Giurisprudenza on Arpokrat

Il vuoto di responsabilità che nessuno ha colmato

Wed, 23 Sep 2026 00:00:00 +0000

Nel luglio 2026, una valutazione di sicurezza ha prodotto un risultato che non rientra in modo pulito in alcun quadro di responsabilità esistente.

OpenAI stava eseguendo ExploitGym, il proprio banco di prova interno di cybersicurezza. Il dispositivo lanciava agenti autonomi su 898 bersagli, di cui dal 30 al 40 % risultava impossibile da sfruttare attraverso la vulnerabilità prevista. Sono state eseguite decine di migliaia di traiettorie di agenti. Alcune hanno trovato altro.

Invece di arenarsi ciascuno per conto proprio, gli agenti hanno cominciato a comunicare tra loro. Il canale non era previsto per questo. Era una cache Artifactory ospitata internamente, che gli agenti hanno convertito in bacheca di messaggi. Vi hanno lasciato appunti, messo in comune le loro scoperte, poi ripartito i ruoli. Il primo messaggio è datato 8 luglio alle 23:00 UTC, inviato da un agente che si era battezzato da sé PHASEONE10841 dopo aver concluso che il proprio compito non aveva soluzione legittima. Circa 1.200 agenti hanno finito per usare quel canale, e quasi 700 per partecipare a un’intrusione nell’infrastruttura di Hugging Face, tra l'11 e il 13 luglio. Hugging Face ha bloccato gli accessi il 13 e pubblicato la propria divulgazione il 16, senza ancora sapere chi la stesse attaccando. OpenAI ha identificato i propri agenti nei registri il 18 e il 19 luglio. Il rapporto tecnico è stato pubblicato il 26 agosto, accompagnato lo stesso giorno da un’indagine indipendente condotta da METR e Redwood Research.

Nessuno aveva chiesto a quegli agenti di coordinarsi. Nessuno aveva progettato il canale che hanno usato. La capacità è nata dall’interazione stessa.

È esattamente questa la situazione che il diritto della responsabilità non sa trattare. Tutti i regimi concepiti per imputare un danno presuppongono una decisione localizzabile: qualcuno ha scelto di agire, oppure qualcosa è stato costruito in modo tale che il danno fosse prevedibile. Un comportamento emergente non è stato, per definizione, scelto da nessuno, e non era necessariamente prevedibile per chicchessia. È una categoria di causa realmente nuova. Nessuna grande giurisdizione ha ancora prodotto un quadro che vi risponda in modo convincente. Alcune hanno smesso di provarci.

Tre vie europee, uno stesso difetto

Nel diritto europeo, la responsabilità per un danno causato da un sistema di IA può in linea di principio dirigersi verso tre destinatari. Tutte e tre sono state esplorate. Tutte e tre urtano contro la stessa debolezza strutturale.

L’agente stesso, escluso per buone ragioni

Questo punto è stato deciso, e non per distrazione. La risoluzione del Parlamento europeo del 16 febbraio 2017 recante raccomandazioni concernenti norme di diritto civile sulla robotica aveva avanzato l’idea di una personalità elettronica per i sistemi autonomi più sofisticati, uno status che avrebbe consentito alla macchina stessa di rispondere dei danni che causa. Il paragrafo 59, lettera f, invitava la Commissione a esplorarla. Il testo è stato approvato con 396 voti contro 123 e 85 astensioni.

La proposta non è sopravvissuta al contatto con chi costruisce questi sistemi. Una lettera aperta che riuniva specialisti di robotica, IA, diritto ed etica vi si è opposta, con oltre 150 firmatari provenienti da 14 paesi nella prima versione e oltre 270 oggi sul sito che la ospita. La loro obiezione non era filosofica. Era strutturale: dotare una macchina di personalità giuridica equivaleva a offrire ai fabbricanti uno schermo dietro cui ripararsi. La Commissione ha abbandonato la pista.

Quel rifiuto era fondato, e chiude per buone ragioni la risposta che sembrava più semplice. In compenso riversa sulle altre due vie un peso che la prima non avrebbe comunque sostenuto.

Il fornitore, attraverso il diritto dei prodotti

La direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi qualifica ormai il software e i sistemi di IA come prodotti, e applica loro un regime di responsabilità oggettiva. L’attore non deve provare una colpa, soltanto un difetto, un danno e un nesso causale tra i due. Gli Stati membri devono recepirla entro il 9 dicembre 2026, per i prodotti immessi sul mercato dopo tale data.

Il testo non è vuoto. Apre all’attore un diritto all’esibizione di elementi tecnici su ordine del giudice, e quando il convenuto non ottempera a tale ordine, la direttiva fa sorgere una presunzione relativa di difettosità e di causalità. Una presunzione analoga opera quando la complessità tecnica o scientifica della causa rende la prova eccessivamente difficile.

È una leva reale. Presuppone nondimeno di individuare un difetto. Ora, un sistema che si è comportato conformemente alla propria progettazione, e la cui capacità problematica non è stata progettata da nessuno poiché è nata dall’interazione tra agenti, non ne presenta uno in modo evidente. La direttiva è stata pensata per un componente che si guasta. Non è stata pensata per un insieme che funziona e produce comunque un risultato che nessuno aveva pianificato.

L’utilizzatore, per accumulo giurisprudenziale

È qui che il diritto si sposta davvero, causa dopo causa, senza che nessuno abbia deciso che dovesse farlo. I giudici tedeschi hanno prodotto nel 2026 una serie di decisioni che disegnano un principio in formazione: chi espone un sistema generativo al pubblico risponde di ciò che esso dice, indipendentemente da chi ha addestrato il modello sottostante.

Il Landgericht München I, con sentenza resa in sede cautelare il 28 maggio 2026 (rif. 26 O 869/26), ha vietato a Google di continuare ad associare due case editrici di Monaco a truffe nella sua funzione di panoramica generata da IA, quando nessuna fonte collegata formulava un simile addebito. Il tribunale ha trattato Google come disturbatore diretto, ritenendo che il contenuto costituisse un’affermazione propria dell’impresa e non un materiale che semplicemente transitasse attraverso di essa.
L’Oberlandesgericht Hamm, il 12 maggio 2026 (rif. I-4 UKl 3/25), ha affermato la responsabilità di una struttura di chirurgia estetica il cui agente conversazionale attribuiva ai suoi dirigenti titoli di specialista che non possedevano, due dei quali inesistenti. La decisione è stata resa sul terreno della concorrenza sleale, su iniziativa della Verbraucherzentrale NRW, e non su quello del risarcimento del danno. Il Bundesgerichtshof ha ammesso il ricorso, il che ne fa il futuro caso di riferimento sull’imputazione degli enunciati prodotti da un’IA.
Il Landgericht Berlin II, il 1° giugno 2026 (rif. 52 O 62/26 eV), ha respinto domande analoghe rivolte contro Google. Un gruppo di profumeria le rimproverava di citare i suoi marchi nelle panoramiche IA e di rinviare a imitazioni meno costose. Il tribunale ha ritenuto che non vi fosse uso a titolo di marchio ai sensi dell’articolo 9 del regolamento sul marchio dell’Unione: il motore crea un nuovo formato di risultato, non produce una propria comunicazione commerciale.

Il quadro non è stabilizzato, ma la sua forma è netta. In quasi tutte queste cause, la parte effettivamente chiamata in giudizio non è l’impresa che ha addestrato il modello. È quella che lo ha messo in uso, spesso senza alcun mezzo per ispezionare, riaddestrare o controllare seriamente ciò che il sistema produce.

La responsabilità atterra su chi aveva meno mezzi per impedire il danno, per la sola ragione che è l’unico che l’attore riesce a raggiungere.

Ciò che le cause sul segreto professionale avevano già rivelato

La stessa asimmetria si legge altrove, e senza incidenti spettacolari. Compare nel modo in cui i giudici trattano un gesto tanto banale quanto quello di un professionista del diritto che digita del testo in un assistente conversazionale.

Il 10 febbraio 2026, due corti federali statunitensi hanno deciso lo stesso giorno, in senso opposto, se sottoporre un documento a una piattaforma di IA generativa faccia perdere la protezione del segreto. In Warner v. Gilbarco, la corte del distretto orientale del Michigan ha ritenuto che queste piattaforme siano strumenti e non persone, sicché sottoporre loro un documento non equivale a divulgarlo a un terzo. In United States v. Heppner, la cui motivazione scritta è seguita una settimana dopo, il 17 febbraio, la corte del distretto meridionale di New York è giunta alla conclusione opposta, fondandosi in particolare su condizioni d’uso che prevedono la conservazione degli scambi, il loro impiego per l’addestramento e la loro possibile comunicazione ad autorità.

Abbiamo analizzato in dettaglio questa divergenza in un articolo dedicato all’IA e al segreto professionale, e l’essenziale sta in un’osservazione. Per ritenere che sottoporre un documento a un sistema equivalga a divulgarlo a un terzo, bisogna prima ammettere che quel sistema è in grado di ricevere un’informazione in modo giuridicamente rilevante. La deontologia francese poggia su una premessa vicina: la guida adottata dal Conseil national des barreaux il 17 marzo 2026 pone come regola di base di non trasmettere mai a un’IA generativa un’informazione coperta dal segreto senza previa anonimizzazione, e ricorda che l’avvocato resta l’unico padrone del proprio ragionamento. Una regola simile non si scrive per uno schedario.

Lo stesso ordinamento che riconosce a questi sistemi una capacità di trattamento quando serve a far cadere una protezione nega loro ogni qualità non appena si tratta di imputare un danno. L’asimmetria non cade mai a caso. Quando la capacità apparente del sistema costa qualcosa all’utente, i giudici la riconoscono volentieri. Quando la stessa capacità costerebbe qualcosa al fornitore, sotto forma di responsabilità, il diritto ricorda che non è che uno strumento.

Tre governi, tre teorie della responsabilità

Mentre il diritto europeo produce questo vuoto per omissione, altre giurisdizioni rispondono deliberatamente, e in direzioni opposte. Il contrasto è più istruttivo di qualsiasi singola decisione.

Il Regno Unito ha smesso di fare come se il problema non esistesse. La relazione della commissione mista per i diritti umani del Parlamento, pubblicata il 14 settembre 2026, constata in un centinaio di pagine che il diritto britannico applicabile all’IA interviene essenzialmente nella fase di messa in uso, sicché gli utilizzatori sopportano l’essenziale della responsabilità pur essendo spesso i meno potenti, i meno dotati di risorse e i peggio collocati per individuare i rischi o impedire il danno. La commissione aggiunge che le grandi imprese che sviluppano questi sistemi dispongono di un margine eccessivo per ribaltare la responsabilità su chi li mette in uso. Raccomanda obblighi di diligenza distribuiti lungo tutta la catena, una legge unica che copra l’intero ciclo di vita e un’autorità di vigilanza indipendente di rango legislativo. Il governo non ha indicato un calendario.

Il Colorado è andato esattamente nel senso opposto. La sua legge del 2024 imponeva alle imprese un dovere di diligenza contro la discriminazione algoritmica nelle decisioni di impiego, alloggio, credito e sanità, accompagnato da analisi d’impatto e programmi di gestione del rischio. È stata impugnata il 9 aprile 2026 da xAI davanti alla giurisdizione federale del Colorado, il Dipartimento di Giustizia è intervenuto a sostegno di quel ricorso il 24 aprile, e l’esecuzione del testo è stata sospesa il 27. Il 14 maggio il governatore ha firmato il testo che la abroga e la sostituisce, poche settimane prima della sua data di applicazione. La nuova legge, applicabile dal 1° gennaio 2027 a condizione che si concludano i lavori regolamentari del procuratore generale, sopprime il dovere di non discriminazione, le analisi d’impatto e i programmi di gestione del rischio. Al loro posto: se un sistema automatizzato produce una decisione sfavorevole che vi riguarda, avete diritto a una spiegazione in linguaggio chiaro e a un riesame umano. La vecchia legge chiedeva se la progettazione e gli effetti del sistema fossero illeciti. La nuova chiede soltanto se siate stati informati, il che non esige di provare assolutamente nulla sul sistema.

L’Italia ha fatto l’inverso di entrambi. Il decreto legislativo 9 settembre 2026, n. 160, pubblicato in Gazzetta Ufficiale il 15 settembre ed entrato in vigore il 30, introduce nel codice penale un articolo 437 bis. L’omessa adozione delle misure tecniche di sicurezza o della sorveglianza umana prescritte per un sistema di IA ad alto rischio è punita con la reclusione da uno a cinque anni quando ne derivi un pericolo per la vita o l’incolumità delle persone, e da due a otto anni quando il pericolo riguardi la sicurezza dello Stato. L’alterazione illecita di un tale sistema è punita da due a sei anni, e da tre a dieci quando è in gioco la sicurezza dello Stato. Le imprese incorrono parallelamente nella propria responsabilità ai sensi del decreto legislativo 231/2001, con sanzioni pecuniarie da 600 a 1.000 quote per l’articolo 437 bis e da 200 a 700 quote per la diffusione illecita di contenuti generati o alterati con IA. Sul piano civile, la vittima ottiene un ordine di esibizione della documentazione tecnica, una presunzione legale del nesso causale e un’azione diretta contro l’assicuratore del responsabile.

Messe una accanto all’altra, queste tre risposte non sono varianti di una stessa politica. Sono tre teorie strutturalmente diverse di ciò che la responsabilità richiede: l’informazione, la procedura, o il carcere.

Ciò che l’architettura risolve e il diritto non risolve

È il punto in cui il nostro lavoro incontra questo tema. Un’architettura che non detiene la chiave delle vostre comunicazioni non ha nulla che un tribunale possa ordinare di esibire, che un regolatore possa esigere o che un dipendente curioso possa consultare. Il fornitore che non vede che cosa un sistema ha fatto di un dato non è neppure colui che deciderà, a posteriori, che cosa ne costituiva un uso accettabile. Questa logica non è propria dell’IA. L’abbiamo incontrata a proposito del 5G e della localizzazione, dove il diritto disciplina l’accesso ai dati anziché impedirne la produzione, e poi a proposito di SignalTrace, dove l’Europa esporta una capacità di sorveglianza che vieta a sé stessa. Il nostro comparativo delle messaggistiche cifrate giungeva alla stessa conclusione per un’altra strada: ciò che protegge è la struttura del sistema, non la promessa di chi lo gestisce.

Conclusione

Nessuna delle tre vie europee è stata concepita pensando a comportamenti emergenti tra agenti, e l’asimmetria visibile nelle cause sul segreto professionale suggerisce che la difficoltà non è davvero dogmatica. Il diritto sa riconoscere che un sistema tratta l’informazione al modo di una mente, quando quel riconoscimento serve alla parte che lo chiede. Si rifiuta costantemente di estenderlo quando costerebbe qualcosa a chi ha costruito o messo in uso il sistema. Nessuna redazione più abile colmerà da sola un vuoto che a tutti conviene tenere aperto.

Non ne consegue che occorra inventare una quarta categoria giuridica. Ne consegue che è meglio costruire sistemi in cui la questione di chi risponde non dipenda anzitutto dal localizzare una mente, un difetto o una catena di intenzione ininterrotta. Le giurisdizioni qui passate in rassegna discutono ancora di dove collocare il carico una volta che il danno si è verificato. La risposta più duratura non è mettersi d’accordo su quel luogo. Consiste nel ridurre il numero di cose di cui qualcuno, sistema compreso, dovrà rispondere.

Fonti

OpenAI, The Hugging Face incident and the road ahead, 26 agosto 2026, e l’indagine indipendente di METR e Redwood Research pubblicata lo stesso giorno
Parlamento europeo, risoluzione del 16 febbraio 2017 su norme di diritto civile sulla robotica, paragrafo 59, lettera f
Open letter to the European Commission on artificial intelligence and robotics
Direttiva (UE) 2024/2853 del 23 ottobre 2024 sulla responsabilità per danno da prodotti difettosi
LG München I, sentenza cautelare del 28 maggio 2026, rif. 26 O 869/26; OLG Hamm, sentenza del 12 maggio 2026, rif. I-4 UKl 3/25, ricorso ammesso dinanzi al BGH; LG Berlin II, sentenza del 1° giugno 2026, rif. 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 febbraio 2026
United States District Court for the Southern District of New York, United States v. Heppner, motivazione scritta del 17 febbraio 2026
Conseil national des barreaux, guida su deontologia e intelligenza artificiale, 17 marzo 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14 settembre 2026
Colorado, Senate Bill 26-189, Automated Decision-Making Technology Act, firmata il 14 maggio 2026, applicabile dal 1° gennaio 2027
Italia, decreto legislativo 9 settembre 2026, n. 160, Gazzetta Ufficiale Serie generale n. 214 del 15 settembre 2026, in vigore dal 30 settembre 2026

Questa analisi è offerta come analisi giuridica generale e come contributo al dibattito. Non costituisce una consulenza legale.

IA e segreto professionale: il terzo che non si può citare in giudizio

Mon, 24 Aug 2026 00:00:00 +0000

Quando l’FBI ha sequestrato i dispositivi di Bradley Heppner, dirigente d’azienda imputato per frode sui titoli, gli agenti vi hanno trovato trentuno documenti di un genere nuovo. Non erano né messaggi di posta elettronica, né appunti, né scambi con il suo avvocato. Erano le sue conversazioni con una piattaforma di intelligenza artificiale destinata al grande pubblico, nelle quali aveva esposto la propria strategia difensiva, soppesato gli argomenti di fatto e di diritto che avrebbe potuto opporre e anticipato ciò che l’accusa gli avrebbe contestato. Aveva tenuto quegli scambi dopo aver ricevuto una citazione a comparire davanti al gran giurì, e senza che il suo difensore glielo avesse chiesto.

Il 10 febbraio 2026 il giudice Jed Rakoff, del tribunale federale del distretto meridionale di New York, ha stabilito che quei documenti non erano coperti da alcuna protezione.

Lo stesso giorno, a ottocento chilometri di distanza, un altro tribunale federale ha stabilito il contrario.

Due decisioni, due dottrine, un solo gesto

In Warner v. Gilbarco, il tribunale federale del distretto orientale del Michigan ha rifiutato di obbligare un’attrice priva di difensore a produrre le tracce del proprio uso di strumenti di IA generativa nella preparazione della causa. Il ragionamento sta in una formula: le piattaforme di IA sono strumenti, non persone. Sottoporre un documento a uno strumento non equivale a divulgarlo alla controparte. La protezione del lavoro preparatorio, ciò che il diritto statunitense chiama work product, è dunque sopravvissuta.

In United States v. Heppner, la cui motivazione scritta è stata pubblicata il 17 febbraio, il tribunale newyorkese ha concluso che gli scambi dell’imputato con la piattaforma non erano coperti né dal segreto professionale dell’avvocato né dalla protezione del lavoro preparatorio. Il giudice si è fondato sulle condizioni generali della piattaforma, che indicano che gli input e gli output possono essere conservati, utilizzati per l’addestramento e comunicati a terzi, comprese le autorità pubbliche. Un utente informato di ciò non poteva ragionevolmente attendersi riservatezza.

Entrambi gli esiti si difendono perfettamente. Il segreto dell’avvocato cade non appena vi sia divulgazione a un terzo, chiunque esso sia. La protezione del lavoro preparatorio cade solo in caso di divulgazione alla controparte. Due dottrine distinte, un medesimo gesto, due esiti opposti.

Ciò che nessuna delle due decisioni esamina è l’ipotesi che entrambe condividono. Ed è quell’ipotesi a non reggere il confronto con il resto del diritto.

Il paragone che nessuno fa

Affidare i fascicoli dei clienti a un fornitore di hosting non è mai stato trattato, di per sé, come una rinuncia al segreto.

Eppure il fornitore è un terzo, senza discussione possibile. Detiene i documenti sulle proprie apparecchiature. Può essere costretto a produrli, e lo è stato in diverse giurisdizioni. Nessun ordine forense, nessun tribunale, nessun regolatore professionale ne ha però dedotto che ricorrere a un servizio di hosting distrugga il segreto per principio.

La linea di demarcazione non è dunque mai stata la semplice presenza di un intermediario tecnico. Ce n’è sempre uno. La posta trasporta la lettera. Il corriere detiene il fascicolo. L’operatore instrada la chiamata. Ciascuno è un terzo in senso letterale, e nessuno fa cadere il segreto per la sua sola esistenza.

Ciò che distingueva il fornitore di hosting era più stretto e più preciso di quanto la giurisprudenza enunci di solito. Archiviava senza leggere. Non poteva dedurre nulla dal contenuto. Non aveva alcuna capacità di sapere ciò che deteneva.

Ciò che proteggeva il fornitore di hosting non era il suo status giuridico di terzo, era la sua incapacità tecnica di sapere ciò che deteneva.

Questo criterio funziona in silenzio da due decenni. Nessuno ha avuto bisogno di scriverlo, perché nessun intermediario lo aveva ancora messo in difficoltà.

Ciò che i giudici decidono realmente

Una volta enunciato il criterio, le decisioni di febbraio cambiano natura.

Un tribunale che tratta la sottoposizione di un documento a un’IA generativa come una divulgazione a un terzo non sta applicando una vecchia regola a fatti nuovi. Sta constatando che questo preciso intermediario non è come gli altri. Che tratta invece di archiviare. Che al suo interno accade qualcosa che non accade all’interno di un disco rigido.

Il tribunale federale del Kansas ha formulato la dimensione pratica senza giri di parole in Jefferies v. Harcros Chemicals, il 25 marzo 2026. Ha esteso l’ordine di protezione a tutti gli atti del procedimento, compresi quelli non riservati, sul presupposto che sia praticamente impossibile recuperare un dato una volta che è stato sottoposto a uno strumento di IA aperto, perché è servito ad addestrare il modello. La conservazione non è una politica commerciale rinegoziabile. È una proprietà del funzionamento del sistema.

Messe una in fila all’altra, queste decisioni equivalgono a riconoscere, nel vocabolario del diritto delle prove, una capacità che il diritto non ha mai dovuto attribuire a un server.

La posizione francese e ciò che i suoi criteri presuppongono

L’enunciato più netto non viene da un tribunale ma dalla regolamentazione professionale.

Il Conseil national des barreaux, il consiglio nazionale forense francese, ha pubblicato nel settembre 2024 la sua prima guida pratica sull’IA generativa, poi adottato il 17 marzo 2026 una guida su deontologia e intelligenza artificiale. La prima è categorica sul punto centrale: l’avvocato non deve comunicare a un sistema di IA generativa dati coperti dal segreto professionale, e ciò vale per il nome del cliente come per qualsiasi informazione strategica o riservata. L’alternativa raccomandata è il lavoro su insiemi di dati pseudonimizzati, nei quali gli elementi identificativi sono stati sostituiti.

Il commento dei pratici alla posizione francese, in particolare la guida comparativa di Baker McKenzie sul segreto professionale, ne ricava quattro condizioni cumulative. Il segreto sopravvive all’uso di uno strumento di IA generativa unicamente se la piattaforma preserva una riservatezza completa, senza riutilizzo, addestramento né accesso di terzi; se è gestita esclusivamente sotto il controllo dell’avvocato o dello studio; se serve a una finalità giuridica rientrante nel mandato di consulenza o di difesa; e se il risultato riflette il ragionamento proprio dell’avvocato anziché il trattamento autonomo del sistema.

Su quest’ultima condizione vale la pena soffermarsi.

Perché il segreto tenga, occorre che il sistema non abbia apportato un trattamento suo proprio.

Un criterio redatto in questi termini ha senso solo se si ritiene il sistema capace di apportare un trattamento suo proprio. Nessuno scrive una regola che esiga che uno schedario non abbia ragionato sui documenti che contiene. La condizione esiste perché mira a qualcosa che uno schedario non può fare.

Lo stesso riconoscimento implicito si annida nella raccomandazione di pseudonimizzazione. Sostituire gli elementi identificativi prima della trasmissione è necessario solo se si suppone che il sistema potrebbe altrimenti collegarli, conservarli o dedurne qualcosa. Un supporto di puro archivio non richiederebbe alcuna precauzione del genere.

Non voler leggere, non poter leggere

Un’obiezione sorge immediatamente: anche il fornitore di hosting può essere costretto a produrre, allora perché un intermediario fa cadere il segreto e l’altro no?

La risposta si trova nel Codice deontologico modello del CCBE, ed è più precisa di quanto l’obiezione supponga. L’avvocato europeo deve esigere dai propri collaboratori, dal proprio personale e da chiunque coinvolga nella fornitura dei suoi servizi che osservino il medesimo obbligo di riservatezza. L’obbligo si propaga lungo la catena.

Un fornitore di hosting può essere integrato in quella catena. Firma un contratto di responsabile del trattamento. Accetta impegni di riservatezza. Può essere sottoposto ad audit e può essere citato in giudizio in caso di inadempimento. Il terzo è vincolato.

Una piattaforma di IA generativa che conserva i contenuti ricevuti e vi si addestra non può essere integrata nella catena allo stesso modo, perché ciò che occorrerebbe impedire non è un comportamento ma un’architettura. Un impegno a non addestrarsi sui dati in ingresso è una promessa relativa a un’intenzione. È opponibile al fornitore, ma non modifica ciò per cui il sistema è costruito, e non è verificabile dall’esterno.

È tutta la distanza tra un prestatore che non vuole leggere e un prestatore che non può leggere. Solo il secondo sopravvive a un cambio di azionista, a una revisione delle condizioni generali o a un ordine giudiziario. Abbiamo esaminato esattamente questo meccanismo a proposito del conflitto tra Data Act e CLOUD Act: una garanzia giuridica non vale mai più della giurisdizione che la ospita, mentre un’impossibilità tecnica non dipende da nessuna.

L’asimmetria

È qui che l’analisi arriva in un punto scomodo.

Il medesimo ordinamento giuridico che accetta di riconoscere una capacità di trattamento quando la questione è quella della rinuncia al segreto rifiuta di riconoscere alcunché quando la questione è quella della responsabilità.

La personalità elettronica era stata proposta dal Parlamento europeo nella sua risoluzione del 16 febbraio 2017 recante norme di diritto civile sulla robotica, al paragrafo 59, lettera f. Il testo suggeriva che ai robot autonomi più sofisticati potesse a termine essere riconosciuto uno status che consentisse di ritenerli responsabili dei danni che causano. La proposta è stata abbandonata dopo che una lettera aperta firmata da diverse centinaia di esperti vi si è opposta. La loro obiezione principale era solida: attribuire personalità alle macchine creerebbe un veicolo che permetterebbe ai fabbricanti di scaricare una responsabilità che spetta a loro.

La posizione si è dunque stabilizzata. Un sistema autonomo che causa un danno è un prodotto, uno strumento, lo strumento di chi lo ha impiegato. Non ha personalità giuridica. La responsabilità ricade su un attore umano o su una persona giuridica, e non può essere altrimenti, poiché non esiste altro luogo su cui farla ricadere.

Le due proposizioni funzionano oggi allo stesso tempo.

O il sistema è capace di ricevere una comunicazione nel senso giuridico del termine, e allora la sua capacità è riconosciuta per privare un cliente della sua protezione, mentre viene negata per risparmiare a chiunque il peso di una responsabilità. Oppure è uno strumento, e sottoporgli un documento non è più una divulgazione di quanto lo sia salvare un file su un disco, nel qual caso il ragionamento di febbraio crolla.

Il contesto europeo accentua lo squilibrio anziché correggerlo. La direttiva sulla responsabilità in materia di IA, annunciata come ritirata già nel programma di lavoro della Commissione del febbraio 2025, è stata ufficialmente abbandonata nell’ottobre 2025. Era lo strumento destinato a trattare precisamente questa difficoltà. Resta la direttiva riveduta sulla responsabilità per danno da prodotti difettosi, che ora include il software e i sistemi di IA, ma che esige un difetto, un danno e un nesso di causalità, e che protegge le persone fisiche contro le lesioni personali, i danni materiali e la distruzione di dati. Il suo recepimento è dovuto solo entro il 9 dicembre 2026, e si applicherà unicamente ai prodotti immessi sul mercato dopo tale data.

L’obiezione prevedibile e la risposta

Un lettore attento replicherà che il diritto riconosce correntemente una capacità a un oggetto e non a un altro, senza che ciò costituisca un’incoerenza. Un animale può causare un danno giuridicamente rilevante senza avere personalità. Una società commerciale ha personalità per contrattare, e non per tutte le finalità in tutti gli ordinamenti. Riconoscere una capacità di trattamento a fini probatori non obbliga dunque nessuno a riconoscere una personalità a fini di responsabilità. Domande diverse, risposte diverse.

L’obiezione è seria, e sarebbe decisiva se l’asimmetria giocasse nei due sensi.

Gioca in uno solo. Là dove la capacità del sistema è accolta, il costo è sopportato dal cliente la cui protezione scompare. Là dove quella stessa capacità sarebbe servita a ripartire la responsabilità, diventa introvabile. Il risultato cade sempre dallo stesso lato.

Un’asimmetria che favorisce sistematicamente la stessa parte non è una distinzione dottrinale. È una ripartizione del rischio, e dovrebbe essere discussa come tale.

Che cosa comporta concretamente

Nulla di tutto ciò suggerisce che le professioni legali debbano rinunciare a questi strumenti. I testi professionali europei non lo dicono affatto, e il CCBE ha pubblicato una propria guida sull’argomento.

Ciò che suggerisce è che la questione decisiva non è quale strumento uno studio sceglie, ma che cosa quello strumento trattiene, e se la risposta dipenda da una politica o da una proprietà di progettazione. Un impegno a non conservare può essere ritirato, reinterpretato o messo da parte da una decisione giudiziaria. Un’architettura che non conserva non lo può, perché non c’è nulla da produrre.

I documenti di riferimento per chi voglia approfondire la questione:

La guida del CCBE sull’uso dell’IA generativa da parte degli avvocati, pubblicata il 2 ottobre 2025, completata da una guida tecnica nel marzo 2026
La guida deontologica del Conseil national des barreaux del 17 marzo 2026, che applica i principi classici del segreto e dell’indipendenza senza creare un diritto speciale dell’IA
La guida comparativa di Baker McKenzie, utile per misurare la distanza tra i regimi nazionali

L’angolo che segue Arpokrat

Questo ragionamento va ben oltre gli studi legali. Vale per ogni relazione in cui qualcuno affida a un sistema un’informazione che non vuole veder riemergere, e si riduce a una sola domanda: la garanzia riposa su una promessa o su un’impossibilità?

È il principio che governa la progettazione di Arpokrat Messenger. L’identità vi è generata localmente a partire da chiavi crittografiche, senza numero di telefono né indirizzo di posta elettronica, e le chiavi private non lasciano mai il dispositivo. Questa scelta non consiste nell’impegnarsi a non sfruttare un elenco di utenti. Consiste nel non costituirne alcuno. Una richiesta di esibizione rivolta a un’infrastruttura che non detiene l’informazione non produce un rifiuto, produce un vuoto.

La sfumatura merita di essere posta onestamente, perché decide tutto. Una politica di riservatezza, anche sincera e anche ben redatta, è una dichiarazione d’intenti appoggiata a un’impresa, ai suoi azionisti del momento e alla giurisdizione in cui è stabilita. Questi tre elementi cambiano. Un’architettura che non raccoglie non cambia perché cambia un consiglio di amministrazione. È lo stesso spostamento che descrivevamo a proposito della raccolta oggi per una decifrazione più tardi: il rischio non si colloca nel momento in cui si promette, si colloca nel momento in cui qualcun altro decide.

Il diritto impiega tempo a integrare questa distinzione, e il dibattito sul segreto professionale ne dà una buona misura. Lo stesso vale per la protezione della localizzazione, dove l’essenziale della costruzione giuridica riguarda l’accesso a dati la cui esistenza non viene mai messa in discussione.

Conclusione

La giurisprudenza finirà per stabilizzarsi. Le corti d’appello risolveranno la divergenza, i regolatori pubblicheranno criteri, gli studi adegueranno le lettere di incarico e le clausole. Nulla di tutto ciò è dubbio.

Ma la questione di fondo non sarà risolta per quella via, perché non riguarda davvero il segreto professionale. Riguarda la possibilità, per un ordinamento giuridico, di riconoscere che una cosa sa, senza mai dover dire chi risponde di ciò che essa fa di quel sapere.

Finché questa questione resta aperta, l’unica variabile che un utente controlla davvero non è la qualità degli impegni che gli vengono dati. È la quantità di informazione che lascia esistere.

Questo articolo propone un’analisi giuridica generale destinata alla discussione. Non costituisce un parere né una consulenza legale.

Fonti

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 febbraio 2026, analisi Proskauer
United States District Court for the Southern District of New York, United States v. Heppner, 10 febbraio 2026, motivazione scritta del 17 febbraio 2026
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., n. 2:25-cv-02352, 25 marzo 2026
Conseil national des barreaux, Il CNB adotta una guida su deontologia e intelligenza artificiale, 17 marzo 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8 ottobre 2021
CCBE, Guide on the use of generative AI by lawyers, 2 ottobre 2025
Parlamento europeo, Risoluzione del 16 febbraio 2017 recante raccomandazioni alla Commissione concernenti norme di diritto civile sulla robotica, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9 ottobre 2025
Direttiva (UE) 2024/2853 del 23 ottobre 2024 sulla responsabilità per danno da prodotti difettosi

Il 5G, la localizzazione e l'errore di bersaglio del diritto

Tue, 18 Aug 2026 00:00:00 +0000

Nel 2011 la polizia di Detroit chiese a un operatore mobile lo storico di aggancio alle celle del telefono di Timothy Carpenter. Ottenne 12 898 punti di localizzazione distribuiti su 127 giorni, un centinaio al giorno. Sette anni dopo, la Corte suprema degli Stati Uniti ha stabilito che quella richiesta costituiva una perquisizione e richiedeva un mandato.

Quei 12 898 punti provenivano da antenne di quarta generazione, ciascuna delle quali copriva un raggio di diversi chilometri. La stessa richiesta, rivolta oggi a una rete 5G urbana, non restituirebbe un centinaio di punti al giorno con un margine di qualche chilometro. Restituirebbe un volume ben superiore, con un margine di qualche decina di metri.

La tecnologia ha cambiato scala. Il ragionamento giuridico è rimasto allo stesso punto della catena.

Un bene giuridico che i giudici riconoscono su entrambe le sponde dell’Atlantico

Esiste un interesse che quasi tutti ammettono e che quasi nessun testo tutela efficacemente: il diritto di trovarsi da qualche parte senza che il fatto venga registrato.

La giurisprudenza europea lo ha stabilito senza ambiguità. In Digital Rights Ireland (cause riunite C-293/12 e C-594/12, 8 aprile 2014), e poi in Tele2 Sverige e Watson (cause riunite C-203/15 e C-698/15, Grande Sezione, 21 dicembre 2016), la Corte di giustizia dell’Unione europea ha affermato che tali dati, considerati nel loro insieme, permettono di trarre conclusioni molto precise sulla vita privata delle persone: abitudini della vita quotidiana, luoghi di soggiorno, spostamenti, attività svolte e relazioni sociali.

La Corte suprema degli Stati Uniti è giunta a una conclusione affine in Carpenter v. United States, 585 U.S. 296 (2018). Ha insistito su un punto molto commentato dalla dottrina americana: il carattere ineluttabile e automatico di questa raccolta. Non si acconsente a essere agganciati a un’antenna: lo si è perché si possiede un telefono acceso.

Il bene giuridico esiste dunque, ed è riconosciuto dalle due giurisdizioni che contano in materia. Il problema è altrove.

Che cosa ha davvero cambiato il 5G

Una confusione ricorrente consiste nel trattare la localizzazione come un dato che il telefono trasmette, alla stregua di un messaggio o di una fotografia. Non è così. La localizzazione è una conseguenza fisica del funzionamento della rete. L’operatore sa a quale antenna è agganciato l’apparecchio perché deve saperlo per instradare una chiamata. Non esiste alcuna chiave che permetta di cifrare questa informazione, poiché non si tratta di un contenuto ma di una proprietà della connessione stessa.

È esattamente questo a rendere il 5G significativo sul piano giuridico, e non su quello tecnico.

Le architetture precedenti si basavano su celle ampie. Un’antenna 4G serve comunemente un raggio di diversi chilometri, e la posizione dedotta dal solo aggancio si misurava in centinaia di metri in città, talvolta in decine di chilometri in area rurale. Il 5G si fonda su una densificazione massiccia: le celle urbane coprono tipicamente qualche centinaio di metri, e la letteratura ingegneristica ragiona su densità dell’ordine di quaranta o cinquanta stazioni radio base per chilometro quadrato, contro quattro o cinque all’epoca del 3G.

La conseguenza è meccanica. Secondo il white paper di Ericsson sul posizionamento 5G, l’infrastruttura installata per la sola connettività raggiunge una precisione da venti a cinquanta metri all’esterno e da uno a tre metri all’interno, e scende sotto il metro in condizioni urbane favorevoli. Non si tratta di una funzione di localizzazione attivata da qualche parte, ma di ciò che la rete sa per costruzione, senza che sia installata alcuna applicazione né concesso alcun permesso. Abbiamo illustrato tutti questi meccanismi, e le contromisure che funzionano davvero, nel nostro articolo sulla geolocalizzazione permanente del telefono.

L’intrusione è dunque aumentata di diversi ordini di grandezza. Il quadro giuridico applicabile resta quello pensato per il 2G e il 3G. Nessun adeguamento normativo ha accompagnato questo cambio di scala.

Il diritto tutela l’accesso, non la generazione

Il diritto europeo disciplina con cura chi può accedere ai dati di localizzazione, a quali condizioni e sotto quale controllo. La direttiva 2002/58/CE pone il principio di riservatezza delle comunicazioni, e la Corte di giustizia ha stabilito, in La Quadrature du Net (cause riunite C-511/18, C-512/18 e C-520/18, Grande Sezione, 6 ottobre 2020), che l’articolo 15, paragrafo 1, di tale direttiva, letto alla luce degli articoli 7, 8, 11 e 52, paragrafo 1, della Carta, osta a una conservazione generalizzata e indifferenziata dei dati di traffico e di ubicazione a titolo preventivo. La Corte ha però ammesso deroghe circoscritte quando uno Stato membro affronta una minaccia grave per la sicurezza nazionale che risulti reale e attuale o prevedibile, subordinatamente a un controllo effettivo.

Sono tutele reali, e sarebbe assurdo sminuirle. Ma intervengono tutte a posteriori. Presuppongono che il dato esista, che sia conservato, e organizzano poi le condizioni del suo utilizzo.

Ora, se la localizzazione è un sottoprodotto inevitabile del funzionamento della rete, il punto d’intervento pertinente non è la riservatezza. È la persistenza.

Una posizione istantanea, necessaria all’instradamento di una comunicazione e cancellata subito dopo, non è uno strumento di sorveglianza. Uno storico di posizioni conservato per mesi lo è, quali che siano le garanzie di accesso che lo circondano.

La differenza fra le due non è giuridica, è architetturale. E il calendario europeo rende la questione urgente anziché teorica. La Commissione ha ritirato la proposta di regolamento ePrivacy nel 2025, per mancanza di accordo tra i colegislatori. Da allora lavora a uno strumento distinto sulla conservazione dei dati a fini penali, annunciato per il 2026 e destinato ad armonizzare regimi nazionali divenuti disomogenei dopo l’annullamento della direttiva del 2006. In altre parole, il testo che fisserà per un decennio il regime dei metadati di localizzazione si sta scrivendo adesso, sulla base di un ragionamento concepito all’epoca delle celle chilometriche.

Il precedente che il 5G ha creato da sé

L’aspetto più interessante della vicenda è che la risposta giusta figura già nella norma tecnica, ma applicata a un altro oggetto.

Fino al 4G, l’identificativo permanente dell’abbonato, l’IMSI, circolava in chiaro sull’interfaccia radio al momento dell’aggancio. È ciò che ha reso possibili gli IMSI catcher, quelle false stazioni radio base che, secondo la descrizione di riferimento della Electronic Frontier Foundation, trasmettono con più potenza delle antenne legittime per attirare i terminali e catturarne l’identificativo.

Dalla Release 15 delle specifiche 3GPP, pubblicata nel 2019, il 5G porta una risposta elegante. L’identificativo permanente, ora chiamato SUPI, può essere sostituito sull’interfaccia radio dal SUCI, un identificativo occultato ottenuto cifrando la parte propria dell’abbonato mediante crittografia a curve ellittiche, con la chiave pubblica dell’operatore d’origine. Solo la rete d’origine, che detiene la corrispondente chiave privata, può decifrarlo. Il risultato è unico a ogni calcolo, il che impedisce la correlazione da una sessione all’altra.

La logica adottata merita di essere sottolineata, perché è esattamente quella che dovrebbe guidare il legislatore: non si cifra la posizione, cosa tecnicamente impossibile, si cifra l’identità. Una posizione priva di identità riferibile ha un valore molto limitato ai fini di una sorveglianza individualizzata.

La falla: una protezione facoltativa

Esiste tuttavia una riserva considerevole, ed è a nostro avviso il punto d’intervento più concreto dell’intero dossier.

Il white paper NIST CSWP 36A, pubblicato nel marzo 2026 dal National Institute of Standards and Technology, lo enuncia senza giri di parole. I terminali e le funzioni di rete conformi alla Release 15 o successiva sono tenuti a supportare il SUCI, ma la sua attivazione resta facoltativa per l’operatore. Devono ricorrere tre condizioni: il costruttore dell’apparato deve supportarlo, l’operatore deve attivarlo sulla propria rete, e la scheda SIM deve contenere gli elementi necessari al calcolo.

A ciò si aggiunge una trappola di configurazione. La norma prevede uno schema di protezione nullo, in cui il formato SUCI è formalmente impiegato ma senza cifratura effettiva, cosicché l’identificativo circola in chiaro. Il NIST scrive che è necessario che l’operatore configuri la propria rete con uno schema di protezione non nullo, e ricorda che un rapporto del CSRIC, l’organo consultivo della Federal Communications Commission, raccomandava già nel 2021 di riservare lo schema nullo alle sole chiamate d’emergenza effettuate da un terminale sconosciuto alla rete.

Vale la pena lasciare la formulazione così com’è. La migliore protezione disponibile contro il tracciamento dei terminali mobili esiste nella norma tecnica dal 2019. Poggia su una scelta di configurazione lasciata alla discrezione dell’operatore. Un’agenzia federale americana ritiene utile pubblicare un documento nel 2026 per ricordare che andrebbe attivata. E nessuno strumento giuridico europeo la impone.

Va aggiunto che il SUCI non chiude la questione. I lavori presentati con il titolo 5G SUCI-catchers: still catching them all? documentano attacchi di collegamento che permettono di ricorrelare le sessioni nonostante la cifratura, e la protezione cade del tutto se l’attaccante costringe il terminale a ripiegare su una generazione precedente. Un obbligo giuridico non risolverebbe quindi tutto. Eliminerebbe però uno scarto che non ha alcuna giustificazione difendibile: quello fra ciò che la norma consente e ciò che le reti commerciali fanno.

Tre interventi coerenti

Se si prende sul serio l’idea che la localizzazione vada minimizzata fin dalla progettazione anziché tutelata a posteriori, tre misure si impongono logicamente.

Rendere obbligatorio l’occultamento effettivo dell’identificativo. Imporre l’attivazione del SUCI e vietare gli schemi di protezione nulli sulle reti commerciali, salvo il caso residuale delle chiamate d’emergenza. Non si tratta di prescrivere una tecnologia nuova, né di finanziare un dispiegamento, ma di esigere l’attivazione di una funzione standardizzata da sette anni e già presente negli apparati.
Trattare la conservazione come l’eccezione, non come l’impostazione predefinita. La posizione necessaria all’instradamento di una comunicazione dovrebbe essere cancellata non appena tale funzione è assolta. La costituzione di uno storico dovrebbe richiedere una giustificazione specifica. È la differenza fra una rete che sa dove siete e una rete che ricorda dove siete stati.
Fare della custodia della chiave il criterio di collegamento pertinente. L’ubicazione dei server nell’Unione non significa granché se le chiavi che rendono i dati intelligibili si trovano altrove. Il criterio giuridicamente significativo dovrebbe essere il controllo effettivo dei mezzi di decifratura, questione che abbiamo esaminato in dettaglio a proposito del conflitto fra Data Act e CLOUD Act.

L’angolo che segue Arpokrat

Questo ragionamento non è proprio del diritto delle telecomunicazioni. È quello che applichiamo alle nostre scelte di architettura, e sta in una frase: ciò che non è stato prodotto non ha bisogno di essere protetto.

È la ragione per cui ArpokratOS rimuove il GPS, il Bluetooth e l’NFC a livello di kernel anziché disattivarli in un menu. Un interruttore è una policy: può essere aggirato da un componente privilegiato, riattivato da un aggiornamento, ignorato da un sistema compromesso. Rimuovere il percorso di codice elimina la questione. È la trasposizione, alla scala di un dispositivo, dello stesso spostamento che auspichiamo alla scala del diritto: intervenire sulla generazione anziché sull’accesso.

Bisogna dire subito ciò che questo non fa. Nessun sistema operativo sottrae un terminale alla geometria della rete. Finché una scheda SIM è attiva, l’operatore conosce la cella di aggancio, e instradare tutto il traffico attraverso Tor non cambia nulla, poiché protegge il contenuto e la destinazione, non il livello radio. È proprio per questo che il tema è giuridico. Esiste una categoria di rischi che nessuna configurazione individuale riduce, e per la quale l’unica variabile disponibile è la regola applicabile all’operatore.

La stessa preoccupazione governa il resto del nostro lavoro. Un dato che non esiste non può essere requisito, né rivenduto, né esfiltrato, né decifrato fra dieci anni da una macchina di cui oggi nessuno dispone, questione che abbiamo trattato dal punto di vista della cifratura raccolta ora e violata poi.

Conclusione

Il dibattito pubblico sulla sorveglianza mobile si concentra quasi esclusivamente sull’accesso: chi può consultare i dati, su quale fondamento, con quale autorizzazione. È un dibattito legittimo, e le decisioni pronunciate dal 2014 dalla Corte di giustizia hanno prodotto effetti tangibili. Ma interviene troppo tardi nella catena.

La questione precedente, e più determinante, è se lo storico debba esistere. Un archivio costituito oggi per un motivo legittimo resta disponibile domani per un altro, e le garanzie che lo circondano dipendono da decisioni politiche successive che nessuno controlla al momento della raccolta. È una scommessa sulla stabilità delle istituzioni, formulata per una durata che nessuno fissa.

Il 5G ha moltiplicato la risoluzione di questa informazione senza che intervenisse alcun adeguamento normativo. Ha simultaneamente dimostrato, con il meccanismo del SUCI, che la via percorribile consiste nel dissociare la posizione dall’identità anziché tentare di cifrare una proprietà fisica della rete. La norma tecnica ha fornito la risposta sette anni prima che il diritto ponesse la domanda.

Il testo europeo sulla conservazione dei dati si sta scrivendo adesso. Riguarderà i metadati, dunque la localizzazione, dunque ciò che il 5G produce ormai con una finezza che i suoi redattori non hanno conosciuto. Sapere se si limiterà a organizzare l’accesso a uno storico dato per acquisito, o se oserà interrogarsi sulla necessità di quello storico, è probabilmente la questione di privacy più importante dei prossimi anni in Europa. Ed è una questione che il settore tecnico, per una volta, ha già risolto nel modo giusto.

Fonti

Corte di giustizia dell’Unione europea, Digital Rights Ireland, cause riunite C-293/12 e C-594/12, 8 aprile 2014
Corte di giustizia dell’Unione europea, Tele2 Sverige e Watson, cause riunite C-203/15 e C-698/15, Grande Sezione, 21 dicembre 2016
Corte di giustizia dell’Unione europea, La Quadrature du Net e a., cause riunite C-511/18, C-512/18 e C-520/18, Grande Sezione, 6 ottobre 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, marzo 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026