3,136 subscribersSubscribed

Oltre il binarismo nel diritto della tecnologia

Antonio Ieranò

Information & Cybersecurity Strategist | Digital Sovereignty • AI Governance • Complex Systems | Author, Researcher & Occasional Philosopher | Views stubbornly my own. 🧠

September 4, 2026

Epistemologia dinamica, rischio e governance tra GDPR, NIS2 e AI Act

Antonio “AI” Ieranò

Abstract

Il diritto produce continuamente decisioni discrete: una condotta è lecita o illecita, un obbligo è rispettato o violato, una sanzione viene applicata oppure no. Da questa necessità decisionale deriva facilmente l’impressione che il diritto operi secondo una struttura essenzialmente binaria.

La tesi sviluppata in questo lavoro è differente: l’esito giuridico può essere booleano senza che lo sia necessariamente il processo epistemico, valutativo e probatorio attraverso il quale quell’esito viene costruito.

Muovendo dal mio Manifesto per un’Epistemologia Dinamica Non-Booleano, propongo di leggere il Regolamento generale sulla protezione dei dati, la Direttiva NIS2 e l’AI Act come tre manifestazioni, differenti ma comparabili, di una trasformazione caratteristica della regolazione contemporanea del rischio: il passaggio da una conformità rappresentata come stato a una conformità governata come processo.

Concetti quali adeguatezza, proporzionalità, probabilità, gravità, stato dell’arte, robustezza, rischio significativo e ragionevole prevedibilità non eliminano la decisione giuridica. Introducono piuttosto gradienti, soglie operative e obblighi di motivazione necessari per governare fenomeni complessi e mutevoli.

Il lavoro esplora inoltre una conseguenza organizzativa di tale impostazione: molte delle frizioni tra giuristi, tecnici e management possono derivare non da incompatibilità sostanziali, ma dalla sovrapposizione inconsapevole di differenti livelli descrittivi.

Come applicazione concreta del framework epistemologico viene quindi sviluppato un modello articolato lungo cinque coordinate:

Livello → Perturbazione → Stabilità → Evidenza → Responsabilità

Il modello non pretende di sostituire l’interpretazione giuridica, la valutazione tecnica o la decisione manageriale. Si propone come grammatica di traduzione capace di rendere espliciti i passaggi attraverso i quali un’affermazione di conformità può diventare tecnicamente verificabile, giuridicamente sostenibile e organizzativamente governabile.

Parole chiave

Epistemologia non-booleana; compliance; accountability; risk-based regulation; GDPR; NIS2; AI Act; sistemi complessi; governance; proporzionalità; discrezionalità; cybersecurity; intelligenza artificiale.

Introduzione

Il diritto ama le decisioni.

E, per certi versi, non potrebbe essere altrimenti.

Alla fine di un procedimento occorre stabilire se una domanda sia accolta o respinta, se una condotta sia lecita o illecita, se un obbligo sia stato rispettato, se una responsabilità possa essere attribuita, se una sanzione debba essere applicata.

Il problema nasce quando dalla necessità di produrre una decisione discreta inferiamo che anche la realtà sulla quale quella decisione interviene debba essere necessariamente discreta.

È una scorciatoia epistemologica estremamente rassicurante.

Conforme o non conforme.

Sicuro o insicuro.

High-risk o non high-risk.

Responsabile o non responsabile.

L’interruttore funziona magnificamente, soprattutto nelle presentazioni PowerPoint. Il mondo, con la consueta maleducazione, tende invece a comportarsi in maniera un po’ più complicata.

Nel mio Manifesto per un’Epistemologia Dinamica Non-Booleano ho sostenuto che molte delle categorie con cui descriviamo sistemi biologici, cognitivi, artificiali e sociali vengono impropriamente trasformate in proprietà ontologiche discrete. Ho proposto invece una lettura fondata su livelli descrittivi, mediazione strutturale della conoscenza, stabilità operativa, non-binarietà, plasticità, fragilità e pluralismo descrittivo coerente.

Il presente lavoro rappresenta una prima applicazione sistematica di quell’impianto al dominio giuridico-regolatorio.

Non intendo sostenere che il diritto sia, o debba diventare, fuzzy logic applicata.

Sarebbe una semplificazione speculare a quella che intendo criticare.

Il diritto ha bisogno di soglie. Ha bisogno di categorie. Ha bisogno, soprattutto, di produrre effetti determinati.

La questione è diversa.

Le soglie giuridiche non devono necessariamente essere confuse con la struttura ontologica dei fenomeni ai quali vengono applicate.

Una soglia può essere necessaria per decidere senza che il fenomeno sottostante sia necessariamente discontinuo.

Questa distinzione diventa particolarmente rilevante nei moderni sistemi europei di regolazione del rischio.

Il GDPR richiede al titolare di considerare natura, ambito, contesto e finalità del trattamento, nonché rischi caratterizzati da probabilità e gravità differenti, adottando misure tecniche e organizzative adeguate e riesaminandole quando necessario (Regolamento (UE) 2016/679, art. 24).

La NIS2 richiede misure tecniche, operative e organizzative adeguate e proporzionate, introducendo nella loro valutazione elementi quali stato dell’arte, costi di attuazione, esposizione al rischio, dimensione dell’entità, probabilità e gravità degli incidenti e loro possibile impatto sociale ed economico. Colloca inoltre gli organi di gestione all’interno del circuito decisionale della cybersecurity, attribuendo loro compiti di approvazione e supervisione (Direttiva (UE) 2022/2555, artt. 20 e 21).

L’AI Act rende il fenomeno ancora più evidente. Accanto a soglie normative vere e proprie, comprese le pratiche vietate e la classificazione dei sistemi ad alto rischio, introduce per questi ultimi un sistema di gestione del rischio espressamente definito come processo continuo e iterativo lungo l’intero ciclo di vita del sistema (Regolamento (UE) 2024/1689, artt. 5, 6 e 9).

Il problema di ricerca può quindi essere formulato in questi termini:

può un’epistemologia dinamica non-booleana fornire una grammatica utile per comprendere e ridurre le frizioni interpretative tra diritto, tecnologia e management nei moderni regimi europei di governo del rischio?

La mia ipotesi è che possa farlo.

Non perché sostituisca le discipline esistenti, ma precisamente perché impedisce a ciascuna di esse di assumere prematuramente il proprio livello descrittivo come descrizione esaustiva del reale.

Dal Manifesto al diritto: contro l’ontologia prematura della conformità

Il primo principio del Manifesto è una forma di prudenza ontologica.

Prima di attribuire a un fenomeno una proprietà definitiva occorre chiedere a quale livello lo stiamo descrivendo.

Un medesimo sistema di intelligenza artificiale può essere descritto a livello computazionale, funzionale, economico, organizzativo, sociale e giuridico. Le diverse descrizioni non sono necessariamente incompatibili. Diventano incompatibili quando una pretende di esaurire l’oggetto.

Lo stesso problema si presenta nella compliance.

Dire che un’organizzazione “è conforme” tende a trasformare una relazione in una proprietà.

Ma conforme a cosa?

Rispetto a quale trattamento?

A quale sistema?

A quale momento?

In relazione a quale rischio?

Sulla base di quali evidenze?

E, soprattutto, quanto continuerà a essere sostenibile quell’affermazione se qualcosa cambia?

L’ontologia prematura della conformità consiste precisamente nel dimenticare queste domande e trasformare il risultato contingente di un processo di valutazione in una caratteristica permanente dell’organizzazione.

La compliance diventa così una specie di qualità araldica.

Una volta conquistata dovrebbe accompagnare l’azienda nei secoli dei secoli.

Gli incidenti informatici, i cambiamenti tecnologici, le acquisizioni, i nuovi trattamenti, gli aggiornamenti software, i nuovi fornitori e gli attaccanti sembrano purtroppo non aver ricevuto la circolare.

Il GDPR mostra chiaramente l’inadeguatezza di questa impostazione quando stabilisce che le misure adottate dal titolare debbano essere riesaminate e aggiornate qualora necessario (art. 24, par. 1).

La conformità contiene quindi strutturalmente una dimensione temporale.

L’AI Act compie un passo ancora più esplicito. Il sistema di gestione del rischio previsto per i sistemi ad alto rischio viene qualificato come processo continuo e iterativo, pianificato e svolto durante l’intero ciclo di vita del sistema (art. 9, par. 2).

Il lifecycle non costituisce un dettaglio amministrativo.

Introduce il tempo nella struttura stessa della conformità.

Booleanità della decisione e non-booleanità del processo

È necessario distinguere due piani.

Il primo è quello della decisione.

Il diritto deve poter produrre un esito.

Il secondo è quello del processo attraverso il quale vengono stabilite le condizioni che rendono possibile quell’esito.

Questo secondo piano è spesso assai meno binario.

Il diritto penale costituisce un esempio interessante proprio perché è uno dei domini nei quali le esigenze di determinatezza e tassatività sono più forti.

La fattispecie delimita il campo dell’illecito, ma la determinazione concreta della pena non deriva normalmente da una semplice funzione:

reato X = pena Y.

L’ordinamento stabilisce cornici edittali, circostanze aggravanti e attenuanti e criteri di commisurazione. Nell’ordinamento italiano, gli articoli 132 e 133 del codice penale disciplinano il potere discrezionale del giudice nella determinazione della pena e indicano, tra gli elementi rilevanti, la gravità del reato e la capacità a delinquere del colpevole.

Il giudice trasforma quindi un insieme di valutazioni in una pena determinata.

Il risultato finale può essere discreto.

Il processo che lo produce non lo è necessariamente.

La distinzione consente di evitare un equivoco fondamentale.

Un’epistemologia non-booleana non pretende di impedire al diritto di decidere.

Pretende di descrivere in maniera più accurata come si arriva alla decisione.

Da questa prospettiva, molti concetti giuridici indeterminati cessano di apparire soltanto come fastidiose imperfezioni linguistiche.

Adeguato.

Proporzionato.

Ragionevole.

Significativo.

Prevedibile.

Necessario.

Appropriato.

Non sono necessariamente sintomi di un legislatore distratto.

Sono anche strumenti attraverso i quali la norma può operare sopra realtà variabili senza pretendere di anticiparne ogni possibile configurazione.

La loro apertura, tuttavia, non equivale ad arbitrarietà.

Viene governata mediante criteri, procedure, motivazione, evidenze, standard interpretativi, precedenti e controllo.

La soglia arriva alla fine.

La mediazione strutturale della conformità

Nel Manifesto sostengo che la conoscenza sia sempre mediata.

Non accediamo semplicemente alla realtà: la osserviamo attraverso strumenti, modelli, categorie e dispositivi.

Nel diritto questa caratteristica è particolarmente evidente.

Il giudice non osserva direttamente il fatto passato.

L’autorità di controllo non osserva direttamente ogni trattamento.

Il consiglio di amministrazione non osserva direttamente ogni pacchetto che attraversa la rete.

La conformità viene conosciuta attraverso mediazioni.

Log.

Audit.

Risk assessment.

DPIA.

Policy.

Configurazioni.

Ticket.

Report di incident response.

Verbali.

Contratti.

Test.

Indicatori.

Documentazione tecnica.

Questi strumenti non sono la realtà.

Costituiscono la catena attraverso cui una parte della realtà diventa conoscibile, valutabile e infine istituzionalmente rilevante.

La distinzione ha una conseguenza pratica importante:

una misura che esiste ma non è osservabile può risultare giuridicamente assai più debole di quanto la sua efficacia tecnica lasci supporre.

Vale anche l’inverso.

Una splendida documentazione che descriva controlli inesistenti produce eccellente compliance narrativa e pessima sicurezza.

Il problema non viene quindi risolto scegliendo tra “documentazione” e “tecnica”.

Occorre garantire la coerenza della catena:

evento → evidenza → interpretazione → decisione → responsabilità.

È precisamente qui che cominciano molte delle frizioni tra discipline.

Tre osservatori, un unico sistema

Il giurista, il tecnico e il manager possono osservare lo stesso sistema e descriverlo in maniera profondamente diversa senza che nessuno dei tre stia necessariamente sbagliando.

Il tecnico osserva architetture, dipendenze, vulnerabilità, configurazioni, failure mode, probabilità tecniche e controlli.

Il giurista osserva obblighi, standard di diligenza, responsabilità, prova, imputabilità, proporzionalità e liceità.

Il manager osserva priorità, impatto, costo, rischio residuo, accountability, continuità e capacità decisionale.

Il problema nasce quando uno di questi linguaggi viene assunto come ontologicamente privilegiato.

Il tecnico può considerare il requisito giuridico troppo vago.

Il giurista può percepire la descrizione tecnica come incapace di produrre una conclusione normativa.

Il manager può considerare entrambe incapaci di rispondere alla domanda che per lui rimane fondamentale:

“Quindi, cosa devo decidere?”

In realtà stanno spesso lavorando in tre punti differenti della stessa catena.

La frizione è quindi almeno in parte epistemologica.

Non stanno necessariamente osservando realtà diverse.

Stanno utilizzando diverse risoluzioni descrittive della stessa realtà.

Il pluralismo descrittivo coerente proposto nel Manifesto consente di riconoscere questi livelli senza ridurli l’uno all’altro.

Non chiede al giurista di diventare security architect.

Non pretende dall’architect una seconda laurea in giurisprudenza.

E non richiede al consiglio di amministrazione di interpretare i log del SIEM durante la pausa pranzo.

Chiede qualcosa di più modesto e probabilmente più utile:

rendere esplicito il punto in cui le descrizioni devono incontrarsi.

GDPR: la conformità come accountability dinamica

Nel GDPR questo punto di incontro è particolarmente evidente.

L’articolo 5, paragrafo 2, stabilisce il principio di responsabilizzazione: il titolare è competente per il rispetto dei principi applicabili al trattamento e deve essere in grado di comprovarlo.

L’articolo 24 sviluppa questa impostazione imponendo l’adozione di misure tecniche e organizzative adeguate alla luce della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse. Le misure devono consentire di garantire e dimostrare la conformità e devono essere riesaminate e aggiornate quando necessario.

Tre elementi meritano particolare attenzione.

Il primo è il gradiente.

Probabilità e gravità non sono variabili naturalmente booleane.

Il secondo è la contestualità.

Una misura non è adeguata in assoluto.

È adeguata rispetto a un trattamento, a determinati rischi, a una determinata configurazione e a un determinato momento.

Il terzo è la dimostrabilità.

La conformità non termina nell’efficacia materiale della misura. Deve attraversare una catena epistemica che consenta all’organizzazione di renderla osservabile e difendibile.

La stessa logica emerge dall’articolo 32.

Il livello di sicurezza deve essere adeguato al rischio tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché dei rischi di varia probabilità e gravità.

Lo stesso articolo include, fra gli esempi di misure rilevanti, la capacità di assicurare su base permanente riservatezza, integrità, disponibilità e resilienza dei sistemi e dei servizi, oltre a un processo per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative.

Il “regolarmente” è epistemologicamente interessante.

La misura non viene soltanto implementata.

Viene continuamente sottoposta alla possibilità di essere smentita.

Due organizzazioni possono quindi adottare misure differenti senza che una delle due sia automaticamente non conforme.

La differenza deve però essere giustificabile.

La discrezionalità è ammessa.

L’arbitrarietà no.

NIS2: il rischio entra nella governance

La NIS2 rende ancora più evidente l’incontro tra i diversi livelli.

L’articolo 21 impone agli Stati membri di garantire che i soggetti essenziali e importanti adottino misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete e prevenire o ridurre al minimo l’impatto degli incidenti.

Nella valutazione della proporzionalità vengono considerati, fra gli altri elementi, il grado di esposizione al rischio, le dimensioni dell’entità, la probabilità che si verifichino incidenti e la loro gravità, compreso l’impatto sociale ed economico.

L’articolo 21 richiama inoltre lo stato dell’arte e un approccio multirischio.

È difficile immaginare una costruzione autenticamente meno riducibile a un semplice interruttore.

La direttiva non si ferma però al livello tecnico.

L’articolo 20 stabilisce che gli organi di gestione dei soggetti essenziali e importanti approvino le misure di gestione dei rischi di cibersicurezza e sovrintendano alla loro attuazione.

Il passaggio possiede rilevanza organizzativa, giuridica ed epistemologica.

Il rischio tecnico deve diventare conoscibile dal management.

Il management deve poterlo trasformare in decisione.

La decisione deve diventare osservabile.

L’osservabilità deve consentire di ricostruire governance e responsabilità.

È una catena.

Se il tecnico descrive il rischio in un linguaggio incomprensibile all’organo di gestione, la catena si spezza.

Se l’organo di gestione approva senza comprendere ciò che approva, la catena formalmente esiste ma epistemicamente è quasi vuota.

Se il giurista descrive l’obbligo senza riuscire a collegarlo a controlli verificabili, la catena si interrompe nella direzione opposta.

La governance diventa quindi anche un problema di traduzione.

AI Act: il rischio come processo

Nell’AI Act il carattere dinamico della governance del rischio diventa esplicito.

L’articolo 9 prevede per i sistemi ad alto rischio un sistema di gestione del rischio che deve essere istituito, attuato, documentato e mantenuto.

La norma lo definisce come un processo continuo e iterativo, pianificato e svolto lungo l’intero ciclo di vita del sistema, soggetto a riesame e aggiornamento sistematici e regolari.

Il processo comprende l’identificazione e l’analisi dei rischi conosciuti e ragionevolmente prevedibili, la stima e valutazione dei rischi derivanti dall’uso previsto e dall’uso improprio ragionevolmente prevedibile, la valutazione delle informazioni provenienti dal monitoraggio successivo all’immissione sul mercato e l’adozione di misure di gestione del rischio mirate.

Particolarmente significativa, nell’ottica di questo lavoro, è anche la previsione secondo la quale i test dei sistemi ad alto rischio devono essere condotti rispetto a metriche definite in precedenza e a soglie probabilistiche appropriate alla destinazione d’uso.

Qui il linguaggio normativo incontra quasi letteralmente il problema epistemologico dei gradienti e delle soglie.

L’articolo 15 rafforza questa struttura.

I sistemi ad alto rischio devono essere progettati e sviluppati affinché conseguano un livello appropriato di accuratezza, robustezza e cibersicurezza e mantengano prestazioni coerenti rispetto a tali caratteristiche durante tutto il loro ciclo di vita.

“Appropriato” torna quindi ad assumere il ruolo di categoria relazionale.

Non esiste robustezza assoluta.

Esiste una robustezza valutata rispetto alla destinazione d’uso, ai rischi e al sistema concreto.

Infine, l’articolo 72 dispone che i provider istituiscano e documentino un sistema di monitoraggio successivo all’immissione sul mercato proporzionato alla natura delle tecnologie di AI e ai rischi del sistema.

Il sistema deve raccogliere, documentare e analizzare attivamente e sistematicamente dati sulle prestazioni durante l’intera vita del sistema, in modo da consentire la valutazione della conformità continua ai requisiti applicabili.

Il concetto di continuous compliance non è quindi qualcosa che il mio framework introduce dall’esterno nel Regolamento.

È presente nell’architettura stessa dell’AI Act.

Dal Manifesto a un modello operativo

Se il framework del Manifesto possiede una qualche utilità, dovrebbe poter produrre qualcosa di più di una descrizione elegante.

Dovrebbe aiutare a formulare domande migliori.

Da questo principio ricavo una sua possibile applicazione operativa articolata attraverso cinque coordinate:

Livello → Perturbazione → Stabilità → Evidenza → Responsabilità

Il modello non costituisce un secondo framework concorrente con il Manifesto.

È una sua istanziazione.

Una prova di utilizzo.

Il suo interesse non consiste nell’acronimo, che possiamo tranquillamente lasciare alle future sofferenze del marketing accademico, ma nella disciplina che impone alla discussione.

Livello

La prima domanda è:

a quale livello sto facendo questa affermazione?

“Sicuro” può significare sicurezza tecnica, sicurezza organizzativa, conformità normativa o accettabilità del rischio.

“Conforme” può riferirsi a un trattamento, a un processo, a un sistema, a una configurazione oppure, con una generalizzazione spesso pericolosa, a un’intera organizzazione.

Prima di discutere occorre quindi stabilire la risoluzione descrittiva.

Questa coordinata discende direttamente dal principio del Manifesto contro l’ontologia prematura.

Perturbazione

La seconda domanda è:

rispetto a cosa deve reggere il sistema?

Un controllo può risultare efficace contro una classe di minacce e irrilevante contro un’altra.

Un sistema AI può essere accurato nel proprio dominio e fragile quando cambiano dati, contesto o modalità di utilizzo.

Un’organizzazione può apparire perfettamente conforme fino a quando un’acquisizione, un nuovo fornitore, una nuova vulnerabilità o un incidente modifica le condizioni sulle quali poggiava la valutazione.

La perturbazione impedisce di trattare la conformità come fotografia.

Introduce stress, cambiamento e temporalità.

È la traduzione operativa del principio di fragilità strutturale sviluppato nel Punto VII del Manifesto.

Stabilità

La terza domanda è:

quale proprietà deve essere mantenuta attraverso la perturbazione?

Riservatezza?

Disponibilità?

Integrità?

Accuratezza?

Robustezza?

Non discriminazione?

Tracciabilità?

Continuità del servizio?

Possibilità di intervento umano?

La stabilità non può essere definita genericamente.

Occorre dichiarare quale sia l’invariante rilevante e, soprattutto, entro quali limiti la sua variazione resti accettabile.

È qui che la “verità come stabilità operativa” diventa criterio di governance.

Evidenza

La quarta domanda è:

come sappiamo che quella stabilità esiste?

La risposta introduce auditabilità, osservabilità e prova.

Log.

Test.

Metriche.

Audit.

Verbali.

DPIA.

Risk assessment.

Incident report.

Documentazione tecnica.

Evidenze di formazione.

Decision record.

Un’affermazione priva di evidenza può anche essere corretta.

Ma non è ancora istituzionalmente stabile.

È precisamente il passaggio dall’esistenza del controllo alla sua dimostrabilità.

Responsabilità

L’ultima domanda è:

chi può modificare il sistema, chi decide e chi risponde della decisione?

La responsabilità non è un’aggiunta morale alla fine della catena.

È ciò che trasforma conoscenza e controllo in governance.

Un rischio conosciuto ma senza proprietario è semplicemente un rischio elegantemente documentato.

Un rischio accettato senza autorità è una decisione priva di legittimazione.

Un controllo implementato senza responsabilità di mantenimento è una fotografia destinata all’invecchiamento.

Questa quinta coordinata chiude la catena e collega la descrizione tecnica alla decisione istituzionale.

Prima applicazione: “Questo sistema AI è conforme”

Consideriamo una domanda apparentemente semplice:

“Questo sistema AI è conforme?”

È precisamente il tipo di domanda per la quale un manager può legittimamente aspettarsi una risposta e per la quale giurista e tecnico possono altrettanto legittimamente iniziare a litigare.

Applicando il modello, la domanda cambia forma.

Livello

Stiamo parlando della classificazione ai sensi dell’AI Act?

Della protezione dei dati personali?

Della cybersecurity?

Della governance organizzativa?

Oppure di tutti questi livelli contemporaneamente?

Perturbazione

Che cosa accade se cambia il modello?

Se viene introdotto un nuovo dataset?

Se il sistema viene integrato in un processo decisionale differente?

Se viene sottoposto a manipolazione?

Se il provider modifica un componente?

Se cambia la destinazione d’uso?

Se ciò che inizialmente costituiva supporto alla decisione diventa progressivamente parte sostanziale della decisione stessa?

Stabilità

Quali proprietà devono restare entro valori accettabili?

Accuratezza?

Robustezza?

Cybersecurity?

Supervisione umana?

Protezione dei dati?

Tracciabilità?

Evidenza

Quali test, log, valutazioni, documenti e decision record sostengono l’affermazione?

Responsabilità

Chi monitora le modifiche?

Chi decide quando una variazione richieda una nuova valutazione?

Chi può sospendere il sistema?

Chi accetta il rischio residuo?

A questo punto la risposta:

“sì, è conforme”

può anche arrivare.

Ma ha cambiato natura.

Non è più un atto di fede.

È la sintesi istituzionale di una catena osservabile.

Seconda applicazione: “Siamo NIS2 compliant”

La stessa logica può essere applicata a una delle frasi preferite della liturgia aziendale contemporanea:

“Siamo NIS2 compliant.”

Livello: l’affermazione riguarda i controlli tecnici, i processi organizzativi, la governance oppure l’intero sistema di gestione del rischio?

Perturbazione: ransomware, compromissione della supply chain, indisponibilità di un servizio critico, perdita di un fornitore, errore operativo, vulnerabilità critica.

Stabilità: continuità del servizio, integrità dei sistemi, capacità di risposta, recuperabilità, mantenimento delle funzioni essenziali.

Evidenza: test, audit, tabletop exercise, incident record, risk register, verbali di approvazione, evidenze delle misure implementate.

Responsabilità: chi approva, chi supervisiona, chi può intervenire e chi accetta il rischio residuo?

Il modello produce qui un effetto interessante.

La frase “siamo NIS2 compliant” perde buona parte della propria utilità informativa.

Diventa assai più significativa un’affermazione del tipo:

“Rispetto ai rischi identificati e alle perturbazioni considerate, abbiamo adottato e verificato misure ritenute proporzionate; le relative evidenze sono disponibili; il rischio residuo è stato sottoposto al livello decisionale competente e il sistema prevede riesame al mutare delle condizioni.”

È più lunga.

Le cose vere hanno questa fastidiosa abitudine.

Terza applicazione: GDPR e adeguatezza della sicurezza

Consideriamo infine una domanda apparentemente tecnica:

“La cifratura è sufficiente per essere conformi all’articolo 32 GDPR?”

La risposta binaria porta rapidamente fuori strada.

Livello

La cifratura è una misura tecnica.

L’articolo 32 disciplina invece l’adeguatezza complessiva del livello di sicurezza rispetto al rischio.

Perturbazione

Quale evento voglio governare?

Furto di supporti?

Accesso abusivo?

Compromissione delle credenziali?

Ransomware?

Errore operativo?

Indisponibilità dei sistemi?

La cifratura reagisce in maniera molto diversa a perturbazioni differenti.

Stabilità

Quale proprietà voglio preservare?

Riservatezza?

Integrità?

Disponibilità?

Resilienza?

La cifratura può contribuire potentemente alla prima e, a seconda delle implementazioni, ad altre proprietà, ma non costituisce automaticamente una risposta universale.

Evidenza

Quali algoritmi?

Quale key management?

Quale copertura?

Quale verifica?

Quali test?

Responsabilità

Chi governa le chiavi?

Chi approva le eccezioni?

Chi verifica che l’implementazione resti efficace?

Il risultato è significativo.

Il modello non ha sostituito l’articolo 32.

Non ha nemmeno prodotto magicamente la misura corretta.

Ha però impedito una falsa equivalenza:

presenza di una tecnologia = conformità normativa.

Questo è precisamente il tipo di errore epistemologico che il Manifesto intende rendere visibile.

La riduzione delle frizioni interpretative

Il valore più interessante del modello non risiede però nella checklist.

Risiede nella capacità di rendere visibile il punto preciso nel quale nasce il dissenso.

Se giurista e tecnico non concordano sulla Stabilità, stanno probabilmente discutendo del requisito o della proprietà da preservare.

Se non concordano sulla Perturbazione, stanno discutendo dello scenario di rischio.

Se non concordano sull’Evidenza, stanno discutendo di osservabilità e prova.

Se tecnico e management non concordano sulla Responsabilità, stanno discutendo di governance e risk ownership.

Se tutti discutono contemporaneamente senza aver chiarito il Livello, è possibile che non stiano ancora discutendo dello stesso oggetto.

Questa classificazione produce una conseguenza pratica.

Non elimina il conflitto.

Lo localizza.

E un conflitto localizzato è molto più governabile di tre persone che utilizzano la parola “rischio” attribuendole tre significati differenti e sono tutte convinte che il problema sia l’incapacità degli altri di capire un concetto perfettamente ovvio.

Il modello come test del Manifesto

A questo punto si presenta una questione metodologica importante.

Sto usando il Manifesto per interpretare GDPR, NIS2 e AI Act.

Potrebbe sembrare un procedimento circolare: costruisco una teoria e poi trovo esempi compatibili con essa.

Per evitarlo, occorre applicare al Manifesto il criterio che il Manifesto stesso propone.

Il modello deve essere perturbato.

Il passaggio dall’epistemologia alla regolazione giuridica costituisce precisamente una prima perturbazione.

Il framework originario era stato costruito interrogando conoscenza, coscienza, linguaggio, sistemi complessi e intelligenza artificiale.

Qui viene spostato verso privacy, cybersecurity, risk management, diritto e governance organizzativa.

La domanda da porre non è quindi:

“Il modello riesce a essere applicato?”

Con sufficiente creatività quasi qualunque modello può essere applicato a quasi qualunque cosa.

La domanda più severa è:

mantiene capacità esplicativa quando cambia dominio?

L’applicazione al trittico mostra almeno quattro proprietà interessanti.

Primo, mantiene la distinzione dei livelli descrittivi.

Secondo, conserva il ruolo della perturbazione come strumento conoscitivo.

Terzo, permette di tradurre la stabilità operativa in requisiti osservabili.

Quarto, rende esplicito un elemento che nel passaggio al diritto diventa ancora più importante: la responsabilità.

Il passaggio al nuovo dominio non lascia quindi il framework completamente invariato.

Lo modifica.

Ed è precisamente ciò che ci si dovrebbe attendere da un modello realmente dinamico.

La Responsabilità, che nell’impianto epistemologico generale era presente soprattutto nella dimensione normativa e istituzionale, diventa nell’applicazione giuridica una coordinata autonoma.

Non considero questa modifica un difetto del framework.

La considero un risultato del test.

Un modello che non cambia mai quando cambia il dominio rischia di essere non universale, ma semplicemente impermeabile alla realtà.

Il limite necessario: non tutto è fuzzy

Occorre ora evitare l’eccesso opposto.

Una epistemologia non-booleana non implica che tutto debba essere interpretato come gradiente.

Esistono soglie normative deliberate.

Esistono termini temporali determinati.

Esistono divieti.

Esistono requisiti la cui presenza o assenza produce conseguenze giuridiche nette.

L’articolo 5 dell’AI Act, ad esempio, vieta specifiche pratiche.

Il punto non è dissolvere queste soglie.

È distinguere la soglia dal processo che conduce alla sua applicazione.

La classificazione di un sistema come high-risk produce conseguenze giuridiche determinate.

Ciò non implica che ogni fatto necessario per applicare quella classificazione sia esso stesso ontologicamente binario.

La pena può essere numericamente determinata.

Ciò non significa che la valutazione attraverso cui viene commisurata sia priva di elementi discrezionali.

Un trattamento può infine essere giudicato conforme o non conforme.

Ciò non trasforma “adeguato”, “proporzionato” e “rischio” in grandezze naturalmente discrete.

Il diritto trasforma continuamente continuità in decisioni.

È una delle sue funzioni essenziali.

Il problema comincia quando dimentichiamo la trasformazione e trattiamo il risultato come se fosse sempre esistito nella realtà indipendentemente dal procedimento che lo ha istituito.

Vaghezza non significa arbitrio

Una seconda precisazione è altrettanto importante.

La vaghezza non costituisce autorizzazione all’arbitrio.

Termini come “adeguato” e “proporzionato” non significano:

“fate quello che vi pare purché il documento abbia un indice elegante.”

La loro apertura aumenta, semmai, l’importanza della motivazione.

Quando la norma non specifica un singolo controllo universalmente valido, l’organizzazione deve poter ricostruire il ragionamento attraverso il quale ha selezionato una misura.

Contesto.

Rischio.

Alternative.

Costo.

Impatto.

Stato dell’arte.

Rischio residuo.

Decisione.

La discrezionalità diventa così una responsabilità epistemica.

Non dispensa dalla prova.

La richiede.

Dalla compliance alla governabilità

Questo consente una diversa interpretazione della compliance.

Essere conformi non significa aver eliminato il rischio.

Né GDPR, né NIS2, né AI Act sembrano fondarsi su una simile fantasia.

Significa piuttosto costruire un regime capace di identificare rischi, assumere decisioni proporzionate, implementare misure, osservarne gli effetti, produrre evidenze e modificarsi quando le condizioni cambiano.

In questa prospettiva la conformità può essere descritta, sul piano epistemologico-operativo, come:

la capacità dimostrabile di un sistema socio-tecnico e organizzativo di mantenere entro soglie normativamente accettabili determinate proprietà rilevanti, nonostante perturbazioni ragionevolmente prevedibili, attraverso processi di controllo, osservazione, revisione e responsabilità espliciti.

Non propongo questa formulazione come una nuova definizione giuridica di compliance.

La sua funzione è differente.

È una definizione di interfaccia.

Serve a rendere traducibili descrizioni tecniche, normative e manageriali.

Limiti e falsificabilità del modello

Se il modello deve avere valore epistemologico, deve essere possibile immaginare condizioni nelle quali non funzioni.

Il primo limite riguarda i domini fortemente vincolati.

Quando la norma prescrive direttamente una condotta determinata e non lascia sostanziale spazio alla valutazione del rischio, parte delle coordinate del modello può aggiungere ben poco all’interpretazione.

Il secondo riguarda l’eccessiva generalità.

Livello, Perturbazione, Stabilità, Evidenza e Responsabilità sono categorie deliberatamente ampie. Se non vengono trasformate in variabili specifiche per il dominio, rischiano di produrre soltanto una descrizione elegante di ciò che professionisti competenti farebbero comunque.

Il terzo limite è il rischio di falsa quantificazione.

Definire gradienti non significa che ogni gradiente possa essere rappresentato utilmente da un numero.

La tentazione di trasformare fenomeni complessi in un punteggio unico è esattamente una delle forme attraverso cui il binarismo può rientrare dalla finestra dopo essere stato accompagnato cortesemente fuori dalla porta.

Il quarto limite riguarda il conflitto tra valori.

Un sistema può massimizzare contemporaneamente alcune stabilità e comprometterne altre.

Più sicurezza può ridurre usabilità.

Più logging può aumentare osservabilità ma anche quantità di dati trattati.

Più supervisione umana può ridurre alcune forme di automazione ma introdurre bias o inefficienze differenti.

Il framework non elimina questi conflitti.

Li rende espliciti.

Il quinto limite riguarda il potere.

La traduzione tra domini non avviene in uno spazio neutrale.

Chi decide quali perturbazioni considerare, quali evidenze accettare e quale rischio residuo tollerare esercita potere.

Un modello che ignorasse questo elemento potrebbe migliorare formalmente la comunicazione senza migliorare realmente la governance.

Questi limiti non invalidano necessariamente il framework.

Definiscono le condizioni nelle quali la sua stabilità operativa dovrà essere ulteriormente verificata.

Conclusioni

Il punto di partenza di questo lavoro era apparentemente filosofico.

Le categorie attraverso cui interpretiamo il reale sono spesso più discrete del reale che pretendono di descrivere.

Il diritto costituisce però un banco di prova particolarmente interessante perché non può limitarsi a contemplare la complessità.

Deve decidere.

Da qui emerge il nodo fondamentale:

la necessità di una decisione binaria non implica la natura binaria del processo epistemico che la rende possibile.

GDPR, NIS2 e AI Act mostrano tre declinazioni differenti di questa tensione.

Il GDPR costruisce accountability attraverso rischio, adeguatezza, contesto, revisione e dimostrabilità.

La NIS2 collega proporzionalità tecnica, impatto, gestione del rischio e responsabilità di governance.

L’AI Act introduce classificazioni normative ma accompagna i sistemi ad alto rischio attraverso un sistema di risk management continuo e iterativo, requisiti di robustezza lungo il ciclo di vita e monitoraggio successivo all’immissione sul mercato.

Il Manifesto per un’Epistemologia Dinamica Non-Booleano fornisce una possibile chiave per leggere questa convergenza.

Non sostituendo il diritto con la filosofia.

Non sostituendo l’interpretazione con una formula.

E soprattutto non inventando l’ennesimo quadratino da aggiungere a una matrice di compliance già sufficientemente popolata.

La sua funzione è precedente.

Obbliga a dichiarare il livello descrittivo.

Introduce la perturbazione come condizione attraverso cui osservare la stabilità.

Richiede di definire quale proprietà intendiamo preservare.

Domanda attraverso quali mediazioni possiamo affermare che sia stata preservata.

E riconduce quella conoscenza a una responsabilità decisionale.

Il modello:

Livello → Perturbazione → Stabilità → Evidenza → Responsabilità

costituisce una prima applicazione concreta di questa impostazione.

Il fatto che possa essere utilizzato per leggere, attraverso la stessa grammatica, un problema GDPR, una decisione NIS2 e la governance di un sistema di intelligenza artificiale non dimostra naturalmente che il Manifesto sia “vero”.

Sarebbe piuttosto ironico concludere un Manifesto contro l’ontologia prematura proclamandone immediatamente la verità ontologica.

Mostra però qualcosa di più coerente con l’impianto proposto.

Il modello conserva una parte significativa della propria capacità esplicativa quando viene perturbato dal passaggio tra domini differenti.

E il passaggio produce anche una modificazione del framework: la Responsabilità emerge come coordinata autonoma nell’applicazione giuridico-organizzativa.

In altri termini, il modello non è rimasto intatto.

Ha reagito alla perturbazione.

Per un framework che pretende di descrivere sistemi dinamici, sarebbe stato francamente più preoccupante il contrario.

Questa prima applicazione non chiude quindi il lavoro.

Ne stabilisce una condizione di proseguimento.

Il prossimo test non consiste nel trovare altri esempi che confermino il modello.

Consiste nel cercare deliberatamente casi nei quali fallisca.

Perché, se la stabilità operativa è davvero il criterio che propongo per valutare una struttura conoscitiva, allora il Manifesto non può chiedere agli altri di sopravvivere alle perturbazioni e pretendere per sé il privilegio della campana di vetro.

Riferimenti normativi

Unione europea, Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati, in particolare artt. 5, 24, 25, 32 e 35.

Unione europea, Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022, relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, in particolare artt. 20, 21, 23, 24 e 25.

Unione europea, Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in particolare artt. 5, 6, 9, 10, 11, 12, 13, 14, 15, 26, 50, 72 e 73.

Italia, Codice penale, artt. 132 e 133, in materia di potere discrezionale del giudice nell’applicazione della pena e criteri di valutazione della gravità del reato e della capacità a delinquere.