Indice dei contenuti dell'articolo:
Cara Europa, parliamoci chiaro. A un certo punto anche la pazienza finisce. Perché va bene la tutela dei cittadini, va bene la protezione dei dati, va bene la sicurezza informatica, va bene il consumatore da difendere, va bene l’utente fragile da accompagnare per mano nel selvaggio Far West digitale. Ma qui siamo andati oltre. Qui siamo entrati nella fase terminale della burocrazia morale: quella in cui ogni problema tecnologico viene risolto con un nuovo regolamento, una nuova informativa, un nuovo registro, una nuova sanzione, una nuova casella da spuntare e possibilmente un consulente da pagare.
Negli ultimi dieci anni l’Unione Europea ha trasformato Internet in un condominio amministrato da un geometra depresso: assemblee continue, verbali infiniti, millesimi da calcolare, responsabilità da scaricare e nessuno che ripari davvero l’ascensore. Il risultato? Un ecosistema digitale europeo più lento, più costoso, più impaurito e meno competitivo. Mentre negli Stati Uniti nascono piattaforme, cloud provider, modelli di intelligenza artificiale, infrastrutture globali e filiere produttive capaci di scalare, noi produciamo PDF, linee guida, comitati, autorità garanti e consultazioni pubbliche.
La specialità europea ormai è questa: arrivare tardi nella produzione, ma arrivare primi nella regolamentazione. Non abbiamo dominato il cloud, però abbiamo regolato il cloud. Non abbiamo dominato i social, però abbiamo regolato i social. Non abbiamo dominato l’intelligenza artificiale, però abbiamo scritto l’AI Act. Non abbiamo hyperscaler paragonabili ai giganti americani, però abbiamo una quantità di obblighi, informative, procedure e sanzioni da far sembrare il codice civile un post-it.
Ed è qui che nasce il problema vero. Perché una civiltà industriale non vive di soli considerando. Non si costruisce potenza tecnologica con i paragrafi. Non si produce sovranità digitale con i webinar istituzionali. E soprattutto non si crea progresso soltanto decidendo cosa gli altri possono o non possono fare.
Il capolavoro assoluto: i cookie banner
Partiamo dalla meraviglia delle meraviglie: i cookie banner. Quella piaga visiva, cognitiva e tecnica che ha reso la navigazione web europea un percorso a ostacoli tra “Accetta tutto”, “Rifiuta”, “Personalizza”, “Salva preferenze”, “Partner 738”, “Finalità legittime”, “Interesse legittimo”, “Esperienza migliorata” e altre formule partorite da qualcuno che evidentemente odia sia gli utenti sia i web designer.
Il punto non è negare il diritto alla privacy. Il punto è che la soluzione è stata ridicola. Davvero serviva imporre a ogni singolo sito web di costruire la propria interfaccia di consenso? Davvero non si poteva gestire la preferenza a livello nativo di browser, sistema operativo o profilo utente? Davvero la grande conquista europea del digitale doveva essere obbligare milioni di persone a cliccare compulsivamente pulsanti che non leggono, non capiscono e non vogliono vedere?
Il risultato pratico è stato un disastro annunciato: peggior esperienza utente, tracciamenti più fragili, attribuzioni pubblicitarie meno precise, campagne meno efficienti, costi di acquisizione più alti. E quando il costo per lead aumenta, indovinate chi paga? L’azienda? Sì, all’inizio. Poi però quel costo finisce nei prezzi, nei margini, nei budget ridotti, nelle assunzioni rimandate e nei servizi meno competitivi. Complimenti: per proteggere l’utente lo abbiamo fatto navigare peggio e pagare di più.
E la cosa più grottesca è che oggi la stessa Europa parla di semplificare i cookie banner e di ridurre la “cookie fatigue”. Ma grazie. Dopo anni di popup, CMP, audit, configurazioni, banner multilingua, log del consenso e consulenze legali, ci siamo accorti che forse trasformare ogni visita a un sito in un referendum sulla profilazione pubblicitaria non era esattamente una genialata.
GDPR: bellissimo principio, pessima liturgia
Il GDPR nasce da un principio nobile: i dati personali non sono coriandoli da lanciare al carnevale dell’advertising. Benissimo. Il problema è che, nella sua applicazione reale, è diventato spesso una liturgia documentale. Registro dei trattamenti, informative, nomine, DPA, DPIA, misure tecniche e organizzative, policy interne, gestione dei diritti, tempi di conservazione, trasferimenti extra UE, SCC, valutazioni, verbali, audit. Tutte cose che hanno senso in teoria. Tutte cose che, nella pratica quotidiana di migliaia di PMI, si traducono in un’enorme domanda: “Quanto mi costa essere formalmente a posto?”
Ed è qui che l’Europa mostra il suo talento migliore: trasformare una necessità reale in un labirinto amministrativo. Perché proteggere i dati è fondamentale. Ma se una piccola azienda, un e-commerce, una software house o un provider deve spendere più tempo a dimostrare di aver pensato alla privacy che a migliorare davvero la sicurezza dei sistemi, qualcosa si è rotto. E no, non è il server. È la testa di chi pensa che la compliance coincida automaticamente con la protezione.
Abbiamo confuso la forma con la sostanza. Il banner con il consenso. L’informativa con la consapevolezza. La documentazione con la responsabilità. E così abbiamo creato un mercato parallelo della paura: consulenti, template, generatori automatici, audit, check-list, webinar, corsi, bollini e manuali. Tutto intorno alla promessa più europea che esista: “Non ti garantisco che sarai più sicuro, ma almeno potrai dimostrare di averci provato”.
NIS2: la cybersecurity spiegata con il timbro
Poi arriva NIS2. Anche qui: obiettivo sacrosanto. La sicurezza informatica serve, gli attacchi aumentano, le filiere sono interconnesse, le infrastrutture critiche vanno protette. Nessuna persona seria può sostenere il contrario. Ma il rischio, enorme, è che NIS2 diventi l’ennesima norma in cui l’azienda corre a produrre procedure, ruoli, documenti, classificazioni e notifiche, mentre il vero problema resta sempre lì: sistemi non aggiornati, password pessime, backup non testati, assenza di segmentazione, logging insufficiente, personale non formato.
In Italia abbiamo già visto questo film con il vecchio Documento Programmatico sulla Sicurezza: un monumento alla compliance cartacea, spesso più utile a riempire faldoni che a fermare un attacco. NIS2 rischia di essere il suo cugino europeo con il vestito nuovo: più moderno, più ambizioso, più ampio, ma con lo stesso pericolo di fondo. Ovvero credere che la cybersecurity nasca da un documento e non da investimenti, competenze, architetture corrette, monitoraggio continuo e responsabilità tecnica reale.
La sicurezza non si fa con l’autocertificazione emotiva. Si fa con patch management, hardening, backup verificati, MFA, vulnerability assessment, incident response, logging centralizzato, Web Application Firewall, controllo degli accessi e persone capaci. Tutto il resto è carta. Carta molto elegante, certo. Carta europea. Carta europea da culo.
La domanda è semplice: NIS2 porterà davvero le aziende a investire in infrastrutture migliori, oppure produrrà l’ennesima corsa al documento formalmente corretto? Perché se il risultato sarà avere più policy ma gli stessi server esposti, più organigrammi ma gli stessi backup mai ripristinati, più notifiche ma gli stessi sistemi legacy, allora non avremo fatto cybersecurity. Avremo fatto burocrazia con l’antivirus.
DSA, DMA e la passione per regolare i giganti facendo inciampare tutti gli altri
Il Digital Services Act e il Digital Markets Act sono stati presentati come la grande risposta europea allo strapotere delle Big Tech. E sulla carta il bersaglio è comprensibile: piattaforme enormi, gatekeeper, marketplace globali, motori di ricerca, social network, sistemi pubblicitari opachi. Il problema è che ogni volta che l’Europa prova a colpire i giganti, finisce per creare un clima regolatorio che pesa anche su chi gigante non è.
Le grandi piattaforme hanno eserciti di avvocati, compliance officer, public policy manager e budget dedicati. La PMI europea no. La startup europea no. Il provider indipendente no. L’e-commerce con quattro dipendenti no. Quindi il paradosso è sempre lo stesso: la regola nasce per limitare i colossi, ma i colossi sono quelli meglio attrezzati per sopravvivere alla regola. Gli altri arrancano, rinviano, pagano consulenze, riducono il rischio, evitano funzionalità, non sperimentano.
In pratica l’Europa continua a dire di voler creare campioni digitali, ma costruisce un ambiente in cui per lanciare un prodotto devi prima chiederti se stai violando tre regolamenti, due direttive, una linea guida, un considerando e l’umore del garante nazionale del giovedì pomeriggio.
Omnibus: quando devi semplificare il casino che hai creato
La parola “Omnibus” è meravigliosa. Sa di autobus normativo pieno di gente stanca, valigie, pacchi, emendamenti e buone intenzioni. Abbiamo avuto la direttiva Omnibus sui consumatori, con nuove regole su sconti, marketplace, recensioni, trasparenza dei ranking e pratiche commerciali. Anche qui: obiettivi comprensibili. Nessuno vuole finti sconti, recensioni comprate o marketplace opachi. Ma ancora una volta la cura europea è la stessa: aggiungere livelli.
Ogni promozione diventa una questione interpretativa. Ogni recensione richiede procedure di verifica. Ogni ranking deve essere spiegato. Ogni marketplace deve dichiarare ruoli, responsabilità e parametri. Tutto giusto, in teoria. Tutto costoso, in pratica. Soprattutto per chi vende, sviluppa, integra, mantiene, aggiorna e deve pure competere con operatori extra UE che spesso entrano sul mercato con una leggerezza sconosciuta all’impresa europea media.
La parte comica è che poi arriva il Digital Omnibus, cioè l’Europa che dice: “Forse abbiamo esagerato, semplifichiamo”. Magnifico. È come dare fuoco alla cucina e poi presentarsi con un bicchiere d’acqua dicendo: “Abbiamo avviato una strategia antincendio”.
Data Act, Data Governance Act, AI Act: il trittico del “non innovare senza autorizzazione morale”
Nel frattempo, sul fronte dati e intelligenza artificiale, l’Europa ha deciso di non farsi mancare nulla. Data Governance Act, Data Act, AI Act. Accesso ai dati, condivisione, intermediari, obblighi, rischio, trasparenza, documentazione, governance, responsabilità. Sembra sempre tutto ragionevole, finché non sei tu quello che deve costruire davvero un prodotto.
Il problema non è avere regole. Il problema è avere regole stratificate prima ancora di avere un’industria pienamente matura. Gli Stati Uniti hanno costruito hyperscaler, chip ecosistemi AI, piattaforme cloud, modelli AI, marketplace software, strumenti developer e infrastrutture globali. Poi, con tutti i loro difetti, discutono di come regolarli. L’Europa spesso fa il contrario: prima costruisce il recinto, poi si accorge che dentro non c’è il cavallo.
L’AI Act è l’esempio perfetto della nostra postura culturale: essere i primi al mondo a regolare l’intelligenza artificiale. Benissimo, applausi, standing ovation, medaglia al valore normativo. Ma nel frattempo chi guida il mercato? OpenAI, Google, Anthropic, Meta, xAI, aziende americane e, sempre più spesso, player cinesi. L’Europa? L’Europa fa conferenze sulla sovranità digitale e finanzia piani per diventare un “continente AI”. Un giorno, forse. Intanto il mondo usa API americane.
Cyber Resilience Act, DORA, accessibilità: ogni settore il suo mattone
Non bastava. Abbiamo anche il Cyber Resilience Act per i prodotti con elementi digitali, DORA per la resilienza operativa digitale del settore finanziario, la Product Liability aggiornata al software e all’AI, l’European Accessibility Act per rendere accessibili prodotti e servizi digitali, inclusi gli e-commerce. Anche qui: obiettivi spesso condivisibili. Sicurezza, responsabilità, accessibilità. Chi potrebbe essere contrario?
Ma il punto è il peso cumulativo. Ogni norma, presa singolarmente, sembra difendibile. Il disastro nasce dalla somma. È come caricare uno zaino: un libro non pesa troppo, due nemmeno, tre si portano, dieci iniziano a farti male, trenta ti rompono la schiena. L’impresa digitale europea oggi cammina con quello zaino: privacy, cookie, sicurezza, accessibilità, consumatori, piattaforme, dati, AI, contratti, responsabilità, notifiche, audit, fornitori, subfornitori, trasferimenti, log, informative.
E poi ci chiediamo perché molte aziende non scalano. Forse perché prima di scalare devono compilare.
RAMageddon: quando scopri che il digitale ha bisogno di fabbriche vere
Ed eccoci al punto che dovrebbe farci arrossire più di qualunque procedura d’infrazione: la produzione. Perché al di là di tutte le leggi, i regolamenti, le direttive, i piani strategici, le dichiarazioni solenni e le conferenze sulla “sovranità digitale”, poi arriva la realtà materiale. E la realtà materiale si chiama RAM. Si chiama DRAM. Si chiama HBM. Si chiama NAND. Si chiama storage. Si chiama silicio, wafer, fab, supply chain, energia, acqua ultrapura, macchine litografiche, packaging avanzato, resa produttiva, capacità industriale.
Il digitale, sorpresa delle sorprese, non vive nell’iperuranio delle policy. Vive nei data center. E i data center hanno bisogno di server. I server hanno bisogno di CPU, GPU, RAM, SSD, controller, schede, alimentazione, raffreddamento, rete. L’intelligenza artificiale, quella vera, quella che tutti invocano nei comunicati stampa, ha fame di memoria. Fame brutale. La RAM non è un dettaglio. È l’ossigeno dell’elaborazione moderna. Senza memoria non addestri modelli, non fai inference su larga scala, non servi applicazioni complesse, non costruisci cloud competitivo, non reggi carichi enterprise, non fai HPC, non fai niente.
E cosa scopriamo con la crisi ribattezzata “RAMageddon”? Che quando la domanda globale di memoria esplode, soprattutto per l’AI e per i data center, il consumatore europeo, l’azienda europea, il provider europeo e il sistemista europeo si trovano esposti come turisti in infradito durante una grandinata. Prezzi che salgono, disponibilità che si riduce, lead time che si allungano, preventivi che cambiano, refresh hardware che slittano, margini che evaporano. E noi? Noi possiamo sempre approvare una direttiva sul diritto dell’utente a ricevere una spiegazione comprensibile del rincaro. Bellissimo. Non abbassa il prezzo di un DIMM, ma vuoi mettere la soddisfazione normativa?
Il problema è semplice e gigantesco: l’Europa non è indipendente nella produzione delle memorie fondamentali per il digitale moderno. Abbiamo eccellenze straordinarie nella filiera dei semiconduttori, a partire da ASML nella litografia, e abbiamo player importanti nei chip industriali, automotive e power electronics. Ma quando si parla di DRAM, HBM e NAND su scala globale, il baricentro è altrove: Corea del Sud, Stati Uniti, Giappone, Taiwan, Cina. Il mondo della memoria è dominato da pochi colossi, con capacità produttive immense, investimenti miliardari e controllo di segmenti strategici della catena.
E allora la domanda è brutale: che sovranità digitale vuoi avere se non produci la memoria su cui gira il digitale? Che autonomia strategica vuoi raccontare se ogni server europeo dipende da componenti prodotti, allocati, prezzati e prioritizzati fuori dall’Europa? Che AI europea vuoi costruire se la memoria la compri in coda, dopo gli hyperscaler americani che arrivano con contratti enormi e capacità di spesa fuori scala?
La RAM non si stampa con una consultazione pubblica
Qui l’ironia diventa quasi difficile, perché la situazione è tragicamente concreta. Mentre noi discutiamo di governance, i grandi produttori asiatici e americani investono in nuovi impianti, aumentano capacità, spostano linee verso HBM, NAND evolute e memorie ad alto margine. L’AI ha cambiato la domanda mondiale: non serve solo più potenza di calcolo, serve più memoria, più banda, più storage, più capacità di alimentare modelli e applicazioni. La memoria è diventata una risorsa strategica, non un accessorio da supermercato dell’informatica.
Per anni molti hanno trattato la RAM come commodity: un componente intercambiabile, da comprare quando serve al prezzo migliore. Poi arriva la scarsità, e improvvisamente scopri che la commodity non era così banale. Scopri che dietro quei moduli ci sono fabbriche costosissime, processi produttivi avanzatissimi, supply chain fragili, cicli di investimento pluriennali, concentrazione industriale e geopolitica. Scopri che se non hai produzione, non hai leva. E se non hai leva, subisci.
Subisci i prezzi. Subisci le priorità dei produttori. Subisci le tensioni tra Stati. Subisci l’AI build-out degli altri. Subisci la fame di memoria degli hyperscaler. Subisci l’allocazione dei componenti. Subisci anche lo storage, perché il problema non riguarda solo la RAM volatile. Riguarda anche NAND flash, SSD enterprise, storage ad alta capacità, infrastrutture per data center, archiviazione calda e fredda, sistemi distribuiti, backup, disaster recovery, object storage, appliance, server di virtualizzazione.
Ogni volta che aumenta il costo della memoria o dello storage, aumenta il costo dell’infrastruttura. E quando aumenta il costo dell’infrastruttura, aumenta il costo del cloud, dell’hosting, dei servizi managed, dei backup, della cybersecurity, dell’AI, dell’e-commerce, della produttività digitale. Alla fine il conto arriva sempre allo stesso posto: aziende e cittadini.
La sovranità digitale senza industria è teatro
La parola “sovranità digitale” è diventata il prezzemolo dei discorsi istituzionali. La trovi ovunque. Sovranità digitale qui, autonomia strategica là, resilienza europea sopra, ecosistema competitivo sotto. Ma senza produzione, questa sovranità è teatro. Una scenografia ben illuminata con dietro il vuoto.
Per essere sovrani non basta scrivere regole su come devono comportarsi gli altri. Bisogna saper produrre. Bisogna saper fabbricare chip, server, storage, apparati di rete, sistemi operativi, piattaforme cloud, modelli AI, software di base, database, hypervisor, orchestratori, componentistica critica. Bisogna avere energia a costi sostenibili, capitale, competenze, filiere, università, venture capital, appalti intelligenti e una politica industriale vera. Non una politica industriale da convegno, ma una politica industriale da capannoni, impianti, assunzioni, wafer, macchine, turni, manutenzione e capacità produttiva.
Il progresso non nasce solo dalla legge. La legge può creare condizioni, correggere abusi, proteggere diritti. Ma il progresso nasce dalla produzione. Nasce da chi progetta, costruisce, sbaglia, investe, rischia, assume, brevetta, scala, esporta. Una società che pensa di governare la tecnologia senza produrla diventa una società notarile: certifica il mondo fatto dagli altri.
Ed è esattamente il rischio europeo. Diventare il notaio morale della tecnologia globale. Quello che non possiede le piattaforme, non produce abbastanza hardware strategico, non domina il cloud, non guida l’AI, non controlla le memorie, ma spiega a tutti come si dovrebbero comportare. Una figura quasi commovente: con la penna rossa in mano mentre gli altri costruiscono fabbriche.
Chips Act: bene, ma dopo la festa chi costruisce davvero?
Il Chips Act europeo nasce proprio dal riconoscimento di una vulnerabilità reale: la dipendenza da filiere globali fragili e concentrate. Bene. Finalmente qualcuno ha capito che i semiconduttori non sono un dettaglio tecnico per nerd, ma un’infrastruttura di potere. Peccato che capirlo nel 2023, dopo crisi pandemiche, shortage, tensioni geopolitiche e anni di ritardo industriale, abbia il sapore di chi chiama i vigili del fuoco quando resta solo il camino.
L’Europa vuole aumentare la propria quota nella produzione globale di semiconduttori, ridurre dipendenze e rafforzare l’ecosistema. Ottimo. Ma il punto è la scala. Perché mentre noi programmiamo, altri investono cifre gigantesche. Mentre noi negoziamo autorizzazioni, altri costruiscono fab. Mentre noi discutiamo di governance, altri firmano contratti pluriennali per forniture strategiche. Mentre noi immaginiamo un futuro più autonomo, il presente lo compriamo da fuori.
Il problema non è dire che il Chips Act sia inutile. Il problema è che arriva dentro un continente che per anni ha trattato l’industria come una cosa sporca, lenta, poco elegante, mentre celebrava servizi, finanza, regolazione e terziario avanzato. Poi, quando il mondo torna brutalmente materiale, scopriamo che la produzione conta. Che le fabbriche contano. Che le supply chain contano. Che le miniere, i materiali, l’energia e gli impianti contano. Che non basta essere bravi a scrivere norme se poi non sai produrre ciò che quelle norme vorrebbero governare.
Il danno vero: una cultura del rischio zero
Il danno più grave non è nemmeno il costo diretto della compliance. Il danno vero è culturale. L’Europa sta educando le imprese digitali a pensare prima al rischio legale e poi al prodotto. Prima alla sanzione e poi al mercato. Prima alla policy e poi all’utente. Prima al parere del consulente e poi alla roadmap.
Questa mentalità uccide l’innovazione in modo silenzioso. Non con un divieto esplicito, ma con una domanda tossica che entra in ogni riunione: “Possiamo farlo?” Non “funziona?”, non “serve agli utenti?”, non “ci rende competitivi?”, non “è tecnicamente solido?”. No: “Possiamo farlo senza finire in un problema regolatorio?”
Nel digitale, la velocità è un fattore competitivo. Iterare, testare, misurare, sbagliare, correggere. Ma se ogni test diventa un potenziale dossier di compliance, l’esperimento muore prima di nascere. E quando l’Europa rallenta i propri operatori, non rallenta il mondo. Rallenta solo se stessa.
Questo vale anche per l’industria. Costruire impianti, produrre semiconduttori, sviluppare storage, progettare hardware, competere nell’AI richiede rischio. Richiede capitali pazienti, errori costosi, autorizzazioni rapide, energia stabile, mercato interno capace di comprare europeo non per folklore ma per strategia. Se invece ogni iniziativa viene sommersa da permessi, verifiche, incertezze, opposizioni, procedure e tempi infiniti, poi non stupiamoci se gli investimenti vanno dove si costruisce davvero.
L’Europa predica, gli altri costruiscono
Ed eccoci alla conclusione più amara. L’Europa parla di sovranità digitale, autonomia strategica, protezione dei cittadini, economia dei dati, cloud europeo, AI affidabile, infrastrutture critiche, innovazione sostenibile. Parole bellissime. Peccato che mentre noi parliamo, gli altri costruiscono.
Gli Stati Uniti hanno hyperscaler, piattaforme, modelli AI, capitale di rischio, ecosistemi developer, cultura del prodotto e capacità di scala. La Corea del Sud domina pezzi fondamentali della memoria. Il Giappone resta strategico nello storage NAND e nei materiali. Taiwan è centrale nella manifattura avanzata. La Cina avanza con un modello completamente diverso, discutibile quanto si vuole, ma industrialmente aggressivo. L’Europa invece eccelle in una disciplina olimpica tutta sua: arrivare tardi, regolamentare presto e stupirsi di non essere leader.
E la provocazione finale è inevitabile: cara Europa, dopo anni passati a spiegare al mondo come si fa il digitale “giusto”, dove sarebbe il tuo grande modello AI globale? Dov’è il tuo vero campione infrastrutturale? Dov’è la piattaforma europea che il mondo non può ignorare? Dov’è la filiera europea delle memorie? Dov’è il nostro dominio nello storage? Dov’è la capacità produttiva che ci rende indipendenti quando il mercato globale decide che la RAM costa il doppio, il triplo o semplicemente non arriva?
Ci sono realtà valide, certo, e non vanno sminuite. Ci sono competenze, ricerca, aziende importanti, eccellenze industriali. Ma il baricentro dell’innovazione resta altrove. E questo dovrebbe farci meno conferenze e più vergogna.
Perché proteggere i cittadini è doveroso. Rendere sicuro il digitale è indispensabile. Difendere i consumatori è corretto. Ma se per farlo costruisci un continente dove innovare costa più burocrazia che sviluppo, e nello stesso tempo non produci abbastanza ciò che serve per sostenere quell’innovazione, allora non stai proteggendo il futuro: lo stai amministrando fino alla morte.
Non può esserci progresso senza produzione. Può esserci regolazione, può esserci controllo, può esserci compliance, può esserci un meraviglioso portale europeo con grafica istituzionale e documento scaricabile in PDF. Ma il progresso vero nasce dove si costruisce. Dove si fabbrica. Dove si investe. Dove si rischia. Dove si produce la memoria che alimenta i server, lo storage che conserva i dati, i chip che eseguono i calcoli, le infrastrutture che rendono possibile tutto il resto.
Cara Europa, hai rotto. Non perché vuoi regole. Ma perché hai dimenticato che le regole dovrebbero servire a far funzionare meglio le cose, non a sostituire le cose che non hai avuto il coraggio di costruire.
