Intelligenza artificiale, Finocchiaro: “Per regolamentarla in guerra serve un accordo internazionale”
Mentre l’intelligenza artificiale entra sempre più profondamente nelle dinamiche della guerra ibrida, dai cyberattacchi alla disinformazione, passando per sorveglianza, droni e guerra elettronica, cresce il dibattito sulle regole necessarie per governare tecnologie capaci di evolvere a una velocità senza precedenti. L’Europa ha già costruito un articolato quadro normativo sulla cybersicurezza e sull’IA, ma proprio alcuni degli utilizzi più delicati continuano a seguire regole differenti.
L’AI Act, infatti, non si applica ai sistemi destinati esclusivamente a scopi militari, di difesa o di sicurezza nazionale. Ma quanto pesa questa esclusione in una fase in cui intelligenza artificiale e sicurezza sono sempre più intrecciate? E soprattutto, è possibile regolamentare l’impiego dell’IA nei conflitti oppure servirebbe un accordo internazionale? Sullo sfondo resta anche il nodo della sorveglianza di massa e della protezione dei dati personali, con un modello basato sull’autodeterminazione che rischia di mostrare i propri limiti nell’era dei big data.
A fare il punto è Giusella Finocchiaro, professoressa ordinaria di Diritto Privato e Diritto di Internet e dell’Intelligenza Artificiale presso l’Università di Bologna e fondatrice dell’omonima boutique legale, attiva a Milano e Bologna e specializzata in diritto delle nuove tecnologie, privacy, e-commerce e firme elettroniche, che ad Affaritaliani analizza le regole europee sull’IA, i limiti dell’AI Act in ambito militare e la necessità di ripensare gli strumenti di tutela dei dati di fronte alle nuove capacità della tecnologia.
L’intelligenza artificiale viene già utilizzata per cyberattacchi, droni, guerra elettronica, sorveglianza e disinformazione. Dal punto di vista giuridico, è davvero possibile regolamentarne l’utilizzo in una guerra ibrida o le norme rischiano di arrivare sempre dopo la tecnologia?
“Credo occorra distinguere i diversi ambiti, ma non siamo di certo di fronte a un vuoto normativo. Esiste già molta normativa europea in materia di cybersicurezza, dai Regolamenti come il Cybersecurity Act, il Cyber Resilience Act e il Cyber Solidarity Act, alle Direttive come la NIS2 e la CER. Ancora, la cybersicurezza dei sistemi e dei modelli di IA compare quale “precondizione essenziale” per garantire il rispetto dei diritti e dei principi fondamentali nella Legge italiana in materia di IA, la L. 23 settembre 2025, n. 132.
Anche in materia di disinformazione molto è già stato fatto sul fronte normativo: non a caso la disinformazione compare anche nell’AI Act e nel Digital Services Act. Si può certamente fare di più, ma gli strumenti normativi non mancano, e l’aumento di fonti normative testimonia che si tratta di problemi sempre più sentiti. Per affrontare il problema dell’IA in guerra occorrerebbe una Convenzione internazionale. Sarebbe un passo importante, ma oggi non sembra essere questa la direzione verso cui ci stiamo muovendo”.
L’Europa si è dotata dell’AI Act, ma quanto può incidere realmente sugli utilizzi dell’intelligenza artificiale legati alla difesa, alla sicurezza nazionale e alle attività militari? Esiste oggi un vuoto normativo proprio negli ambiti potenzialmente più pericolosi?
“La risposta si rinviene nello stesso AI Act: il Regolamento non si applica ai settori militari, di difesa o di sicurezza nazionale, sia che i sistemi siano immessi sul mercato europeo esclusivamente per questi scopi, sia che i sistemi siano immessi su altri mercati e a raggiugere il mercato europeo siano solo i loro output (senza un’eccezione esplicita, anche questi ultimi sarebbero stati attratti nell’ambito applicativo delle regole europee, secondo la ormai consolidata tendenza a espandersi oltre i confini dell’UE).
È lo stesso AI Act a precisare anche che non debbono intendersi pregiudicate dal Regolamento le competenze degli Stati membri in materia di sicurezza nazionale. È una scelta del legislatore europeo, legata anche alla competenza degli Stati membri in materia di sicurezza. D’altro canto, nel discorso sullo stato dell’Unione 2026 della Presidente von der Leyen, i due temi, quello dell’intelligenza artificiale e quello della sicurezza, sono affrontati in strettissima correlazione. La Presidente ha delineato nuovi percorsi, anche annunciando nuove iniziative dedicate all’IA nel settore della difesa, insieme ad altri, tra cui la sanità, “highest-value sectors in which industrial AI has the biggest potential and we have the data”, come ha sottolineato la Presidente”.
L’IA permette di analizzare enormi quantità di dati e sorvegliare migliaia di persone contemporaneamente. Gli attuali strumenti di tutela della privacy e dei dati personali sono ancora sufficienti oppure l’IA sta rendendo necessario ripensare completamente le regole?
“Il tema della sorveglianza interseca alcuni dei divieti sanciti dall’AI Act: tra le pratiche vietate, compaiono, infatti, l’uso di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto, così come i sistemi di social scoring, di profiling criminale predittivo o di scraping facciale, che pure possono realizzare forme di sorveglianza.
E del resto, l’AI Act, nel disciplinare l’accesso al mercato, protegge i nostri diritti e i valori europei soprattutto nella parte in cui vieta. Allo stesso tempo, credo che la normativa in materia di data protection vada certamente ripensata. Il modello culturale, prima ancora che giuridico, su cui essa si basa è quello dell’autodeterminazione: l’interessato controlla e, in taluni casi, gestisce il suo dato seguendone la circolazione. Questo tipo di logica, quando è applicata ai big data e all’IA, si rivela inefficace, anche nel fornire una tutela effettiva all’interessato. Occorre, allora, ripensare il modello culturale di riferimento”.