Il “Whatever it takes” dei dati: la sovranità digitale europea dal GDPR al Digital Omnibus, e oltre

Abstract

Piaccia o meno, nella società attuale, ed ancor più nel futuro, occorre tener presente che l’asset più prezioso è il dato. Dal GDPR fino all’imminente Digital Omnibus, passando per la NIS2 e l’AI Act, si delinea un disegno strategico unitario guidato dall’approccio basato sul rischio. Per proteggere i diritti dei cittadini e la sovranità del mercato occorre che tutti comprendano che occorre fare qualunque cosa serva, “whatever it takes”.

Oltre gli asset fisici, verso l’Informazione

Per secoli, il potere economico e geopolitico delle nazioni e delle imprese si è misurato attraverso la tangibilità degli asset fisici. Terreni, fabbriche, linee ferroviarie, flotte navali e giacimenti di materie prime hanno costituito le fondamenta degli imperi, politici ed economici. Oggi, quella mappa del potere è sempre più obsoleta. Stiamo assistendo a una smaterializzazione epocale del valore: i cespiti fisici, pur rimanendo necessari, sono diventati meri contenitori o vettori di un asset infinitamente più prezioso, dinamico e pervasivo. Questo asset è il dato, l’informazione.

Il dato, piaccia o no, non è semplicemente un sottoprodotto dell’attività digitale, ma il carburante essenziale di ogni processo decisionale, industriale e sociale del nostro tempo. Chi possiede, analizza e controlla i flussi informativi detiene le chiavi dell’innovazione scientifica, dell’efficienza logistica, della personalizzazione e dell’indirizzamento dei mercati e, non ultimo, della stabilità democratica. In questo scenario, le infrastrutture fisiche si svalutano rapidamente se prive del software e dell’intelligenza dei dati che le governano. La transizione ecologica e quella digitale, i due pilastri dello sviluppo contemporaneo, poggiano interamente sulla capacità di raccogliere ed elaborare informazioni in tempo reale.

L’Europa deve comprendere che perdere il controllo dei propri dati significa accettare una condizione di subalternità coloniale nei confronti dei giganti tecnologici d’oltreoceano e delle autocrazie di ogni parte del Mondo. La competizione globale non si gioca più sui confini geografici, ma sulla sovranità algoritmica e sulla governance dei flussi informativi.

La Profezia del “Nuovo Petrolio” e i limiti di una metafora

Nel 2006, il matematico e data scientist britannico Clive Humby coniò una frase destinata a diventare il mantra dell’era digitale: “Data is the new oil” – “I dati sono il nuovo petrolio”. All’epoca, l’affermazione poteva sembrare un’iperbole visionaria, formulata quando i primi social network erano agli albori, l’informatica era una parte ancora limitata della vita di ognuno, e l’intelligenza artificiale era ancora confinata ai laboratori accademici. Oggi, quella intuizione si è rivelata clamorosamente profetica. Proprio come l’oro nero ha alimentato il motore della seconda rivoluzione industriale, ridisegnando l’economia globale, la geopolitica e l’urbanistica del Novecento, così i dati stanno plasmando la mappa del presente e del futuro.

Tuttavia, la metafora del petrolio, per quanto efficace, mostra oggi tutti i suoi limiti concettuali ed evidenzia una differenza fondamentale che le moderne normative europee cercano di indirizzare. Il petrolio è una risorsa finita, esauribile e intrinsecamente legata a una logica estrattiva e distruttiva: l’uso da parte di un attore ne preclude l’utilizzo da parte di un altro. Il dato, al contrario, è una risorsa infinita, non deperibile e non rivale.

Più i dati vengono condivisi, incrociati e analizzati, più il loro valore cresce in modo esponenziale attraverso economie di scala e di rete.

Ma la differenza più profonda risiede nella natura stessa della risorsa. Il petrolio è materia inerte; il dato, nella maggior parte dei casi, è l’estensione digitale della persona umana, dei suoi comportamenti, delle sue preferenze, della sua salute e delle sue libertà.

Estrarre dati senza regole non significa solo sfruttare una risorsa economica, ma significa colonizzare la sfera privata dell’individuo.

E quindi controllarlo e indirizzarlo. La consapevolezza che i dati non sono semplicemente “merce”, ma il nucleo pulsante dell’identità contemporanea, è la spinta profonda che ha indotto il legislatore europeo a edificare un’architettura normativa senza precedenti storici.

 

Il GDPR come “Big Bang”: il DNA comune della Regolamentazione Europea dei dati

Quando nel maggio del 2018 è diventato pienamente applicabile il Regolamento Generale sulla Protezione dei Dati (GDPR), molti nel mondo lo hanno percepito principalmente come una complessa normativa burocratica sulla privacy, focalizzata su cookie policy, moduli di consenso e sanzioni amministrative. Si è trattato di un errore – enorme – di prospettiva.

Il Regolamento GDPR non è stato un semplice aggiornamento delle vecchie direttive sulla tutela della riservatezza, bensì il vero e proprio “Big Bang” del diritto digitale globale, un testo che conteneva già in nuce il codice genetico di tutte le leggi successive.

Se analizziamo attentamente i principi cardine del GDPR, ci accorgiamo che essi rappresentano le fondamenta logiche ed etiche su cui l’Unione Europea sta costruendo l’intera governance della transizione digitale.

• Il principio di Accountability (responsabilizzazione) ha ribaltato il paradigma giuridico tradizionale: non è più il legislatore a dire esattamente cosa fare, ma è il Titolare del trattamento che deve dimostrare di aver reale contezza di ciò che intende fare con le informazioni e aver adottato misure di sicurezza adeguate al rischio.
• I concetti di Privacy by Design e Privacy by Default hanno imposto per la prima volta l’idea che la tutela del dato debba essere incorporata nell’architettura stessa dei sistemi tecnologici, prima ancora che essi vengano sviluppati o commercializzati.
• Il principio di Limitazione della finalità e della Minimizzazione dei dati stabilisce che il possesso di un’informazione non conferisce un diritto di proprietà assoluto, ma piuttosto un dovere di custodia finalizzato e proporzionato.

L’approccio basato sul rischio (Risk-based approach), introdotto dal GDPR, è il medesimo filo conduttore che unisce le normative attuali e future. L’Europa non vieta la tecnologia e non blocca il flusso dei dati, ma esige che chi genera un rischio per i diritti e le libertà delle persone si faccia carico delle conseguenze, implementando misure di mitigazione adeguate. Tutta la successiva produzione legislativa di Bruxelles non è altro che un’esplicazione, una verticalizzazione e un’estensione settoriale dei medesimi postulati filosofici scritti nel GDPR quasi un decennio fa.

 

L’effetto domino della Governance: dalla NIS2 all’AI Act

Partendo dal nucleo fondamentale del GDPR, la strategia digitale europea si è sviluppata come un effetto domino, andando a normare i diversi strati in cui i dati vengono protetti, scambiati e generati.

La Direttiva NIS2 (Network and Information Security) rappresenta l’evoluzione della sicurezza fisica e logica dei dati su scala infrastrutturale. Se il GDPR tutela il contenuto (il dato personale), la NIS2 si occupa del contenitore, delle autostrade digitali su cui quel contenuto viaggia, e dell’Informazione che non è direttamente personale. Comprendendo che la perdita di disponibilità o di integrità dei dati di una centrale elettrica, di un ospedale, di una catena logistica, o di un fornitore rilevante di beni può paralizzare un intero Paese, la NIS2 estende l’obbligo di cybersecurity a una platea vastissima di soggetti pubblici e privati. Il principio di fondo rimane quello dell’accountability del GDPR: il management aziendale risponde direttamente delle falle di sicurezza, e la resilienza informatica viene elevata a fattore strategico di sopravvivenza nazionale ed europea.

Un ulteriore e decisivo passo è stato compiuto con l’AI Act (Regolamento sull’Intelligenza Artificiale). L’intelligenza artificiale, in particolare quella generativa e predittiva, non è altro che un immenso meccanismo di elaborazione dati. Gli algoritmi di machine learning necessitano di moli oceaniche di informazioni per essere addestrati (training data). L’AI Act interviene precisamente su questo snodo, applicando in modo rigoroso l’approccio basato sul rischio mutuato dal GDPR. I sistemi di IA vengono classificati in base al pericolo che corrono di violare i diritti fondamentali. I modelli ad alto rischio sono sottoposti a obblighi stringenti di governance dei dati, trasparenza e supervisione umana. Non è un caso che l’AI Act richiami costantemente il rispetto del GDPR: un’intelligenza artificiale non può essere etica né sicura se i dati utilizzati per il suo addestramento sono stati raccolti in modo illecito, se perpetuano bias discriminatori o se violano la riservatezza degli individui. L’AI Act chiude il cerchio, normando non più solo la conservazione del dato, ma il suo utilizzo automatizzato per generare nuova conoscenza o decisioni.

 

La nuova frontiera: Il Digital Omnibus e la Convergenza Regolatoria

Il mosaico normativo europeo, tuttavia, non è ancora completo. Negli ultimi anni la Commissione ha introdotto tasselli fondamentali come il Data Act, il Data Governance Act, il Digital Markets Act (DMA) e il Digital Services Act (DSA). In questo contesto di iper-regolamentazione, si fa strada la prospettiva del cosiddetto Digital Omnibus, un’iniziativa di razionalizzazione e convergenza legislativa volta ad armonizzare e consolidare l’immenso corpus di regole digitali prodotte finora.

Il Digital Omnibus nasce da una necessità pratica ed urgente: evitare le sovrapposizioni normative, i conflitti interpretativi e i vuoti regolamentari che rischiano di frenare le imprese e confondere i cittadini. Quando un’azienda si trova a dover gestire un dato, deve rispondere contemporaneamente agli obblighi di data protection del GDPR, ai requisiti di sicurezza della NIS2, alle regole di condivisione del Data Act e ai vincoli di compliance dell’AI Act. Il Digital Omnibus si propone di divenire un codice unico del digitale, un testo coordinato in grado di offrire una visione olistica e semplificata.

L’obiettivo strategico del Digital Omnibus è la creazione di un vero e proprio mercato unico europeo dei dati che sia, al tempo stesso, sicuro, equo e competitivo. Si vuole favorire la libera circolazione dei dati all’interno dell’Unione, stimolando l’innovazione delle piccole e medie imprese attraverso la creazione di “spazi comuni europei dei dati” (nei settori della salute, della mobilità, dell’energia), contrastando al contempo le posizioni di monopolio dei grandi gatekeeper tecnologici.

La convergenza regolatoria dimostra che l’Europa non vede la regolamentazione come un freno allo sviluppo, bensì come lo strumento per creare un ecosistema di fiducia: solo dove i dati sono protetti in modo uniforme, i cittadini e le imprese saranno disposti a condividerli e valorizzarli.

 

Il “Whatever it takes” della Protezione dei Dati: la visione di Draghi e la sfida della Data Economy

Nel luglio del 2012, nel momento più drammatico della crisi del debito sovrano, l’allora Presidente della Banca Centrale Europea Mario Draghi pronunciò tre parole destinate a cambiare la storia dell’integrazione europea: “Whatever it takes”. Faremo “qualunque cosa serva” per salvare l’Euro. Quella dichiarazione viene spesso ricordata e ridotta a una pur straordinaria mossa di tecnica monetaria o di audacia finanziaria. Si tratta di una lettura parziale e fortemente sottovalutata. Il “whatever it takes” fu, prima di tutto, un magistrale atto di volontà politica e di comunicazione strategica. Fu l’affermazione perentoria che le istituzioni europee possedevano la forza, la legittimità e la determinazione di agire come uno scudo impenetrabile contro le forze centrifughe del mercato e della speculazione globale.

Fatte le debite proporzioni di contesto, l’Unione Europea dovrebbe adottare un approccio identico, un vero e proprio “Whatever it takes” per la protezione dei dati e delle informazioni.

Di fronte allo strapotere delle multinazionali tecnologiche, che hanno strutturato modelli di business estraendo e capitalizzando i dati dei cittadini europei, l’Europa deve aver la forza di affermare che l’incolumità digitale dei propri cittadini e la resilienza delle proprie istituzioni non sono negoziabili. Fare tutto ciò che è necessario significa accettare anche l’onere di una compliance complessa per il sistema produttivo, pur di garantire che il tessuto democratico ed economico rimanga sovrano.

Questo approccio massimalista ha sollevato e continua a sollevare critiche da parte di chi accusa le Istituzioni di soffocare l’innovazione profittevole a favore di un eccesso di burocrazia. Ma è una visione miope. Il “whatever it takes” digitale si basa sulla consapevolezza che la sicurezza e la fiducia sono i veri prerequisiti dell’efficienza economica a lungo termine. Un mercato in cui i dati patrimoniali aziendali vengono costantemente esfiltrati da attori ostili, o in cui i dati sanitari dei cittadini sono merce di scambio, è un mercato destinato al collasso sistemico.

Proteggere il dato “con ogni mezzo necessario” significa blindare le infrastrutture critiche, difendere i segreti industriali delle imprese dall’intelligence economica straniera e preservare la capacità di autodeterminazione dei singoli individui.

La rigidità delle sanzioni (che nel GDPR arrivano al 4% del fatturato globale e nell’AI Act possono superare il 7%) non è un esercizio di punizione fine a se stesso, ma la dimostrazione plastica che l’Europa fa sul serio. La protezione delle informazioni è elevata a rango di priorità esistenziale della sicurezza nazionale e comunitaria.

Questa visione trova una straordinaria e lucida conferma nei recenti e cruciali interventi dello stesso Mario Draghi. Nel suo monumentale Rapporto sul futuro della competitività europea e nei successivi discorsi programmatici, Draghi ha dimostrato di essere tra i pochissimi statisti globali ad aver compreso la reale natura e l’urgenza della data economy. Draghi ha lanciato un monito drammatico: l’Europa rischia una traiettoria di inesorabile stagnazione se non accelera sull’adozione e sullo sviluppo delle tecnologie di frontiera, a partire dall’intelligenza artificiale.

I numeri citati da Draghi fotografano un divario geopolitico impressionante: nell’ultimo periodo gli Stati Uniti hanno prodotto 40 grandi modelli fondamentali di IA, la Cina 15 e l’Unione Europea appena 3. Draghi ha esplicitamente sottolineato che questo ritardo non è dovuto a una mancanza di competenze, ma alla frammentazione del mercato europeo e, soprattutto, a un ecosistema regolatorio che conta oltre 100 leggi sul settore tech e 270 autorità di regolamentazione attive. Questo eccesso di burocrazia, se non coordinato, non “governato” finisce per “frammentare i mercati e vincolare l’innovazione”.

È precisamente in questo snodo che la lezione del “whatever it takes” si salda con l’evoluzione normativa dal GDPR al Digital Omnibus. Fare “tutto ciò che è necessario” oggi non significa più soltanto stratificare divieti o tutele formali, ma significa semplificare e unificare l’architettura giuridica per difendere la produttività delle imprese europee. La protezione dei dati deve trasformarsi da un costo di compliance in un vantaggio competitivo sistemico. Se i dati sono il carburante della nuova rivoluzione industriale, l’Europa deve essere in grado di proteggerli con fermezza e, al contempo, di farli circolare in modo sicuro all’interno di un mercato unico integrato. Solo superando la frammentazione e applicando i principi di sicurezza del GDPR a infrastrutture e algoritmi si potrà garantire che la ricchezza generata dalle informazioni rimanga sul territorio europeo, salvaguardando il nostro modello sociale e democratico dalla marginalizzazione globale.

 

Verso una geopolitica del Dato: il modello Europeo come Standard globale

L’effetto più straordinario di questa mastodontica operazione legislativa è che il modello europeo non è rimasto confinato all’interno dei ventisette Paesi membri. Si è verificato quello che gli scienziati politici chiamano il “Brussels Effect”: per poter operare nel mercato più ricco del mondo, le aziende di tutto il pianeta hanno dovuto adeguare i propri standard globali alle regole di Bruxelles. Il GDPR è diventato il modello di riferimento per le leggi sulla data protection in California, Brasile, Giappone, Svizzera e persino in molteplici aspetti delle normative cinesi. Lo stesso sta accadendo con l’AI Act e accadrà con le linee guida sulla cybersecurity.

L’Europa, pur non avendo espresso nei decenni passati giganti del tech paragonabili a quelli della Silicon Valley o di Shenzhen, ha conquistato una leadership globale indiscutibile: la leadership della regolamentazione e dell’etica digitale. Estendendo i principi del GDPR a ogni nuova tecnologia, l’UE sta dimostrando che esiste una via alternativa all’anarcocapitalismo delle piattaforme e al totalitarismo digitale degli Stati sorveglianti. È una via fondata sullo Stato di diritto, sulla dignità della persona e sulla sicurezza collettiva.

In conclusione, la transizione dal GDPR al Digital Omnibus non è una successione casuale di leggi emergenziali, ma l’attuazione di un disegno strategico unitario ed organico.

I dati sono il valore del presente e il fondamento del futuro. Proteggerli non è più solo una questione di tutela della vita privata dei singoli, ma rappresenta l’atto politico supremo con cui l’Europa difende la propria indipendenza economica, la propria sicurezza cibernetica e i propri valori democratici.

Ma occorre il coraggio di farlo. Il messaggio che l’Unione e che chi si occupa di compliance digitale dovrebbero inviare al mondo e ai mercati è chiaro, netto e definitivo: per preservare i diritti fondamentali delle persone, e la sovranità delle nostre società nell’arena digitale, si farà “qualunque cosa serva”. Whatever it takes.