Settembre 2019, orbita bassa terrestre.
Il satellite scientifico europeo Aeolus si trova sulla traiettoria di Starlink 44, uno dei primi sessanta satelliti della mega-costellazione SpaceX: l’ESA esegue una manovra di evitamento e, subito dopo, annuncia che quel modello – ingegneri a Darmstadt che scambiano e-mail per decidere se spostare un oggetto da una tonnellata che viaggia a quattordici chilometri al secondo – non è più sostenibile. Serve un algoritmo che valuti il rischio in autonomia e, all’occorrenza, muova il satellite senza aspettare che qualcuno risponda alla posta.
La domanda è semplice quanto scomoda: se quella manovra autonoma, invece di evitare una collisione, ne causasse un’altra, chi paga?
Nessuna delle norme oggi in vigore – internazionali, europee o nazionali – è stata pensata per governare macchine intelligenti oltre la Terra. Il vuoto si sta colmando, ma dal basso e altrove, con standard tecnici scritti fuori dall’Europa. E mentre noi discutiamo, lassù le macchine continuano a decidere.
Indice degli argomenti
Il problema della colpa algoritmica
Il pilastro su cui dovremmo poggiare è la Liability Convention del 1972, che prevede un doppio regime: responsabilità assoluta per i danni causati sulla superficie terrestre o ad aeromobili in volo, e responsabilità per colpa per i danni causati nello spazio1.
La parola chiave è proprio colpa – un concetto che presuppone un essere umano, una decisione, una prevedibilità e un dovere di diligenza violato. Ma il machine learning produce, per definizione, output che gli stessi programmatori non possono prevedere ex ante: diventa così impossibile individuare con certezza chi abbia “colpa” quando un satellite AI-driven sceglie autonomamente di non manovrare e collide – se il programmatore, l’operatore, lo Stato di lancio o chi ha addestrato il modello. La Convenzione del 1972 non offre risposte, né avrebbe potuto farlo: quando fu firmata, il deep learning non esisteva.
Non si tratta di un esercizio puramente teorico. L’unico precedente di responsabilità assoluta risale al 1978, con il satellite sovietico Kosmos 954 che disperse detriti radioattivi sul Canada2. La più grande collisione orbitale della storia – Kosmos 2251 contro Iridium 33, nel 2009 – fu risolta senza che gli Stati invocassero la Convenzione3. Occorre sottolineare un dato ulteriore: la Convenzione regola i rapporti tra Stati, e l’operatore privato danneggiato non può agire direttamente in base ad essa4. Un impianto, insomma, pensato per un mondo di sole agenzie statali, del tutto inadeguato all’era delle mega-costellazioni commerciali e dell’autonomia algoritmica.
Un mosaico normativo che non parla di AI in orbita
A livello europeo, nessuna delle discipline applicabili è stata concepita avendo davanti la decisione autonoma di un algoritmo a 320 chilometri di altitudine: ciascuna ne intercetta soltanto un frammento.
AI Act, EU Space Act e NIS2: norme che si sovrappongono senza incontrarsi
L’AI Act è il più ambizioso tentativo al mondo di disciplinare l’intelligenza artificiale per categorie di rischio, ma è calibrato su applicazioni terrestri – riconoscimento facciale, credito, dispositivi medici – e la parola “satellite” non compare in alcuna sua disposizione operativa specifica. L’attuale proposta di EU Space Act introduce un quadro di cybersecurity tarato sulle infrastrutture spaziali, ma non disciplina l’AI di bordo5. Il Cyber Resilience Act impone requisiti ai prodotti con elementi digitali lungo l’intero ciclo di vita e inciderà sui sistemi spaziali solo in via indiretta. La NIS2 include lo spazio tra i settori di alta criticità, ma copre essenzialmente le infrastrutture di terra, senza disposizioni specifiche per gli asset orbitali6.
Il risultato è una stratificazione disordinata, il cui onere di mappatura ricade interamente sull’operatore spaziale. Le stesse istituzioni europee, per i programmi di navigazione satellitare, hanno dovuto classificare le fonti rilevanti in dieci distinte categorie – dalla protezione dei dati alla sicurezza delle reti, dalle informazioni classificate alla resilienza delle infrastrutture critiche – proprio perché troppo numerose ed eterogenee per essere gestite senza un metodo strutturato. A questa frammentazione orizzontale si somma quella verticale: la trasposizione interna della Direttiva NIS2, ad esempio, non è a oggi uniforme tra gli Stati membri, e i perimetri dei soggetti critici restano in parte da definire. Il paradosso è evidente: più il satellite diventa autonomo e indipendente da terra, meno rientra nel perimetro della norma pensata per proteggerlo.
Il ritiro della direttiva europea sulla responsabilità AI
A rendere il quadro ancor più lacunoso, la Commissione europea ha formalmente ritirato nell’ottobre 2025 la proposta di direttiva sulla responsabilità per l’intelligenza artificiale – lo strumento che, per vocazione, avrebbe dovuto colmare il divario tra danno algoritmico e regole risarcitorie. Il ritiro segnala una scelta politica netta: rinunciare, almeno per ora, a un regime armonizzato di responsabilità civile per i danni causati dall’AI. Per i sistemi autonomi in orbita il vuoto resta doppio: la Liability Convention non copre la colpa algoritmica, e l’Unione ha abbandonato il cantiere della norma che avrebbe potuto farlo.
La catena di fornitura, l’anello debole della sicurezza spaziale
A questa frammentazione si aggiunge un vettore di rischio che i contratti tendono a sottovalutare: la catena di fornitura. I sistemi spaziali fanno crescente ricorso a componenti commerciali off-the-shelf e a supply chain globali, ampliando la superficie di attacco e il rischio di compromissioni7. La bozza di Regolamento ASI richiederebbe un piano di gestione del rischio della catena di approvvigionamento, con mappatura dei fornitori critici anche secondo criteri geopolitici. L’export control sui beni dual-use o militari aggiunge un ulteriore livello di complessità: vincoli come le normative ITAR/EAR statunitensi limitano persino il trasferimento dei dati tecnici necessari alla valutazione assicurativa del rischio8. Governance dell’AI, cybersecurity, export e disciplina spaziale parlano oggi lingue diverse, ma il satellite intelligente che si lancia domani le attraversa tutte insieme.
La Legge Spazio italiana e il caso dell’articolo 15
Sul piano interno, l’Italia si è mossa con la Legge Spazio n. 89/2025, che chiude il vuoto regolatorio e attribuisce all’ASI il controllo degli operatori e la registrazione degli oggetti spaziali, e con la bozza di Regolamento Tecnico ASI dell’ottobre 2025. Ma anche qui – come a livello europeo – si disciplina la capacità tecnica, non chi risponde quando quella capacità autonoma genera un danno.
Un esempio concreto emerge proprio dalla bozza di Regolamento Tecnico ASI. L’art. 15 della proposta imporrebbe ai sistemi spaziali la capacità di rilevare e gestire il rischio di collisione “eseguendo manovre di evasione controllate a distanza o autonome”, oppure coordinandosi con il centro di controllo dell’oggetto secondario per decidere quale dei due manovrerà. Sarebbe una previsione lungimirante sul piano della sicurezza, ma lascia aperta la domanda giuridicamente decisiva: se entrambi i satelliti, governati da algoritmi, decidono autonomamente di manovrare – o di non farlo – e collidono, su chi ricade la responsabilità? La capacità di evitare la collisione è regolata; l’allocazione della responsabilità per la decisione autonoma, no.
Chi scrive le regole, scrive il futuro
Nel 1967 lo spazio era un luogo di Stati e le macchine eseguivano ordini scritti su carta. Oggi nello spazio operano imprese private, mega-costellazioni e – fatto nuovo – macchine che non eseguono soltanto, ma decidono.
La Strategia Nazionale sullo Spazio, da poco presentata, punta a sviluppare capacità di Space Traffic Management e a impiegare l’intelligenza artificiale per migliorare l’accuratezza delle previsioni orbitali15: si tratta della direzione giusta, e il fatto che l’Italia abbia adottato una legge organica sulle attività spaziali prima ancora che l’EU Space Act entri in vigore è un segnale positivo. Tuttavia, la finestra è stretta. Il vuoto si sta colmando con standard tecnici scritti altrove: le istituzioni oltreoceano (NASA, NIST e US Space Force) hanno adottato negli ultimi anni una serie di framework di cybersecurity spaziale che le aziende del settore adottano su base volontaria, costruendo di fatto una regolamentazione privata transnazionale9. L’Italia, e con essa l’Europa, ha ancora il tempo di passare da norme che disciplinano la capacità a norme che governano la responsabilità delle macchine intelligenti. Solo con un approccio lungimirante, però, potremo evitare che lo standard de facto lo scriva, ancora una volta, chi arriva primo con un contratto ben redatto.
Note
1 Kilibarda, The Militarization of Outer Space and the Liability Convention, Air & Space Law, 2023, p. 284; Bielicki, Legal Aspects of Satellite Constellations, Air & Space Law, 2020, p. 250.
2 Okoli-Nwankwo, Dynamics of Aerospace Technologies and the Legal Delimitation of Outer Space, Air & Space Law, 2023, p. 315.
3 Beer, The Specific Risks Associated with Collisions in Outer Space, Air & Space Law, 2000, p. 48.
4 Bielicki, op. cit.
5 Beer, op. cit., p. 48; Santana, Options for a Liability Framework for Commercial LEO Destinations, Air & Space Law, 2024, p. 514.
6 Vettorel, Cybersecurity in New Space and the Problem of International Regulation, Air & Space Law, 2024, p. 317.
7 ENISA, Space Threat Landscape, 2025, sui rischi di supply chain e COTS.
8 Malinowska, Risk Assessment in Insuring Space Endeavours, Air & Space Law, 2017, p. 330.
9 Vettorel, op. cit.; Masson-Zwaan, Space Contracts, Insurance and Dispute Settlement, Air & Space Law, 2025.
Partecipa alla community