3,136 subscribers

Oltre il Binarismo entra nella fase di stress test pubblici

Antonio Ieranò

Information & Cybersecurity Strategist | Digital Sovereignty • AI Governance • Complex Systems | Author, Researcher & Occasional Philosopher | Views stubbornly my own. 🧠

September 8, 2026

Il progetto Oltre il Binarismo cambia fase.

Finora ho provato a costruire e rendere esplicito un impianto epistemologico: un modo di leggere sistemi complessi senza costringerli troppo presto dentro categorie discrete che, spesso, appartengono più ai nostri strumenti decisionali che alla struttura dei fenomeni osservati.

Il Manifesto ha rappresentato il punto di partenza.

I dieci punti successivi ne hanno sviluppato i concetti fondamentali.

L’Epilogo ha provato a trasformare quell’impianto in un primo protocollo operativo.

Ma, se il progetto vuole avere qualche ambizione in più rispetto alla semplice eleganza teorica, arriva inevitabilmente il momento meno comodo.

Bisogna provare a romperlo.

E possibilmente non scegliendo esempi costruiti apposta perché funzioni.

Da qui nasce la nuova fase di Oltre il Binarismo: una serie di Working Paper dedicati non tanto ad “applicare” il Protocollo, quanto a sottoporlo progressivamente a perturbazioni diverse.

Semantiche.

Tecnologiche.

Organizzative.

Giuridiche.

Manageriali.

E, alla fine, metodologiche.

Il primo Working Paper è già pronto.

Working Paper 001 — Il concetto di normalità come test metodologico

Il primo test parte da una parola che utilizziamo continuamente e che proprio per questo raramente interroghiamo con sufficiente attenzione:

normalità.

Statistica, medicina, biologia, società, diritto, morale.

La parola rimane la stessa.

Il modello che le attribuisce significato cambia.

Il Working Paper prova quindi a verificare se il Protocollo riesca a distinguere correttamente i diversi livelli descrittivi, individuare gli slittamenti semantici e impedire che una categoria costruita per prendere decisioni operative venga trasformata troppo rapidamente in proprietà ontologica.

Il caso utilizzato come banco di prova è volutamente poco tranquillo: Il mondo al contrario di Roberto Vannacci.

Non come recensione.

Non come esercizio politico.

Ma come test metodologico su un concetto capace di attraversare statistica, biologia, natura, salute e giudizio sociale all’interno dello stesso spazio argomentativo.

Il risultato più interessante non è stabilire chi abbia ragione.

È capire quando una parola mantiene la stessa forma mentre il livello descrittivo cambia sotto i nostri occhi.

Working Paper 002 — AI, agency e intenzione

Il secondo Working Paper tornerà invece alla questione dalla quale, in parte, è nato tutto il progetto.

Quando un sistema di intelligenza artificiale produce comportamenti coerenti con un obiettivo, pianifica, corregge la propria strategia e mantiene una certa continuità operativa, che cosa siamo autorizzati a inferire?

Agency?
Autonomia?
Intenzione?
Comprensione?
Coscienza?

Oppure stiamo ontologizzando troppo rapidamente proprietà funzionali?

Il test dovrà evitare due scorciatoie simmetriche.

La prima è l’antropomorfismo ingenuo:

“si comporta come se volesse qualcosa, quindi vuole qualcosa”.

La seconda è altrettanto problematica:

“non posso dimostrare esperienza soggettiva, quindi nessuna proprietà funzionale intermedia è epistemicamente interessante”.

Tra queste due posizioni esiste un territorio molto più ricco.

Ed è precisamente quel territorio che il Protocollo dovrà attraversare.

Working Paper 003 — Il SOC come macchina epistemologica

Qui il progetto entra direttamente nella cybersecurity.

Un SOC non riceve “incidenti”.

Riceve segnali.
Eventi.
Alert.
Anomalie.
Indicatori.

Informazioni incomplete e spesso contraddittorie.

Poi correla.
Contestualizza.
Formula ipotesi.
Assegna priorità.
Supera soglie.

E, a un certo punto, qualcosa che prima era soltanto telemetria diventa operativamente un incidente.

La domanda epistemologica diventa quindi inevitabile:

quando un evento diventa incidente?

Non soltanto tecnicamente.

Ma conoscitivamente.

Quale ruolo hanno contesto, correlazione, confidence, threat intelligence, asset criticality, rischio e procedure?

Il SOC è forse uno dei migliori esempi di come una organizzazione trasformi segnali probabilistici in decisioni discrete.

E potrebbe essere anche uno dei migliori stress test per il concetto di stabilità operativa.

Working Paper 004 — Sicurezza, fragilità e resilienza

Dire che un sistema è “sicuro” è probabilmente una delle affermazioni più diffuse e meno determinate dell’intero settore.

Sicuro rispetto a cosa?
Quale minaccia?
Quale attaccante?
Quale finestra temporale?
Quale asset?
Quale proprietà vogliamo preservare?
Riservatezza?
Integrità?
Disponibilità?
Continuità?

Un sistema può essere vulnerabile e tuttavia sufficientemente robusto rispetto a una classe di perturbazioni.

Può essere compromesso in una componente e mantenere comunque determinate funzioni essenziali.

Può apparire perfettamente sicuro fino al momento in cui incontra la perturbazione per la quale non era stato progettato.

Qui Oltre il Binarismo dovrà confrontarsi direttamente con il proprio Punto VII:

fragilità come proprietà strutturale.

Working Paper 005 — Dal RoPA al Data Protection Operations Model

La Data Protection potrebbe offrire un test ancora diverso.

Il GDPR è costruito su accountability, rischio, adeguatezza, revisione e dimostrabilità.

Molte implementazioni reali continuano però a comportarsi come fotografie.

RoPA aggiornato periodicamente.

DPIA elaborate e poi archiviate.

Data map costruite durante un progetto.

Inventari che descrivono ciò che l’organizzazione ritiene di avere, non necessariamente ciò che realmente esiste nei sistemi.

Da qui una domanda:

può la protezione dei dati evolvere verso un modello operativo continuo analogo, ma non identico, a quello del SOC?

Data discovery.
Classification.
Lineage.
DSPM.
IAM.
DLP.
Retention.
Transfers.
Finalità.
Base giuridica.
AI.

L’obiettivo non sarebbe creare un improbabile SOC della privacy con altrettanti monitor al muro.

Sarebbe rendere continuamente osservabile la distanza tra il trattamento dichiarato e il trattamento reale.

Con una differenza fondamentale:

un trattamento può essere tecnicamente impeccabile e giuridicamente illecito.

Sicuro non significa necessariamente lecito.

Ed è precisamente questo tipo di distinzione che il Protocollo dovrebbe essere capace di preservare.

Working Paper 006 — Risk Appetite: la soglia che fingiamo essere un dato

Il Risk Appetite è forse uno dei luoghi nei quali la trasformazione di una decisione in proprietà naturale diventa più evidente.

Matrici.
Colori.
Score.
Soglie.
Verde.
Giallo.
Rosso.

E improvvisamente un rischio “diventa” inaccettabile perché ha attraversato una riga.

Naturalmente il rischio non sa nulla della matrice.

Non cambia struttura perché qualcuno ha colorato una cella.

È l’organizzazione che cambia regime decisionale.

Il Working Paper dovrà quindi distinguere:

risk appetite,
risk tolerance,
risk capacity,
residual risk,
acceptance authority.

E soprattutto chiedere:

chi istituisce la soglia, sulla base di quali obiettivi e con quale responsabilità?

È il passaggio con cui il Protocollo entra definitivamente nella boardroom.

Working Paper 007 — GDPR, NIS2 e AI Act

A questo punto entrerà il diritto.

Non prima.

Perché voglio arrivarci dopo aver già perturbato il Protocollo sul piano semantico, tecnico, operativo e manageriale.

La tesi centrale sarà relativamente semplice:

il diritto può produrre decisioni booleane attraverso processi epistemici, valutativi e probatori non-booleani.

GDPR.
NIS2.
AI Act.
Adeguatezza.
Proporzionalità.
Probabilità.
Gravità.
State of the art.
Risk management.
Continuous compliance.

Il diritto decide.

Ma il percorso che rende possibile quella decisione può essere molto meno binario del risultato finale.

Working Paper 008 — Quando il linguaggio diventa controllo

Questo Working Paper svilupperà il lato performativo del progetto.

Una policy non descrive soltanto.

Una classificazione non descrive soltanto.

Un’etichetta “Highly Confidential” non modifica fisicamente il file, ma può modificarne accessibilità, logging, retention, possibilità di condivisione e gestione in caso di incidente.

Il linguaggio cambia lo status operativo dell’oggetto.

Con l’AI generativa questo problema diventa ancora più interessante.

Quando un sistema produce:

valutazioni,
sintesi,
classificazioni,
raccomandazioni,
policy,
decision support,

non sta necessariamente limitandosi a descrivere.

Può contribuire alla costruzione della realtà istituzionale che altri sistemi e persone utilizzeranno successivamente per decidere.

Il confine tra linguaggio e controllo diventa quindi un ottimo banco di prova.

Working Paper 009 — Il problema della misura

Qui entreremo nel meraviglioso mondo dei numeri che sembrano molto precisi finché qualcuno non chiede da dove arrivino.

Risk score.
Cyber maturity.
Privacy score.
AI risk.
KPI.
KRI.
ROSI.
Probability.
Impact.

Tre cifre decimali, possibilmente.

Il numero ha una proprietà psicologica straordinaria: trasforma immediatamente l’incertezza in qualcosa che assomiglia molto alla conoscenza.

Ma la misura è una mediazione.

Non è il fenomeno.

Il problema non consiste nel quantificare.

Consiste nel dimenticare quale modello abbia prodotto quella quantificazione, quali assunzioni contenga e quale errore porti con sé.

Sospetto che qui ci divertiremo parecchio.

Working Paper 010 — Provate a rompere il Protocollo

L’ultimo Working Paper sarà diverso dagli altri.

Non partirà da un caso scelto per mostrare dove il modello funziona.

Partirà dalle obiezioni raccolte durante tutta la serie.

L’obiettivo sarà deliberatamente distruttivo.

Dove il pluralismo descrittivo diventa banalità?

Dove “stabilità operativa” è troppo generica?

Dove il Protocollo complica inutilmente un problema semplice?

Dove produce falsi positivi di ontologizzazione prematura?

Dove una categoria binaria è semplicemente quella corretta?

Dove il modello non aggiunge nulla rispetto agli strumenti già esistenti?

Se al termine della serie il Protocollo sarà ancora in piedi, potremo cominciare a discutere seriamente di una versione 1.0.

Se sarà cambiato, ancora meglio.

Se sarà crollato, avremo comunque imparato qualcosa.

E dopo?

Dopo i Working Paper arriverà il libro.

Non come raccolta di articoli LinkedIn.

Non come rilegatura elegante di cose già pubblicate.

Il libro dovrebbe essere il punto nel quale il Manifesto, i test, le critiche e le modifiche prodotte durante il percorso vengono consolidati in un impianto coerente.

Una fotografia?

No.

Sarebbe un po’ contraddittorio.

Diciamo una prima configurazione sufficientemente stabile.