finalità e mezzi del trattamento definisce obiettivi, assegna responsabilità, mette a disposizione risorse e verifica i risultati. Questo metodo è insegnato, richiesto e controllato dal Garante ogni giorno. Se il GDPR insegna che la conformità non si esaurisce nell’adempimento, ma richiede la capacità di governare i processi, allora il medesimo approccio potrebbe trovare applicazione anche nell’organizzazione dell’Autorità.  Naturalmente le situazioni non sono identiche. I titolari del trattamento gestiscono dati personali, mentre il Garante esercita poteri pubblici, secondo le norme che ne disciplinano le funzioni. La logica organizzativa, però, è la stessa. Dove esiste una garanzia da rendere effettiva, servono obiettivi, responsabilità e verifiche. Se l’Autorità chiede tutto questo ai soggetti vigilati, può adottarlo anche per sé stessa.

Gli strumenti esistono già

La buona notizia è che non servono nuove leggi. L’ordinamento attribuisce già al Garante gli strumenti necessari per organizzare i propri procedimenti. Il Collegio definisce gli indirizzi, individua le priorità e verifica i risultati.^[12] Il regolamento di organizzazione prevede che l’Ufficio lavori per programmazione e che ogni anno il Collegio, nel documento programmatico, definisca le linee strategiche a cui l’Ufficio deve uniformarsi, con le finalità da perseguire e le risorse necessarie.^[13] Il Segretario generale attua i programmi, segnala i correttivi e riferisce al Collegio; i dirigenti rispondono dei risultati conseguiti.^[14] L’Autorità dispone inoltre del potere di regolamentare da sola la durata dei propri procedimenti, come ha già fatto con il Regolamento n. 2/2019, e le modalità dell’attività sanzionatoria.^[15] Ogni procedimento ha già un responsabile individuato per nome e cognome.^[16] In altre parole, tutti gli elementi sono già presenti: un vertice che determina gli obiettivi, una struttura che li realizza, responsabilità definite, poteri regolamentari, un responsabile per ogni pratica. Il documento programmatico esiste e viene approvato ogni anno: è lì che la certezza dei tempi può diventare una linea strategica dell’Ufficio, con obiettivi misurabili.

Un auspicio in 4 punti

Certamente, non spetta a chi scrive spiegare al Garante come organizzarsi. Chi opera quotidianamente al fianco di cittadini, imprese e professionisti può però constatare quanto l’incertezza dei tempi produca costi e sfiducia, prima di tutto per la persona che aspetta una risposta. Per questo motivo, formulo un auspicio articolato in quattro punti.

1. Un orologio leggibile

Le regole temporali dovrebbero essere raccolte in modo chiaro e accessibile. Ogni fase del procedimento, il momento iniziale del termine, la sua durata, le possibili sospensioni e proroghe e le relative conseguenze dovrebbero essere individuabili in un unico quadro. Quando questi elementi incidono sui diritti delle persone, lo strumento appropriato è il regolamento, che il Garante può adottare e modificare da solo.^[17]

La strada è già stata percorsa. La Cassazione ha riconosciuto natura perentoria al termine di centoventi giorni che il Garante si è dato con il Regolamento n. 2/2019, e il Consiglio di Stato, pur con un orientamento contrario, ha in più occasioni ritenuto perentori i termini dei procedimenti sanzionatori di AGCM e ARERA per la natura afflittiva delle sanzioni.^[18]

Un dubbio resta, ed è giusto dirlo: la Cassazione ha escluso che un giudice possa ricavare dal sistema un termine di decadenza per la decisione finale; ma questo è un limite del giudice, non dell’Autorità. Una regola che l’Autorità scrive e rispetta non ha bisogno di un giudice per valere: la certezza nasce nel momento in cui il regolamento dice che cos’è l’accertamento, quanto dura ogni fase e che cosa accade alla scadenza, e l’Ufficio lavora su quell’orologio. Il giudice torna in scena soltanto se l’Autorità viola la regola che si è data; e a quel punto la lite non è più su quale sia la regola, come accade oggi, ma solo sul fatto di averla rispettata. Anche in quel caso il terreno è favorevole: la Cassazione ha già riconosciuto natura perentoria al termine che l’Autorità si è data per la contestazione, il Consiglio di Stato ha fatto lo stesso per i termini sanzionatori di altre autorità, e la decadenza legata a un termine della fase sanzionatoria è il modello che la legge n. 689/1981 applica alle sanzioni amministrative in generale. La lezione è che i termini vanno scritti dentro il procedimento sanzionatorio, fase per fase. Le durate spettano all’Autorità; il Regolamento (UE) 2025/2518, che assegna quindici mesi alle indagini transfrontaliere, mostra che un riferimento realistico esiste.^[19] La strategia decide dove si vuole arrivare; il regolamento lo rende vincolante; l’autore è lo stesso.

2. Una fila governata da criteri trasparenti

Le pratiche non hanno tutte la stessa urgenza. Una violazione ancora in corso può richiedere un intervento prioritario rispetto a una vicenda ormai conclusa. Le priorità sono quindi legittime. Ciò che conta è che siano dichiarate e comprensibili: chiunque dovrebbe poter sapere perché il proprio caso si trova in una determinata posizione e quando ragionevolmente sarà esaminato. La priorità di alcuni non dovrebbe trasformarsi nell’attesa indefinita di altri, e dichiarare i criteri non indebolisce il controllo: lo fanno da decenni la Commissione europea e, dal 2008, l’autorità britannica della concorrenza.^[20] Vale anche per la scelta dello strumento. La Corte di giustizia ha chiarito che l’Autorità può anche non sanzionare, quando la sanzione non serve a rimediare alla violazione: è legittimo, purché sia una decisione spiegata e non un effetto del tempo trascorso.^[21]

3. Sapere sempre dove si trova il proprio procedimento

Chi presenta un reclamo dovrebbe conoscere l’ufficio competente, le fasi previste, i tempi di lavorazione, le eventuali proroghe e le ragioni che le giustificano, nel rispetto della riservatezza dell’istruttoria. Chi riceve una contestazione dovrebbe trovare già nell’atto iniziale l’indicazione dei termini applicabili e della data dalla quale essi decorrono.^[22] In fondo è la stessa trasparenza che il Garante pretende da chi tratta dati personali.

4. Misurare il tempo delle persone

Le statistiche sui procedimenti conclusi sono utili ma non sufficienti. Un’organizzazione può migliorare i propri numeri chiudendo rapidamente le pratiche semplici mentre quelle più complesse continuano ad accumulare ritardi. 

Per questo motivo, sarebbe importante pubblicare la durata effettiva delle diverse fasi, i tempi di giacenza dei procedimenti ancora aperti, il numero delle proroghe concesse e le misure adottate per ridurre i ritardi. 

Non è un’utopia: l‘autorità britannica per la protezione dei dati (ICO), fuori dall’Unione ma con lo stesso mestiere, pubblica ogni trimestre un quadro dei risultati in cui misura, tra l’altro, la quota di reclami ai quali risponde entro novanta giorni, con obiettivo dell’ottanta per cento, quella ai quali risponde entro sei mesi, con obiettivo del novanta per cento, e la quota di pratiche aperte da più di dodici mesi, che deve restare sotto l’uno per cento.^[23] Il Garante denuncia da anni la carenza di risorse: l’auspicio è che quel fabbisogno venga collegato a obiettivi di tempo misurabili, perché chi è chiamato a raggiungere un obiettivo deve essere posto nelle condizioni di raggiungerlo.^[24]

Perché dipende dal Garante

L’esperienza degli ultimi mesi suggerisce una conclusione precisa. I giudici hanno chiarito di non poter introdurre termini che l’ordinamento non prevede.^[25] Il legislatore, pur sollecitato dalla Corte costituzionale a dare termini certi ai procedimenti sanzionatori, non è intervenuto su quelli del Garante, e ha già affidato all’Autorità la disciplina del procedimento sanzionatorio e dei suoi termini.^[26] L’Unione europea ha imposto termini vincolanti soltanto per i procedimenti transfrontalieri, lasciando agli ordinamenti nazionali la disciplina dei casi interni.^[27] Rimane dunque un soggetto che può agire subito, senza attendere nessuno: il Garante stesso. È la risposta alla domanda da cui siamo partiti: le regole del tempo le stanno scrivendo i giudici perché chi può scriverle non lo ha ancora fatto, non perché non possa. Attraverso le competenze organizzative e regolamentari che già possiede, l’Autorità può introdurre maggiore certezza senza aspettare nuove leggi o nuove sentenze. Non è un limite della sua indipendenza. Al contrario, è una responsabilità che nasce proprio da essa.

Il maresciallo e l’orologio

Continuo a ricordare quel maresciallo che guardava l’orologio mentre io osservavo l’arma sequestrata. Mi stava insegnando una verità profonda: le garanzie vivono nelle norme e nel modo in cui il tempo viene organizzato per rispettarle; e il tempo è ciò che tiene in equilibrio due poteri, quello di chi indaga e sanziona e quello di chi giudica. Il Garante ha il primo; il giudice ha l’ultima parola sui suoi atti; organizzare il tempo che sta in mezzo spetta a chi esercita il primo. Il Garante conosce bene questa logica. Ogni giorno chiede a imprese e amministrazioni di trasformare gli obblighi giuridici in procedure, responsabilità e controlli verificabili. Potrebbe applicare lo stesso principio ai propri procedimenti. Una strategia sui tempi non riguarda il contenuto dei diritti delle persone né l’ampiezza dei poteri dell’Autorità, ma le modalità del loro esercizio e la disciplina temporale che i regolamenti contribuiscono a definire. Inoltre, rende prevedibile ciò che oggi è incerto ed evita che cittadini e organizzazioni siano costretti a rivolgersi ai giudici per capire quali siano le regole temporali che li riguardano. Infine, rafforza ciò che rappresenta il patrimonio più importante di ogni autorità indipendente: la fiducia.

^[1]Regolamento (UE) 2016/679 (GDPR), considerando 129, secondo cui i poteri delle autorità di controllo vanno esercitati «in modo imparziale, equo ed entro un termine ragionevole»; art. 57, par. 1, lett. f); art. 78, par. 2.

^[2]Cass. civ., Sez. I, 6 luglio 2026, n. 22791; Cass. civ., Sez. I, 31 agosto 2026, n. 24861.

^[3]Cass. civ., Sez. I, 8 luglio 2025, n. 18583 (Enel Energia); Cass. civ., Sez. I, 17 gennaio 2026, n. 984 (caso RAI); Cass. civ., Sez. I, 31 agosto 2026, n. 24862 (K-City); Cass. civ., Sez. I, ord. 4 settembre 2026, n. 24998. Il termine è previsto dalla tabella B allegata al Regolamento del Garante n. 2/2019, in coerenza con l’art. 14 della legge 24 novembre 1981, n. 689, richiamato dall’art. 166, comma 5, del d.lgs. 30 giugno 2003, n. 196 (di seguito, Codice).

^[4]Trib. Roma, Sez. diritti della persona e immigrazione civile, 22 gennaio 2026, R.G. n. 54031/2025. Nel senso che il superamento del termine di decisione del reclamo non determina la decadenza dal potere sanzionatorio: Cass. n. 22791/2026 e n. 24861/2026, cit.

^[5]L. Montuori, Sanzioni privacy, la Cassazione chiarisce la regola dei 120 giorni, Agenda Digitale, 8 settembre 2026, https://www.agendadigitale.eu/sicurezza/privacy/sanzioni-privacy-la-cassazione-chiarisce-la-regola-dei-120-giorni/; ripubblicato sul sito del Garante (www.gpdp.it, doc. web n. 10294426) e ripreso nella newsletter dell’Autorità.

^[6]G. Fiordalisi, A. Bettiol, Garante Privacy: un’interpretazione differente sul termine dei 120 giorni per le sanzioni, Istituto Italiano per la Privacy, 11 settembre 2026, https://www.istitutoitalianoprivacy.it/2026/09/11/garante-privacy-uninterpretazione-differente-sul-termine-dei-120-giorni-per-le-sanzioni/.

^[7]Corte cost., sentenza n. 151/2021, come richiamata da Cass. n. 24861/2026 e n. 24862/2026.

^[8]Cass. n. 24861/2026 e n. 24862/2026, nei passaggi in cui richiamano Corte cost. n. 151/2021 ed escludono che l’interprete possa costruire un termine di decadenza non previsto dalla legge; i passaggi sono riportati da L. Montuori, cit.

^[9]L. Montuori, cit., che richiama Cass. civ., Sez. II, 17 aprile 2024, n. 10348, e Cass. civ., Sez. II, 8 maggio 2026, n. 13317, in materia di sanzioni finanziarie e bancarie.

^[10]Art. 143 del Codice; tabelle allegate al Regolamento del Garante n. 2/2019. Sull’informazione al reclamante: GDPR, art. 77, par. 2, e art. 78, par. 2.

^[11]GDPR, considerando 78; art. 5, par. 2 (principio di responsabilizzazione); art. 24, par. 2.

^[12]Artt. 155 e 156, comma 3, lett. a), del Codice; Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’Ufficio, art. 2, comma 1, lett. a), c) e d).

^[13]Regolamento n. 1/2000, art. 6, comma 1.

^[14]Regolamento n. 1/2000, art. 7, commi 2 e 3 (Segretario generale); art. 6, comma 1, ultimo periodo, e art. 9, comma 4, lett. e) (responsabilità dei dirigenti per i risultati e relazioni semestrali).

^[15]Regolamento n. 1/2000, art. 13, comma 2; legge 7 agosto 1990, n. 241, art. 2, comma 5; Regolamento del Garante n. 2/2019; art. 166, comma 9, del Codice.

^[16]Regolamento n. 1/2000, art. 14, comma 2.

^[17]Art. 166, comma 9, del Codice; legge n. 241/1990, art. 2, comma 5; Regolamento n. 1/2000, art. 13, comma 2.

^[18]Cass. n. 984/2026 e n. 24862/2026, cit. Cons. Stato, Sez. VI, 25 maggio 2020, n. 3307 (AGCM); Cons. Stato, Sez. VI, 19 gennaio 2021, n. 584 (ARERA); in senso contrario Cons. Stato, Sez. VI, 9 novembre 2020, n. 6891 (ARERA), tutte richiamate da Cass. n. 24861/2026 come riportata da L. Montuori, cit. Sul termine del reclamo: Cass. n. 22791/2026 e n. 24861/2026, cit.

^[19]Regolamento (UE) 2025/2518, pubblicato nella Gazzetta ufficiale dell’Unione europea del 12 dicembre 2025 e applicabile dal 2 aprile 2027, che fissa termini vincolanti per le indagini nei casi transfrontalieri.

^[20]Trib. primo grado CE, 18 settembre 1992, T-24/90, Automec c. Commissione, sulla facoltà della Commissione di stabilire priorità con decisione motivata e sindacabile; Competition and Markets Authority (Regno Unito), CMA Prioritisation Principles (CMA16), 30 ottobre 2023, www.gov.uk, che aggiornano i principi di priorità pubblicati dall’Office of Fair Trading a partire dal 2008.

^[21]Corte di giustizia UE, 26 settembre 2024, C-768/21, Land Hessen.

^[22]GDPR, art. 57, par. 1, lett. f), e art. 77, par. 2; Regolamento n. 1/2000, art. 14, comma 2; art. 166, comma 5, del Codice (trenta giorni per gli scritti difensivi dalla notifica della contestazione).

^[23]Information Commissioner’s Office (Regno Unito), standard di servizio della Charter e quadro trimestrale dei risultati (ico.org.uk): rispondere all’80% dei reclami in materia di protezione dei dati entro 90 giorni e al 90% entro sei mesi; meno dell’1% delle pratiche aperte da oltre dodici mesi.

^[24]Cfr. le relazioni annuali dell’Autorità, che danno conto del rapporto tra compiti e risorse. Sull’obbligo dello Stato di assicurare le risorse: GDPR, art. 52, par. 4.

^[25]Cass. n. 24861/2026 e n. 24862/2026, cit.; v. note 7 e 8.

^[26]Art. 166, comma 9, del Codice; legge n. 241/1990, art. 2, comma 5; v. nota 17.

^[27]Regolamento (UE) 2025/2518, cit.; v. nota 19.

L'articolo Chi scrive il tempo di risposta del Garante? proviene da Italia nel futuro.

L’Europa sta navigando in un mare attraversato da venti potenti: intelligenza artificiale, infrastrutture globali, automazione e dipendenze tecnologiche che cambiano la geografia del potere. In questo scenario le norme sono imprescindibili strumenti di orientamento.

GDPR, NIS 2 e AI Act rappresentano un “sestante digitale” che consente a istituzioni e imprese di capire da dove stanno partendo, dove rischiano di spezzarsi le catene critiche e quale rotta intendono intraprendere per restare competitive senza sacrificare libertà e dignità.

Questo articolo ricostruisce il senso politico e strategico di queste tre norme europee e mostra come, lette insieme, conducano verso una vera rinascita digitale del Paese.

Il vento che spinge e il vento che disorienta

Seneca ci ha lasciato un’immagine che ancora oggi risulta avere una forza sorprendente: “Non esiste vento favorevole per il marinaio che non sa dove andare.”

Nel digitale viviamo dentro venti straordinari:

• l’intelligenza artificiale che accelera processi che pochi anni fa avremmo definito fantascienza;
• il cloud globale che ridisegna confini ed economie;
• le interdipendenze – energetiche, informative, logistiche – che attraversano ogni settore essenziale.

Sono venti che possono portarci lontano ma anche farci perdere la rotta.

Il nodo, in realtà, non è la forza del vento ma è capire da dove si parte e avere chiaro dove si vuole andare.
Nel mare aperto, un comandante di una nave non si affida all’intuizione. Oggi usa il GPS.
Fino agli anni ’90 del secolo scorso, sollevava un sestante verso il cielo, misurava l’angolo tra il sole e l’orizzonte e, attraverso quel gesto antico, capiva la sua posizione nel mondo.

Nel digitale, il nostro sestante non è fatto di ottone e specchi ma di responsabilità e consapevolezza e oggi prende forma concreta in tre strumenti: GDPR, NIS 2 e AI Act, che non sono ostacoli né burocrazia; sono il nostro modo per capire:

• dove siamo,
• quanto siamo esposti,
• quale rotta ci permette di attraversare un’epoca di interdipendenze radicali.

GDPR – Il primo atto politico dell’Europa digitale

Chi vive ogni giorno nei contesti della compliance lo sa bene: il GDPR continua a essere percepito da molti come un intralcio, un set di vincoli che complica la vita alle organizzazioni.

È un riflesso culturale radicato ma è anche la prova di quanto poco, talvolta, se ne colga il senso vero.
Il GDPR è il primo grande atto politico con cui l’Europa ha dichiarato al mondo che nell’economia dei dati il baricentro resta la persona e non la piattaforma. Questa è una scelta culturale potentissima volta ad affermare che l’efficienza non vale più della dignità.

Infatti, il GDPR non protegge i dati ma le persone e non mette in sicurezza i byte ma le biografie che quei byte raccontano.

È un messaggio rivolto alle imprese, ma soprattutto alla società: la tecnologia non deve sostituire l’essere umano né dominarlo, deve servirlo.

Il GDPR, letto in questa prospettiva, non appare più come vincolo ma come il fondamento etico del nostro modo di stare nel digitale.

NIS 2 – La responsabilità di comando nell’era delle catene digitali

Se il GDPR protegge la persona, la NIS 2 protegge ciò che sostiene la nostra vita collettiva cioè le infrastrutture critiche.

La NIS 2 compie un salto culturale decisivo affermando una verità che per molto tempo è rimasta misconosciuta: la cybersecurity non è un tema tecnico ma una responsabilità dei vertici organizzativi.

È qui che emerge il grande paradosso italiano: alla fine del 2025 ci sono ancora consigli di amministrazione che non hanno mai definito il livello di rischio accettabile in caso di incidente di sicurezza significativo. Così, abbiamo aziende iper-digitalizzate ma con governance non aggiornata.

Inoltre, la NIS 2 impone qualcosa di molto più impegnativo della semplice adozione di tecnologie avanzate, chiedendo alle organizzazioni essenziali e importanti di capire:

• da cosa dipendono;
• dove le catene digitali possono spezzarsi;
• quali scenari non possono permettersi;
• chi risponde se un anello cede.

Quindi, in fondo, la NIS 2 chiede cultura organizzativa, consapevolezza e, soprattutto, una leadership capace di assumersi la responsabilità delle conseguenze dimostrando maturità del comando.

AI Act – L’Europa che decide quale tipo di AI vuole

L’AI Act è l’atto con cui l’Europa ha compiuto una scelta netta e senza precedenti: definire, prima di adottarla, quale intelligenza artificiale è compatibile con i propri valori.

È una normativa che nasce per rispondere a una domanda decisiva per il futuro della nostra società: vogliamo un’intelligenza artificiale che punta solo all’efficienza, anche a costo di sacrificare diritti e dignità oppure un’intelligenza artificiale capace di rafforzare fiducia, trasparenza, sicurezza e competitività?

L’intelligenza artificiale non è neutra; amplifica ciò che trova e quindi, se trova una governance solida, diventa un moltiplicatore di valore mentre se trova opacità, diventa un acceleratore di instabilità.

Ecco perché anche l’AI Act non è solo un insieme di obblighi tecnici ma un gesto politico: è l’Europa che afferma: “Sì all’innovazione, ma non a qualsiasi prezzo.”

Verso una rotta comune. Il sestante digitale europeo

Quando si osservano insieme, GDPR, NIS 2 e AI Act disegnano una geografia molto chiara.
Sono tre strumenti distinti ma il loro significato profondo emerge solo se vengono letti come un’unica rotta.
Il GDPR ci ricorda chi siamo: una comunità che mette la persona al centro dell’economia dei dati.

La NIS 2 ci dice da cosa dipendiamo: infrastrutture essenziali, servizi critici, catene digitali che non possono spezzarsi.

L’AI Act ci mostra dove vogliamo andare: un modello di innovazione che rafforza la coesione sociale e la competitività invece di eroderle.

Sono, in realtà, un unico sestante: uno strumento per capire di nuovo la nostra posizione nel mondo digitale.
Quando un comandante solleva il sestante, non sta guardando il cielo, sta cercando la sua rotta.
Così, oggi, la stessa cosa possono fare le nostre istituzioni e le nostre imprese se cominceranno a leggere queste tre preziose normative non come intralci ma come strumenti per crescere e proteggersi.

L'articolo L’Europa e il suo sestante digitale: GDPR, NIS 2 e AI Act come strumenti di comando nell’epoca dell’interdipendenza proviene da Italia nel futuro.

L’intelligenza artificiale è il nuovo campo di battaglia della sovranità perché non è solo una tecnologia ma una forma di potere cognitivo che decide cosa vediamo, come interpretiamo la realtà e quali scelte consideriamo possibili.
Così, chi controlla i sistemi di AI governa il flusso dei dati e quindi il contesto dentro cui le menti di fatto si formano.
Con l’AI Act, l’Europa ha deciso di non giocare la partita globale sul terreno della quantità di dati ma su quello della qualità dei principi, mettendo al centro valori come la dignità, la libertà e la responsabilità e affermando che l’innovazione non può essere lasciata al caso o alle sole logiche di mercato.
Questo articolo analizza come l’AI Act non sia solo un regolamento tecnico ma una vera e propria dottrina civile, una visione politica della tecnologia che riafferma con forza un principio fondamentale: l’intelligenza artificiale deve restare al servizio dell’essere umano e non deve mai sostituirlo.

L’algoritmo come nuovo potere

Nella storia dell’umanità, ogni rivoluzione tecnologica ha generato una nuova forma di potere.
La macchina a vapore diede forza alle nazioni industriali, l’energia atomica segnò la supremazia militare, il cyberspazio ha creato la potenza informativa.
Oggi, con l’intelligenza artificiale, nasce un potere più profondo: il potere algoritmico. Gli algoritmi non si limitano a eseguire istruzioni ma interpretano, prevedono e orientano. Organizzano il modo in cui l’informazione viene percepita e trasformano i dati in decisioni operative.
In questa capacità di leggere il presente e anticipare il futuro si nasconde la nuova forma di dominio geopolitico.
Così, chi controlla gli algoritmi, controlla la conoscenza.
L’Europa, consapevole di questa trasformazione, ha deciso di rispondere con una scelta di civiltà: umanizzare l’intelligenza artificiale.
L’AI Act è il suo strumento: la prima legge al mondo che regola il rapporto tra l’uomo e il potere algoritmico.

L’algoritmo come spazio di sovranità

Ogni algoritmo è anche una mappa cognitiva del mondo perché decide:

• quali dati contano;
• quali dati restano invisibili;
• come i dati vengono collegati e con quali criteri vengono valutati.

In questa logica, la sovranità algoritmica appare come la capacità di un Paese – o di un continente – di progettare, addestrare e governare i propri sistemi di intelligenza artificiale.
Quindi, chi dipende da modelli prodotti altrove non adotta solo tecnologie ma anche specifiche visioni del mondo. Ogni algoritmo, infatti, porta con sé un sistema di valori implicito: un’idea di persona, di libertà, di efficienza, di sicurezza.
Ecco perchè il dominio tecnologico è anche dominio culturale.
La scelta europea di costruire regole proprie per l’AI è dunque un atto di autonomia politica: significa non accettare che i modelli cognitivi che plasmano la società digitale siano decisi da altri.
È una riaffermazione della sovranità democratica nel tempo delle macchine pensanti.

L’AI Act: una legge che è anche una visione

L’AI Act è nella sostanza una dichiarazione di intenti politici perché stabilisce che lo sviluppo e l’uso dei sistemi di intelligenza artificiale devono rispettare i diritti fondamentali e i valori dell’Unione Europea.
Non si limita a elencare divieti o procedure ma costruisce una vera dottrina di proporzionalità del rischio.
Il suo principio cardine è semplice e rivoluzionario allo stesso tempo: più alto è il rischio che un sistema di AI comporta per i diritti o la sicurezza delle persone, più stringenti devono essere le regole.
È una logica di responsabilità graduata che riflette il DNA giuridico europeo: equilibrio tra libertà e tutela, tra innovazione e dignità.
L’AI Act, in questo senso, è la traduzione normativa di una visione antropocentrica: la tecnologia non sostituisce l’uomo ma amplifica le sue capacità nel rispetto della sua libertà.

La competizione globale dei modelli

Nel mondo dell’intelligenza artificiale non si confrontano solo economie, ma modelli di civiltà:

• il modello statunitense, basato sulla libertà d’impresa e sulla centralità del mercato;
• quello cinese, fondato sul controllo statale e sulla sorveglianza di massa;
• quello europeo, centrato sulla persona e sui diritti.

L’Europa, con il GDPR prima e l’AI Act poi, ha scelto di essere trendsetter regolatorio non follower tecnologico avendo compreso che, in un mondo dove i dati sono potere, chi scrive le regole definisce i confini del gioco.

L’umanesimo digitale europeo

Dietro l’AI Act c’è una visione più ampia: quella dell’umanesimo digitale europeo secondo il quale:

• la tecnologia non deve amplificare il potere ma le capacità della persona;
• il progresso non è misurato dal numero di algoritmi ma dalla qualità delle relazioni che preserva.

L’Europa, culla del diritto e della filosofia, ha scelto di riportare il pensiero nell’era della macchina.
Ogni decisione algoritmica è, in fondo, un atto politico: traduce in codice ciò che una civiltà considera giusto e l’AI Act è la codificazione moderna dell’imperativo kantiano: trattare ogni persona sempre come fine mai come mezzo.
Questa è la differenza tra l’Europa e chi usa la tecnologia per controllare o monetizzare la vita umana.
L’AI Act è, di fatto, la Costituzione etica della sovranità digitale europea.

Trasparenza, responsabilità e controllo umano: il triangolo della fiducia

L’AI Act si fonda su tre pilastri che traducono l’etica europea in prassi concreta: trasparenza, responsabilità e controllo umano.
Trasparenza, perché ogni sistema di AI deve essere spiegabile e comprensibile: l’opacità non è più tollerata.
Responsabilità, perché chi progetta o utilizza un sistema deve rispondere delle conseguenze delle sue decisioni.
Controllo umano, perché la macchina non può mai avere l’ultima parola su questioni che incidono sulla dignità o sulla libertà delle persone.
L’AI Act lega così etica e competitività, dimostrando che la protezione dei diritti può diventare anche un vantaggio economico.

Sovranità algoritmica e sicurezza nazionale

La questione dell’AI non è solo economica o etica: è anche strategica.
Sempre più spesso, i sistemi di intelligenza artificiale governano aspetti della sicurezza, della difesa e delle infrastrutture critiche. Pertanto, anche un semplice errore di codice può compromettere una centrale energetica, un aeroporto o un intero sistema sanitario e chi dipende da fornitori esterni per queste tecnologie è vulnerabile.
Per questo motivo, oggi, la sovranità algoritmica è anche parte integrante della sicurezza nazionale.
Quindi, occorre poter:

• controllare i modelli che gestiscono processi vitali;
• verificare i dati di addestramento;
• prevenire interferenze ostili;
• garantire l’integrità delle decisioni automatizzate.

L’AI Act apre anche questa prospettiva stabilendo che la sicurezza algoritmica oltre ad essere un interesse privato è anche un dovere pubblico.
La protezione del codice diventa così protezione della democrazia.

Il potere di scegliere chi siamo

Ogni epoca ha la sua domanda fondamentale. La nostra è semplice e decisiva: chi comanda sull’intelligenza artificiale?
Se a comandare saranno solo gli algoritmi, perderemo la libertà.
Se a comandare sarà la politica, ma senza etica, perderemo la fiducia.
Se a comandare sarà la coscienza, allora avremo una civiltà.
L’AI Act è la risposta europea a questa domanda.
È la prova che l’Europa non ha rinunciato a essere potenza ma ha scelto di esserlo attraverso i valori.
Ha trasformato:

• la regolazione in visione;
• la norma in strategia;
• la responsabilità in libertà.

In un mondo dove l’intelligenza artificiale decide tutto, forse la vera sovranità sarà di chi saprà ancora decidere che cosa è umano ed è in questa scelta – più che in qualsiasi algoritmo – che si gioca il destino politico e morale del nostro continente.

L'articolo Sovranità algoritmica e valori europei: l’AI Act come dottrina politica dell’Europa proviene da Italia nel futuro.

La guerra non si combatte più solo con le armi. Oggi si combatte con i dati, con le informazioni, con la fiducia.
La minaccia ibrida rappresenta la forma più attuale del conflitto: non dichiara guerra ma la esercita ogni giorno, logorando le istituzioni e disorientando le società.
Non è volta a occupare territori ma narrazioni, non è orientata a distruggere infrastrutture ma certezze.
Si insinua nelle reti, nelle economie, nelle conversazioni digitali e colpisce la fiducia collettiva.
Una difesa efficace può essere costruita rafforzando i firewall, aggiornando i protocolli e proteggendo il tessuto psicologico e culturale di un Paese: la sua coesione, la sua memoria, la sua lucidità.

Un nuovo teatro di guerra

Quando si parla di difesa dello Stato, la mente corre subito alle immagini che la storia ci ha insegnato a riconoscere: soldati, confini, mezzi militari, piani strategici.
Eppure, oggi la difesa nazionale non è più soltanto una questione di eserciti ma è soprattutto una questione di fiducia.
Viviamo in un tempo in cui il nemico non sempre si vede, non alza bandiere, non lancia missili e non invade territori. Si infiltra, però, nel cuore delle infrastrutture digitali, nei flussi finanziari, nei canali informativi, nei social network e lo fa:

• attaccando la percezione collettiva;
• alimentando il dubbio;
• sfruttando le paure;
• amplificando la disinformazione.

È una nuova forma di ostilità che si muove tra pace e guerra, in quella zona d’ombra dove tutto resta formalmente sotto soglia ma nulla è più davvero stabile.

È la cosiddetta minaccia ibrida: una combinazione di strumenti militari, economici, tecnologici e cognitivi che opera in modo coordinato per destabilizzare una società dall’interno.
Purtroppo non è teoria ma è già realtà.
L’abbiamo vista all’opera nelle campagne di disinformazione durante le crisi geopolitiche recenti; negli attacchi ai sistemi sanitari durante la pandemia; negli assalti informatici agli aeroporti, alle reti energetiche.

È una strategia che non punta alla distruzione immediata ma alla corrosione lenta.

Il campo di battaglia è la mente

La vera novità della minaccia ibrida sta nell’aver spostato l’obiettivo del conflitto: dalla conquista del territorio alla conquista della percezione.
Chi altera la narrazione, indebolisce la realtà e così, il campo di battaglia non è più solo militare o digitale ma è mentale.
Si gioca nelle menti delle persone, nella fiducia che esse ripongono nelle istituzioni, nella credibilità dei media, nella coerenza del linguaggio politico.
La minaccia ibrida non attacca per spaventare ma per far dubitare; lavora in profondità, sulle emozioni.
La sua arma più potente è il dubbio che si diffonde in modo capillare nella società, trasformando la fiducia in sospetto.
L’obiettivo è molto chiaro: far perdere al Paese la capacità di riconoscersi come comunità unita e credibile.

Si tratta quindi di un nemico che vuole non vincere una guerra ma certamente vuole farci credere che l’abbiamo già persa.

Quando la guerra entra nella vita di tutti i giorni

Per capire cosa significa “minaccia ibrida” non serve immaginare un campo di battaglia.
Basta guardarsi intorno.
Quando un aeroporto si blocca per un’intera giornata, quando un treno si ferma a metà percorso, quando un ospedale viene colpito da un attacco informatico o i siti della pubblica amministrazione diventano improvvisamente irraggiungibili, la reazione è sempre la stessa: rabbia, disorientamento, sfiducia.
È lì che la minaccia colpisce nel segno: ogni volta che il cittadino pensa “non funziona più niente” e la frustrazione si trasforma in sfiducia.
In questo modo, il disservizio determina una crepa nella fiducia collettiva.
È una narrazione che si autoalimenta: “lo Stato non è capace”, “le istituzioni non reagiscono”, “nessuno ci difende”
È così che funziona la minaccia ibrida: distrugge certezze.

È un lento veleno che agisce sulla fiducia, giorno dopo giorno.

Il meccanismo dell’ambiguità

La vera forza della minaccia ibrida sta nella sua capacità di nascondersi dentro l’ambiguità.
Non arriva mai in modo chiaro, non si annuncia, non dichiara le proprie intenzioni.
Si insinua invece nelle pieghe della realtà quotidiana, nei dettagli che di solito si danno per scontati. Un blackout che paralizza una città può sembrare il risultato di un guasto tecnico ma potrebbe essere stato provocato per sondare la reazione della popolazione.
Una notizia distorta può apparire come un semplice errore giornalistico ma magari è stata costruita con precisione per alimentare sfiducia.
Anche un’ondata di commenti che invade i social può sembrare il frutto di un’emozione collettiva, mentre spesso è l’effetto di una regia invisibile che muove bot, algoritmi e falsi profili con lo scopo di polarizzare l’opinione pubblica.
È in questa zona d’ombra che la fiducia comincia lentamente a incrinarsi.
L’obiettivo non è distruggere un Paese con la forza ma farlo crollare dall’interno, lasciando che sia la paura stessa a fare il lavoro.
Si tratta di spingere la società a disgregarsi con le proprie mani, alimentando una spirale di diffidenza che finisce per travolgere tutto: i media, la politica, la scienza, le istituzioni, persino la memoria collettiva.
Quando una comunità comincia a dubitare di ogni cosa, quando non sa più di chi fidarsi, quando cerca ossessivamente un colpevole invece di costruire una soluzione, il nemico non deve più colpire perché ha già raggiunto il suo scopo: il dubbio generalizzato è diventato una forma di paralisi e così:

• la paura sostituisce la lucidità;
• il sospetto sostituisce il dialogo;
• la sfiducia diventa una lente che deforma ogni cosa.

In quel momento che la guerra invisibile ottiene la sua vittoria più grande: non quando distrugge un’infrastruttura ma quando riesce a spegnere la capacità collettiva di pensare e reagire insieme.
Perché un popolo che non crede più a nulla è un popolo che non si difende più e la sua resa avviene nel silenzio, senza bisogno di sparare un solo colpo di arma da fuoco.

Il fronte invisibile della disinformazione

La guerra ibrida si combatte anche – e soprattutto – nella sfera informativa.
Le fake news non sono solo errori o scherzi. Sono armi che non uccidono corpi ma relazioni.
Un post virale – se riesce a spaccare un Paese in due fazioni inconciliabili – può fare più danni di un missile.
Ogni grande crisi recente lo dimostra: dalle elezioni manipolate con campagne di disinformazione coordinate, alle operazioni di influenza condotte da attori stranieri per orientare l’opinione pubblica.
Le piattaforme digitali sono diventate campi di battaglia cognitivi, dove le emozioni sostituiscono i fatti e l’indignazione diventa moneta di scambio.
C’è però una differenza fondamentale rispetto alle guerre del passato: il nemico un tempo aveva un volto oggi invece può nascondersi dietro un profilo anonimo, un bot che agisce in automatico o una rete di account falsi. Può essere chiunque o sembrare chiunque.

Proprio questa incertezza fa parte dell’attacco, perché quando non si sa da dove arriva il colpo, è più facile disorientare.

Difendersi: la fiducia come infrastruttura critica

Ogni epoca ha avuto la sua risorsa strategica da proteggere.
Oggi di fronte alla minaccia ibrida quella risorsa si chiama fiducia.
La fiducia è diventata la vera infrastruttura critica di una democrazia moderna e quando viene meno, nessun sistema può più reggere: né quello tecnologico né quello economico né quello politico.
Per questo motivo, la difesa non può più limitarsi a essere solo militare o informatica ma deve essere cognitiva, culturale, sociale.

Per difendersi occorre:

• riconoscere i segnali;
• saper leggere l’intenzione dietro l’evento;
• evitare di reagire d’istinto;
• imparare a verificare prima di condividere.

Ogni volta che un cittadino sceglie di cercare la verità invece di cedere al panico, compie un atto di difesa nazionale e ogni volta che un’informazione viene trattata con spirito critico e responsabilità, si rafforza la resilienza collettiva.
Quindi è ormai tempo di capire che la sicurezza non è solo una questione tecnica ma anche una forma di cultura civile; una responsabilità che parte dalle istituzioni ma coinvolge tutti: scuola, media, imprese, cittadini.

Difendere la fiducia è difendere la libertà

Sulla base di quanto evidenziato è agevole indurre che le guerre del futuro non avranno inizio con un’esplosione ma con un dubbio.
Sarà un dubbio costruito con pazienza, insinuato nei discorsi, nei titoli, nelle conversazioni quotidiane; e come ogni veleno sottile, farà effetto lentamente, penetrando nel pensiero collettivo fino a trasformarsi in convinzione.
Quella ibrida è la minaccia ibrida più pericolosa perché attacca la mente, il cuore e la fiducia, facendo vacillare ciò che tiene unito un Paese.
Occorre difendere la fiducia per proteggere il confine più importante: quello invisibile tra verità e menzogna, tra chiarezza e paura.
Ogni cittadino che sceglie di capire prima di reagire, ogni giornalista che verifica, ogni istituzione che parla con trasparenza, rafforza la sicurezza di tutti.

La fiducia diventa così la nostra arma più potente, il nostro muro più solido e la nostra vera forma di libertà.

L'articolo La guerra invisibile. Difendere la fiducia nell’epoca della minaccia ibrida proviene da Italia nel futuro.

Qualche settimana fa, in un tavolo tecnico alla Camera dei Deputati, il Prof. Francesco GIORGIANNI ha osservato che il GDPR ha avuto il merito di contenere la dispersione dei dati personali degli europei nel mondo. Una riflessione semplice ma profonda, che mi ha colpito perché restituisce l’essenza di ciò che il regolamento generale sulla protezione dei dati ha fatto: ha creato un argine invisibile contro l’abuso globale dei dati.

Prendo spunto da quelle parole per sviluppare un’analisi: il GDPR ha vinto la sfida strategica ma fatica ancora a tradursi in pratica nelle officine quotidiane di aziende e istituzioni. Perché? E cosa ci insegna questa distanza tra principi e vita concreta?

L’immagine dell’argine invisibile

Le parole del Prof. GIORGIANNI mi hanno colpito per la loro limpidezza.
In pochi secondi hanno restituito ciò che spesso gli addetti ai lavori faticano a spiegare in interi convegni: il GDPR ha funzionato come un argine invisibile.
Invisibile perché non si vede, eppure c’è; invisibile perché non blocca ma regola; perché non si esprime con muri ma con principi.
Il regolamento europeo ha agito come fanno le grandi opere idrauliche che non impediscono all’acqua di scorrere ma ne controllano la forza, la canalizzano e ne traggono energia.
Senza argini, l’acqua devasta, con un argine, l’acqua diventa risorsa.
Così è stato per i dati. Senza regole, i dati sarebbero finiti ovunque: comprati e rivenduti, catturati da sistemi di sorveglianza, sfruttati come nuova materia prima del potere digitale.
Con il GDPR, invece, quei flussi sono stati ricondotti dentro una logica di responsabilità e di dignità.
Questo è stato il merito più grande di questa preziosa normativa: avere costruito un limite strategico, non per fermare ma per governare.
Eppure, un argine che resta invisibile non basta se non si traduce in infrastruttura tangibile, atta di pratiche quotidiane.

La vittoria strategica

Nessuno può negare che il GDPR abbia vinto la sua battaglia strategica. Lo ha fatto almeno su tre fronti.
Sul piano geopolitico, ha obbligato giganti tecnologici americani e asiatici a rispettare le regole europee. Non era mai successo che l’Europa imponesse al mondo una normativa con questa forza extraterritoriale. Le sanzioni milionarie inflitte ad alcune Big Tech hanno dimostrato che non si trattava di una minaccia simbolica ma di un potere reale.
Sul piano economico, ha reso la protezione dei dati un fattore competitivo. Le aziende oggi non possono più ignorare la compliance perché:

• i clienti chiedono trasparenza;
• gli investitori valutano la gestione dei dati come segnale di affidabilità;
• i contratti internazionali includono sempre clausole di protezione.

Il GDPR ha spostato il terreno del confronto: non basta più innovare, bisogna innovare responsabilmente.
Sul piano culturale, ha cambiato il linguaggio delle persone. Parole come consenso, diritto all’oblio, accountability sono entrate nella vita quotidiana. Oggi ogni cittadino sa di poter chiedere conto del destino dei propri dati; ieri non avrebbe neppure sospettato che fosse un suo diritto.
Ecco perché la riflessione del Prof. GIORGIANNI coglie il cuore della questione.
Il GDPR ha davvero funzionato come argine strategico perché:

• ha impedito la dispersione incontrollata dei dati;
• ha segnato un cambio di paradigma;
• ha restituito all’Europa una voce propria nel grande concerto digitale.

Il divario con la realtà quotidiana

Ora c’è da chiedersi: se il GDPR ha vinto sul piano strategico perché non riesce a vincere su quello operativo?
Troppo spesso, dietro le quinte di aziende e istituzioni, il GDPR si riduce a carta: registri formali, informative ignorate, misure mai testate, valutazioni fatte per rito e non per governare il rischio.
Il GDPR ha fissato principi chiari ma ha lasciato aperta la questione delle soglie operative. Ha parlato di misure “adeguate”, di rischi “elevati”, di risposte “tempestive”. Ma le organizzazioni ancora non comprendono questo nuovo linguaggio: che cosa significa, in concreto, adeguato? Quanto è tempestivo? Dove finisce il rischio accettabile e dove inizia quello inaccettabile?
In attesa di avviare un processo di alfabetizzazione funzionale, molte organizzazioni oscillano tra due estremi:

• da un lato attuano un formalismo sterile: producono carta, archiviano, fanno finta di essere conformi;
• dall’altro realizzano l’immobilismo: si paralizzano di fronte all’incertezza rimandando ogni scelta a un domani che non arriva mai.

Questo divario tra principi e pratica è la grande crepa del GDPR che ha vinto come argine ma, purtroppo, ancora fatica a diventare infrastruttura viva.

Una questione culturale prima che tecnica

Il problema che il GDPR incontra nell’attuazione quotidiana non è solo di metodo o di tecnologia ma è, innanzitutto, un problema culturale. In troppe organizzazioni la privacy è ancora vista come burocrazia: un adempimento che rallenta i processi e serve solo a evitare sanzioni. Non viene percepita come un valore essenziale da proteggere e coltivare.
Ma questa è una visione miope perché i dati non sono mai neutrali.
Ogni dato custodisce pezzi di vita: diagnosi mediche, relazioni affettive, crediti, convinzioni politiche o religiose, percorsi professionali.
Difendere i dati significa difendere la persona intera.
Esporli senza protezione significa lasciare l’individuo nudo di fronte a poteri tecnologici e finanziari che hanno la capacità di condizionare scelte, orientare consumi, influenzare voti.
Il paragone con la sicurezza sul lavoro è illuminante.
Anche lì, agli inizi, le normative erano viste come burocrazia inutile, come vincoli che pesavano sulla produzione.
Poi col tempo, e purtroppo anche attraverso tragedie, si è consolidata una coscienza collettiva: la vita umana non è un costo ma il bene supremo. Oggi nessuno metterebbe in dubbio che la sicurezza sia parte integrante di ogni processo produttivo.
Così dovrà avvenire per la protezione dei dati.
Un data breach non è solo un incidente informatico: è una ferita alla dignità.
Un’informativa ingannevole non è solo un errore di forma ma un tradimento della fiducia.
Una cancellazione di dati mai eseguita non è una svista ma un atto di disinteresse verso la persona.
Finché non comprenderemo questo, il GDPR resterà un linguaggio nobile che fatica a incarnarsi nella vita reale.

Dall’argine all’infrastruttura

Quindi, la vera sfida oggi è trasformare il GDPR da argine strategico a infrastruttura operativa.
Un argine difende ma un’infrastruttura sostiene la vita di tutti i giorni: rende possibile muoversi, lavorare, crescere.
Questo significa portare la protezione dei dati dentro la struttura stessa delle organizzazioni.
Significa sapere davvero dove si trovano i dati, come si muovono, chi li utilizza e per quanto tempo restano conservati. Significa fissare controlli concreti e misurabili: se la norma parla di “misure adeguate”, allora queste parole vanno tradotte in analisi del contesto, valutazione dei rischi, governo efficace dei processi, con prove e documenti che testimonino ciò che si è fatto.
Vuol dire anche scegliere i fornitori con metodo, senza accontentarsi delle loro dichiarazioni di principio. Le catene digitali sono lunghe e spesso opache: senza verifiche serie e senza clausole chiare nei contratti, il rischio resta intatto. Allo stesso modo, i sistemi informatici devono nascere con la privacy incorporata, non come ripensamento dell’ultimo momento. Ogni software, ogni aggiornamento, ogni cambiamento va costruito e validato includendo la protezione dei dati fin dall’inizio.
E infine, significa formare le persone con percorsi mirati, modellati sul loro ruolo. Perché la privacy non è responsabilità del solo DPO, ma di chiunque tratti dati: dall’impiegato dell’anagrafe al medico che consulta una cartella clinica, dall’analista IT al manager che progetta una campagna di marketing.
Quando tutto questo diventa abitudine, il GDPR smette di essere un principio astratto e si trasforma in capacità organizzativa. Non più promessa sulla carta, ma pratica viva che regge la macchina ogni giorno.

La dimensione geopolitica

C’è poi un aspetto che va oltre il perimetro delle aziende e degli enti pubblici: la geopolitica.
Il GDPR rappresenta la dichiarazione di indipendenza digitale dell’Europa perché ha detto al mondo che il Vecchio Continente non è disposto a consegnare i suoi cittadini al mercato senza regole né al controllo politico centralizzato.
Però oggi il confronto globale è più acceso che mai.
Gli Stati Uniti avanzano con normative frammentate, guidate da logiche di mercato.
La Cina prosegue sulla via del controllo politico, dove i dati sono strumento di sorveglianza.
L’Europa, in mezzo, cerca di difendere la sua via fondata sulla dignità della persona.
Per essere credibile, però, non basta avere buone leggi. Occorre dimostrare che funzionano davvero.
Ecco perché un GDPR che resta sulla carta perde forza geopolitica mentre un GDPR che diventa infrastruttura viva mostra al mondo che innovazione e diritti possono coesistere.
È una questione di prestigio e di influenza.

Conclusioni

La frase del Prof. GIORGIANNI, pronunciata quasi di passaggio in un confronto istituzionale, contiene una lezione profonda.
Il GDPR ha funzionato come argine invisibile, impedendo la dispersione dei dati europei nel mondo.
È stata una vittoria strategica straordinaria ma ora dobbiamo riconoscere che l’argine da solo non basta.
Serve che diventi infrastruttura viva, capace di reggere la pressione quotidiana dei flussi digitali, perché in gioco non c’è solo la conformità a una norma ma la qualità della nostra democrazia.
Ogni dato custodito è un frammento di vita protetto.
Ogni dato violato è una vita esposta.
Il GDPR non è burocrazia, è civiltà e la sua forza non dipenderà da quante informative scriveremo ma da quanto sapremo trasformarlo in capacità organizzativa.
L’argine ha retto. Ora tocca a noi renderlo infrastruttura.

L'articolo Il GDPR e l’argine invisibile: perché l’Europa ha vinto la sfida strategica ma non quella operativa proviene da Italia nel futuro.

La dipendenza energetica dalla Russia ci ha insegnato, in modo brutale, cosa significa delegare la nostra autonomia a un fornitore unico. Oggi, quel pericolo si ripresenta sotto una nuova veste: il digitale. Architetture informatiche fondate su pochi provider, servizi cloud centralizzati, DNS monopolizzati: basta un blackout, un aggiornamento mal riuscito o una scelta commerciale per spegnere la nostra economia.

Questo articolo racconta perché la sovranità tecnologica non è una bandiera ideologica, ma una strategia di sopravvivenza. E perché spetta ai vertici delle organizzazioni – pubbliche e private – il compito di scegliere, prepararsi e agire.

Le parole del passato parlano al presente

George Santayana, filosofo e saggista ispano-americano, più di un secolo fa, scrisse una frase che è diventata un monito per i popoli e per i governi: “Chi non ricorda la storia è condannato a ripeterla.” Non è solo retorica: è un avvertimento. Uno di quelli che, se ignorati, presentano il conto con durezza.

Negli ultimi anni, l’Europa ha pagato caro il prezzo della propria amnesia strategica.
Per decenni, ha costruito la propria economia su un’assunzione silenziosa: che il gas russo sarebbe sempre arrivato, che nulla avrebbe mai interrotto quel flusso vitale.
Poi è arrivata la crisi, e con essa la realtà.
Nel giro di poche settimane:

• l’energia è diventata un bene di lusso
• le catene di fornitura si sono inceppate
• decisioni industriali sono state stravolte o cancellate
• i governi hanno dovuto affrontare scelte drastiche, in emergenza.

La dipendenza da un solo fornitore non era solo una fragilità ma un’arma puntata.
Ed è proprio questo schema che si sta ripetendo oggi. Solo che il teatro è un altro; non è più la fornitura di gas è il digitale.

La lezione energetica e il rischio sistemico

La storia recente ci ha insegnato una lezione durissima: quando si affida tutto a un solo fornitore, è come lasciare le chiavi di casa in mano a qualcun altro.
Lo abbiamo visto con il gas: appena il flusso si è interrotto, i prezzi sono esplosi, molte produzioni si sono fermate e la società intera ha tremato.
Ma la cosa più grave è stata la perdita di sovranità della capacità di decidere in autonomia, di negoziare da pari e di proteggere i propri cittadini.
Tutto questo si è incrinato nel momento stesso in cui la dipendenza è diventata uno strumento di ricatto.
La lezione è chiara: la dipendenza da un solo fornitore non è un problema tecnico ma un vero r proprio rischio sistemico ed è anche un modo con cui si può minacciare un’intera nazione.

Il digitale come nuova frontiera della dipendenza

Oggi, quella stessa logica di dipendenza si ripropone sotto una nuova forma: il dominio digitale.
Molte organizzazioni pubbliche e private, in tutta Europa, stanno costruendo le proprie architetture informatiche attorno a pochi fornitori globali. Parlo di:

• identità digitali
• DNS
• servizi cloud
• infrastrutture hardware
• aggiornamenti software.

In molti casi, questi servizi sono così integrati nei processi che basterebbe un’interruzione per bloccare tutto: l’accesso ai dati, la gestione della logistica, la fatturazione elettronica e persino il funzionamento di servizi pubblici essenziali.
E non è un’ipotesi teorica.
Nel 2021 e nel 2022 outage globali di provider internazionali hanno già reso inaccessibili piattaforme, strumenti e servizi critici per ore. La vita digitale si è congelata e milioni di utenti sono stati tagliati fuori dai propri strumenti di lavoro, dai propri archivi, dalla propria operatività.

E allora, ci si chiede: cosa accadrebbe se l’interruzione durasse giorni? O se fosse una decisione commerciale, una sanzione geopolitica, o semplicemente un aggiornamento andato male?

La risposta è semplice e brutale: si spegne la fabbrica digitale e, con essa, la nostra economia.

Sovranità tecnologica: strategia, non ideologia

Quando si parla di sovranità tecnologica, qualcuno storce il naso.
La associa a una forma di protezionismo digitale, a una battaglia ideologica contro i grandi player. Ma la verità è un’altra.
La sovranità non è ideologia. È strategia.
È la capacità concreta di:

• continuare a operare quando tutto si complica,
• decidere senza dover chiedere permesso a qualcun altro,
• scegliere anche quando un fornitore dice di no.

In altre parole, sovranità significa libertà operativa. Significa poter reggere l’urto, rialzarsi dopo un blackout, proseguire anche quando gli altri si fermano.
Non è una formula teorica ma una postura organizzativa. È un assetto mentale ed un modo di stare nel mondo digitale con la schiena dritta.

I quattro pilastri della resilienza digitale

Non basta volerlo. Per costruire una reale sovranità digitale servono fondamenta robuste. Secondo me, almeno quattro, per essere precisi:

• tecnologie proprietarie nei nodi critici: laddove un sistema non può fermarsi, occorre avere pieno controllo. Non basta “affidarsi”: bisogna “possedere” la tecnologia, conoscerla, governarla

• infrastrutture sicure: non solo fisiche, ma anche logiche, interconnesse, ridondate, testate. La sicurezza non è un costo ma un prerequisito per ogni processo

• standard condivisi: l’interoperabilità è l’unico antidoto al lock-in. Senza standard aperti, non c’è libertà di movimento e senza libertà, non può esserci sovranità

• competenze diffuse: nessuna tecnologia è sovrana se chi la usa non è preparato. Le competenze devono essere presenti ovunque: nei team tecnici, nei dirigenti, nei Consigli di amministrazione.

Su questi quattro pilastri si può costruire un modello operativo maturo. Un modello fatto di piattaforme solide, processi affidabili, persone competenti e partnership strategiche.
Analizziamo in dettaglio quest’ultimo elemento.

Partnership strategiche per un ecosistema europeo

La sovranità non si costruisce da soli, è un progetto collettivo.

Serve una visione di sistema, in cui le grandi imprese agiscono come cantieri aperti, capaci di generare innovazione su larga scala. Attorno a loro, una costellazione di PMI specializzate, capaci di fornire moduli, componenti, soluzioni interoperabili.

E poi le Istituzioni. Con il loro ruolo di regia, di indirizzo, di garanzia. Perché senza una governance pubblica consapevole, nessun ecosistema può prosperare.
Questa alleanza deve essere misurabile. Occorre una metrica della sovranità basata su KPI, su domande concrete, non slogan del tipo:
Quanti componenti critici posso sostituire in un giorno?
Quanta interoperabilità garantiscono i miei contratti?
Cosa succede se il mio fornitore chiude domani?

Serve una partnership vera che non esista sulla carta, ma nella realtà.

Visione, missione e il ruolo della normativa

La visione è semplice: un’Europa autonoma, sicura, competitiva.

Autonoma, perché fondata su standard comuni, interoperabilità e indipendenza.

Sicura, perché supportata da infrastrutture solide e verificabili.

Competitiva, perché capace di innovare senza catene, senza subire vincoli esterni.

Trasformare questa visione in missione operativa è compito dei decisori.
E oggi esiste già un quadro normativo che indica la rotta: NIS 2, DORA, Cyber Resilience Act.

Da questi strumenti derivano cinque azioni essenziali che possono già essere avviate:

1. Mappare le dipendenze critiche: non si sostituisce ciò che non si conosce.
2. Pianificare la continuità e la sostituibilità degli asset critici: occorre un piano, non improvvisazione.
3. Inserire clausole di sovranità nei contratti: perché in emergenza serve libertà.
4. Prevedere esercitazioni di crisi: almeno due volte l’anno. È necessario simulare per sapere reagire.
5. Formare i vertici: perché senza governance consapevole, non esiste sicurezza. Questa, peraltro, è la grande svolta della NIS 2: la sovranità è ora una responsabilità del comando.

Conclusione – La linea sottile tra vulnerabilità e sovranità

C’è un momento preciso in cui un’organizzazione scopre se è sovrana oppure no.
È l’istante in cui qualcosa si rompe, un servizio si blocca, un fornitore dice “no”.
Se in quel momento si riesce ad andare avanti, si è sovrani. Se, invece, ci si ferma, si era solo utenti, dipendenti, fragili.
Quindi, la sovranità non è un’utopia, ma una scelta che richiede fatica, investimenti e consapevolezza. Ma è l’unico modo per restare liberi in un mondo in cui la tecnologia è diventata la nuova geografia del potere.

Chi comanda i sistemi, comanda le economie.

E allora sì come ci ha insegnato Santayana: chi non ricorda la storia è condannato a ripeterla ma chi la comprende, può scriverne una nuova.
E questa volta, con la schiena dritta.

L'articolo La Sovranità Tecnologica non è un’idea: è un dovere strategico proviene da Italia nel futuro.