di Salvatore Donato
Lavoro con dati da fonti aperte da anni, e nel tempo ho imparato a guardare le cose obliquamente. Non l'evento in sé, ma quello che lo precede. Non la crisi conclamata, ma i segnali che nessuno ha collegato prima che esplodesse. Quel che ho capito è che le informazioni necessarie, quasi sempre, esistono già. Sono accessibili, sono persino osservate da qualcuno. Il problema non è trovarle. È che nessuno le sta leggendo insieme.
Il 24 febbraio 2022, alle 4 del mattino, un attacco informatico sofisticato ha messo fuori uso i modem Viasat KA-SAT in tutta Europa. Era il primo atto della guerra in Ucraina, consumato nello spazio digitale un'ora prima che i carri armati russi attraversassero il confine. 5.800 turbine eoliche Enercon in Germania perdono il controllo remoto in simultanea. I segnali preparatori, in retrospettiva, c'erano tutti. Ma erano sparsi tra reti, logistica, geopolitica, militare. Nessuno li aveva letti insieme in tempo. Questo è il problema che voglio affrontare. Non la tecnologia. Il problema è strutturale: come si fa a vedere un sistema quando ogni osservatore vede solo un pezzo.
Una Strategia di Sicurezza Nazionale ha senso, e sarebbe importante che l'Italia ne avesse finalmente una strutturata. Ma c'è una distinzione che, nel dibattito italiano, viene quasi sempre elusa: una Strategia di Sicurezza Nazionale è un documento dello Stato, non del Governo. Non è un programma di legislatura. Non appartiene alla coalizione che lo scrive. Appartiene alle istituzioni permanenti della Repubblica, alle Forze armate, all'intelligence, alla diplomazia, alle amministrazioni che garantiscono continuità indipendentemente da chi governa. Confondere i due piani è un errore che si paga nel tempo: una strategia pensata come strumento di un governo tende a scomparire con quel governo, oppure a essere riscritta da quello successivo con logiche di discontinuità che non ha senso applicare alla sicurezza nazionale. Lo Stato ha interessi che durano decenni. I governi durano qualche anno.
Da questa distinzione deriva una conseguenza diretta. Se la Strategia di Sicurezza Nazionale è un documento dello Stato, allora deve essere sostenuta da una capacità istituzionale stabile e continuativa, non da task force temporanee o da strutture che dipendono dalla volontà politica del momento. Il rischio di sicurezza non aspetta i rimpasti di governo. Le minacce ibride, cyber, energetiche, biologiche non calibrano il loro timing sui calendari elettorali. E tuttavia oggi in Italia manca, o esiste in forma molto frammentata, uno strato istituzionale capace di leggere in modo continuativo e trasversale l'evoluzione del rischio su tutti i domini rilevanti.
Ogni amministrazione vede una parte del quadro: chi osserva la dimensione cyber, chi quella energetica, chi quella sanitaria, chi quella diplomatica, chi quella militare. Il rischio non è la cecità, ma la miopia settoriale: ogni pezzo viene interpretato nel proprio contesto, mentre la crisi o la minaccia si sviluppa attraverso tutti i confini amministrativi insieme. Nel maggio 2023, il SektorCERT danese ha documentato un attacco coordinato contro 22 operatori di infrastrutture energetiche, tutti colpiti nella stessa finestra temporale attraverso vulnerabilità nei firewall Zyxel. Ogni operatore vedeva la propria anomalia. Nessuno vedeva il disegno complessivo. Non era un problema di dati mancanti. Era un problema di architettura analitica. La stessa logica vale per le minacce biologiche: Taiwan, il 31 dicembre 2019, ha segnalato all'OMS almeno sette casi di polmonite atipica a Wuhan. I segnali erano in fonti aperte. Mancava il sistema per aggregarli e valutarli con la dovuta urgenza.
Quello che propongo non è un'AI che governa la sicurezza nazionale. È qualcosa di più preciso e più modesto: un sistema che prende un segnale cyber rilevato dall'intelligence, lo affianca a un'anomalia logistica nel Mediterraneo e a una variazione nei flussi energetici dall'est, e restituisce al decisore una rappresentazione integrata invece di tre rapporti separati letti in tre riunioni diverse. Non decide nulla. Non sostituisce nessuno. Aiuta a vedere il quadro prima che le sue parti esplodano in sequenza, ognuna apparentemente isolata, mentre in realtà si tengono.
La scelta dei domini da monitorare non è arbitraria. Ogni crisi sistemica degli ultimi vent'anni ha mostrato che i settori che interagiscono in modo non ovvio sono esattamente quelli che nessun sistema di allerta tradizionale presidia insieme. Il cyber tocca l'energia, come ha dimostrato Colonial Pipeline. La salute tocca la logistica e la coesione sociale, come ha dimostrato il Covid. Il Mediterraneo tocca l'energia e la geopolitica ogni volta che una rotta commerciale viene compressa. Lo spazio tocca le telecomunicazioni militari e civili, come ha mostrato il caso Viasat. Un sistema che osserva ciascun dominio separatamente può essere eccellente e restare cieco sulle interazioni. L'intelligenza, in senso tecnico, sta proprio nella capacità di leggere le intersezioni.
Il sistema, architetturalmente, lavora per strati. La prima funzione è il riconoscimento delle anomalie all'interno di ciascun dominio: deviazioni dai pattern storici che segnalano qualcosa fuori dall'ordinario, senza ancora dire cosa. Da lì, il sistema cerca relazioni tra anomalie diverse — coincidenze temporali, geografiche, causali — che prese singolarmente non avrebbero peso ma che insieme cominciano a disegnare qualcosa. L'ultimo passaggio è generare scenari: ipotesi ordinate per plausibilità, con le fonti esplicite e il ragionamento tracciabile, in modo che chi riceve il risultato possa capire non solo cosa viene segnalato, ma da dove viene quella lettura. Il decisore non riceve un allarme. Riceve una posizione argomentata che può contestare, correggere, integrare con quello che sa e che il sistema non sa.
C'è un punto che considero non negoziabile e che spesso viene trattato come un dettaglio tecnico invece che come una scelta politica: l'infrastruttura deve essere sovrana. I dati non escono dalla giurisdizione nazionale. I modelli girano su hardware italiano o europeo, non su cloud di terze parti. Le componenti AI vengono addestrate, validate e aggiornate sotto controllo diretto delle istituzioni che ne rispondono. Questo non è nazionalismo tecnologico. È la conseguenza logica del fatto che stiamo parlando di analisi del rischio strategico nazionale: affidare quella funzione a un'infrastruttura esterna, per quanto efficiente, significa introdurre una dipendenza strutturale in un punto che non può permettersela.
Un analista del DIS e un ministro non hanno bisogno della stessa cosa. Il primo lavora su indicatori tecnici, fonti grezze, confidence score: materiale grezzo da interpretare nel proprio contesto di analisi. Il secondo deve capire rapidamente cosa sta succedendo, perché è rilevante in quel momento e quali margini di azione esistono. Il CISR, che coordina tra più strutture, ha bisogno di una lettura che attraversi i domini senza fermarsi ai confini di competenza di nessuno. Un sistema ben progettato calibra l'output sul destinatario. Uno mal progettato produce dati che teoricamente contengono tutto e praticamente non servono a nessuno.
Il modello di riferimento non è teorico. L'ODNI americano ha costruito nel tempo sistemi di analisi integrata tra le agenzie della comunità intelligence, orientati esattamente alla riduzione dei silos informativi che avevano reso possibile l'11 settembre. Il Centro di intelligence ibrida di Helsinki (Hybrid CoE), operativo dal 2017, correla segnali provenienti da domini diversi per identificare pattern di minaccia ibrida prima che raggiungano la soglia di visibilità pubblica. Queste non sono soluzioni perfette. Sono architetture che l'Italia, con il DIS e il CISR, potrebbe sviluppare in modo proprio, con caratteristiche adatte al contesto nazionale e al quadro europeo.
L'obiezione più seria non è tecnologica. È politica. Chi controlla il sistema? Chi accede ai dati? Come si garantisce che non venga usato per fini diversi da quelli dichiarati? Sono domande legittime. La risposta è che non esistono garanzie automatiche, ma esistono architetture di governance che rendono l'abuso più difficile e più visibile: separazione dei domini informativi, log immutabili delle query effettuate, supervisione parlamentare, audit tecnici indipendenti, responsabilità istituzionale esplicita. Il punto decisivo è che questa infrastruttura dovrebbe rispondere allo Stato, non al Governo in carica. La Banca d'Italia non cambia i suoi criteri di vigilanza a seconda della coalizione che governa. Non perché sia impermeabile alla politica, ma perché la sua credibilità dipende esattamente da quella distanza. Un'infrastruttura analitica di sicurezza nazionale dovrebbe funzionare con la stessa logica: serve alla Repubblica, non alla legislatura.
C'è una dimensione di questa questione che nel dibattito italiano viene quasi sempre saltata. La Cina ha un piano nazionale sull'intelligenza artificiale che risale al 2017 e che colloca esplicitamente il primato nell'AI tra gli obiettivi di potenza dello Stato. La National Security Commission on Artificial Intelligence americana, nel suo rapporto finale del 2021, ha scritto in modo diretto che chi non sviluppa capacità AI sovrane in ambito di sicurezza si troverà in una posizione di dipendenza strategica rispetto a chi lo ha fatto. Non è retorica da Guerra Fredda. È la descrizione di una transizione già in corso: ogni sistema di analisi strategica incorpora le priorità e le categorie interpretative di chi lo ha progettato. Un paese che affida la propria lettura del rischio strategico a piattaforme costruite altrove non sta acquistando uno strumento. Sta delegando, almeno in parte, il modo in cui vede il mondo.
Il vero rischio non è costruire uno strumento del genere. Il vero rischio è non costruirlo. Volt Typhoon, il gruppo APT cinese identificato dalla CISA nel 2023, aveva pre-posizionato accessi in infrastrutture critiche americane da almeno cinque anni senza essere rilevato. Cinque anni di presenza silenziosa in sistemi di energia, acqua e comunicazioni. Non è un caso isolato: è la dimostrazione che le minacce più gravi non si annunciano, si radicano. E uno Stato che non ha la capacità di leggere quel radicamento in tempo reale è uno Stato strutturalmente vulnerabile, indipendentemente da quanto sia ben scritta la sua Strategia di Sicurezza Nazionale.
Una strategia scritta resta necessaria: definisce il quadro politico, gli interessi vitali, la postura geopolitica, i valori che lo Stato non è disposto a negoziare. Ma da sola fotografa un mondo che nel frattempo è già cambiato. Affiancarle una capacità tecnologica permanente, sovrana, controllata e trasparente significa trasformare quella cornice in qualcosa di vivo. Non una scorciatoia tecnologica. Una nuova infrastruttura cognitiva dello Stato.
La decisione finale resta umana, politica, istituzionale. Ma la qualità di quella decisione dipende dalla qualità dell'analisi che la precede. E quella qualità, oggi, non è all'altezza delle minacce che stiamo affrontando, e in questo spero convintamente di sbagliarmi.
Salvatore Donato, Intelligence & OSINT Analyst