La sfida della sovranità digitale fra cyber security e geopolitica

Viviamo nell’era della sorveglianza totale, ma non vi siamo necessariamente condannati. I sistemi con cui le grandi oligarchie tecnologiche controllano ogni angolo del mondo esistono già e possono assumere ‘il volto’ delle intelligenze artificiali generative, dei droni, delle telecamere biometriche, delle tecnologie più disparate di cui non controlliamo il codice.

La battaglia per la sovranità digitale è già cominciata e si combatte a colpi di connettività e codice binario in un cyberspazio sempre più intimamente integrato e interconnesso con le vite analogiche delle persone.

Eppure, difendersi è ancora possibile e richiede la comprensione dei fenomeni a livello del singolo e della comunità intera, unita a intenti strategici e fatti concreti operativi da parte degli Stati singolarmente e come Unione Europea (UE).

Per approfondire questo argomento ci siamo affidati alla lettura di un libro uscito da poco e alle valutazioni di un avvocato esperto in leggi del mondo digitale. Il libro porta la firma di Arturo Di Corinto, giornalista, saggista, docente universitario e Consigliere per la cybersicurezza e l’intelligenza artificiale in ACN; l’avvocato in questione è Andrea Lisi, docente universitario, titolare Studio Legale Lisi, presidente di Anorc Professioni, direttore responsabile della rivista Digeat e direttore generale del dipartimento DigitaLaw.

La guerra profonda

Il libro, dunque. Arturo di Corinto, nella sua ultima fatica dal titolo Guerra profonda, ricorda come “il 18 novembre 2025 il governo italiano abbia firmato a Berlino, insieme ai rappresentanti degli altri Stati membri dell’Unione Europea, la Declaration for European Digital Sovereignty, nella quale la sovranità digitale viene descritta come la capacità dell’Unione e degli Stati membri di agire in modo autonomo nel mondo digitale, regolando infrastrutture, dati e tecnologie secondo le proprie leggi, i propri valori democratici e i propri interessi di sicurezza.

Un’autonomia che”, sottolinea l’autore, “non coincide con una logica autarchica, restando aperta alla cooperazione con partner internazionali affidabili, ma che richiede investimenti, un quadro regolatorio chiaro e prevedibile e una protezione effettiva dei dati più sensibili da interferenze esterne e da normative extraeuropee”.

È esattamente questo il punto di partenza: non basta dichiarare la sovranità digitale, né limitarsi a regolamentarla con norme, per quanto avanzate. Occorre costruirla, con infrastrutture proprie, capitali e strategie pazienti e una visione industriale di lungo periodo, perché la posta in gioco non è la conformità a un regolamento, ma piuttosto la libertà stessa dei cittadini europei nei confronti delle Big Tech americane e delle potenze straniere che usano la tecnologia come arma geopolitica.

In seguito alla progressiva dipendenza da software e algoritmi, con lo sviluppo esponenziale dell’intelligenza artificiale e la corsa agli armamenti digitali, si assiste ad una nuova era dei conflitti: una sorta di ‘guerra algoritmica’ che mette a rischio la sovranità digitale e quindi il benessere e l’incolumità stessa dei cittadini.

La rete in questo senso è vista come spazio e strumento di conflitto aperto, in cui i civili sono bersagli primari e non parte dei danni collaterali. Andrea Lisi in proposito sottolinea come “La nostra sopravvivenza digitale è totalmente nelle mani altrui. Basta un attimo, un capriccio di un sultano tecnologico o la decisione di uno Stato nazionale perché tutto venga disattivato, ma anche con servizi pienamente attivi restiamo prigionieri di un sistema che è in grado di manipolarci in profondità”.

Mentre si delineano gli spazi di una guerra ibrida e offuscata, combattuta non solo sui campi di battaglia tradizionali ma attraverso sabotaggi digitali, attacchi ransomware e offensive cibernetiche, i sistemi di difesa occidentali sono messi sotto la pressione di potenze rivali e di asimmetrie tecnologiche crescenti.

Si assiste a una minaccia cognitiva sempre più pressante che si consuma attraverso episodi concreti: dall’attacco alla rete satellitare Viasat che ha accecato le difese ucraine ore prima dell’invasione russa al caso di Peter Thiel e Alexander Karp (imprenditori tecnologici statunitensi, fondatori di Palantir, n.d.r.) che vendono agli Stati la capacità di prevedere tutto, sottraendo però loro la sovranità indispensabile per difendersi. La disinformazione di massa non è più appannaggio di regimi lontani: sembra essere industrializzata e diffusa per tramite di AI usate in modo malevolo da qualsiasi criminale o Stato autoritario per cui il bersaglio principale è la percezione stessa della realtà.

Il contesto dello scenario mondiale è caratterizzato, spiega Di Corinto nel suo librio, da “una Russia che persegue la propria RuNet, dalla Cina che applica il Social Scoring, e da un’Europa che, ha scelto prevalentemente di regolamentare senza produrre una tecnologia realmente autonoma”. O almeno fino ad oggi. Il giornalista aggiunge come “in questa asimmetria si delinei la genesi della sovranità digitale come la conosciamo oggi” e come “il rischio concreto sia la fine del vecchio ordine globale, delle sue leggi e delle sue istituzioni” dato che in un tale conflitto “nessuno è civile: siamo tutti bersagli”.

Una strada possibile, secondo l’avvocato Lisi, esiste: “Richiede pazienza e rigore metodologico: ricostruire fiducia e capacità di controllo sui fornitori di sistemi e modelli di intelligenza artificiale, pur nella consapevolezza che la traiettoria tecnologica è oggi saldamente nelle mani altrui”. Ma procediamo con ordine affrontando il problema, i rischi e le possibili soluzioni.

La stretta relazione fra tecnologia e geopolitica: la genesi della sovranità digitale

Internet, spiega Arturo Di Corinto, “è nata e si è imposta in un contesto a bassa regolazione che ha permesso all’innovazione che cresceva ai suoi margini di prosperare e creare nuove opportunità per i cittadini globali della rete”.

Per lungo tempo le comunità tecniche hanno deciso il funzionamento della rete, inglobando nei protocolli un’idea di apertura e sviluppo condiviso. Quando i governi ne hanno colto il potenziale, hanno usato la propria forza statuale per imporre la propria idea di sovranità alla rete stessa, in un processo oggi reso più minaccioso da un contesto in cui le dinamiche/tensioni geopolitiche prevalgono sulla cooperazione internazionale che ne aveva consentito la nascita.

È dall’unione fra sovranità e dimensione digitale che emerge, come spiega l’autore, “il concetto prismatico di sovranità digitale che, applicato alle logiche di rete, ingloba l’idea stessa della sovranità di Internet”.

La sovranità digitale implica il controllo dei diversi strati che intrecciano il ciclo di vita di un dato: l’infrastruttura, con cavi e data center; l’hardware, con chip e sensori; il software, con le piattaforme e gli algoritmi che elaborano il dato trasformandolo in informazione e quindi in decisione.

Ma, come scrive ancora Di Corinto, “la sovranità digitale non si esaurisce nella mera capacità tecnica di possedere o localizzare questi elementi entro i confini nazionali. Si estende alla possibilità di esercitare un controllo normativo, politico ed economico su di essi”.

Sono proprio le grandi multinazionali tecnologiche americane – Alphabet, Amazon, Apple, Meta, Microsoft – ad aver insidiato negli ultimi anni l’autodeterminazione degli Stati nel ciclo di vita dei dati, diventando più potenti e più ricche di intere nazioni grazie alla raccolta e al trattamento dei dati generati dagli utenti online.

Le Big Tech agiscono come piattaforme che svolgono il ruolo di infrastrutture di connessione: nel primo caso da gatekeeper, nel secondo da mediatori tra chi produce contenuti e servizi e chi li vuole consumare. Ma non si limitano a riflettere le strutture sociali in cui viviamo: le producono, modellando le pratiche quotidiane, e fanno anche di più: concentrano il potere informativo.

Questa concentrazione è ciò che, secondo l’ex direttore dell’intelligence italiana Alessandro Pansa, citato dal giornalista, ha colto impreparati gli Stati: “Gli Stati si sono distratti e adesso quattro o cinque multinazionali sanno più cose dei nostri cittadini di quante ne sappiano i servizi segreti”.

Ecco allora che è stato coniato un termine apposito per il nuovo tipo di guerra: “In seguito alla progressiva dipendenza da software e algoritmi, con lo sviluppo esponenziale dell’intelligenza artificiale e la corsa agli armamenti digitali, siamo entrati in una nuova era dei conflitti, siamo nell’era della ‘guerra algoritmica’. Una guerra che mette a rischio la sovranità digitale e quindi il benessere e l’incolumità stessa dei cittadini. La rete è diventata spazio e strumento di conflitto aperto a cui partecipano anche i civili”.

Di fatto la sovranità digitale può avere il suo focus tanto sugli Stati quanto sui singoli cittadini, sulla loro capacità di essere autonomi nelle scelte digitali che li riguardano.

Andrea Lisi, riflettendo su questa stessa dinamica a partire da un episodio recente (il blocco governativo statunitense di alcuni modelli di intelligenza artificiale per ragioni di sicurezza nazionale, n.d.r.) osserva come quell’evento abbia costretto tutti a vedere ciò che per anni si era preferito ignorare: “Da un giorno all’altro, per una decisione politica, un servizio apparentemente ‘globale’ si interrompe. Sconcerto internazionale. E tanti, improvvisamente, riscoprono l’importanza della sovranità tecnologica, diventata oggi, dopo anni di silenzio complice, una vera emergenza europea. Ma la verità è più profonda e amara. Questi sistemi sono da tempo nelle mani di provider che governano territori senza confini, in un evidente feudalesimo digitale in cui noi, cittadini, professionisti, imprese, pubbliche amministrazioni, siamo evidentemente sudditi”.

L’avvocato prosegue notando che esiste chi cerca di delimitare l’indelimitabile, come accade nel caso di Anthropic, e chi prova invece a mitigarne i rischi attraverso la regolazione, come l’Unione Europea con il suo AI Act. Ma il punto resta lo stesso: “identità, diritti, doveri di cittadinanza digitale, formazione del pensiero, governance delle vite personali e professionali dipendono ormai da soggetti privati dal potere illimitato, autentici sultani nello spazio senza confini del web”.

È una lettura che converge perfettamente con quella di Luciano Floridi, citato da Arturo Di Corinto, secondo cui viviamo ancora oggi una “sovranità digitale di tipo aziendale (digital corporate sovereignty) costruita sul monopolio di fatto delle multinazionali tecnologiche che progettano, producono, mantengono e vendono tutto ciò che è digitale.

Floridi lo chiama poietic power, ed è così cruciale che esse diventano la prima linea di difesa degli Stati stessi quando si parla di cyberattacchi”. Questo potere “può tornare effettivamente nelle mani degli Stati solo se assume una dimensione continentale, europea”: è proprio questo il nodo che la sovranità digitale di facciata, fatta di sole dichiarazioni e regolamenti, non riesce a sciogliere.

I rischi invisibili

Se la dimensione geopolitica della sovranità digitale è la più visibile, esiste un secondo livello di rischio, più sottile e più insidioso: quello della manipolazione cognitiva (link a mio articolo di fine luglio). Lo spiega il professor Michele Colajanni quando descrive il modello di business sotteso alla raccolta dei dati personali, “Il sistema si fonda prevalentemente sull’uso disinvolto dei dati personali da parte dei provider digitali […]. L’accordo è chiaro ‘Io ti offro servizi e giochi gratuiti, tu paghi consentendomi di acquisire, analizzare e rivendere i tuoi dati’ […]. Il desiderio del servizio ‘gratuito’ supera ogni perplessità sulla privacy, trasformando i consumatori di servizi in utili fornitori di dati” (p. 28 Guerra profonda).

L’autore del libro chiarisce come “questa economia ‘rapace’ dei dati personali, sociali e aziendali è ciò che Shoshana Zuboff ha definito capitalismo della sorveglianza, e che il filosofo coreano Byung-Chul Han ha descritto come psicopolitica: un regime in cui, la tecnica informatica digitale rovescia la comunicazione in sorveglianza: quanti più dati generiamo, quanto più intensivamente comunichiamo, tanto più efficiente diventa la sorveglianza”.

Andrea Lisi, interrogato sui rischi oggi più critici e al tempo stesso più invisibili, individua proprio nella manipolazione pervasiva e inconsapevole il pericolo principale, tanto più grave quanto più deleghiamo decisioni che ci riguardano a sistemi che si comportano come oracoli: “Il problema si aggrava nella misura in cui deleghiamo decisioni che ci riguardano a ‘intelligenze’ che assumono sempre più le fattezze di oracoli: capaci di affabulare, ma in realtà costruite come proiezioni statisticamente raffinate di noi stessi, delle nostre abitudini e dei nostri comportamenti, studiati per anni in modo granulare. E ci sono pochi attori. invisibili, ma potentissimi, in grado anche di venire a patti con Stati nazionali (più o meno democratici), che hanno la possibilità sia di orientare le nostre scelte, sia di generare forme di assuefazione comportamentale, rinforzando certezze all’interno di camere di eco (echo chambers) che finiscono per essere una caricatura della realtà.

E poi sono anche in grado, all’occorrenza, di ‘spegnerci’ digitalmente”. A riprova di quanto questi rischi siano concreti e non teorici, l’avvocato Lisi richiama il caso, emerso di recente, di un vero e proprio “data poisoning governativo: il governo israeliano avrebbe affidato a uno stratega digitale già al servizio di Donald Trump un contratto multimilionario per orientare le risposte dei principali chatbot, tra cui ChatGPT, Claude e Gemini, sul conflitto in Medio Oriente, non attraverso un accordo diretto con i produttori dei modelli, ma creando piattaforme appositamente concepite per essere raccolte dai sistemi generativi in fase di addestramento, inquinandone gradualmente il senso della realtà”.

A questo si aggiunge un secondo fronte, altrettanto invisibile: quello delle ‘sospensioni algoritmiche’ di account e identità digitali. “Sempre più frequentemente le Big Tech cancellano o sospendono account invocando forme di precauzione algoritmica, lasciando gli utenti praticamente privi di strumenti di difesa, mentre le stesse Autorità nazionali appaiono spesso impotenti di fronte a queste pratiche. In termini giuridici, la questione è estremamente delicata: il trattamento dei dati personali viene interrotto unilateralmente dal titolare della piattaforma, senza adeguata informativa, senza trasparenza e senza reale possibilità di esercizio dei diritti dell’interessato, inclusa la portabilità. Si pongono evidenti criticità anche rispetto all’art. 22 del GDPR sulle decisioni automatizzate”.

Non si tratta, secondo l’avvocato Lisi, di casi isolati, ma della “manifestazione di un’asimmetria strutturale tra utenti e piattaforme dominanti: un quadro normativo europeo, fra GDPR e Digital Service Act in primis, che, pur avanzato nei principi, mostra ancora limiti significativi sul piano dell’enforcement effettivo”.

Sul fronte propriamente geopolitico, Arturo Di Corinto ricorda come la stessa frammentazione della rete – il rischio dello ‘SplInternet,’ definito già nel 2001 dal ricercatore Clyde Wayne Crews come “le Internet parallele che funzionano come universi distinti, autonomi e privati”, non sia un rischio puramente teorico, ma un processo già in atto: dai divieti reciproci di accesso a piattaforme russe e occidentali dopo l’invasione dell’Ucraina, fino alle echo chamber dei social network, vere e proprie casse di risonanza che si chiudono intorno a chi cerca solo conferme alle proprie tesi.

Come ricorda lo studioso Yuval Harari, citato dal giornalista, “nel XXI secolo […] i dati eclisseranno sia la terra sia le macchine come risorsa strategica. Se i dati si concentrano nelle mani di pochi, l’umanità si dividerà in specie differenti, con le big tech che (già oggi, n.d.r.) sembrano avere adottato il modello di business dei ‘mercanti dell’attenzione’. Catturano la nostra attenzione fornendoci informazioni gratuite, servizi e intrattenimento, e rivendono poi la nostra attenzione alle aziende inserzioniste […], non siamo i loro clienti, siamo i loro prodotti”. Una frase quest’ultima, che riassume, forse meglio di ogni analisi tecnica, la posta in gioco reale di questa partita.

Come difendere le proprie libertà nel contesto analogico e digitale

Se i rischi sono molteplici e in larga parte invisibili, la domanda che resta aperta è cosa si possa fare concretamente per difendersi, sia a livello individuale e professionale, sia a livello collettivo ed europeo.

Andrea Lisi ricorda che “già diversi anni fa Giovanni Buttarelli, allora Garante europeo della protezione dei dati personali, aveva sottolineato l’esistenza di un pericoloso oligopolio sulle infrastrutture digitali extra SEE (Spazio Economico Europeo), puntando il dito sui rischi di dipendenza tecnologica, profilazione selvaggia e manipolazione cognitiva.

Quello sguardo critico” spiega l’avvocato, “aveva contribuito a innescare la reazione europea allo strapotere delle Big Tech, che però si è tradotta prevalentemente in una produzione normativa senza una corrispondente risposta culturale e organizzativa in grado di proporre alternative reali”.

Il nodo è evidente e dovrebbe essere la priorità per ogni professionista del settore. “La consapevolezza che la democrazia, così come l’abbiamo conosciuta in un mondo di territori definiti, sembra oggi dissolversi. Non basta evocare la sovranità come concetto astratto se non si è disposti a ricostruirla dalle fondamenta”.

Precisa, inoltre, che “occorre ripensare la democrazia a partire dalle radici dei nostri diritti, ricostruendo un nuovo equilibrio tra ‘Noi’ e ‘Loro’, fondato su un rinnovato patto di fiducia. Se infrastrutture, sistemi e modelli extra-SEE governano diritti e libertà fondamentali, la risposta non può che essere una compliance seria e sostanziale: qualificare questi servizi come essenziali, sottoporli a verifiche rigorose (anche in termini di business continuity e disaster recovery) e pretendere garanzie ‘by design’, riequilibrando un rapporto contrattuale oggi completamente sbilanciato”.

È un passaggio cruciale, perché individua con precisione la differenza tra una sovranità digitale di facciata, fatta di dichiarazioni, slogan e adempimenti formali, e una sovranità digitale sostanziale, che richiede invece investimenti concreti, capacità tecnica reale e una postura contrattuale diversa nei confronti dei grandi fornitori extraeuropei.

Non è un caso che lo stesso Arturo Di Corinto, riportando le parole del professor Roberto Baldoni, primo direttore dell’Agenzia per la cybersicurezza nazionale italiana, definisca la piena sovranità digitale come qualcosa che va ben oltre la regolazione: “In un cyberspazio globale e aperto, la piena sovranità digitale implica l’autorità complessiva di una nazione sui dati generati dai suoi cittadini, dall’amministrazione pubblica e dalle imprese. Ciò include la capacità di una nazione di impiegare tecnologie sicure per elaborare questi dati, supportate da una forza lavoro sufficiente, competente e fidata. Inoltre, comporta l’istituzione e il mantenimento attivo di collaborazioni internazionali dinamiche e mirate, per affrontare proattivamente le minacce. Richiede, infine, una società pienamente consapevole e educata sui rischi presenti nel cyberspazio“.

Nonostante l’Europa abbia costruito negli ultimi anni un impianto normativo significativo, dal GDPR alla direttiva NIS, dalla NIS2 al Digital Operational Resilience Act, fino all’Artificial Intelligence Act, resta tuttavia esposta a un paradosso evidente: “In assenza di una vera autonomia tecnologica l’Europa rimane vulnerabile: è il paradosso del regolatore senza tecnologie”.

Il Vecchio Continente ha però una carta importante da giocare: una platea di 450 milioni di consumatori alto-spendenti e un insieme di imprese che produce il 22% del Pil mondiale. Per conservare la propria sovranità senza essere colonizzata da tecnologie altrui, l’Europa dovrà fare di più e investire realmente nella sovranità tecnologica, come auspicato dalla stessa presidente della Commissione Europea già nel settembre 2021.

Un esempio concreto, citato dal giornalista è la strategia cloud nazionale italiana, che presuppone un controllo differenziato dell’accesso ai dati prodotti in Italia attraverso il Polo Strategico Nazionale (PSN): una quota di dati strategici, connessi alla sicurezza nazionale, resta inaccessibile a soggetti non nazionali, mentre le chiavi crittografiche restano detenute in Italia. È un modello che dimostra come la sovranità digitale non passi soltanto dalla localizzazione fisica dei dati, ma da chi controlla effettivamente infrastrutture, operazioni e chiavi crittografiche.

Sul piano individuale e professionale, Andrea Lisi indica una via altrettanto concreta: “Recuperare, almeno, una sovranità culturale, che storicamente l’Europa ha sempre saputo esercitare, senza rincorrere in modo ossessivo il solo sviluppo tecnologico o le sole competenze STEM. Una sovranità culturale che si traduce, nella pratica professionale quotidiana, nella capacità di pretendere garanzie contrattuali reali dai fornitori di servizi digitali, di qualificare come essenziali i servizi da cui dipendono diritti fondamentali e di non accettare passivamente condizioni contrattuali unilaterali imposte da soggetti extraeuropei”.

Per il docente infine, “il tempo delle illusioni è finito. Abbiamo una sola possibilità: evitare di scivolare in una nuova forma di schiavitù inconsapevole. Ma per farlo, dobbiamo avere il coraggio di guardare in faccia questa realtà, senza alibi. Solo così possiamo sperare di tornare protagonisti in scenari oggi complessi e, per ora, governati da altri”.

Conclusione

La lezione che emerge dall’analisi di Arturo Di Corinto e dalle riflessioni di Andrea Lisi converge su un punto centrale: la sovranità digitale non può più essere trattata come un esercizio di compliance normativa, un elenco di regolamenti da rispettare per mettersi in regola. È una questione di sopravvivenza strategica, economica e democratica, che riguarda la capacità stessa dell’Europa di restare protagonista – e non suddita – nel mondo che la tecnologia sta ridisegnando.

Servono investimenti reali in infrastrutture critiche europee, nel cloud, nei semiconduttori, nell’intelligenza artificiale, nella crittografia. Serve una capacità industriale autonoma che oggi manca quasi del tutto, e che nessuna regolamentazione, per quanto sofisticata, può sostituire.

Serve, infine, la consapevolezza diffusa – culturale prima ancora che tecnica – che ogni byte affidato a un’infrastruttura extraeuropea è una quota di autonomia, di libertà e di democrazia che lasciamo nelle mani di altri: Stati, multinazionali, sultani tecnologici che rispondono a logiche, interessi e geografie che non sono le nostre.

La sovranità digitale europea o sarà sostanziale tramite investimenti, capacità tecnica e tutela reale dei cittadini oppure resterà, soltanto la trincea di una contrapposizione che l’Europa rischia di combattere senza le armi necessarie per vincerla.