Il caso degli Autistici/Inventati e la sanzione Usa che colpisce l’infrastruttura, non i responsabili

A/I respinge integralmente la qualificazione. Il collettivo afferma di essere composto da volontari e attivisti digitali e rivendica la propria attività come fornitura di strumenti di autodifesa digitale per individui, gruppi e associazioni. Dopo la designazione, ha dichiarato che il sito è divenuto irraggiungibile non perché i server fossero stati spenti, ma perché l’indirizzo che consente alle persone di raggiungerli ha smesso di funzionare correttamente.

Il dettaglio tecnico conta. Se un registro o un fornitore DNS interrompe la risoluzione di un dominio, il server può restare acceso e i dati possono restare intatti, ma per gli utenti il servizio sparisce. Il DNS non contiene la posta né ospita i blog, ma è la rubrica globale che collega un nome a una macchina: toglierlo equivale a rendere l’infrastruttura invisibile.

Le sanzioni non agiscono soltanto su domini e servizi online. Congelano eventuali beni sotto giurisdizione statunitense, vietano alle persone e alle aziende USA di compiere transazioni con il soggetto designato e possono spingere banche, registrar, provider, piattaforme cloud e gestori di pagamento non statunitensi a interrompere i rapporti per evitare rischi di sanzioni secondarie. Il provvedimento General License 36 ha previsto una fase di chiusura dei rapporti fino al 25 settembre 2026, ma non rende meno grave la pressione esercitata su chiunque dipenda, anche indirettamente, dall’infrastruttura finanziaria e tecnologica statunitense.

Qui emerge un problema europeo che va oltre il caso A/I. Un’associazione italiana può rispettare le leggi italiane, avere sede in Italia, rapporti con banche italiane e utenti in larga parte europei, ma rimanere esposta a decisioni americane se usa un dominio .org, servizi cloud, un registrar, pagamenti in dollari, circuiti di carte o piattaforme che operano sotto influenza giuridica statunitense. La sovranità digitale non è una parola da conferenza quando un dominio, una casella email o un conto possono essere bloccati dall’altra parte dell’Atlantico.

L’argomento non è che servizi anonimi o cifrati non possano mai essere usati per fini criminali. Certo che possono. Telegram è stato usato da organizzazioni estremiste per propaganda, reclutamento e diffusione di contenuti terroristici; il Dipartimento di Stato USA segnala, per esempio, che il Terrorgram Collective opera principalmente attraverso Telegram. L’autorità australiana eSafety ha inoltre avviato nel 2026 un’azione contro Telegram per la presunta mancata rimozione di contenuti terroristici e di esecuzioni attribuite all’ISIS, dopo una lunga indagine e segnalazioni degli utenti.

Eppure Telegram non è stato inserito nella lista SDGT per il solo fatto che soggetti violenti hanno usato la piattaforma. Alle piattaforme globali si chiedono rimozioni, cooperazione, trasparenza e rispetto di obblighi di moderazione; il sistema europeo contro i contenuti terroristici online, ad esempio, punta a monitoraggio, segnalazioni e collaborazione pubblico-privato.

La differenza non è irrilevante. Se il criterio diventa “chi offre uno strumento che può proteggere comunicazioni di soggetti illeciti è un fiancheggiatore”, allora la cifratura stessa diventa sospetta. Signal, Proton, Telegram, WhatsApp, servizi email, VPN, provider cloud, forum, registrar, motori di ricerca e social network hanno tutti una caratteristica in comune: possono essere usati bene o male da chi li utilizza.

Non ha senso trattare una casella di posta come una prova di complicità. Un fornitore che riceve una richiesta circostanziata e si rifiuta di collaborare con l’autorità competente può sollevare questioni diverse. Ma sanzionare un intero gestore, senza processo pubblico, senza contraddittorio preventivo e senza individuare in modo trasparente gli account coinvolti, trasforma l’infrastruttura in imputato collettivo.

Il caso A/I non riguarda l’approvazione delle sue idee politiche, né l’immunità per chi commette reati. Riguarda una domanda più semplice: può uno Stato colpire migliaia di utenti, associazioni e progetti, inclusi quelli estranei alle condotte contestate, perché alcuni potrebbero aver usato una piattaforma in modo illecito?

La risposta dovrebbe essere no. Le autorità devono perseguire reati, sequestrare prove, identificare responsabili e imporre obblighi mirati quando esistono elementi concreti. Spegnere o isolare un’intera infrastruttura digitale, invece, è facile. Ed è proprio per questo che non dovrebbe diventare la risposta normale.

* Esperto di cyber security ed intelligence