Democrazie autoritarie e controllo delle comunicazioni

Le democrazie stanno diventando più autoritarie nel controllo delle nostre comunicazioni? La domanda, se ci riflettiamo, è particolarmente delicata, e penso che sia troppo semplice rispondere immediatamente di sì. Credo, anche, che stiamo però assistendo, soprattutto negli ultimi anni, a una tendenza molto chiara: molti Stati democratici stanno cercando di aumentare significativamente la propria capacità di accedere alle comunicazioni, ai dispositivi e ai dati dei cittadini. 

Lo fanno invocando esigenze reali e spesso molto serie - terrorismo, criminalità organizzata, abusi sessuali sui minori, cybercrime, minacce ibride, spionaggio, sicurezza nazionale - ma il risultato complessivo merita di essere osservato con grande attenzione. Tanti provvedimenti apparentemente separati stanno convergendo, infatti, verso la stessa domanda politica: quanto deve essere ancora possibile, in una società digitale, comunicare in uno spazio nel quale neppure lo Stato possa entrare?

È una domanda risalente, in realtà. Il potere pubblico ha sempre avuto strumenti investigativi: intercettazioni telefoniche, perquisizioni, sequestri, pedinamenti e acquisizione di documenti, del resto nessuno Stato moderno potrebbe contrastare efficacemente la criminalità senza poteri di questo tipo.

La grande differenza è che la digitalizzazione ha modificato radicalmente sia la quantità delle informazioni disponibili, sia la profondità con cui quelle informazioni descrivono una persona. Il telefono che portiamo in tasca non contiene soltanto le nostre conversazioni, ma contiene fotografie, spostamenti, relazioni personali, ricerche, documenti, informazioni professionali, dati finanziari, talvolta dati sanitari e, soprattutto, una parte considerevole della nostra memoria. Accedere a uno smartphone oggi può significare conoscere una persona in una misura che una perquisizione domiciliare del Novecento difficilmente avrebbe consentito.

Questo cambiamento quantitativo produce, a mio avviso, un cambiamento qualitativo. Non possiamo più ragionare sull'accesso ai dati digitali come se fosse semplicemente la "versione moderna" dell'apertura di un cassetto. L'accumulazione delle informazioni permette di ricostruire comportamenti, relazioni e abitudini e, con strumenti di analisi automatizzata e intelligenza artificiale, anche di inferire informazioni che il cittadino non ha mai esplicitamente comunicato. Il potere informativo dello Stato cresce quindi non soltanto perché può raccogliere più dati, ma perché può correlare dati che prima sarebbero rimasti separati.

In questo scenario la crittografia è diventata uno dei principali terreni di scontro. La crittografia end-to-end parte da un'idea tecnicamente molto semplice ma politicamente potentissima: il contenuto di una comunicazione può essere letto soltanto dalle persone che comunicano, e neppure il gestore del servizio possiede necessariamente la chiave che gli consentirebbe di consegnarne il contenuto in chiaro. Dal punto di vista della sicurezza informatica è una proprietà straordinaria che protegge cittadini, aziende, amministrazioni pubbliche, giornalisti, avvocati, magistrati, dissidenti, politici e naturalmente anche le forze dell'ordine. Ma quella stessa proprietà protegge, inevitabilmente, anche persone che utilizzano la crittografia per commettere reati.

Nasce qui il problema che le autorità chiamano da anni going dark: se le comunicazioni diventano tecnicamente inaccessibili, anche disponendo di un provvedimento legittimo dell'autorità giudiziaria potrebbe non essere materialmente possibile intercettarne il contenuto. 

Dal punto di vista investigativo è un problema reale e non credo sia corretto liquidarlo come un semplice "pretesto" per aumentare la sorveglianza. Se due membri di un'organizzazione terroristica o criminale utilizzano un sistema correttamente cifrato end-to-end, il fatto che un giudice autorizzi l'intercettazione non produce "magicamente" la possibilità tecnica di leggere quei messaggi.

Il problema nasce dalla soluzione che scegliamo. Periodicamente ritorna l'idea di costruire una qualche forma di accesso eccezionale: una backdoor, un sistema di recupero delle chiavi, un meccanismo che consenta al fornitore o alle autorità, in determinate circostanze, di accedere al contenuto. 

Politicamente la proposta può sembrare ragionevole: nessuno chiede di leggere i messaggi di tutti, si dice, vogliamo soltanto poter leggere quelli di una persona indagata quando un giudice lo autorizza. 

Tecnicamente, però, la questione è molto più difficile. Una vulnerabilità costruita per i buoni non possiede la capacità di "riconoscere" i buoni. Se creiamo deliberatamente, in altre parole, un meccanismo che consente di aggirare una protezione crittografica, dobbiamo poi proteggere quel meccanismo dagli Stati ostili, dai servizi di intelligence stranieri, dai gruppi criminali, dagli insider.

Per questo la discussione sulla crittografia non è, come talvolta viene presentata, uno scontro tra privacy e sicurezza. 

La crittografia è essa stessa sicurezza. La utilizziamo per proteggere infrastrutture critiche, segreti industriali, transazioni economiche, comunicazioni governative e informazioni personali. Indebolire sistematicamente la crittografia per aumentare una forma di sicurezza - quella investigativa - può diminuire contemporaneamente un'altra forma di sicurezza, quella dei sistemi e delle comunicazioni. È questo il paradosso che rende il problema così difficile da risolvere.

Esistono poi soluzioni che cercano di evitare formalmente la rottura della crittografia. Una delle più discusse consiste nel controllare il contenuto prima che venga cifrato o dopo che è stato decifrato sul dispositivo dell'utente.

È il principio che viene spesso associato al client-side scanning. In questo caso non rompo matematicamente la crittografia: analizzo ciò che stai per inviare direttamente sul tuo telefono e, se il sistema rileva determinati contenuti, può segnalarli. Da un punto di vista strettamente tecnico è diverso da una backdoor crittografica. Dal punto di vista del cittadino, tuttavia, la distinzione può diventare molto meno rassicurante. Il messaggio rimane cifrato durante il viaggio, ma viene controllato prima di partire.

È attorno a problemi di questo tipo che ruota anche una parte della lunga controversia europea che viene giornalisticamente indicata come Chat Control. Qui bisogna essere molto precisi, perché negli anni sono circolate versioni differenti delle proposte e il processo legislativo è stato complesso. L'obiettivo dichiarato - contrastare la diffusione di materiale relativo agli abusi sessuali sui minori e l'adescamento online - è evidentemente di enorme importanza. La questione controversa riguarda gli strumenti utilizzati per raggiungerlo e, in particolare, fino a che punto sia accettabile sottoporre comunicazioni private a sistemi automatizzati di rilevazione.

Questo esempio permette di capire un punto che considero centrale. 

Nelle democrazie contemporanee, la sorveglianza raramente viene proposta in nome della sorveglianza. Viene proposta in nome della protezione. Proteggere i bambini, combattere il terrorismo, fermare il narcotraffico, contrastare la criminalità organizzata, impedire gli attacchi informatici. Sono finalità non soltanto legittime, ma spesso doverose per lo Stato. Il problema democratico non consiste quindi necessariamente nell'obiettivo dichiarato. Consiste nel verificare se lo strumento introdotto sia necessario, proporzionato, circoscritto e sottoposto a controlli sufficienti.

Questo è anche il motivo per cui utilizzerei con cautela la parola “autoritarismo”. Uno Stato democratico che attribuisce nuovi poteri investigativi alle proprie autorità non diventa automaticamente uno Stato autoritario. Esistono una Costituzione, giudici, parlamenti, autorità indipendenti, controllo democratico e tutela dei diritti fondamentali. Ma possiamo parlare, secondo me, di una indubbia tendenza securitaria quando l'equilibrio tra libertà e sicurezza viene progressivamente spostato verso la seconda e quando misure nate come eccezionali tendono a diventare ordinarie.

Esiste, poi, un fenomeno storico e giuridico molto noto che dovremmo tenere presente: l'espansione funzionale degli strumenti di sorveglianza. Una tecnologia viene introdotta per contrastare un fenomeno gravissimo e circoscritto; successivamente si scopre che è utile anche per un secondo reato, poi per un terzo, poi per finalità preventive. Progressivamente cambia non necessariamente la tecnologia, ma il suo perimetro di utilizzo. Il problema democratico, quindi, non è soltanto domandarsi chi può utilizzare oggi uno strumento, ma chiedersi chi potrà utilizzarlo domani e per quali finalità.

C'è poi una seconda trasformazione, forse ancora più interessante: lo Stato non vuole più necessariamente che sia l'operatore telefonico a consegnargli le informazioni. In alcuni casi vuole poter entrare direttamente nel dispositivo. È il mondo dei government trojans, degli strumenti di intrusione, dei captatori informatici e, più in generale, del cosiddetto lawful hacking. Se non posso intercettare una comunicazione perché è cifrata, posso tentare di acquisirla prima della cifratura o dopo la decifratura compromettendo il dispositivo sul quale viene scritta o letta.

Dal punto di vista investigativo è una soluzione estremamente potente. Dal punto di vista della cybersecurity apre però un problema quasi paradossale. Lo Stato che ha il compito di rendere sicuri i sistemi informatici può avere contemporaneamente interesse a mantenerne insicure alcune parti per poterle sfruttare nelle investigazioni. Se un'autorità scopre una vulnerabilità zero-day che permette di entrare in milioni di smartphone, che cosa deve fare? Comunicarla immediatamente al produttore affinché venga corretta, proteggendo così milioni di cittadini, oppure conservarla segretamente perché può essere utilizzata per entrare nel telefono di un criminale o di un terrorista?

È un conflitto tra due funzioni perfettamente legittime dello stesso Stato: proteggere i cittadini dalle vulnerabilità e utilizzare le vulnerabilità per proteggere i cittadini. E non esiste una soluzione semplice. Servono procedure rigorose, valutazioni sul rischio, controlli indipendenti e criteri molto stringenti per decidere quando l'interesse investigativo possa prevalere sull'interesse collettivo alla sicurezza.

Il problema diventa ancora più complesso quando questi strumenti vengono acquistati da imprese private. Il mercato degli spyware commerciali ha mostrato quanto possa diventare sottile il confine tra tecnologia investigativa legittima e strumento di sorveglianza politica. Una tecnologia progettata per entrare nel telefono di un terrorista può tecnicamente entrare anche in quello di un giornalista, di un avvocato, di un oppositore politico o di un attivista. Ancora una volta, la tecnologia non conosce la legittimità dell'obiettivo. È l'ordinamento giuridico che deve imporle un perimetro.

A tutto questo dobbiamo aggiungere l'intelligenza artificiale. Perché il vero salto di scala potrebbe non essere la capacità dello Stato di raccogliere più informazioni, ma la capacità di analizzarle automaticamente. Una quantità di dati enorme può essere relativamente poco utile se richiede migliaia di persone per essere esaminata. Diventa completamente diversa quando algoritmi e sistemi di intelligenza artificiale possono cercare connessioni, individuare anomalie, classificare persone, ricostruire reti sociali e attribuire livelli di rischio. In questo senso l'IA modifica l'economia stessa della sorveglianza: rende analizzabile ciò che prima era soltanto raccoglibile.

È qui che credo si trovi una delle questioni politiche più importanti dei prossimi anni. Il Novecento ci ha insegnato a temere lo Stato che costruisce enormi archivi sui cittadini. Il problema del XXI secolo potrebbe essere diverso: non soltanto uno Stato che possiede enormi quantità di informazioni, ma uno Stato capace di interrogarle continuamente e automaticamente. La differenza tra un archivio e un sistema di sorveglianza intelligente è enorme. Un archivio conserva. Un sistema intelligente correla, interpreta, seleziona e segnala.

C'è inoltre una dimensione geopolitica che spesso dimentichiamo. Quando una democrazia costruisce un'infrastruttura di sorveglianza, deve considerare non soltanto il governo che esiste oggi, ma anche quelli che verranno domani. Le infrastrutture tecnologiche sopravvivono ai governi. I database sopravvivono ai ministri. I poteri investigativi possono essere ampliati. Le emergenze cambiano. Una democrazia dovrebbe progettare i propri strumenti di sorveglianza pensando anche all'ipotesi che un giorno possano essere utilizzati da qualcuno di cui non si fida.

Per questa ragione il problema non può essere ridotto alla frase “non ho nulla da nascondere”. È probabilmente una delle argomentazioni più deboli nel dibattito sulla privacy. La segretezza delle comunicazioni non esiste per proteggere soltanto chi nasconde qualcosa di illecito. Esiste perché una società libera ha bisogno di spazi nei quali le persone possano parlare, pensare, dissentire, confidarsi, organizzarsi e cambiare idea senza sentirsi permanentemente osservate. La segretezza della corrispondenza è stata riconosciuta molto prima di Internet proprio perché non è un privilegio del colpevole: è una condizione della libertà del cittadino.

E c'è un ultimo effetto, più sottile, che mi preoccupa: quello che gli studiosi chiamano chilling effect. Non è necessario che qualcuno legga davvero tutte le nostre conversazioni. È sufficiente che le persone pensino che potrebbero essere lette. Quando percepiamo di essere osservati modifichiamo il nostro comportamento. Evitiamo certe ricerche, certe parole, certe associazioni, certe conversazioni. La sorveglianza, quindi, può produrre effetti sulla libertà anche quando nessuna sanzione viene materialmente applicata.

Torniamo allora alla domanda iniziale. Le democrazie stanno diventando più autoritarie nel controllo delle comunicazioni? Io risponderei che stiamo certamente vivendo una forte espansione della domanda di potere tecnologico da parte degli Stati, alimentata da minacce che sono in larga parte reali: terrorismo, cybercrime, criminalità transnazionale, guerra ibrida, interferenze straniere, abuso delle piattaforme. Sarebbe ingenuo negare allo Stato gli strumenti necessari per affrontarle. Ma sarebbe altrettanto ingenuo pensare che ogni nuovo potere tecnologico rimanga necessariamente confinato allo scopo per il quale è stato originariamente introdotto.

Per questo la domanda che dovremmo porci davanti a ogni nuova misura non è semplicemente: “può servire a combattere il crimine?” Quasi ogni strumento di sorveglianza può servire a combattere il crimine. Le domande democraticamente rilevanti sono altre: è davvero necessario? È proporzionato? Esiste un'alternativa meno invasiva? Chi lo autorizza? Chi controlla chi lo utilizza? Per quanto tempo vengono conservati i dati? Contro quali reati può essere impiegato? Il cittadino dispone di strumenti di tutela? Possiamo sapere, almeno successivamente, che cosa è stato fatto? E soprattutto: esistono limiti tecnici e giuridici che impediscano di trasformare uno strumento eccezionale in un'infrastruttura ordinaria di controllo?

Credo che il vero conflitto del prossimo decennio non sarà tra privacy e sicurezza. Questa contrapposizione è troppo semplice. Sarà tra due diverse concezioni della sicurezza. Da una parte, la sicurezza dello Stato e la sua capacità di investigare, prevenire e conoscere. Dall'altra, la sicurezza del cittadino, dei suoi dispositivi, delle sue comunicazioni e dello spazio privato nel quale esercita la propria libertà.

Una democrazia ha bisogno di entrambe. La questione non è scegliere tra uno Stato cieco e uno Stato onnisciente. La questione è decidere quanto deve poter vedere uno Stato democratico senza smettere, proprio per questo, di essere democratico.