Il dato non vale niente. La previsione sì.

6,3 miliardi di persone, il 79% della popolazione mondiale, vivono oggi sotto una legge nazionale sulla protezione dei dati. Quasi nessuna di quelle leggi governa ciò che oggi porta il valore: non i dati che una persona consegna, ma ciò che un sistema ne deduce dopo.

Quel divario è la storia della privacy di questo decennio. Scrivo da un punto di osservazione europeo perché è qui che il problema si vede con più chiarezza: il GDPR ha fatto della privacy un regime regolatorio serio. Lo ha fatto attorno a un modello in cui il rischio stava nella raccolta: dici alle persone cosa prendi, ottieni il consenso, il resto viene da sé. L'economia dei dati è andata avanti. La schermata del consenso è rimasta ferma.

Il dato non è più l'unità di misura

Il web commerciale è stato costruito sugli identificativi. Il cookie ha reso possibile il tracciamento, il tracciamento ha reso possibile la profilazione pubblicitaria, e per vent'anni il dibattito sulla privacy è stato un dibattito sull'informativa: cosa si raccoglie, per quanto tempo, con il permesso di chi.

Un sistema di intelligenza artificiale non ha bisogno del tuo dato. Ha bisogno di abbastanza frammenti di tutti per prevedere cosa avrebbe detto il tuo dato. Tracce di posizione, abitudini di acquisto, segnali del dispositivo, ritmi di navigazione — innocui presi uno per uno — combinati diventano un profilo che nessuno ha mai dichiarato: salute, finanze, orientamento, opinioni politiche, rischio. Togli nome e indirizzo email e la previsione funziona lo stesso. Il problema della privacy non è stato risolto: è stato spostato a valle del punto in cui la legge guarda.

L'unità economica non è più il dato. È la previsione.

Per questo il consenso è un controllo incompleto, non sbagliato. Il consenso può autorizzare una raccolta. Non può governare l'insieme aperto di conclusioni che un modello trarrà in seguito da quella raccolta, combinata con mille altre. Quando la deduzione diventa l'asset, chi possiede la pipeline possiede l'asimmetria — ed è l'asimmetria, non il volume dei dati, che si monetizza.

Le corti europee l'hanno capito per prime

Il punto interessante è che la Corte di giustizia dell'Unione europea ha già accettato questa logica. In tre sentenze ha spostato l'oggetto della tutela dal dato alla deduzione, mentre la maggior parte dei programmi di compliance è rimasta dov'era.

Nel caso OT (agosto 2022), un funzionario lituano era tenuto a pubblicare il nome del proprio partner. Un nome non è un dato sensibile. La Corte ha stabilito che, poiché il nome di un partner è "idoneo a rivelare indirettamente" l'orientamento sessuale, pubblicarlo è trattamento di dati di categoria particolare. In Lindenapotheke (ottobre 2024), i dati d'ordine di una farmacia online sono diventati dati sanitari — a prescindere dal fatto che la farmacia intendesse dedurre qualcosa, e a prescindere dal fatto che la deduzione fosse corretta. E in SCHUFA (dicembre 2023), la Corte ha stabilito che il punteggio di probabilità di un'agenzia di informazioni creditizie è di per sé una decisione automatizzata ai sensi dell'articolo 22, perché le banche vi si affidano al punto che il punteggio è il rifiuto.

Lette insieme, la linea è inequivocabile. La Corte tratta ciò che si può dedurre come l'oggetto che la legge protegge; l'industria della compliance tratta ancora ciò che è stato raccolto come l'oggetto da documentare. Nello spazio tra queste due posizioni sta oggi una parte consistente del trattamento dei dati in Europa: formalmente consentito, giuridicamente esposto.

La privacy è ormai politica della concorrenza

Il secondo spostamento è istituzionale, e per chi gestisce un'azienda conta più della giurisprudenza.

In Meta contro Bundeskartellamt (luglio 2023), la Corte ha confermato che un'autorità antitrust può valutare il rispetto del GDPR nell'ambito di un procedimento per abuso di posizione dominante, e che la posizione dominante di una piattaforma incide sulla libertà stessa del consenso dell'utente. Due anni dopo la teoria è diventata una sanzione. Il 23 aprile 2025 la Commissione europea ha multato Meta per 200 milioni di euro ai sensi del Digital Markets Act — non per aver raccolto dati, ma per averli combinati tra servizi diversi senza offrire un'alternativa reale. Il modello "consenti o paga" è stata la prima condotta di un gatekeeper punita dal DMA.

Guardate cosa è stato sanzionato. Il DMA non ha multato la raccolta. Ha multato la combinazione — il passaggio in cui i frammenti diventano deduzione. È un regolatore della concorrenza che tratta l'infrastruttura di inferenza come una fonte di potere di mercato, che è esattamente ciò che è: chi detiene il grafo comportamentale più ricco, il modello più forte e il regime di conservazione più permissivo può determinare prezzi, accesso e ingresso per tutti gli altri. La privacy non è un tema accanto alla struttura del mercato. È uno dei meccanismi con cui la struttura del mercato si costruisce.

Un'azienda che trasforma frammenti in deduzioni non vende più un servizio. Vende asimmetria informativa.

Cosa significa per chi compra software

Per chi opera in azienda, la conseguenza pratica è che l'informativa sulla privacy è diventata il documento meno importante della filiera, e il contratto il più importante. Tre cose su cui insistere prima di firmare.

• Separare i diritti di raccolta dai diritti d'uso. A un fornitore si può consentire di trattare un insieme ristretto di input senza consentirgli di riutilizzarli per profilazione, addestramento di modelli o arricchimento. Quella distinzione va nel contratto, non in una pagina di policy che il fornitore può riscrivere.
• Trattare "anonimizziamo" come l'inizio di una conversazione. L'anonimizzazione riguarda il dato. Chiedete cosa il sistema può ancora dedurre una volta tolti i nomi, e se usa aggregazione, controlli sugli accessi o altre tecniche di tutela della privacy per limitare i collegamenti tra dataset.
• Trattare l'accesso al modello come un diritto commerciale, non come un'impostazione predefinita. Se un fornitore può combinare i vostri dati con quelli di altri clienti, non state comprando un servizio: state contribuendo a un asset di inferenza a cui poi pagherete per accedere. Decidete prima se l'accordo è quello.

Niente di tutto questo è un esercizio di conformità. È potere negoziale. Chi controlla ciò che si può dedurre da un dataset ne controlla il valore — e il contratto è l'unico posto in cui chi compra può ancora dire chi sarà quel qualcuno.

La domanda sulla privacy era cosa le persone fossero disposte a condividere. Quella domanda è chiusa, ed era quella sbagliata. La domanda oggi è chi controlla il motore delle deduzioni, perché è lì che si cattura il valore — e, come le corti e i regolatori europei cominciano a dire ad alta voce, è lì che sta anche il potere.

Se vuoi questo tipo di analisi ogni settimana, la newsletter di ELECTE segue AI, privacy, regolazione e potere di mercato da una prospettiva europea. Lì scrivo delle conseguenze strutturali che la comunicazione dei fornitori lascia fuori, soprattutto dove contratti, acquisti e regolazione decidono chi controlla davvero il sistema.

Una nota di servizio: The ELECTE Quarterly è online — una nuova rivista editoriale costruita, numero dopo numero, attorno a una domanda sull’intelligenza artificiale e sul giudizio umano. Il primo numero è già disponibile.

E inoltre: una versione completamente rinnovata di electe.net sta per andare online. Ne parleremo presto.

Fonti

• IAPP, Identifying global privacy laws, relevant DPAs — https://iapp.org/news/a/identifying-global-privacy-laws-relevant-dpas
• CGUE, causa C-184/20 OT c. Vyriausioji tarnybinės etikos komisija, 1° agosto 2022 — sintesi: https://www.insideprivacy.com/eu-data-protection/special-category-data-by-inference-cjeu-significantly-expands-the-scope-of-article-9-gdpr/
• CGUE, causa C-21/23 Lindenapotheke, 4 ottobre 2024, e causa C-252/21 Meta Platforms c. Bundeskartellamt, 4 luglio 2023 — sintesi: https://connectontech.bakermckenzie.com/sensitive-data-under-the-cjeus-spotlight-practical-implications/
• CGUE, causa C-634/21 SCHUFA Holding, 7 dicembre 2023 — sintesi IAPP: https://iapp.org/news/a/key-takeaways-from-the-cjeus-recent-automated-decision-making-rulings
• Decisione della Commissione europea per inosservanza del DMA nei confronti di Meta, 23 aprile 2025 — sintesi Bird & Bird: https://www.twobirds.com/en/insights/2025/belgium/first-ever-dma-non-compliance-fines-%E2%80%93-another-step-in-big-tech-scrutiny

Fabio Lauria

CEO & Founder, ELECTE

Ogni settimana esploriamo l'AI senza l'hype — con dati, analisi e una prospettiva indipendente.