Se il GDPR fosse un poema cavalleresco, quello che si è letto sui social in questi ultimi due anni potrebbe assomigliare alle quartine per il suo canto celebrativo.
Come esperto di privacy che ha passato l’ultimo decennio a navigare tra registri del trattamento spessi quanto l'Odissea e sanzioni che vengono bistrattate e sottovalutate, mi sento quasi commosso.
Quasi.
La Teoria, la Pratica e il tasto "Accetta Tutto"
Diversi esperti del diritto (e non solo) parlano del dato-petrolio, del dato-estensione della persona. Visionari!!! Sarebbe fantastico poterci concentrare sui massimi sistemi, peccato che, nel mondo reale del 2026, la maggior parte dei cittadini tratti la propria "estensione della persona" come un volantino del supermercato: la getta nel primo cestino digitale disponibile pur di leggere un articolo sui gatti o sbloccare uno sconto del 5%.
Per non parlare poi della Metamorfosi del Dato.
Bellissima l'immagine del dato-petrolio che ci è stata figurata per anni e che ora – se ancora non lo avevi capito - non è più combustibile. Infatti, il dato, oggi, ha ben altra funzione e ce ne stiamo accorgendo anche grazie allo scontro tra realtà e AI Act.
E mentre noi filosofeggiamo sull'estensione dell'io, i data broker hanno semplicemente imparato a raffinare il prodotto meglio di prima.
Quindi non chiamiamolo petrolio, chiamiamolo "essenza distillata di utente". Un mercato più florido che mai.
Insomma, un conto è la teoria, un altro la pratica delle aziende, un altro ancora la compulsione dell’utente ad accettare tutto pur di sollazzarsi per mezzo secondo dietro all’ennesimo gancio clickbait.
Buona grazia che abbia capito che esistono i dark pattern…
Ed è chiaro che molti di quelli che ne hanno sentito parlare pensano che sia solo un videogioco anni ‘90.
"Privacy-by-design" o "Privacy-by-Power Point"?
Prendiamo la privacy by design. È un requisito obbligatorio – c’è chi dice “da applicare a ogni riga di codice" – perfetto. Ma se guardiamo ai fatti, è come dire che ogni automobilista rispetta rigorosamente i limiti di velocità, perché la legge impone i limiti di velocità.
Certo. Prova a farti un giro sulla statale Adriatica a luglio all’ora di punta…
Spesso, non sempre, se ci fai caso, la privacy-by-design è più simile a una privacy-by-Power Point: bellissimi schemi per i consulenti.
Intanto gli sviluppatori continuano a incollare codice da librerie terze che tracciano anche quante volte batti le palpebre.
Di nuovo, Teoria e Pratica cozzano come un rosso deciso e il pesce crudo.
E in Europa, su questo, a volte, siamo campioni mondiali…
Il GDPR ce lo hanno copiato. Una norma bellissima. L’abbiamo esportata…
Però.
Siamo diventati i migliori arbitri del mondo, in una partita che non stiamo giocando
C’è chi dice che abbiamo esportato burocrazia con eleganza: non software, ma valori.
Ce la raccontiamo bene, vero?
È un modo un po’ parac… ehm un capolavoro di equilibrismo retorico per dire che, non avendo campioni tecnologici europei in grado di competere con i colossi d'oltreoceano o d'oriente, abbiamo deciso di diventare i migliori arbitri del mondo in una partita che non stiamo giocando.
Rischiamo di diventare Curatori museali: “Prego, signori, venite avanti. Ammirate la bellezza normativa”. Intanto l’intonaco si scrosta dal soffitto, dalla perdita del pavimento si è generato un alone di muffa e l’abito inamidato che ci tiene dritti inizia stingersi.
È vero, la California ci ha copiato. Il Brasile pure. Abbiamo creato il più grande prodotto da esportazione europeo dopo il vino e la moda: il modulo di consenso.
E pur essendo orgoglioso dell’idea di avere una sovranità normativa, devo constatare che abbiamo tracciato confini così invalicabili che spesso nemmeno le nostre startup riescono ad attraversarli senza un team di tre avvocati e un esorcista.
Ma, ehi, i nostri valori sono al sicuro, anche se girano su server situati in Virginia.
Intanto gli LLM avanzano e assistiamo all’arrivo dell’AI Act che si interseca con il GDPR.
Ovvero, il matrimonio tra il righello e il buio.
L'AI Act èla prova di maturità del GDPR?
Si cerca di vedere nell'integrazione con l'AI Act la "prova di maturità" del GDPR.
A me sembra più un tentativo di spiegare a un'intelligenza artificiale generativa che non può mangiare i dati che ha già digerito tre anni fa.
Di nuovo, parliamo di questioni capitali, ma che per tanti sono lana caprina.
Se le persone – ma anche le aziende e, purtroppo, pure alcuni Consulenti e DPO - non capiscono cosa sono e come funzionano gli LLM, come si può rendere concreta la norma?
Auguri a spiegare i pesi di una rete neurale a un utente medio che non sa ancora distinguere tra un cookie tecnico e uno di profilazione…
Antropocentrismo: la persona al centro nel quadro europeo. Bellissimo, ma...
Vogliamo parlare di antropocentrismo? Bellissima parola. Nel frattempo, mentre c’è chi, in Europa, si diletta a costruire impalcature essenziali e alvei antropocentrici per normare l’intelligenza generativa affinché abbia l’uomo al centro, il resto del mondo costruisce modelli.
Ci torno sopra: noi regoliamo l'innovazione degli altri, sperando che gli altri leggano il nostro manuale di istruzioni, prima di renderci obsoleti.
Cosa resta davvero di questi 10 anni di GDPR?
Prendiamo 3 aspetti e testiamoli sui fatti:
- Consapevolezza: il cittadino oggi sa di avere dei diritti? Forse. Di sicuro sa che i banner dei cookie sono lo stress test più efficace della storia della psicologia moderna.
- Trust Tech, Trust-based Technologies, Digital Trust e quant’altro: utili sì. Ma è anche un modo elegante per dire che ora paghiamo qualcuno per assicurarci di non essere multati e non necessariamente per proteggere meglio i dati…
- Enforcement asimmetrico tra diversi Stati dell’UE: mentre l'Irlanda e il Lussemburgo giocavano a "guardie e ladri" con le Big Tech, le piccole imprese venivano travolte da una burocrazia pensata per chi fattura miliardi.
Siamo ancora al tavolo dei commensali o pensiamo solo di esserci?
Oggi, chi non siede al tavolo delle potenze digitali finisce sul menu. L’Europa dov’è? Sul menu? Forse no.
Non siamo più sul menu. Siamo seduti al tavolo. Il problema è che, dopo dieci anni passati a discutere sulla forma delle posate e sulla provenienza biologica dei tovaglioli, non ci siamo accorti che la cena si sta consumando in nostra assenza.
Ma almeno abbiamo la dignità digitale.
E un banner che ci chiede se vogliamo accettare i cookie, proprio ora che i cookie stanno per morire di vecchiaia.
Salute!
