Sistemi intelligenti – rischi e rimedi – conversando con sistemi intelligenti

 

Sistemi intelligenti – rischi e rimedi – conversando con sistemi intelligenti

 

 In   questi giorni sui mezzi di comunicazione di massa si tratta dei rischi sistemici derivanti da sviluppi troppo veloci e in assenza di regolazioni pubbliche dei sistemi intelligenti.

  Ne ho discusso, in una chat, con il sistema intelligente LLM chatbot Claude sviluppato dall’impresa Anthropic. Poi ho chiesto al sistema di scrivere il testo di una relazione da leggere in un incontro del mio gruppo del Meic – Movimento ecclesiale di impegno culturale. Quindi ho chiesto ad un altro sistema intelligente LLM chatbot, ChatGPT, sviluppato da OpenAI, di valutare criticamente quel testo. Infine ho sottoposto a Claude  le critiche e proposte di correzioni e integrazioni formulate da ChatGPT, e gli ho chiesto di produrre un nuovo testo della relazione sulla base di ciò che delle proposte di ChatGPT  riteneva meritevole di accoglimento. Di seguito trascrivo il risultato di quelle interazioni con i sistemi intelligenti.In fondo trovate il testo della relazione ristrutturato, prodotto dalla collaborazione dei due sistemi intelligenti LLM chatbot. Invito quindi a non fermarsi alla prima versione, ma a seguire il percorso per la produzione dei risultato finale che si trova in fondo.  Il mio ruolo è stato quello di promuovere la collaborazione dei due sistemi intelligenti. Non ho infatti una competenza specialista nella materia trattata: affronto il tema da persona colta, come mi sforzo di essere. 

 Il testo prodotto dalla collaborazione dei sistemi intelligenti è il risultato dell'azione dei loro processi matematici sui documenti sui quali sono stati addestrati i loro modelli e sugli altri documenti che è stato loro consentito di esaminare sul Web. Può essere a sua volta oggetto di ulteriori valutazione critiche. Deve essere considerato solo un primo approccio per avere un quadro generale dei temi in questione e per l'eventuale approfondimento. Nel testo delle relazioni, il relatore parla in prima persona, ma deve essere chiaro che non sono io,  è un artificio, prodotto dal "prompt" che avevo formulato, vale a dire dalla domanda che ha orientato il lavoro dei chatbot: l'autore è impersonale, è l'interazione tra i due sistemi chatbot utilizzati. Devo dire, tuttavia, che il risultato prodotto mi pare ragionevole, ben argomentato, non contrasta con nozioni che possiedo per altra via, e quindi, allo stato, lo condivido.

  Mario Ardigò – Meic Roma – gruppo parrocchiale di Azione Cattolica nella parrocchia di San Clemente papa  - Roma, Monte Sacro, Valli

°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

PROMPT per Claude di Anthropic [15SETT26] Devo fare una relazione per un mio gruppo ecclesiale di impegno culturale che agisce nel quadro dell’Azione Cattolica italiana, una organizzazione ancora influente nella politica Italiana. Prova a scrivermi un testo che possa essere letto in circa venti minuti esponendo tutto ciò di cui abbiamo discusso in questa chat: problemi, ipotesi di soluzioni, pro e contro.

 RISULTATO ottenuto mediante Claude, di Anthropic [15SETT26]

 

Strutture vitali, reti e sistemi intelligenti

Rischi, ipotesi di regolazione e la via europea

Relazione per il gruppo di impegno culturale — Azione Cattolica

 

1. Da dove parto

Parto da un'esperienza personale, perché mi aiuta a capire il problema meglio di molte letture.

Quando ero in servizio, [il mio ufficio pubblico] disponeva di reti di comunicazione alternative a quelle che passano per Internet. Non era una stravaganza. Era la conseguenza di un ragionamento semplice: alcune funzioni dello Stato non possono fermarsi, e quindi devono poter continuare anche quando lo strumento ordinario viene meno. Si costruiva ridondanza. Si dava per scontato che qualcosa, prima o poi, si sarebbe rotto, e ci si preparava.

Questa consapevolezza, che nelle istituzioni critiche era ovvia, non mi pare altrettanto diffusa nel resto della società. Eppure oggi da Internet dipendono strutture vitali: la distribuzione dell'energia, la sanità, i trasporti, i pagamenti, le comunicazioni, la stessa amministrazione pubblica. Non è un'ipotesi: è il modo in cui funzionano le cose. E a me, che pure ho lavorato per anni su questi temi, continua a fare una certa impressione.

Vorrei allora proporvi un percorso in quattro passaggi: il problema, il modo in cui conviene inquadrarlo giuridicamente, le ipotesi di soluzione che si vanno delineando con i loro pro e contro, e infine la via che sta seguendo l'Unione europea, che è quella che ci riguarda più da vicino.

2. Il problema: perché il vecchio modello di emergenza non regge più

Quando pensiamo a un'interruzione di servizio, il modello mentale che usiamo è quello del blackout elettrico. Salta la corrente, si individua il guasto, si ripara, dopo qualche ora tutto riprende. È un modello rassicurante e, per la maggior parte delle interruzioni che abbiamo vissuto, anche realistico.

Il punto è che questo modello presuppone tre cose: che la causa sia una sola, che sia individuabile, e che nessuno lavori contro chi ripara. Ci sono almeno due scenari in cui nessuna di queste condizioni è garantita.

Il primo è la guerra ibrida. Non parlo di fantascienza: è la modalità di conflitto che vediamo praticata in Europa da anni, dove attacchi informatici, sabotaggi di cavi e infrastrutture, disinformazione e pressioni economiche si combinano. In uno scenario del genere l'interruzione non è un guasto ma un'azione ostile, coordinata su più fronti, e chi la conduce non aspetta che noi ripariamo: continua a colpire. Il tempo di ripristino non è più una questione tecnica ma una questione strategica. Può misurarsi in settimane, non in ore.

Il secondo scenario è più nuovo e più difficile da afferrare. Le stesse aziende che sviluppano i sistemi di intelligenza artificiale dichiarano da tempo che questi sistemi, man mano che diventano "agenti", cioè capaci di pianificare e agire in autonomia su più passaggi, possono generare malfunzionamenti non previsti, e in certi casi comportamenti che hanno l'apparenza dell'intenzionalità. Qui va detto con onestà che c'è una zona grigia molto ampia: tra il guasto puro e l'azione deliberata esiste tutto un territorio di comportamenti che non sono né l'uno né l'altra, e che nessuno oggi sa descrivere con precisione. Va anche detto che una parte di questo discorso è, da parte delle aziende, anche costruzione di una narrazione: chi denuncia il rischio si accredita come interlocutore necessario di chi dovrà regolarlo. Non per questo il rischio è inventato.

Il risultato è che il paradigma del "si risolve in breve" non è più affidabile. E questo, per una società che ha spostato su Internet le proprie funzioni vitali, è un dato che dovrebbe orientare le scelte pubbliche.

3. Come inquadrare il problema: non "sovranità", ma collaborazione regolata

La prima reazione, quando si prende coscienza di questa dipendenza, è invocare la sovranità: lo Stato deve riprendere il controllo delle proprie infrastrutture. È una reazione comprensibile, ma credo che sia concettualmente sbagliata, e da giurista vorrei spiegare perché.

La sovranità, intesa come potere illimitato e originario, è oggi un concetto obsoleto tanto nel campo giuridico quanto in quello economico. Ogni organismo politico, anche il più potente, incontra limiti che sono di fatto, prima ancora che di diritto. Limiti esterni: sul piano internazionale ogni potere trova di fronte a sé altri poteri analoghi, e nessuno può ignorarli. Limiti interni: nella storia non si è mai dato un controllo totale di una popolazione, e chi ci ha provato ha fallito. Pretendere una sovranità tecnologica piena su sistemi che per loro natura sono globali e interconnessi significa inseguire qualcosa che non esiste.

Il quadro giusto, a mio avviso, è un altro: la necessità di collaborazione tra organismi politici per regolare certe attività e funzioni. Non è una novità. È già così in molti campi. Il sistema finanziario internazionale funziona grazie a standard condivisi tra Stati e operatori privati, a organismi di vigilanza, a regole convenute che nessuno Stato potrebbe imporre da solo. Il traffico aereo funziona perché esistono norme tecniche comuni riconosciute da tutti, pur restando ferma la giurisdizione di ciascuno sul proprio spazio aereo. Nessuno in questi campi parla di sovranità piena, e nessuno per questo si sente meno Stato.

Applicato alle infrastrutture digitali e ai sistemi intelligenti, questo modello significa tre cose: standard comuni di resilienza, cioè l'impegno reciproco che certe funzioni critiche abbiano sempre una ridondanza; meccanismi di responsabilità a più livelli, per rispondere alla domanda "chi risponde, e come, quando un servizio che regge una funzione vitale fallisce"; e un coinvolgimento strutturato di Stati, fornitori di tecnologia e gestori di infrastrutture, ciascuno con responsabilità circoscritte e nessuno con potere totale.

4. La regolazione verrà: perché, e perché non sarà pacifica

Qui vorrei essere realista, evitando sia il catastrofismo sia l'ottimismo ingenuo.

I grandi organismi privati che sviluppano i sistemi intelligenti competono tra loro con enorme energia, perché prevedono ricavi immensi in un mondo che è ancora in gran parte da collegare tramite questi sistemi. Ma sono anche divenuti consapevoli di rischi che giudicano economicamente inaccettabili: un collasso sistemico distruggerebbe valore anche per chi lo ha provocato. Per questo stanno esponendo questi rischi agli organismi pubblici di governo, che fino a poco tempo fa ne erano scarsamente consapevoli, e chiedono una regolazione pubblica a livello globale.

Da questo ricavo una previsione: la regolazione verrà, perché conviene a tutti. Non è buona volontà, è logica di sistema. E le regolazioni che nascono da una convergenza di interessi sono le più solide.

Ma devo aggiungere subito una correzione, che è la parte dei "contro". La regolazione conviene a tutti, ma non allo stesso modo e non allo stesso prezzo. Ai grandi operatori conviene una regolazione globale che consolidi la loro posizione: alti costi di conformità sono una barriera all'ingresso per chi vorrebbe competere con loro. Ai Paesi in via di sviluppo può convenire, almeno per un tratto, l'assenza di regole, per catturare i benefici della nuova tecnologia. Ai gestori di servizi critici può convenire una regolazione locale piuttosto che globale. Ai fornitori americani può convenire una regolazione che escluda i concorrenti cinesi in nome della sicurezza, ma non una che li equipari. Dunque il "se" della regolazione mi pare deciso; il "come", il "dove" e il "chi paga" saranno terreno di conflitto aspro, e la competizione geopolitica per definire i termini del coordinamento continuerà a lungo.

Riassumo pro e contro di questa prospettiva.

A favore: gli incentivi convergono davvero; esistono modelli già funzionanti in altri campi; la consapevolezza pubblica sta crescendo rapidamente.

Contro: la convergenza è asimmetrica; i tempi della politica sono più lenti di quelli della tecnologia; una regolazione scritta dai più forti rischia di cristallizzare le posizioni acquisite invece di proteggere i più deboli.

5. La via europea

Guardo a tutto questo dal punto di vista di un cittadino dell'Unione europea, e da questo punto di vista il quadro è meno cupo di quanto potrebbe sembrare.

L'Unione ha già iniziato a regolare. Il regolamento sull'intelligenza artificiale classifica i sistemi per livello di rischio e impone obblighi crescenti a chi li sviluppa e li usa nelle funzioni più delicate. La direttiva sulla sicurezza delle reti e dei sistemi informativi, nella sua seconda versione, impone agli operatori di servizi essenziali obblighi di resilienza, di notifica degli incidenti, di gestione del rischio. Esistono regole sulla protezione dei dati che tutto il mondo ha preso a riferimento. E l'Unione è un organismo sufficientemente potente sul piano economico da riuscire a far rispettare le proprie regole: chi vuole operare sul mercato europeo deve adeguarsi.

Ma c'è un secondo elemento, che mi pare ancora più significativo della regolazione. La via che si sta delineando da noi è quella dello sviluppo di sistemi intelligenti controllati da organismi pubblici per le funzioni più importanti. Non è solo sorveglianza sul privato: è costruzione di capacità propria. Lo si vede nei programmi comuni per il calcolo ad alte prestazioni, nelle iniziative per un'infrastruttura europea di dati e di cloud, negli investimenti recenti in grandi centri di calcolo per l'intelligenza artificiale. E lo si vede, per quel che mi risulta, anche nel modo in cui gli stessi uffici dell'Unione si stanno organizzando al loro interno.

È una terza via, distinta dai due modelli che vediamo altrove. Non quello americano, dove pochi grandissimi operatori privati detengono la tecnologia e la regolazione arriva dopo, quando arriva. Non quello cinese, dove lo Stato controlla direttamente tutto. Ma una combinazione: capacità pubblica di gestire le funzioni critiche, spazio per l'iniziativa privata, regole che proteggono insieme i cittadini e l'autonomia dell'Unione.

Anche qui, pro e contro.

A favore: è coerente con la tradizione giuridica europea, che ha sempre cercato un equilibrio tra mercato e interesse generale; ha la forza economica per imporsi; risponde al problema della dipendenza senza inseguire una sovranità illusoria.

Contro: il vincolo principale è il tempo. Le tecnologie si muovono più in fretta della capacità pubblica di costruire alternative, e c'è una corsa in atto tra il consolidamento del controllo privato e la nascita di sistemi pubblici europei. I costi sono elevati e la volontà politica dei singoli Stati membri non è uniforme. E resta il rischio che la regolazione, se troppo pesante, scoraggi l'innovazione in Europa spingendola altrove, con l'effetto paradossale di aumentare la dipendenza invece di ridurla.

6. Che cosa c'entra tutto questo con noi

Mi chiederete perché portare questi temi in un gruppo di Azione Cattolica. Credo che ci siano tre buone ragioni.

La prima è che si tratta di una questione di bene comune nel senso più proprio. Le strutture vitali di cui parliamo servono tutti, e la loro fragilità colpisce per primi i più esposti: chi dipende dalla sanità, chi non ha alternative ai servizi pubblici, chi non ha i mezzi per proteggersi da solo. Non è una questione tecnica per specialisti: è una questione di giustizia.

La seconda è che il modello che ho descritto, collaborazione tra organismi e responsabilità distribuite invece di potere concentrato, corrisponde a ciò che la dottrina sociale della Chiesa chiama sussidiarietà. Non un centro che decide tutto, non un mercato lasciato a se stesso, ma una pluralità di soggetti che cooperano, ciascuno al proprio livello, con regole comuni. È un'idea che noi conosciamo da tempo e che qui trova un campo di applicazione nuovo.

La terza è che l'Azione Cattolica è ancora un'organizzazione che pesa nel dibattito italiano. Su questi temi il dibattito pubblico è oggi occupato da due voci: quella dell'entusiasmo tecnologico e quella della paura. Manca una voce che dica, con sobrietà: il rischio è reale, la dipendenza è un fatto, la sovranità piena è un'illusione, ma esiste una via praticabile, ed è quella della regolazione collaborativa e della capacità pubblica. Non vedo perché questa voce non possa essere anche la nostra.

Vi propongo quindi tre domande per la discussione.

Primo: siamo d'accordo che il problema vada inquadrato come collaborazione regolata e non come recupero di sovranità? È un punto su cui, anche nel mondo cattolico, ci sono sensibilità diverse.

Secondo: la via europea è quella giusta? E se lo è, che cosa chiediamo all'Italia, che è tra gli Stati membri chiamati ad attuarla?

Terzo: c'è una posizione che come Azione Cattolica potremmo portare fuori da questa stanza, nelle sedi in cui ancora siamo ascoltati?

Vi ringrazio dell'attenzione.

 

Nota per il relatore, da non leggere. I riferimenti normativi sono volutamente descrittivi (regolamento sull'IA, direttiva NIS2, programmi europei di calcolo e cloud) e non citano date, numeri di legge o cifre di investimento, perché il quadro è in rapida evoluzione. Prima di distribuire il testo per iscritto o citare dati precisi, verifica lo stato di attuazione del regolamento sull'IA, il recepimento italiano della NIS2 e i programmi di investimento europei più recenti.

 

 

2) Prompt per ChatGPT sviluppato da OpenAI [15SETT26]: Valuta criticamente, dal punto di vista storico, fattuale, tecnologico, la seguente mia relazione e suggerisci correzioni o integrazioni:

 

RISULTATO ottenuto mediante ChatGPT 15SETT26:

Mario, nel complesso la relazione è ben costruita, chiara e intellettualmente seria: soprattutto, evita sia il tecnofatalismo sia l'idea che basti “lasciare fare al mercato”. La tesi di fondo — le società avanzate sono sempre più dipendenti da infrastrutture digitali interconnesse e la risposta deve essere resilienza, ridondanza e cooperazione regolata — regge bene.

Ci sono però alcuni punti nei quali, proprio perché parli a un pubblico culturalmente avvertito, correggerei la formulazione. I problemi principali non sono tanto errori grossolani quanto affermazioni troppo nette, specialmente su Internet, sovranità, agenti di IA e “modello europeo”.

1. «Da Internet dipendono strutture vitali»: tecnologicamente è troppo forte

Tu scrivi che oggi «da Internet dipendono strutture vitali: la distribuzione dell'energia, la sanità, i trasporti, i pagamenti...»

È il punto che correggerei con maggiore decisione. Le infrastrutture critiche dipendono in misura crescente da sistemi digitali e reti di comunicazione, ma non necessariamente dall'Internet pubblico. Le reti elettriche, per esempio, utilizzano sistemi SCADA/OT e reti dedicate; banche, ferrovie, telecomunicazioni e amministrazioni dispongono anch'esse di reti private, segmentate o ridondanti.

Questo non indebolisce la tua tesi: anzi, la rende più precisa. Il vero problema è la dipendenza sistemica dall'ecosistema digitale: telecomunicazioni, reti IP, cloud, data center, DNS, identità digitali, satelliti e GNSS, supply chain software, energia elettrica.

Scriverei dunque:

«Eppure oggi strutture vitali — energia, sanità, trasporti, pagamenti, comunicazioni, amministrazione — dipendono in misura crescente da sistemi digitali e reti di comunicazione interconnesse, delle quali Internet costituisce una componente essenziale, ma non l'unica.»

È tecnologicamente molto più difficile da contestare.

2. Il paragone con il blackout va presentato come percezione comune, non come vero modello tecnico

La rappresentazione «salta la corrente, si individua il guasto, si ripara» funziona retoricamente, ma i tecnici dell'energia potrebbero obiettare che anche le reti elettriche sono sistemi complessi, nei quali esistono guasti multipli, effetti a cascata, ridondanze, procedure di black-start e crisi che possono protrarsi.

Quindi sostituirei:

«Quando pensiamo comunemente a un'interruzione di servizio, immaginiamo il piccolo blackout locale...»

e non «il modello mentale che usiamo è quello del blackout elettrico».

La distinzione è importante: stai descrivendo l'immaginario del cittadino, non l'ingegneria delle reti.

3. La parte sulla guerra ibrida è sostanzialmente corretta, ma attenzione all'attribuzione

La tua descrizione di cyberattacchi, sabotaggi, disinformazione e pressione economica come strumenti combinati è fondata. NATO ed ENISA considerano ormai espressamente la vulnerabilità delle infrastrutture critiche e la combinazione di minacce cyber, sabotaggio e manipolazione informativa; ENISA rileva inoltre una crescita dell'attività di gruppi collegati o allineati a Stati.

Farei però una piccola correzione:

«attacchi informatici, episodi di sabotaggio o sospetto sabotaggio di cavi e infrastrutture...»

Per diversi incidenti ai cavi sottomarini l'attribuzione intenzionale è stata inizialmente incerta. La NATO stessa ha usato formule prudenti mentre erano in corso le indagini.

Anche «può misurarsi in settimane» lo trasformerei in «può protrarsi ben oltre le ore, fino a giorni o, in scenari estremi, settimane»: altrimenti sembra una previsione tecnica quantitativa.

4. Sugli agenti di IA: l'intuizione è buona, ma bisogna separare ciò che sappiamo da ciò che ipotizziamo

Questa è la parte più delicata della relazione. Tu scrivi di sistemi agentici capaci di comportamenti «che hanno l'apparenza dell'intenzionalità» e di una zona grigia tra guasto e azione deliberata.

La ricerca del 2025-26 ti dà oggi più sostegno di quanto avrebbe dato anche solo due anni fa. Il International AI Safety Report 2026 riconosce che gli agenti introducono rischi nuovi perché possono pianificare, usare strumenti e agire con minore supervisione; tuttavia sottolinea anche che i sistemi attuali non possiedono ancora le capacità necessarie per scenari di autentica perdita di controllo.

In esperimenti controllati Anthropic ha effettivamente osservato comportamenti strategicamente dannosi — ricatto, fuga di informazioni ecc. — in diversi modelli quando posti artificialmente davanti a conflitti di obiettivi. Ma Anthropic precisa espressamente di non averne osservato evidenza nei deployment reali.

Perciò eviterei «azione deliberata», che sembra attribuire volontà psicologica alla macchina. Direi:

«Tra il semplice errore e il comportamento esplicitamente programmato esiste ormai una zona intermedia: sistemi agentici possono perseguire un obiettivo attraverso sequenze di azioni non previste dal progettista e, in condizioni sperimentali, mostrare comportamenti strategici che dall'esterno appaiono intenzionali. Questo non implica che possiedano intenzioni nel senso umano del termine.»

È una precisazione, a mio giudizio, molto importante.

5. Non metterei però sullo stesso piano guerra ibrida e “IA ribelle”

Nella struttura attuale i due scenari sembrano quasi equivalenti.

Oggi non lo sono.

La guerra ibrida e il cyberattacco contro infrastrutture critiche sono rischi empiricamente presenti. Il collasso prodotto autonomamente da un agente IA non controllabile è invece un rischio emergente, sul quale esistono segnali sperimentali e ragioni teoriche di attenzione, ma non un fenomeno già osservato su scala sistemica.

Potresti esplicitarlo:

«I due scenari non hanno oggi lo stesso grado di evidenza: il primo è già una realtà operativa; il secondo è un rischio emergente, la cui probabilità e gravità sono ancora oggetto di discussione.»

Questo aumenta molto la credibilità dell'intera relazione.

6. Il passaggio sulla «sovranità obsoleta» va modificato

È probabilmente il punto più vulnerabile sul piano giuridico. Scrivi:

«La sovranità, intesa come potere illimitato e originario, è oggi un concetto obsoleto...»

Se specifichi «sovranità assoluta e autosufficiente», l'affermazione è difendibile. Ma la sovranità in quanto tale non è affatto un concetto giuridicamente obsoleto: rimane elemento fondamentale dell'ordinamento internazionale e della stessa costruzione europea.

E c'è un problema ulteriore molto concreto: nel giugno 2026 la Commissione europea ha presentato precisamente un European Technological Sovereignty Package e parla apertamente di tech sovereignty, digital sovereignty e autonomia tecnologica.

Cambierei quindi radicalmente la contrapposizione. Non:

sovranità contro collaborazione,

ma:

sovranità come autosufficienza contro autonomia strategica attraverso cooperazione e capacità propria.

Una formulazione particolarmente efficace potrebbe essere:

«Ciò che appare irrealistico non è la sovranità, ma l'autarchia tecnologica: l'idea che uno Stato possa controllare da solo l'intera catena delle infrastrutture digitali da cui dipende.»

A mio avviso è persino più forte della formulazione originale.

7. «La regolazione verrà perché conviene a tutti»: troppo deterministico

Il ragionamento delle righe 119-143 è interessante , ma qui trasformi un'ipotesi plausibile in quasi una legge storica.

Non è dimostrato che la regolazione globale «convenga a tutti». Anzi, esistono fortissimi incentivi al regulatory arbitrage, alla competizione geopolitica e all'uso delle regole per favorire campioni nazionali.

Inoltre non direi genericamente che «le aziende» chiedono una regolazione globale. Alcuni grandi sviluppatori l'hanno fatto. OpenAI, per esempio, propose già nel 2023 un organismo internazionale analogo per alcuni aspetti all'IAEA per sistemi estremamente potenti; Anthropic sostiene oggi esplicitamente che l'industria non debba autogovernarsi da sola.

Ma le aziende hanno posizioni diverse e possono contemporaneamente chiedere alcune regole e opporsi ad altre.

Cambierei quindi:

«Da questo ricavo una previsione: forme crescenti di regolazione sono molto probabili, perché esistono forti interessi convergenti; assai meno certa è la nascita di una regolazione globale uniforme.»

Questa formulazione è storicamente più prudente e, paradossalmente, rende più convincente la parte successiva sul conflitto tra interessi.

8. Eviterei la generalizzazione sui «Paesi in via di sviluppo»

La frase secondo cui ai Paesi in via di sviluppo potrebbe convenire l'assenza di regole è troppo generale. Alcuni Paesi meno dotati tecnologicamente possono anzi avere un forte interesse a regole internazionali che impediscano ai grandi operatori e alle grandi potenze di imporre unilateralmente condizioni e standard.

Meglio:

«ad alcuni Stati può convenire una regolazione più leggera per attrarre investimenti e accelerare l'adozione della tecnologia...»

senza identificare questa posizione con l'intero mondo in via di sviluppo.

9. La parte europea va aggiornata: NIS2 non parla più di «operatori di servizi essenziali»

Tu scrivi che la NIS2 «impone agli operatori di servizi essenziali obblighi...»

Tecnicamente, questa era la terminologia della NIS1. La NIS2 distingue invece tra “soggetti essenziali” e “soggetti importanti” e amplia fortemente l'ambito a 18 settori.

Scriverei:

«La direttiva NIS2 estende a un ampio numero di soggetti essenziali e importanti obblighi di gestione del rischio informatico, sicurezza della catena di fornitura e notifica degli incidenti.»

È più aggiornato e preciso.

10. Integrerei quattro norme europee che rafforzano enormemente la tua tesi

Qui la relazione può diventare molto più convincente senza appesantirsi.

L'AI Act non è infatti lo strumento europeo più importante per la resilienza delle infrastrutture. Accanto a NIS2 citerei rapidamente:

• la CER Directive, sulla resilienza delle entità critiche contro eventi naturali, sabotaggi, terrorismo e altre perturbazioni;
• il Cyber Solidarity Act, in vigore dal 4 febbraio 2025, che istituisce fra l'altro una riserva europea di risposta agli incidenti cyber;
• il Cyber Resilience Act, che introduce requisiti di sicurezza per hardware e software lungo il ciclo di vita; gli obblighi di segnalazione sono applicabili dall'11 settembre 2026;
• per il settore finanziario, il quadro DORA sulla resilienza operativa digitale. Questo è un punto davvero interessante per la tua tesi: l'Europa non sta regolando soltanto “l'IA”; sta costruendo un sistema normativo della resilienza digitale.

11. Anche sull'AI Act farei una precisazione temporale

La tua descrizione per livelli di rischio è corretta come sintesi divulgativa, ma nel settembre 2026 il quadro è più articolato: oltre ai divieti e alle regole di trasparenza esistono specifici obblighi per i modelli di IA per finalità generali, mentre l'applicazione delle principali regole sui sistemi ad alto rischio è stata rinviata, rispettivamente, al dicembre 2027 e all'agosto 2028 secondo il nuovo calendario.

Non è necessario spiegare tutto oralmente. Basterebbe:

«Il regolamento europeo sull'IA, ormai entrato progressivamente in applicazione, combina divieti, obblighi di trasparenza, disciplina dei modelli di uso generale e requisiti più stringenti per determinati sistemi ad alto rischio.»

È più esatto di «classifica i sistemi per livello di rischio».

12. «Sistemi intelligenti controllati da organismi pubblici»: la tua intuizione è giusta, la formula no

È il principale problema della sezione 5.

L'UE sta davvero costruendo capacità propria: EuroHPC, AI Factories, AI Gigafactories, infrastrutture cloud/edge, appalti sovrani. Le AI Factories sono ormai una rete europea in espansione, ma mettono insieme supercalcolo pubblico, università, startup, industria e capitali privati.

Inoltre, nell'aprile 2026 la Commissione ha aggiudicato contratti per cloud sovrano fino a 180 milioni di euro, proprio per diversificare i fornitori e ridurre il lock-in; in giugno ha presentato il nuovo pacchetto sulla sovranità tecnologica.

Direi pertanto:

«La via europea non consiste soltanto nel regolare operatori privati, ma anche nel costruire e procurarsi capacità tecnologiche proprie o strategicamente controllabili, attraverso infrastrutture pubbliche, appalti, partenariati pubblico-privati e requisiti di sovranità e resilienza.»

Questa è, secondo me, una delle modifiche migliori che puoi fare.

13. La contrapposizione USA–Cina–Europa è troppo schematica

La formula:

America = privati;
Cina = Stato;
Europa = equilibrio pubblico-privato

è suggestiva, ma storicamente e fattualmente troppo pulita.

Negli Stati Uniti esistono enormi capacità pubbliche: National Laboratories, supercomputer federali, investimenti pubblici, ricerca militare e oggi programmi come la Genesis Mission, che integra dati federali, laboratori nazionali e industria privata per sistemi di IA scientifica.

E in Cina non è vero che «lo Stato controlla direttamente tutto»: esistono gigantesche imprese private di IA, sebbene sottoposte a una regolazione politica e amministrativa molto più pervasiva. Le norme cinesi sulla generative AI prevedono espressamente attività imprenditoriali e servizi privati sottoposti a vigilanza statale.

Parlerei quindi non di «tre modelli puri», ma di tre diversi equilibri tra mercato, capacità pubblica e controllo politico.

Potresti dire:

«Il tratto specificamente europeo non è l'esistenza esclusiva di una terza via, ma una particolare combinazione di mercato, regolazione dei diritti fondamentali, capacità pubblica e ricerca di autonomia strategica.»

Mi sembra molto più solido.

14. Sulla sussidiarietà farei una precisazione teologica importante

Tu identifichi sostanzialmente la sussidiarietà con «collaborazione tra organismi e responsabilità distribuite».

È compatibile con la sussidiarietà, ma non coincide esattamente con essa.

Nella dottrina sociale cattolica il nucleo è: ciò che può fare adeguatamente l'organismo inferiore non deve essere sottratto da quello superiore; quello superiore deve però sostenerlo e coordinarlo quando necessario. È precisamente la formulazione di Quadragesimo anno e del Compendio della dottrina sociale.

Perciò modificherei così:

«Questo modello presenta una forte affinità con il principio di sussidiarietà: le responsabilità devono essere esercitate al livello più vicino e adeguato al problema, mentre i livelli superiori intervengono per sostenere, coordinare e affrontare ciò che i livelli inferiori non possono efficacemente risolvere.»

Qui il collegamento con l'Azione Cattolica diventa teologicamente molto più preciso.

Una integrazione concettuale che aggiungerei

Aggiungerei un concetto che nella relazione è presente implicitamente ma non viene nominato: il rischio di fallimento comune, o common-mode failure.

La ridondanza non basta se due sistemi apparentemente indipendenti dipendono dallo stesso elemento nascosto: stesso cloud provider, stessa libreria software, stessi satelliti, stesso sistema DNS, stessi chip, stessa rete elettrica.

È precisamente uno dei problemi della società digitalizzata: non solo «abbiamo una seconda rete?», ma:

«la seconda rete dipende davvero da qualcosa di diverso dalla prima?»

Questa domanda si lega magnificamente alla tua esperienza iniziale dell'ufficio pubblico e le dà una profondità tecnologica maggiore.

Giudizio finale

Non cambierei l'impianto della relazione. Cambierei soprattutto sei espressioni forti:

Formulazione attuale	Formulazione più solida
«dipendono da Internet»	«dipendono da sistemi digitali e reti interconnesse»
«sovranità obsoleta»	«autarchia tecnologica irrealistica»
«azione deliberata dell'IA»	«comportamento strategico non previsto, apparentemente intenzionale»
«la regolazione verrà perché conviene a tutti»	«forme crescenti di regolazione sono probabili, ma la convergenza globale non è garantita»
«sistemi controllati da organismi pubblici»	«capacità pubbliche e strategicamente controllabili, anche attraverso partenariati»
«modello USA / modello Cina / terza via UE»	«diversi equilibri fra mercato, potere pubblico, regolazione e autonomia strategica»

Con queste modifiche, a mio giudizio, la tesi centrale non si indebolisce affatto: diventa più forte, perché distingui nettamente ciò che è già accertato, ciò che è una tendenza verificabile e ciò che rimane una previsione.

E farei anche un piccolo cambiamento al titolo: “Strutture vitali, reti e sistemi intelligenti: vulnerabilità, resilienza e la via europea”. “Resilienza” descrive infatti il filo conduttore della relazione meglio di “rischi e ipotesi di regolazione”.

 

3) Prompt formulato a Claude di Anthropic [15SETT26]: Ti trascrivo di seguito una nota critica che mi viene in sede di peer review. Valuta quella nota criticamente e, se qualche suo rilievo ti pare degno di essere accolto, riscrivi il testo della relazione che hai in precedenza creato inserendo nel testo quel rilevo.

RISULTATO OTTENUTO mediante Claude  di Anthropic [15SETT26]

La nota è di buona qualità: non attacca l'impianto, chiede precisione dove il testo era troppo netto. Ho accolto quasi tutto, ma con alcune distinzioni che ti riguardano direttamente.

Rilievi accolti senza riserve (correggevano formulazioni mie): la dipendenza non da "Internet" ma dall'ecosistema digitale interconnesso (punto 1, che tra l'altro rende più difendibile anche l'esperienza della Procura); il blackout come immaginario comune e non come modello tecnico (2); "sospetto sabotaggio" e la gradazione dei tempi (3); la terminologia NIS2 (9, era un errore mio); l'aggiunta di CER, Cyber Solidarity Act, Cyber Resilience Act e DORA (10, il rilievo più utile: trasforma la sezione europea da "regolazione dell'IA" a "diritto della resilienza digitale"); la formulazione più prudente dell'AI Act (11); la correzione dello schema USA/Cina/UE in "tre equilibri, non tre modelli" (13); la precisazione teologica sulla sussidiarietà (14, giusta: la sussidiarietà non è distribuzione orizzontale ma gerarchia di livelli con intervento sussidiario dall'alto); il common-mode failure (l'integrazione migliore, perché chiude il cerchio con la tua esperienza iniziale); il titolo.

Rilievi accolti, ma che toccano tesi tue, non formulazioni mie — qui devi decidere tu:

• Punto 6, sovranità. Il revisore ha ragione che "obsoleta" è attaccabile, e ho verificato che il pacchetto della Commissione del 3 giugno 2026 usa davvero la parola "sovranità tecnologica" nel titolo. Ho riscritto: la sovranità resta, ciò che è superata è la sua versione assoluta e autosufficiente; irrealistica è l'autarchia tecnologica. Il tuo argomento sui limiti di fatto è conservato integralmente; cambia solo l'etichetta. Ma se tieni alla formulazione più radicale, è una posizione sostenibile con un pubblico avvertito, purché tu sia pronto all'obiezione.
• Punto 7, "la regolazione verrà sicuramente". Ho ammorbidito in "molto probabile, ma non necessariamente globale e uniforme". Il tuo ragionamento sulla convergenza di interessi resta il nucleo.
• Punto 12, "sistemi controllati da organismi pubblici". Riformulato in "capacità proprie o strategicamente controllabili, anche tramite partenariati", che è più aderente a come funzionano EuroHPC e le AI Factories.

Rilievi accolti con cautela: il punto 4 sugli agenti. Il revisore cita l'International AI Safety Report 2026 e gli esperimenti di Anthropic sul "disallineamento agentico"; la sostanza mi risulta corretta, ma nel testo ho tenuto i riferimenti generici e ho messo nella nota finale l'invito a citare quelle fonti con le cautele che esse stesse usano.

Ciò che non ho potuto verificare e che il revisore afferma con precisione: il rinvio dell'applicazione dell'AI Act a dicembre 2027 e agosto 2028, i contratti cloud da 180 milioni dell'aprile 2026, l'entrata in applicazione degli obblighi di segnalazione del Cyber Resilience Act l'11 settembre 2026. Sono plausibili, ma li ho lasciati fuori dal testo da leggere e segnalati nella nota.

Il testo è ora di circa 2.800 parole, ancora nei venti minuti se letto a ritmo di relazione. Il Word aggiornato è qui sotto.

VERSIONE RISTRUTTURATA DELLA RELAZIONE:

Strutture vitali, reti e sistemi intelligenti

Vulnerabilità, resilienza e la via europea

Relazione per il gruppo di impegno culturale — Azione Cattolica

 

1. Da dove parto

Parto da un'esperienza personale, perché mi aiuta a capire il problema meglio di molte letture.

Quando ero in servizio, [il mio ufficio pubblico] disponeva di reti di comunicazione alternative a quelle che passano per Internet. Non era una stravaganza. Era la conseguenza di un ragionamento semplice: alcune funzioni dello Stato non possono fermarsi, e quindi devono poter continuare anche quando lo strumento ordinario viene meno. Si costruiva ridondanza. Si dava per scontato che qualcosa, prima o poi, si sarebbe rotto, e ci si preparava.

Questa consapevolezza, che nelle istituzioni critiche era ovvia, non mi pare altrettanto diffusa nel resto della società. Eppure oggi strutture vitali — l'energia, la sanità, i trasporti, i pagamenti, le comunicazioni, la stessa amministrazione pubblica — dipendono in misura crescente da sistemi digitali e da reti di comunicazione interconnesse, delle quali Internet è una componente essenziale, ma non l'unica. Le reti elettriche hanno i loro sistemi di controllo dedicati; le banche, le ferrovie, le amministrazioni hanno reti proprie, separate o ridondanti. Il problema non è la dipendenza da una singola rete, ma la dipendenza sistemica da un intero ecosistema digitale: telecomunicazioni, cloud, centri di dati, sistemi di identificazione, satelliti, catene di fornitura del software, e la stessa energia elettrica che alimenta tutto questo. Non è un'ipotesi: è il modo in cui funzionano le cose. E a me, che pure ho lavorato per anni su questi temi, continua a fare una certa impressione.

Vorrei allora proporvi un percorso in quattro passaggi: il problema, il modo in cui conviene inquadrarlo giuridicamente, le ipotesi di soluzione che si vanno delineando con i loro pro e contro, e infine la via che sta seguendo l'Unione europea, che è quella che ci riguarda più da vicino.

2. Il problema: perché l'immagine comune dell'emergenza non regge più

Quando pensiamo comunemente a un'interruzione di servizio, immaginiamo il piccolo blackout locale. Salta la corrente, si individua il guasto, si ripara, dopo qualche ora tutto riprende. È un'immagine rassicurante e, per la maggior parte delle interruzioni che abbiamo vissuto come cittadini, anche realistica. I tecnici sanno bene che anche le reti elettriche sono sistemi complessi, con guasti a catena e crisi che possono durare; ma l'immaginario comune resta quello.

Il punto è che questa immagine presuppone tre cose: che la causa sia una sola, che sia individuabile, e che nessuno lavori contro chi ripara. Ci sono almeno due scenari in cui nessuna di queste condizioni è garantita. E devo dire subito che i due scenari non hanno oggi lo stesso grado di evidenza: il primo è già una realtà operativa; il secondo è un rischio emergente, la cui probabilità e gravità sono ancora oggetto di discussione.

Il primo è la guerra ibrida. Non parlo di fantascienza: è la modalità di conflitto che vediamo praticata in Europa da anni, dove attacchi informatici, episodi di sabotaggio o di sospetto sabotaggio di cavi e infrastrutture, disinformazione e pressioni economiche si combinano. Dico "sospetto" perché per diversi incidenti l'attribuzione è rimasta a lungo incerta, e le stesse organizzazioni internazionali hanno usato formule prudenti; ma il quadro complessivo è riconosciuto da tutti gli organismi che si occupano di sicurezza. In uno scenario del genere l'interruzione non è un guasto ma un'azione ostile, coordinata su più fronti, e chi la conduce non aspetta che noi ripariamo: continua a colpire. Il tempo di ripristino non è più una questione tecnica ma una questione strategica. Può protrarsi ben oltre le ore, fino a giorni e, in scenari estremi, settimane.

Il secondo scenario è più nuovo e più difficile da afferrare. Le stesse aziende che sviluppano i sistemi di intelligenza artificiale dichiarano da tempo che questi sistemi, man mano che diventano "agenti", cioè capaci di pianificare, usare strumenti e agire in autonomia su più passaggi con minore supervisione umana, introducono rischi nuovi. Tra il semplice errore e il comportamento esplicitamente programmato esiste ormai una zona intermedia: un sistema agentico può perseguire un obiettivo attraverso sequenze di azioni non previste da chi lo ha progettato e, in condizioni sperimentali, mostrare comportamenti strategici che dall'esterno appaiono intenzionali. Questo non significa che possieda intenzioni nel senso umano del termine, e va detto con onestà che questi comportamenti sono stati osservati in esperimenti costruiti apposta, non nell'uso reale; le valutazioni internazionali più recenti concordano che i sistemi attuali non hanno ancora le capacità necessarie per scenari di autentica perdita di controllo. Va anche detto che una parte di questo discorso è, da parte delle aziende, anche costruzione di una narrazione: chi denuncia il rischio si accredita come interlocutore necessario di chi dovrà regolarlo. Non per questo il rischio è inventato.

C'è poi un problema che attraversa entrambi gli scenari e che ha un nome tecnico: il fallimento di modo comune. La ridondanza non basta se due sistemi apparentemente indipendenti dipendono, senza che nessuno se ne accorga, dallo stesso elemento nascosto: lo stesso fornitore di cloud, la stessa libreria software, gli stessi satelliti, gli stessi componenti, la stessa rete elettrica. La domanda giusta non è soltanto "abbiamo una seconda rete?", ma "la seconda rete dipende davvero da qualcosa di diverso dalla prima?". Ripensando all'esperienza da cui sono partito, era esattamente questa la domanda che ci si poneva quando si progettavano le reti alternative.

Il risultato è che l'immagine del "si risolve in breve" non è più affidabile. E questo, per una società che ha spostato sui sistemi digitali le proprie funzioni vitali, è un dato che dovrebbe orientare le scelte pubbliche.

3. Come inquadrare il problema: non autarchia, ma autonomia attraverso la cooperazione

La prima reazione, quando si prende coscienza di questa dipendenza, è invocare la sovranità: lo Stato deve riprendere il controllo pieno delle proprie infrastrutture. È una reazione comprensibile, ma credo che vada corretta, e da giurista vorrei spiegare perché.

La sovranità resta un elemento fondamentale dell'ordinamento internazionale e della stessa costruzione europea, e non intendo dire che sia superata. Quello che è superato è un certo modo di intenderla: come potere illimitato, assoluto, autosufficiente. Ogni organismo politico, anche il più potente, incontra limiti che sono di fatto, prima ancora che di diritto. Limiti esterni: sul piano internazionale ogni potere trova di fronte a sé altri poteri analoghi, e nessuno può ignorarli. Limiti interni: nella storia non si è mai dato un controllo totale di una popolazione, e chi ci ha provato ha fallito. Ciò che appare irrealistico, dunque, non è la sovranità, ma l'autarchia tecnologica: l'idea che uno Stato possa controllare da solo l'intera catena delle infrastrutture digitali da cui dipende.

Il quadro giusto, a mio avviso, è un altro: autonomia strategica costruita attraverso la cooperazione tra organismi politici e attraverso capacità proprie, per regolare insieme certe attività e funzioni. Non è una novità. È già così in molti campi. Il sistema finanziario internazionale funziona grazie a standard condivisi tra Stati e operatori privati, a organismi di vigilanza, a regole convenute che nessuno Stato potrebbe imporre da solo. Il traffico aereo funziona perché esistono norme tecniche comuni riconosciute da tutti, pur restando ferma la giurisdizione di ciascuno sul proprio spazio aereo. Nessuno in questi campi rinuncia alla propria sovranità, e nessuno pretende di esercitarla in solitudine.

Applicato alle infrastrutture digitali e ai sistemi intelligenti, questo modello significa tre cose: standard comuni di resilienza, cioè l'impegno reciproco che certe funzioni critiche abbiano sempre una ridondanza reale, non soltanto apparente; meccanismi di responsabilità a più livelli, per rispondere alla domanda "chi risponde, e come, quando un servizio che regge una funzione vitale fallisce"; e un coinvolgimento strutturato di Stati, fornitori di tecnologia e gestori di infrastrutture, ciascuno con responsabilità circoscritte e nessuno con potere totale.

4. La regolazione verrà? Perché è probabile, e perché non sarà pacifica

Qui vorrei essere realista, evitando sia il catastrofismo sia l'ottimismo ingenuo.

I grandi organismi privati che sviluppano i sistemi intelligenti competono tra loro con enorme energia, perché prevedono ricavi immensi in un mondo che è ancora in gran parte da collegare tramite questi sistemi. Ma alcuni di loro sono anche divenuti consapevoli di rischi che giudicano economicamente inaccettabili: un collasso sistemico distruggerebbe valore anche per chi lo ha provocato. Per questo alcuni tra i maggiori sviluppatori hanno esposto questi rischi agli organismi pubblici di governo, che fino a poco tempo fa ne erano scarsamente consapevoli, e hanno chiesto forme di regolazione pubblica, in qualche caso anche a livello internazionale. Non tutte le aziende, e non tutte allo stesso modo: la stessa impresa può chiedere alcune regole e opporsi ad altre.

Da questo ricavo una previsione, che formulo con prudenza: forme crescenti di regolazione sono molto probabili, perché esistono forti interessi convergenti. Molto meno certa è la nascita di una regolazione globale uniforme. Non è buona volontà, è logica di sistema; e le regolazioni che nascono da una convergenza di interessi sono le più solide. Ma la convergenza è parziale.

Devo infatti aggiungere subito la parte dei "contro". La regolazione conviene a molti, ma non allo stesso modo e non allo stesso prezzo. Ai grandi operatori conviene una regolazione che consolidi la loro posizione: alti costi di conformità sono una barriera all'ingresso per chi vorrebbe competere con loro. Ad alcuni Stati può convenire una regolazione più leggera, per attrarre investimenti e accelerare l'adozione della tecnologia; ad altri, meno dotati, possono convenire al contrario regole internazionali che impediscano ai più forti di imporre unilateralmente le proprie condizioni. Ai gestori di servizi critici può convenire una regolazione locale piuttosto che globale. Ai fornitori americani può convenire una regolazione che escluda i concorrenti cinesi in nome della sicurezza, ma non una che li equipari. Dunque la direzione mi pare segnata; il "come", il "dove" e il "chi paga" saranno terreno di conflitto aspro, e la competizione geopolitica per definire i termini del coordinamento continuerà a lungo.

Riassumo pro e contro di questa prospettiva.

A favore: gli incentivi convergono in misura significativa; esistono modelli già funzionanti in altri campi; la consapevolezza pubblica sta crescendo rapidamente.

Contro: la convergenza è asimmetrica; i tempi della politica sono più lenti di quelli della tecnologia; una regolazione scritta dai più forti rischia di cristallizzare le posizioni acquisite invece di proteggere i più deboli; e resta sempre possibile che alcuni attori si sottraggano alle regole spostandosi dove non ci sono.

5. La via europea

Guardo a tutto questo dal punto di vista di un cittadino dell'Unione europea, e da questo punto di vista il quadro è meno cupo di quanto potrebbe sembrare.

L'Unione ha già iniziato a regolare, e lo ha fatto in modo più ampio di quanto il dibattito pubblico di solito registri. Il regolamento sull'intelligenza artificiale, ormai entrato progressivamente in applicazione, combina divieti, obblighi di trasparenza, una disciplina dei modelli di uso generale e requisiti più stringenti per determinati sistemi ad alto rischio. Ma l'intelligenza artificiale non è il cuore della questione che sto trattando. Il cuore è la resilienza, e qui l'Europa ha costruito negli ultimi anni un vero sistema normativo: la direttiva sulla sicurezza delle reti e dei sistemi informativi, nella sua seconda versione, estende a un ampio numero di soggetti essenziali e importanti, in molti settori, obblighi di gestione del rischio informatico, di sicurezza della catena di fornitura e di notifica degli incidenti; la direttiva sulla resilienza dei soggetti critici affronta anche le minacce fisiche, dai sabotaggi agli eventi naturali; il regolamento sulla solidarietà informatica istituisce una riserva europea di risposta agli incidenti; il regolamento sulla resilienza informatica dei prodotti impone requisiti di sicurezza a hardware e software lungo tutto il loro ciclo di vita; e per il settore finanziario esiste una disciplina specifica sulla resilienza operativa digitale. L'Europa, in altre parole, non sta regolando soltanto "l'intelligenza artificiale": sta costruendo il diritto della resilienza digitale. Ed è un organismo sufficientemente potente sul piano economico da riuscire a far rispettare le proprie regole: chi vuole operare sul mercato europeo deve adeguarsi.

C'è un secondo elemento, che mi pare ancora più significativo della regolazione. La via europea non consiste soltanto nel regolare operatori privati, ma anche nel costruire e procurarsi capacità tecnologiche proprie, o almeno strategicamente controllabili: infrastrutture pubbliche di calcolo, appalti che impongono requisiti di sovranità e resilienza, partenariati tra enti pubblici, università e imprese. Lo si vede nei programmi comuni per il calcolo ad alte prestazioni e nella rete delle cosiddette fabbriche di intelligenza artificiale, nelle iniziative per un cloud europeo, e da ultimo nel pacchetto sulla sovranità tecnologica presentato dalla Commissione nel giugno di quest'anno, che non a caso usa proprio la parola "sovranità", e la intende come riduzione delle dipendenze attraverso capacità propria, non come chiusura. Lo si vede, per quel che mi risulta, anche nel modo in cui gli stessi uffici dell'Unione si stanno organizzando al loro interno.

Sarebbe troppo comodo descrivere tutto questo come una "terza via" tra un modello americano tutto privato e un modello cinese tutto statale. La realtà è meno schematica: negli Stati Uniti esistono enormi capacità pubbliche, dai laboratori nazionali ai programmi federali di ricerca, e in Cina esistono gigantesche imprese private, sia pure sotto una vigilanza politica molto più pervasiva. Ciò che è specificamente europeo non è l'esistenza di una via diversa, ma una particolare combinazione: mercato, regolazione a tutela dei diritti fondamentali, capacità pubblica e ricerca di autonomia strategica. Tre equilibri diversi tra gli stessi ingredienti, non tre modelli puri.

Anche qui, pro e contro.

A favore: la combinazione europea è coerente con la tradizione giuridica del continente, che ha sempre cercato un equilibrio tra mercato e interesse generale; ha la forza economica per imporsi; risponde al problema della dipendenza senza inseguire un'autarchia illusoria.

Contro: il vincolo principale è il tempo. Le tecnologie si muovono più in fretta della capacità pubblica di costruire alternative, e c'è una corsa in atto tra il consolidamento del controllo privato e la nascita di capacità europee. I costi sono elevati e la volontà politica dei singoli Stati membri non è uniforme. E resta il rischio che la regolazione, se troppo pesante, scoraggi l'innovazione in Europa spingendola altrove, con l'effetto paradossale di aumentare la dipendenza invece di ridurla.

6. Che cosa c'entra tutto questo con noi

Mi chiederete perché portare questi temi in un gruppo di Azione Cattolica. Credo che ci siano tre buone ragioni.

La prima è che si tratta di una questione di bene comune nel senso più proprio. Le strutture vitali di cui parliamo servono tutti, e la loro fragilità colpisce per primi i più esposti: chi dipende dalla sanità, chi non ha alternative ai servizi pubblici, chi non ha i mezzi per proteggersi da solo. Non è una questione tecnica per specialisti: è una questione di giustizia.

La seconda è che il modello che ho descritto presenta una forte affinità con il principio di sussidiarietà, così come lo formula la dottrina sociale della Chiesa: le responsabilità vanno esercitate al livello più vicino e più adeguato al problema, e i livelli superiori intervengono per sostenere, coordinare e affrontare ciò che i livelli inferiori non possono risolvere da soli. Non un centro che decide tutto, non un mercato lasciato a se stesso, ma una pluralità di soggetti che cooperano, ciascuno al proprio livello, con regole comuni e con un'autorità superiore che interviene dove serve. È un'idea che noi conosciamo da tempo e che qui trova un campo di applicazione nuovo.

La terza è che l'Azione Cattolica è ancora un'organizzazione che pesa nel dibattito italiano. Su questi temi il dibattito pubblico è oggi occupato da due voci: quella dell'entusiasmo tecnologico e quella della paura. Manca una voce che dica, con sobrietà: il rischio è reale, la dipendenza è un fatto, l'autarchia è un'illusione, ma esiste una via praticabile, ed è quella della cooperazione regolata e della capacità pubblica. Non vedo perché questa voce non possa essere anche la nostra.

Vi propongo quindi tre domande per la discussione.

Primo: siamo d'accordo che il problema vada inquadrato come autonomia attraverso la cooperazione e non come recupero di un controllo pieno? È un punto su cui, anche nel mondo cattolico, ci sono sensibilità diverse.

Secondo: la via europea è quella giusta? E se lo è, che cosa chiediamo all'Italia, che è tra gli Stati membri chiamati ad attuarla?

Terzo: c'è una posizione che come Azione Cattolica potremmo portare fuori da questa stanza, nelle sedi in cui ancora siamo ascoltati?

Vi ringrazio dell'attenzione.

 

Nota per il relatore, da non leggere. I riferimenti normativi sono volutamente descrittivi e non citano date, numeri di atto o cifre di investimento. Le norme richiamate nella sezione 5 sono: AI Act; direttiva NIS2 (recepita in Italia con d.lgs. 138/2024); direttiva CER sulla resilienza dei soggetti critici; Cyber Solidarity Act; Cyber Resilience Act; regolamento DORA. Il pacchetto sulla sovranità tecnologica è quello presentato dalla Commissione il 3 giugno 2026 (Chips Act 2.0, Cloud and AI Development Act, strategia open source). Prima di distribuire il testo per iscritto o citare dati precisi, verificare: il calendario aggiornato di applicazione dell'AI Act (di cui si è discusso un rinvio per i sistemi ad alto rischio), lo stato dei programmi europei di calcolo e cloud, e le fonti sui comportamenti sperimentali dei sistemi agentici, che vanno citate con le cautele che le stesse fonti usano.