Un memorandum del presidente americano Trump del 12 agosto 2026 attua l’executive order 14390 del 6 marzo 2026 emanato per coordinare la risposta delle strutture di sicurezza statunitensi contro varie forme di criminalità informatica e frodi online commesse a danno di cittadini americani. Nello specifico, il memorandum ha l’obiettivo di rendere strutturale la cooperazione del private sector con l’apparato di sicurezza del governo federale.Quando lo Stato arruola l’industriaAnche se in modo non sempre lineare —vedi per esempio il rifiuto di Apple di indebolire i propri sistemi per consentire le indagini del FBI o il tentativo di Microsoft di opporsi alle richieste di consegna di dati di utenti formulate sempre dal FBI— la cooperazione del settore privato con l’esecutivo USA è sempre stata sostanzialmente forte e in particolare nel settore dei crimini informatici anche se non strutturale. Tuttavia, a partire dal caso ReVIL, l’indagine del FBI che ha sgominato un’organizzazione criminale russofona dedita alle estorsioni tramite ransomware, si è capito che, piaccia o no, è l’industria privata a detenere le tecnologie più efficienti non solo nell’ambito del settore difesa (un esempio per tutti: il ruolo delle AI di Anthropic in questo comparto) ma anche in quello della sicurezza delle infrastrutture di telecomunicazioni e di quelle che gestiscono dati e servizi online.Il fatto nuovo del memorandum statunitense è che, al netto delle front-company come la storica CryptoAG, creata dalla CIA per vendere cifranti indebolite alle strutture diplomatiche non USA— per la prima volta il settore privato non viene usato solo a supporto delle attività federali ma potrà, come si legge testualmente (la traduzione non è ufficiale): “condurre operazioni di sorveglianza informatica e operazioni di impatto informatico contro organizzazioni criminali transnazionali straniere che utilizzano mezzi informatici (CE-TCO), sotto il controllo e la supervisione del governo federale.”Cresce il potere dell’industria della sorveglianzaQuesto memorandum, dunque, segna innanzi tutto un ulteriore passo verso l’integrazione pubblico-privato nel contrasto alla criminalità transnazionale, ma rappresenta anche un deciso balzo in avanti verso la costruzione di un assetto basato sul concetto di neomedievalismo tecnologico, nel quale il potere politico deve riconoscere come interlocutore paritario quello che controlla le tecnologie dell’informazione e verso l’eliminazione del confine fra attività giudiziaria, difesa dello Stato e tutela degli interessi nazionali, cioè verso il superamento della dottrina della separazione dei poteri.Le attività oggetto del memorandum, infatti, saranno svolte “nell’ambito di operazioni legittime di indagine, protezione o intelligence condotte dalle forze dell’ordine federali”. Detto in altri termini, questo significa che le aziende private selezionate dalle varie agenzie potranno compiere, con un livello di autonomia che potrebbe essere anche molto elevato, operazioni fino a questo momento riservate alle autorità pubbliche e, per di più, anche al di fuori della giurisdizione territoriale americana.La linea sottile fra crimine, intelligence e guerraIl fatto che gli USA non siano i soli ad avere formalizzato una dottrina del genere —l’Italia e il Giappone, per esempio, hanno emanato leggi analoghe— non risolve un problema formalmente giuridico ma sostanzialmente politico, quello noto come attribuzione, cioè la qualificazione di un fatto come azione puramente criminale, state-sponsored o addirittura direttamente riferibili a Paesi ostili.Quello dell’attribuzione è un problema concreto perché se un atto è compiuto da (organizzazioni) criminali il compito di indagare e punire spetta solo all’autorità giudiziaria, se l’azione è riferita indirettamente alla volontà politica di un Paese non formalmente in stato di belligeranza allora la competenza è dell’intelligence, mentre un’azione esplicitamente commessa da uno Stato ostile è un atto di guerra.Come è agevole comprendere, assottigliare i confini fra questi ambiti che, sulla carta (costituzionale) sono abbastanza netti significa essenzialmente lasciare nelle mani dell’esecutivo la possibilità di qualificare un determinato evento come appartenente a una qualsiasi delle tre categorie senza una reale possibilità di sindacare questa decisione da parte degli organi politici e giudiziari di controllo.Chi controlla i controllori?Il memorandum sembra essere consapevole di questo rischio tanto da indicare un complesso meccanismo di supervisione delle attività concesse alle aziende private; tuttavia, il diavolo è sempre nei dettagli e il controllo a posteriori non sempre ha un effetto deterrente tale da scongiurare l’aggiramento o la violazione delle regole in nome del “fare la cosa giusta”, del whatever it takes o del “meglio chiedere scusa che permesso”. L’esperienza insegna, infatti, che di fronte a necessità operative urgenti il fatto che, in futuro, ci potrebbero essere ripercussioni giudiziarie per violazioni normative non è, di per sé, un ostacolo.L’effetto boomerang sulla UEL’impatto di questo memorandum sulla UE e sugli Stati membri non è meno importante perché la possibilità di sorvegliare anche cittadini ed entità europee pone almeno due problemi di eurocompatibilità.Sentenze Schrems, dati e sicurezza nazionaleIl primo, di natura, per così dire, passiva, riguarda il regolamento sulla protezione dei dati personali. È difficile immaginare che il governo USA possa consentire alla UE o a qualche Stato membro di sindacare le proprie politiche di difesa, sicurezza e giustizia e quindi la necessaria rinegoziazione dell’attuale accordo sullo scambio di dati fra UE e USA, potrebbe bloccarsi o, addirittura, arrivare a un nulla di fatto. Certo, le parti coinvolte potrebbero anche scegliere di non affrontare formalmente il tema, tuttavia questo significherebbe solo rinviare le conseguenze del memorandum a quando (quando, non se) la Corte europea di giustizia dovrà decidere sull’ennesima contestazione di un accordo del genere, le cui due versioni precedenti sono già state annullate dalle sentenze Schrems I e Schrems II.Operazioni legittime in e dagli USA, illegali nella UEIl secondo problema è, invece, di natura attiva e riguarda il piano di riarmo informatico presentato nella forma di “misure per la cybersecurity” composto, fra gli altri, dal regolamento sulla cybersolidarity, dalla direttiva NIS2, e del prossimo regolamento sugli appalti pubblici europei. Dal punto di vista del diritto USA, infatti, le azioni compiute dalle aziende private “arruolate” nei programmi di controllo preventivo e di operazioni attive sono considerate legittime e non danno origine a responsabilità né aziendale né individuale. Tuttavia, dal punto di vista del Paese “ricevente”, questi atti possono essere a tutti gli effetti degli illeciti anche penali. Questo significa che gli apparati di sicurezza e le strutture investigative e giudiziarie nazionali potrebbero e dovrebbero attivarsi a loro volta per prevenire, bloccare e sanzionare gli autori di questi reati.Il rischio diplomatico del procedere senza un trattatoLa scelta (non solo) statunitense di affrontare in autonomia le criticità derivanti dalla dipendenza tecnologica globale invece di stipulare accordi internazionali potrebbe provocare (quantomeno) l’innalzamento del rischio di un contenzioso diplomatico e dunque la compromissione dei già delicati equilibri internazionali. Non è detto che questo accada nell’immediato, ma ciò non toglie, anzi imporrebbe, che il tema venga affrontato con il dovuto anticipo per evitare di doverlo fare in un momento nel quale l’emergenza non consentirà decisioni ragionate.