Pirateria, perché non è corretto sanzionare Cloudflare. La verità scomoda dell’avv. Piselli

Il caso è complesso. E allora, per parlarne, può essere utile usare un po’ di immaginazione.

Immaginiamo un universo parallelo in cui una nota società produttrice di armi riceva una notifica da parte di un’Autorità galattica per la garanzia dell’uso legittimo delle armi stellari. L’Autorità – è bene precisarlo – non esiste ed è frutto di fantasia narrativa.

Con quel provvedimento, alla società viene intimato di disattivare a distanza tutti i dispositivi prodotti e venduti che risultino utilizzati da criminali interstellari. L’ordine è motivato sulla base di un principio apparentemente inattaccabile: offendere il prossimo è contrario alla salute e all’incolumità pubblica dell’intera galassia, oltre che potenzialmente in contrasto con i principi fondamentali intergalattici.

L’amministratore della società sa che, tecnicamente, quell’ordine potrebbe essere eseguito. La tecnologia consente la disattivazione a distanza delle armi. Sa però anche che farlo, senza istruttoria e sulla base di un comando impartito a porte chiuse da un’autorità governativa indipendente, comprometterebbe irrimediabilmente la credibilità dell’azienda. I futuri clienti metterebbero in discussione l’affidabilità dei suoi prodotti, con effetti evidenti sulla redditività di medio-lungo periodo, fino al rischio di un vero e proprio collasso industriale.

La società decide così di resistere. L’Autorità risponde con una sanzione milionaria.

Riportiamo ora il caso sul nostro pianeta. Se al posto del produttore di armi immaginiamo Cloudflare Inc. e, al posto dell’Autorità galattica, la nostra Agcom, il quadro che emerge non è poi così distante da quanto accaduto nelle scorse settimane.

Cloudflare non è un broadcaster, non è una piattaforma di streaming, non è un classico hosting provider. È uno dei principali operatori mondiali di infrastrutture di rete. Tra i suoi servizi più noti vi è il resolver Dns pubblico 1.1.1.1, utilizzato quotidianamente da milioni di utenti nel mondo. Un servizio apparentemente tecnico, ma strategicamente centrale: traduce i nomi dei siti web in indirizzi IP, consentendo ai dispositivi di sapere “dove andare” su Internet.

Proprio in ragione di questa centralità, nel febbraio scorso Cloudflare riceveva un provvedimento dell’Agcom con cui le veniva ordinato di disabilitare determinati nomi di dominio segnalati e di adottare misure tecniche e organizzative volte a limitare l’istradamento del traffico verso siti pirata (delibera n. 49/25/Cons del 18 febbraio 2025). Considerata la portata di tali misure, la società sceglieva di non recepirle immediatamente. Ne è seguita l’irrogazione di una sanzione di particolare rilievo, accompagnata da forti reazioni da parte della tech élite californiana e dallo stesso ceo di Cloudflare, che ha paventato il ritiro degli investimenti in Italia.

La domanda di fondo, allora, è la seguente: è corretto chiamare un prestatore di servizi digitali a rispondere in casi come questo?

Partiamo da un presupposto. Proprio come le armi nell’esempio iniziale, il resolver Dns è una tecnologia neutrale in sé considerata. Può essere utilizzata per fini illeciti o per finalità pienamente legittime. La scelta non è del produttore, ma dell’utilizzatore finale. Cloudflare offre un servizio sul mercato e persegue un obiettivo industriale chiaro: fornire il miglior Dns possibile, superare la concorrenza e soddisfare i propri utenti.

La missione di un’Autorità dovrebbe essere diversa. Nel perseguimento di un obiettivo regolamentare – contrastare la pirateria, come prima ancora garantire la sicurezza pubblica – l’imposizione di una condotta dovrebbe colpire il soggetto che quella condotta realizza. Il potenziale criminale, non l’infrastruttura o il suo gestore (i.e. il prestatore del servizio digitale).

Eppure, da anni, si assiste a una tendenza opposta. Il target regolamentare non è più chi utilizza la tecnologia, ma chi la produce e la rende disponibile sul mercato. L’intermediario viene chiamato a esercitare una funzione di vigilanza sui terzi che tradizionalmente apparteneva al pubblico. È il paradigma su cui si fondano il Digital Services Act e, prima ancora, la Direttiva Copyright: obblighi di due diligence, di controllo e di adeguatezza organizzativa imposti ai prestatori di servizi digitali per contrastare gli abusi.

Il risultato di questa “responsabilizzazione” del provider è lo spostamento sistematico dei costi dell’enforcement dal pubblico al privato. Con un effetto collaterale tutt’altro che marginale: disincentivare l’innovazione e rendere il contesto europeo sempre meno attrattivo per gli operatori tecnologici globali. Il tutto senza la certezza di una reale efficacia delle misure adottate. Nel caso di specie, anche ammettendo che Cloudflare avesse eseguito l’ordine, aggirare un blocco Dns resta, per chi pratica la pirateria, un’operazione a dir poco banale.

È ovvio: la pirateria è un illecito e va contrastata. Ma la vera questione è un’altra: ha senso “privatizzare” il controllo della legalità e quali sono i costi di questa scelta? Sull’altare di una regolazione sempre più pervasiva, il rischio è infatti quello di sacrificare lo sviluppo economico e la neutralità dell’infrastruttura.

Ancora una volta, il nodo non sta tanto nell’esercizio di un potere formalmente attribuito all’Autorità, né nella reazione economicamente razionale di un operatore globale che minaccia di abbandonare un mercato non più conveniente. Sta nel modo in cui le norme vengono pensate nel Vecchio continente e nel bilanciamento, spesso miope, degli interessi che esse pretendono di comporre.

La verità scomoda è che ogni misura legislativa si accompagna sempre a un costo-opportunità. Talvolta lo si preferisce rendere invisibile. Ma quel costo resta là e riemerge con violenza nel momento in cui – tornando al parallelismo – le armi servono e invece non ci sono…