Il caso degli Autistici/Inventati e la sanzione Usa che colpisce l’infrastruttura, non i responsabili

Il 26 agosto gli Stati Uniti hanno inserito il collettivo italiano Autistici/Inventati nella lista OFAC degli Specially Designated Global Terrorists. La misura, annunciata dal Dipartimento di Stato e dal Tesoro, usa l’Executive Order 13224, lo stesso quadro sanzionatorio impiegato contro chi finanzia, assiste o fornisce supporto materiale, finanziario o tecnologico al terrorismo.

La contestazione statunitense è nota: A/I offrirebbe servizi digitali usati da gruppi che Washington considera violenti o terroristici. Email, hosting, mailing list, blog e strumenti pensati per anonimato e privacy vengono quindi ricondotti alla categoria del “supporto tecnologico”.

È una decisione sproporzionata e, soprattutto, apre la strada ad un pericoloso precedente. Non perché ogni attività ospitata da A/I debba essere considerata legittima, ma perché la responsabilità per un reato dovrebbe ricadere su chi lo commette o lo organizza, non su un fornitore che offre infrastruttura a migliaia di utenti senza che sia dimostrato un contributo consapevole e concreto a una specifica azione violenta.

Autistici/Inventati è attivo dal 2001 e fornisce gratuitamente servizi di posta elettronica, hosting e pubblicazione a persone, gruppi e associazioni con una chiara collocazione politica antifascista, antirazzista, antisessista, antimilitarista e anticapitalista. Dal 2018 l’associazione risulta formalmente riconosciuta in Italia; secondo i numeri citati dalle autorità USA, la sua infrastruttura comprendeva 16.000 caselle email, 10.000 blog, 5.500 mailing list e 1.500 siti.

Quei numeri, però, sono il problema della misura, non la sua prova. Washington ha indicato il volume complessivo dei servizi, ma non ha reso pubblico quante caselle, blog o siti siano attribuiti a soggetti coinvolti nelle condotte contestate, né quale sia il contributo specifico di A/I a ciascun fatto. Colpire sedicimila caselle per l’uso illecito che alcuni utenti potrebbero farne è una forma di responsabilità per associazione, non un’analisi puntuale.

A/I respinge integralmente la qualificazione. Il collettivo afferma di essere composto da volontari e attivisti digitali e rivendica la propria attività come fornitura di strumenti di autodifesa digitale per individui, gruppi e associazioni. Dopo la designazione, ha dichiarato che il sito è divenuto irraggiungibile non perché i server fossero stati spenti, ma perché l’indirizzo che consente alle persone di raggiungerli ha smesso di funzionare correttamente.

Il dettaglio tecnico conta. Se un registro o un fornitore DNS interrompe la risoluzione di un dominio, il server può restare acceso e i dati possono restare intatti, ma per gli utenti il servizio sparisce. Il DNS non contiene la posta né ospita i blog, ma è la rubrica globale che collega un nome a una macchina: toglierlo equivale a rendere l’infrastruttura invisibile.

Le sanzioni non agiscono soltanto su domini e servizi online. Congelano eventuali beni sotto giurisdizione statunitense, vietano alle persone e alle aziende USA di compiere transazioni con il soggetto designato e possono spingere banche, registrar, provider, piattaforme cloud e gestori di pagamento non statunitensi a interrompere i rapporti per evitare rischi di sanzioni secondarie. Il provvedimento General License 36 ha previsto una fase di chiusura dei rapporti fino al 25 settembre 2026, ma non rende meno grave la pressione esercitata su chiunque dipenda, anche indirettamente, dall’infrastruttura finanziaria e tecnologica statunitense.

Qui emerge un problema europeo che va oltre il caso A/I. Un’associazione italiana può rispettare le leggi italiane, avere sede in Italia, rapporti con banche italiane e utenti in larga parte europei, ma rimanere esposta a decisioni americane se usa un dominio .org, servizi cloud, un registrar, pagamenti in dollari, circuiti di carte o piattaforme che operano sotto influenza giuridica statunitense. La sovranità digitale non è una parola da conferenza quando un dominio, una casella email o un conto possono essere bloccati dall’altra parte dell’Atlantico.

L’argomento non è che servizi anonimi o cifrati non possano mai essere usati per fini criminali. Certo che possono. Telegram è stato usato da organizzazioni estremiste per propaganda, reclutamento e diffusione di contenuti terroristici; il Dipartimento di Stato USA segnala, per esempio, che il Terrorgram Collective opera principalmente attraverso Telegram. L’autorità australiana eSafety ha inoltre avviato nel 2026 un’azione contro Telegram per la presunta mancata rimozione di contenuti terroristici e di esecuzioni attribuite all’ISIS, dopo una lunga indagine e segnalazioni degli utenti.

Eppure Telegram non è stato inserito nella lista SDGT per il solo fatto che soggetti violenti hanno usato la piattaforma. Alle piattaforme globali si chiedono rimozioni, cooperazione, trasparenza e rispetto di obblighi di moderazione; il sistema europeo contro i contenuti terroristici online, ad esempio, punta a monitoraggio, segnalazioni e collaborazione pubblico-privato.

La differenza non è irrilevante. Se il criterio diventa “chi offre uno strumento che può proteggere comunicazioni di soggetti illeciti è un fiancheggiatore”, allora la cifratura stessa diventa sospetta. Signal, Proton, Telegram, WhatsApp, servizi email, VPN, provider cloud, forum, registrar, motori di ricerca e social network hanno tutti una caratteristica in comune: possono essere usati bene o male da chi li utilizza.

Non ha senso trattare una casella di posta come una prova di complicità. Un fornitore che riceve una richiesta circostanziata e si rifiuta di collaborare con l’autorità competente può sollevare questioni diverse. Ma sanzionare un intero gestore, senza processo pubblico, senza contraddittorio preventivo e senza individuare in modo trasparente gli account coinvolti, trasforma l’infrastruttura in imputato collettivo.

Il caso A/I non riguarda l’approvazione delle sue idee politiche, né l’immunità per chi commette reati. Riguarda una domanda più semplice: può uno Stato colpire migliaia di utenti, associazioni e progetti, inclusi quelli estranei alle condotte contestate, perché alcuni potrebbero aver usato una piattaforma in modo illecito?

La risposta dovrebbe essere no. Le autorità devono perseguire reati, sequestrare prove, identificare responsabili e imporre obblighi mirati quando esistono elementi concreti. Spegnere o isolare un’intera infrastruttura digitale, invece, è facile. Ed è proprio per questo che non dovrebbe diventare la risposta normale.

* Esperto di cyber security ed intelligence