Perché il dual use è diventato un problema di sovranità tecnologica

Esiste un momento — spesso impercettibile, raramente dichiarato — in cui una tecnologia nata per finalità civili attraversa una soglia: diventa strumento potenziale di coercizione, sorveglianza, offesa militare.

Questo momento non è un fatto accidentale né un’aberrazione: è la condizione strutturale di un’intera categoria di innovazioni che la letteratura giuridica e strategica denomina tecnologie a duplice uso, o dual use.

Tecnologie dual use: dal civile alla sicurezza internazionale

La loro peculiarità non è la pericolosità intrinseca, ma la convertibilità: la capacità di attraversare, spesso senza soluzione di continuità, il confine tra il laboratorio farmaceutico e il centro di ricerca militare, tra l’algoritmo di ottimizzazione finanziaria e il sistema di pianificazione strategica bellica.

La questione non è nuova. Fin dagli anni Cinquanta del Novecento, con la creazione del CoCom (Coordinating Committee for Multilateral Export Controls) tra i paesi NATO, le democrazie occidentali si sono confrontate con il problema di come controllare il trasferimento di tecnologie sensibili verso potenziali avversari senza paralizzare il commercio internazionale e la collaborazione scientifica. Ma la risposta istituzionale elaborata in quel contesto — liste di prodotti controllati, licenze di esportazione, dichiarazioni di uso finale — era pensata per un’epoca in cui le tecnologie sensibili erano fisicamente identificabili, ingombranti, difficili da replicare.

Oggi il paradigma è radicalmente mutato. Un sistema di simulazione quantistica ad alte prestazioni occupa lo spazio di un server rack. Il software che gli conferisce capacità crittograficamente rilevanti è trasferibile in pochi secondi via rete. Un modello di intelligenza artificiale addestrato per scopi civili può essere riorientato verso applicazioni di targeting autonomo in settimane. Una sequenza genomica sintetizzata per ricerca biomedica può diventare la base di un agente patogeno ingegnerizzato. Il know-how che distingue un’applicazione commerciale da uno strumento di offesa strategica risiede spesso in poche righe di codice, in un parametro di configurazione, in un dato di addestramento — invisibili, replicabili, intangibili.

È in questo contesto che il presente articolo si colloca. L’obiettivo non è semplicemente descrivere il quadro normativo vigente — operazione utile ma non sufficiente — ma dissezionare anatomicamente il dual use come fenomeno strutturale: identificarne le componenti costitutive, le dinamiche di evoluzione, le zone d’ombra che i regimi normativi esistenti faticano a illuminare. A supporto dell’analisi teorica viene utilizzato un caso industriale documentato — un produttore europeo di sistemi di simulazione quantistica ad alte prestazioni — i cui processi di compliance export control sono stati ricostruiti attraverso l’analisi di un corpus documentale interno. Il caso, pur relativo a un settore specifico, ha valore paradigmatico perché le sfide che illustra sono strutturalmente analoghe a quelle che si pongono in ogni dominio tecnologico avanzato.

La scelta di ancorare l’analisi teorica a un caso concreto risponde a una precisa scelta epistemologica: il dual use non è un concetto astratto ma una condizione pratica che si manifesta nella quotidianità industriale, nei processi di vendita, nelle clausole contrattuali, nelle decisioni di accesso remoto. Solo attraverso questa concretezza è possibile comprendere perché i regimi normativi esistenti siano strutturalmente inadeguati, e come potrebbero essere ripensati.

Le quattro dimensioni delle tecnologie dual use

Il dual use non è una proprietà binaria — un prodotto non è semplicemente ‘controllato’ o ‘libero’ — ma un continuum di rischio determinato dall’interazione di quattro dimensioni analitiche distinte. Comprenderle separatamente è il presupposto per progettare sistemi di governance adeguati.

Convertibilità tecnologica e soglie di rischio

La prima dimensione riguarda le caratteristiche intrinseche di un artefatto tecnologico che lo rendono strutturalmente convertibile da uso civile a uso sensibile. Nel caso dei sistemi di calcolo ad alte prestazioni, questa convertibilità è in parte quantificabile: il Regolamento UE 2021/821, attraverso la Categoria 4A del suo Allegato I, fissa soglie di performance computazionale — espresse in TFLOPS (tera-floating-point-operations-per-second) — oltre le quali un sistema è presunto potenzialmente sensibile, indipendentemente dall’uso dichiarato dall’acquirente.

La tecnologia non mente: la potenza computazionale necessaria per simulare circuiti quantistici a 40+ qubit è la stessa necessaria per condurre operazioni di crittanalisi avanzata su sistemi crittografici asimmetrici. Un sistema di intelligenza artificiale capace di elaborare immagini satellitari per il monitoraggio ambientale è strutturalmente identico a uno capace di supportare sistemi di targeting militare. Un laboratorio di biologia sintetica attrezzato per la ricerca terapeutica sulle proteine è, in linea di principio, attrezzato per la sintesi di agenti patogeni ingegnerizzati.

Questa convertibilità intrinseca ha una conseguenza normativa fondamentale: le soglie di classificazione non possono dipendere dalla dichiarazione d’uso dell’acquirente, ma devono essere ancorate a caratteristiche tecniche oggettive. Il Reg. UE 2023/66, che aggiorna l’Allegato I del Reg. UE 2021/821, ha introdotto nuove voci rilevanti per tecnologie quantistiche e sistemi HPC, riconoscendo la crescente rilevanza strategica di queste categorie. Analoghe revisioni sono in corso o già completate nei regimi normativi paralleli che governano le tecnologie di intelligenza artificiale a uso duale, i sistemi di biotecnologia avanzata e le infrastrutture di rete critiche.

La convertibilità, tuttavia, non è sempre quantificabile in soglie numeriche. Per molte tecnologie emergenti — in particolare nell’IA e nella biologia sintetica — l’elemento determinante non è la potenza bruta del sistema ma la sua capacità funzionale specifica: la capacità di un modello linguistico di produrre istruzioni operative per la sintesi di sostanze pericolose, o la capacità di un sistema di visione artificiale di identificare autonomamente bersagli militari. Questa dimensione funzionale della convertibilità è quella che sfida più profondamente i regimi normativi basati su liste.

Agency, intenzione e regime catch-all

La seconda dimensione concerne il ruolo dell’intenzione umana nella determinazione del rischio dual use. Questa dimensione è la più scivolosa dal punto di vista giuridico, perché l’intenzione è per definizione non verificabile ex ante e difficilmente provabile ex post. Il diritto risponde a questo problema in due modi principali: attraverso la presunzione di rischio (le soglie normative prescindono dall’intenzione dell’acquirente) e attraverso il regime catch-all (che attiva obblighi autorizzativi anche al di fuori delle liste normative quando l’esportatore ha ragione di sospettare un uso sensibile).

L’art. 4 del Reg. UE 2021/821 — il cosiddetto regime catch-all — è uno strumento potente ma concettualmente ambizioso: impone all’esportatore di valutare l’intenzione del destinatario anche in assenza di classificazione formale del prodotto. Un sistema di simulazione quantistica progettato per la ricerca farmaceutica potrebbe essere acquisito da una fondazione che funge da intermediario per un ente di difesa. Un pacchetto software di ottimizzazione logistica per uso civile potrebbe essere riorientato verso applicazioni di pianificazione militare. Un reagente di biologia sintetica per diagnostica potrebbe essere reindirizzato verso laboratori privi di adeguate misure di biosicurezza.

La documentazione operativa relativa ai sistemi dual use avanzati identifica una serie ricorrente di indicatori di rischio intenzionale: il rifiuto di sottoscrivere dichiarazioni di uso finale (End-User Certificate, EUC), la richiesta di reintestare il contratto nel corso della trattativa, la presenza di intermediari con struttura societaria opaca, la discordanza tra l’uso dichiarato e il profilo istituzionale dell’acquirente, la pressione a ridurre i tempi di due diligence. Questi segnali di allarme — noti in letteratura come red flag — non costituiscono criteri giuridici certi: sono indicatori probabilistici che richiedono un giudizio di merito che la norma affida all’esportatore, con le conseguenti responsabilità penali e civili in caso di valutazione errata.

Geopolitica e profilo di rischio delle tecnologie

La terza dimensione è forse la più trascurata nell’analisi giuridica tradizionale: il contesto geopolitico trasforma il profilo di rischio di una tecnologia indipendentemente dalle sue caratteristiche intrinseche e dall’intenzione dell’acquirente. Lo stesso sistema hardware-software venduto a un’università di un paese alleato e lo stesso sistema ceduto a un’istituzione accademica di un paese con strutturali legami tra ricerca civile e apparati militari statali pongono problemi radicalmente diversi, anche a fronte di dichiarazioni di uso finale formalmente identiche.

La matrice geografica del rischio dual use è dinamica e asimmetrica. Il Reg. UE 2021/821 prevede un sistema di Autorizzazioni Generali di Esportazione (GEA) che semplifica le operazioni verso paesi alleati — USA, Canada, Giappone, Australia, Gran Bretagna — ma impone autorizzazioni individuali UAMA per tutti gli altri. I regimi di embargo totale — attualmente applicabili a Russia, Bielorussia, Iran, Corea del Nord, Siria e altri — costituiscono la fascia estrema di questo spettro, dove qualsiasi trasferimento tecnologico è vietato indipendentemente dal prodotto e dall’uso dichiarato.

Questa stratificazione non è statica: il quadro geopolitico evolve, e con esso le liste di paesi soggetti a restrizioni. Il Regolamento UE 833/2014 e i suoi successivi aggiornamenti hanno progressivamente esteso il perimetro delle sanzioni europee verso la Russia, includendo categorie tecnologiche che in precedenza erano libere. La dimensione contestuale del dual use è pertanto una dimensione in continua evoluzione, che richiede un monitoraggio sistematico e un sistema di aggiornamento documentale capace di recepire rapidamente le variazioni del quadro normativo internazionale.

Latenza della militarizzazione e velocità digitale

La quarta dimensione è quella temporale. Le tecnologie dual use non acquisiscono rilevanza militare istantaneamente: vi è una latenza — variabile ma misurabile — tra lo sviluppo di una capacità commerciale e la sua appropriazione strategica. Questa latenza è storicamente in contrazione rapida: se negli anni Settanta occorrevano decenni perché tecnologie civili trovassero applicazione militare consolidata, nell’era digitale il processo può richiedere mesi.

Il calcolo quantistico, nata come strumento di ricerca chimica e fisica fondamentale, ha trovato applicazioni nell’ottimizzazione logistica militare e nella crittanalisi in meno di un decennio. I grandi modelli linguistici, sviluppati originariamente per assistenti digitali commerciali, sono stati reindirizzati verso applicazioni di intelligence e analisi di segnali in tempi ancora più brevi. Le tecniche di biologia sintetica per la produzione di vaccini a mRNA hanno dimostrato nel giro di pochi anni il loro potenziale di duplice utilizzo nella progettazione di agenti patogeni modificati.

Questa contrazione temporale ha implicazioni dirette per i sistemi di governance: le liste normative, che per definizione codificano il passato tecnologico, rischiano di essere sistematicamente superate dall’evoluzione del presente. Il caso del calcolo quantistico è emblematico: il Reg. UE 2023/66 ha aggiornato l’Allegato I includendo nuove voci per tecnologie quantistiche, ma la classificazione formale di prodotti specifici richiede comunque un’istruttoria i cui tempi sono largamente incompatibili con la velocità dei cicli commerciali e dell’innovazione.

Regolamento UE 2021/821 e controllo del dual use

Il Regolamento UE 2021/821 è lo strumento principale di governance del dual use nell’Unione Europea. La sua architettura si fonda su tre pilastri: un catalogo tassonomico (l’Allegato I, che elenca prodotti e tecnologie soggetti a controllo in dieci categorie), un sistema autorizzativo (che distingue autorizzazioni individuali, globali e generali) e un regime complementare di obblighi diffusi (che include il catch-all dell’art. 4 e gli obblighi di due diligence).

Le categorie più rilevanti per le tecnologie computazionali avanzate sono la Categoria 4 (sistemi di elaborazione delle informazioni, inclusi i sistemi HPC in 4A) e la Categoria 5 (telecomunicazioni e sicurezza dell’informazione, con particolare riferimento ai software di crittografia e simulazione in 5D e alle tecnologie associate in 5E). Le categorie 1 e 2 disciplinano rispettivamente i materiali speciali — rilevanti per la biologia sintetica e la nanotecnologia — e le attrezzature per la loro produzione. La Categoria 7 e 9 riguardano la navigazione e i sistemi aerospaziali, ambiti in cui la convergenza tra piattaforme civili e militari è particolarmente intensa.

Un elemento caratteristico del sistema europeo rispetto a quello statunitense (Export Administration Regulations — EAR) è l’assenza di un’agenzia regolatoria centralizzata equivalente al Bureau of Industry and Security (BIS) americano: la competenza è distribuita tra le autorità nazionali degli Stati membri, con l’UAMA (Unità per le Autorizzazioni dei Materiali di Armamento, presso il MAECI) per l’Italia. Questa frammentazione genera asimmetrie interpretative e competitive tra paesi europei, creando potenziali arbitraggi regolatori che gli esportatori più sofisticati sanno come sfruttare.

Il catch-all tra prevenzione e incertezza

L’art. 4 del Reg. UE 2021/821 — il cosiddetto regime catch-all — rappresenta l’elemento più innovativo e problematico del sistema. Esso estende gli obblighi autorizzativi anche a prodotti non espressamente elencati nell’Allegato I, quando l’esportatore ‘sa’ o ‘ha ragione di sospettare’ che il prodotto potrebbe essere destinato a usi sensibili: armi di distruzione di massa, uso militare in paesi soggetti a embargo, specifici end-user problematici.

La norma è potente nella sua funzione preventiva, ma indeterminata nella sua applicazione pratica. Il concetto di ‘ragione di sospettare’ rimette all’esportatore un giudizio probabilistico che la norma non definisce con sufficiente precisione. La giurisprudenza europea in materia è ancora scarsa; le linee guida della Commissione hanno valore orientativo ma non vincolante; il rischio sanzionatorio per gli esportatori che si affidano a valutazioni errate è reale e severo: reclusione fino a sei anni per le persone fisiche ai sensi del D.Lgs. 105/2003 in Italia, sanzioni pecuniarie fino a 250.000 euro per le persone giuridiche.

Il regime catch-all acquisisce particolare rilevanza quando il posizionamento commerciale di un’impresa include esplicitamente settori sensibili tra i propri mercati target. Un produttore di sistemi di simulazione quantistica che orienta la propria narrativa commerciale verso clienti governativi, laboratori nazionali e il settore difesa e sicurezza si espone a un onere di diligenza rafforzato: la sua comunicazione di marketing diventa, in questo quadro, un fattore giuridicamente rilevante nella valutazione degli obblighi di autorizzazione.

TICC e frontiera invisibile del trasferimento

La disposizione più rivoluzionaria — e sistematicamente sottovalutata — del sistema normativo è il riconoscimento che l’esportazione non si esaurisce nella spedizione fisica di beni materiali. L’art. 2(2)(b) del Reg. UE 2021/821 definisce come ‘esportazione’ anche il trasferimento di ‘software’ o ‘tecnologia’ mediante ‘mezzi elettronici, compresi fax, telefono, posta elettronica o altri mezzi elettronici’. Nel linguaggio operativo della compliance export control, questo concetto trova la sua declinazione pratica nel TICC: Trasferimento Intangibile di Conoscenze Controllate.

La portata operativa di questa norma è straordinaria. Configurano TICC, e quindi ‘esportazione’ soggetta agli stessi obblighi della spedizione fisica, le seguenti situazioni: l’invio via email di documentazione tecnica relativa a componenti controllati; l’accesso remoto via VPN o API a sistemi installati presso soggetti extra-UE; le sessioni di supporto tecnico condotte in modalità screen-sharing; gli aggiornamenti software distribuiti via rete a sistemi installati fuori dall’Unione Europea; la formazione tecnica erogata a personale straniero, anche esclusivamente online; le dimostrazioni tecniche con condivisione di parametri di configurazione riservati.

La conseguenza pratica è che il perimetro del controllo export non coincide con la frontiera doganale, ma con qualsiasi punto di contatto tecnologico tra l’esportatore e un soggetto extra-UE. In un’architettura SaaS o cloud-first — che caratterizza la maggioranza delle moderne piattaforme software — questo perimetro è in linea di principio coestensivo con l’intera infrastruttura di rete dell’azienda. I quattro vettori TICC principali che un sistema di compliance deve presidiare sono: l’accesso a piattaforme cloud o SaaS, le interfacce API remote, il supporto tecnico e la formazione, la distribuzione di aggiornamenti software.

Compliance preventiva per tecnologie dual use avanzate

A supporto dell’analisi teorica sviluppata nelle sezioni precedenti, si ricorre all’analisi di un caso industriale documentato: un produttore europeo di sistemi di simulazione quantistica ad alte prestazioni che ha sviluppato, in forma preventiva e prima di avviare qualsiasi operazione commerciale extra-UE, un sistema strutturato di compliance export control. Il caso è particolarmente istruttivo perché la tecnologia in questione — sistemi GPU-based per la simulazione di circuiti quantistici, integrati con software proprietario di simulazione avanzata — incarna quasi paradigmaticamente le caratteristiche che rendono una tecnologia strutturalmente ambidestrina.

Il corpus documentale analizzato comprende diciassette atti operativi redatti ai sensi del Regolamento UE 2021/821 e del D.Lgs. 221/2017. Esso copre l’intera catena di governance: dalla classificazione tecnica dei prodotti alla nomina e ai poteri dell’Export Control Officer, dalla gestione degli accessi remoti alle clausole contrattuali per partner e distributori, dalla procedura di geo-blocking tecnico al piano di formazione del personale. L’analisi di questo corpus permette di illustrare concretamente come le quattro dimensioni del dual use si traducano in scelte organizzative, procedurali e architetturali reali.

Gradiente di rischio nei sistemi HPC

Uno degli elementi più illuminanti del caso analizzato è la strutturazione del rischio dual use dell’hardware in forma di gradiente, anziché di classificazione binaria. La gamma di prodotti include configurazioni con prestazioni computazionali crescenti — da circa 75-82 TFLOPS FP64 (configurazioni base, destinate a laboratori di ricerca e sviluppo) fino a circa 300 TFLOPS FP64 (configurazioni enterprise, destinate a laboratori nazionali e centri HPC avanzati) — con profili di rischio normativo corrispondentemente differenziati.

La dimensione software amplifica il profilo di rischio hardware in modo non proporzionale. I moduli proprietari di simulazione quantistica — in particolare quelli che implementano algoritmi avanzati di tipo State Vector e Tensor Network — sono classificati in Categoria 5D002/5E002, con obbligo di licenza UAMA individuale per qualsiasi trasferimento extra-UE indipendentemente dal modello hardware associato. Questo significa che anche il sistema con il profilo di rischio hardware più basso diventa soggetto a controllo stringente se abbinato a componenti software avanzati. È un’esemplificazione concreta di come la convertibilità tecnologica non sia una proprietà del prodotto fisico, ma del sistema integrato hardware-software.

Nota metodologica: i valori TFLOPS indicati sono rappresentativi di fasce tecnologiche generali, non di prodotti specifici. La classificazione formale di sistemi HPC reali ai sensi della Categoria 4A del Reg. UE 2021/821 richiede un’analisi tecnica specializzata e, in molti casi, una legal opinion e/o un ruling UAMA preventivo, in ragione della complessità delle clausole di aggregazione multi-GPU e della variabilità interpretativa tra autorità nazionali.

Architettura documentale della compliance

Il sistema di compliance analizzato è organizzato in tre livelli funzionali interdipendenti, ciascuno con un ruolo specifico nella catena di controllo del rischio dual use.

Il primo livello — fondativo — comprende la scheda di classificazione tecnica dei prodotti, la policy aziendale export control e il brief per la legal opinion. Questi documenti definiscono il perimetro tecnico e normativo del problema e costituiscono la base per qualsiasi valutazione formale da parte dell’autorità competente. La scheda di classificazione adotta un sistema cromatico a tre livelli (alto rischio, zona grigia, rischio basso) per ogni componente hardware e software, rendendo immediatamente fruibile la valutazione anche a soggetti non tecnici.

Il secondo livello — organizzativo — comprende l’atto di nomina dell’Export Control Officer con specifica dei poteri conferiti, il registro delle operazioni export, la procedura di segmentazione del repository software e il piano azioni con la sequenza delle misure obbligatorie. Questi documenti danno sostanza organizzativa agli obblighi normativi, definendo chi decide cosa e con quale autorità.

Il terzo livello — operativo — comprende il template di End-User Certificate, la policy di governance degli accessi remoti e SaaS, le clausole export control per contratti tipo (NDA, licensing, partnership), la procedura tecnica di geo-blocking, il piano di formazione del personale e il ciclo di sviluppo sicuro del software. Questi documenti traducono la compliance in azioni concrete nelle transazioni quotidiane.

Gestione dei TICC nell’architettura tecnica

L’aspetto più originale del sistema analizzato è l’integrazione degli obblighi di compliance export control nell’architettura tecnica dei sistemi software, anziché trattarli come strato procedurale separato. Questa scelta — che potremmo denominare compliance by design — si manifesta in due ambiti principali: la segmentazione del repository e il geo-blocking infrastrutturale.

La segmentazione del repository definisce tre livelli di accesso fisicamente separati, corrispondenti ai tre livelli di sensibilità dei componenti software: componenti pubblici (documentazione, SDK standard, demo), componenti riservati (API avanzata, runtime base, layer di astrazione) e componenti controllati (algoritmi proprietari di simulazione avanzata, kernel ottimizzato, codice sorgente sensibile). Il livello controllato è soggetto al regime più restrittivo: accesso limitato agli sviluppatori core con autorizzazione nominale dell’Export Control Officer, repository isolato in subnet dedicata, autenticazione a due fattori obbligatoria, divieto assoluto di accesso remoto da soggetti extra-UE anche per operazioni di supporto o debug. Qualsiasi accesso da soggetti extra-UE ai componenti di livello controllato configura un TICC soggetto a verifica UAMA, indipendentemente dalla spedizione fisica dell’hardware.

Il geo-blocking infrastrutturale implementa a livello tecnico gli obblighi normativi sugli accessi remoti, con un’architettura di difesa in profondità su quattro strati: il WAF/CDN (blocco immediato per paesi soggetti a embargo totale), l’API Gateway (verifica del paese dell’account registrato e dell’autorizzazione ECO), lo strato applicativo (controllo per sessione) e il sistema di log e alerting (registrazione immutabile con retention di dieci anni e alert real-time per eventi critici). Un elemento di particolare sofisticazione è il trattamento degli accessi via VPN commerciali: un accesso da VPN verso componenti sensibili deve essere trattato con le stesse cautele di un accesso da paese a regime speciale, indipendentemente dall’indirizzo IP di uscita.

Export Control Officer e poteri di blocco

Al centro del sistema di governance è la figura dell’Export Control Officer (ECO), la cui nomina formale è il presupposto dell’intera struttura di compliance. L’atto di nomina analizzato conferisce all’ECO quattro poteri speciali che ne fanno una figura con autorità reale, non meramente consultiva: il potere di blocco autonomo di qualsiasi operazione extra-UE non conforme, il diritto di accesso a tutta la documentazione aziendale rilevante, la rappresentanza ufficiale nei rapporti con UAMA, e la facoltà di proporre budget dedicato per attività di compliance.

Il potere di blocco autonomo merita una riflessione specifica. La norma stabilisce che nessun’altra figura aziendale può revocare o ignorare un blocco ECO senza la sua approvazione scritta — includendo esplicitamente la pressione commerciale tra le circostanze da cui l’ECO deve essere immunizzato. Questa disposizione riconosce una tensione reale e documentata nel governo delle imprese tecnologiche: il conflitto tra le esigenze di crescita commerciale e gli obblighi di compliance, che in assenza di strutture organizzative adeguate tende sistematicamente a risolversi a favore delle prime.

Il sistema prevede inoltre una procedura strutturata per la gestione dei potenziali conflitti di interessi nella governance interna. Quando soggetti con ruoli rilevanti nella catena di compliance rivestono contemporaneamente posizioni in entità partner o clienti, il sistema richiede una valutazione legale preventiva prima di procedere con atti negoziali potenzialmente viziati. Questa previsione è rivelatrice della maturità del sistema: un sistema di compliance ben costruito non è solo un sistema di documentazione delle decisioni, ma un meccanismo di identificazione proattiva dei rischi, inclusi quelli di governance interna.

Limiti normativi e riforma della governance dual use

Il limite più evidente dei regimi normativi vigenti è la loro natura intrinsecamente reattiva: le liste di prodotti controllati codificano l’esistente, non anticipano il futuro. Il processo di aggiornamento dell’Allegato I — che richiede negoziazione tra gli Stati membri e recepimento formale — ha tempi incompatibili con la velocità dell’innovazione tecnologica. Nel campo della simulazione quantistica, dell’intelligenza artificiale avanzata e della biologia sintetica, nuove capacità strategicamente rilevanti emergono in cicli di mesi, non di anni.

Una risposta parziale è offerta dal regime catch-all, che prescinde dall’inclusione formale nelle liste. Ma il catch-all sposta il problema senza risolverlo: impone all’esportatore un giudizio di merito su tecnologie in rapida evoluzione, senza fornire criteri interpretativi adeguati e con un regime sanzionatorio che non tollera l’errore in buona fede. Il risultato pratico è una distribuzione asimmetrica del rischio: le imprese più grandi e strutturate possono permettersi legal opinion specializzate e sistemi di compliance costosi; le startup e le PMI innovative operano spesso in una zona grigia normativa che le espone a responsabilità difficilmente prevedibili.

Frammentazione giurisdizionale nell’era del TICC

Il secondo limite strutturale è la frammentazione giurisdizionale di un sistema pensato per il commercio fisico di beni materiali, applicato a trasferimenti digitali che per definizione non hanno frontiere. Se la spedizione fisica di un server rack è intercettabile alla dogana, il trasferimento del codice sorgente che lo rende militarmente rilevante può avvenire in millisecondi attraverso qualsiasi nodo della rete globale.

Il TICC non è solo una sfida tecnica: è una sfida giurisdizionale. Quando un ingegnere europeo fornisce supporto tecnico remoto a un cliente in un paese terzo, che opera un sistema con componenti controllati in un laboratorio con contratti con enti governativi sensibili, la catena di responsabilità è spesso ambigua, talvolta assente dal diritto positivo, quasi sempre inadeguata alla complessità della realtà operativa. La risposta non può essere affidata esclusivamente all’iniziativa dei singoli esportatori: richiede una cooperazione regolatoria internazionale che i meccanismi attuali non sono in grado di garantire alla velocità necessaria.

Tre proposte per una governance adattiva

Una governance adeguata del dual use nell’era digitale richiede un ripensamento strutturale che vada oltre il mero aggiornamento delle liste. Si propongono tre direttrici di riforma.

• Classificazione basata su capacità, non su prodotti. Spostare il focus normativo dalle caratteristiche fisiche dei prodotti (soglie TFLOPS, tipologie di componenti) alle capacità funzionali che essi abilitano: crittanalisi, targeting autonomo, sintesi di agenti patogeni, ottimizzazione militare. Questo approccio, già parzialmente adottato nella legislazione americana con le recenti restrizioni all’export di modelli di IA avanzati, è tecnologicamente più robusto rispetto all’obsolescenza rapida delle soglie numeriche.
• Obblighi di due diligence proporzionali al rischio. Sostituire il binomio autorizzato/non autorizzato con un sistema a gradiente che calibri gli obblighi procedurali in funzione del rischio effettivo: destinazione geografica, profilo dell’end-user, capacità abilitate dal sistema, vettori di trasferimento previsti. Il modello analizzato nel caso industriale — con i suoi tre livelli di componenti e le corrispondenti catene autorizzative differenziate — offre un’implementazione concreta di questo principio che potrebbe ispirare standard normativi di settore.
• Cooperazione regolatoria internazionale in tempo reale. Creare meccanismi di condivisione delle informazioni tra autorità di export control — UAMA, BIS, equivalenti europei e dei paesi del Wassenaar Arrangement — per costruire database condivisi di end-user a rischio e classificazioni tecnologiche aggiornate con cadenza molto più rapida di quella attuale. La frammentazione vigente — che vede il BIS americano aggiornare la propria Entity List con frequenza settimanale mentre i regimi europei si aggiornano annualmente — crea finestre di vulnerabilità sistematicamente sfruttabili da attori che operano su scale temporali più brevi.

Perché la governance delle tecnologie dual use deve diventare adattiva

Il dual use non è un’anomalia del sistema tecnologico contemporaneo: ne è una caratteristica strutturale. L’accelerazione dell’innovazione, la miniaturizzazione delle tecnologie sensibili, la diffusione globale delle capacità computazionali avanzate e la dematerializzazione del trasferimento di conoscenze rendono la distinzione tra uso civile e uso militare sempre più porosa, sempre più contestuale, sempre più dipendente da giudizi di merito difficilmente codificabili in liste normative statiche.

Il caso industriale analizzato offre una prospettiva concreta su questa complessità: un sistema di simulazione quantistica progettato per accelerare la ricerca farmaceutica e l’ottimizzazione finanziaria incorpora, per le stesse ragioni che ne determinano l’eccellenza commerciale, capacità potenzialmente rilevanti per la crittanalisi avanzata e la simulazione di sistemi complessi a uso militare. Non vi è tensione interna tra queste dimensioni: esse sono le due facce della stessa medaglia tecnologica. Lo stesso vale, con declinazioni specifiche, per i grandi modelli linguistici di intelligenza artificiale, per i sistemi di sintesi biologica avanzata, per i droni autonomi commerciali, per le piattaforme satellitari di osservazione della terra.

La risposta che il caso analizzato documenta — la compliance preventiva, l’architettura documentale strutturata, la segmentazione tecnica del codice, il geo-blocking infrastrutturale, la governance interna con poteri formalmente conferiti — rappresenta un modello di security by design applicato all’export control: l’integrazione degli obblighi normativi nell’architettura stessa del prodotto e del processo, anziché come strato addizionale di controllo ex post. Questo approccio è più costoso nel breve termine, ma strutturalmente più robusto, defensivamente più efficace e reputazionalmente più solido nei confronti dei clienti più sofisticati.

Sul piano normativo, il gap tra la velocità dell’innovazione tecnologica e la lentezza dei processi regolatori rimane il problema centrale irrisolto. La soluzione non può essere puramente tecnica — nessun sistema di controllo automatizzato è immune alla creatività degli attori che cercano di eluderlo — né puramente giuridica — nessuna lista normativa può anticipare l’emergenza di nuove capacità strategicamente rilevanti. Richiede una governance adattiva, costruita su principi (capacità, rischio, proporzionalità) piuttosto che su cataloghi, e su meccanismi di cooperazione internazionale capaci di operare alla velocità dell’economia digitale.

Come sosteneva Langdon Winner nell’analisi degli artefatti tecnologici, gli oggetti hanno politica: non nel senso che le tecnologie determinino i loro usi, ma nel senso che incorporano possibilità e ne precludono altre. Il dual use è, in ultima analisi, la manifestazione di questa politica degli artefatti: il riconoscimento che le scelte ingegneristiche hanno conseguenze strategiche, e che la governance tecnologica non può essere separata dalla governance della sicurezza internazionale. Comprenderlo anatomicamente — scomponendone le dimensioni costitutive, analizzandone le dinamiche, confrontandosi con la sua concretezza operativa — è il presupposto di qualsiasi risposta normativa e organizzativa adeguata.