Il caso Paolo De Rosa non è una vicenda giudiziaria. Non c’è un’indagine, non c’è un’accusa, non c’è un fascicolo. C’è una sequenza di date e di carte che, messe in fila, raccontano qualcosa di più scomodo di uno scandalo personale: raccontano che la Repubblica italiana ha affidato per cinque anni la propria trasformazione digitale a un tecnico senza che nessuno, in nessun passaggio, verificasse chi fosse.
Cosa ha deciso Washington il 26 agosto
Il 26 agosto 2026 l’Office of Foreign Assets Control, l’ufficio del Tesoro americano che amministra le sanzioni, ha inserito Autistici/Inventati nella lista degli Specially Designated Global Terrorists. La base giuridica è l’Executive Order 13224, lo strumento antiterrorismo del 2001.
Il Dipartimento del Tesoro descrive il collettivo come una struttura italiana che fornisce architettura digitale, strumenti e servizi a cellule Antifa e ad altri estremisti violenti, compresa un’organizzazione terroristica straniera: il PKK, designato da Stati Uniti, Regno Unito e Unione europea. Il documento americano precisa che i servizi vengono concessi solo a soggetti selezionati per affinità ideologica.
I numeri contestati sono consistenti: circa 16.000 caselle di posta, 1.500 siti, 5.500 liste di distribuzione, 10.000 blog sulla piattaforma Noblogs. Dal 25 settembre 2026 qualunque transazione con l’entità designata è vietata per i soggetti americani. Il collettivo respinge integralmente le accuse e sostiene di fornire strumenti di autodifesa digitale a chiunque ne abbia bisogno.
Chi è Paolo De Rosa
Ingegnere informatico, già in Canonical e Deutsche Telekom, De Rosa viene selezionato nel 2017 per il Team digitale della Presidenza del Consiglio. Diventa poi responsabile tecnologico del Dipartimento per la trasformazione digitale e resta in quel ruolo fino al 2022, attraversando i governi Gentiloni, Conte e Draghi.
Nel suo perimetro finiscono i progetti più sensibili dell’ultimo decennio: l’app Immuni per il tracciamento dei contagi, il certificato verde europeo, la Strategia Cloud Italia e il Polo Strategico Nazionale. Nel 2023 entra nel gruppo di lavoro sulle politiche digitali e l’innovazione del Partito Democratico, presentato a Roma alla presenza della segretaria Elly Schlein. Oggi lavora alla Commissione europea come funzionario e responsabile tecnico del quadro europeo dell’identità digitale.
L’atto del 13 aprile 2018
Il 13 aprile 2018 De Rosa si presenta con altre sei persone nello studio di un notaio a San Giuliano Terme. Nasce AI ODV, l’organizzazione di volontariato che Autistici/Inventati indica nei propri termini di servizio come soggetto giuridico del rapporto con gli utenti e sulla cui pagina delle donazioni compare il codice fiscale. De Rosa entra nel primo consiglio direttivo e viene nominato segretario.
A quella data era già un tecnico dello Stato da un anno.
L’atto costitutivo contiene un dettaglio che chiarisce la natura dell’operazione: la nuova associazione non parte con la cassa vuota, ma riceve 50.000 euro dal patrimonio di Investici, l’organizzazione costituita nel 2001 e appena sciolta. Il notaio annota che Investici aveva oggetto analogo. Non si tratta dunque di una sigla nuova, ma della continuazione giuridica e patrimoniale di una struttura nata negli anni di Genova.
L’OFAC, nel designare l’entità, indica l’indirizzo di San Giuliano Terme utilizzato da AI ODV e un contatto sul dominio dell’associazione.
Il cloud di Stato e i dati della Repubblica
Il 7 settembre 2021 il Governo presenta la Strategia Cloud Italia. Al tavolo siedono il ministro per l’Innovazione tecnologica Vittorio Colao, il sottosegretario alla Presidenza del Consiglio con delega alla sicurezza Franco Gabrielli, il direttore generale dell’Agenzia per la cybersicurezza nazionale Roberto Baldoni. E il responsabile tecnologico del Dipartimento, Paolo De Rosa.
L’oggetto della discussione è dove collocare i dati della Repubblica. Il Piano nazionale di ripresa e resilienza destina 1,9 miliardi di euro all’erogazione di servizi pubblici su infrastrutture cloud, con l’obiettivo di portare circa il 75 per cento delle amministrazioni italiane su servizi cloud entro il 2026 e di ospitare il 100 per cento dei dati strategici su infrastrutture qualificate. Sul solo Polo Strategico Nazionale il Piano ha stanziato 900 milioni, dei quali 730 già impegnati da 380 enti locali e sanitari.
Immuni, nel frattempo, ha totalizzato circa 21,8 milioni di installazioni per identificare, fino al 31 dicembre 2021, meno dell’uno per cento dei casi accertati: 44.880 su oltre 5,8 milioni. È il perimetro sul quale ha lavorato l’uomo che oggi è al centro delle interrogazioni.
Il vuoto che nessuno vuole nominare
Qui sta il punto politico, e non riguarda le opinioni di De Rosa. Chiunque ha diritto alle proprie idee, e ospitare un sito non equivale a condividerne i contenuti.
La domanda è un’altra: com’è possibile che un funzionario con responsabilità dirette su infrastrutture critiche nazionali abbia ricoperto per anni una carica in un ente collegato a una realtà oggi designata da Washington, senza che l’amministrazione italiana lo sapesse, lo verificasse o se ne curasse?
La risposta è semplice e sgradevole. In Italia non esiste una procedura di verifica dei precedenti per i profili tecnici che maneggiano dati e infrastrutture dello Stato. Il nulla osta di sicurezza è previsto per chi tratta informazioni classificate, non per chi disegna l’architettura sulla quale quelle informazioni transitano. Un dirigente militare viene vagliato, un tecnico assunto con contratto di consulenza no. Abbiamo costruito il cloud sovrano curando la localizzazione fisica dei server e trascurando la biografia di chi li progettava.
Non è un dettaglio procedurale: è esattamente il punto in cui la sovranità digitale smette di essere una politica industriale e diventa una formula retorica.
Le interrogazioni e la difesa
L’inchiesta parte da Torino, con la ricostruzione di Sara Sonnessa su TorinoCronaca, e arriva rapidamente alle istituzioni. Augusta Montaruli, vicecapogruppo di Fratelli d’Italia alla Camera, ha presentato un’interrogazione al ministro dell’Interno Matteo Piantedosi. Carlo Fidanza, capodelegazione di Fratelli d’Italia-ECR al Parlamento europeo, ha annunciato un’interrogazione urgente alla Commissione per sapere se Bruxelles fosse a conoscenza del ruolo di De Rosa e se lo ritenga compatibile con l’incarico attuale.
Le domande poste sono tre, e sono tutte legittime: perché l’attività in AI ODV non compare nei curricula pubblici; se sia stata dichiarata all’atto dell’assunzione degli incarichi in Italia e a Bruxelles; perché il Partito Democratico abbia difeso il collettivo prima ancora che il nome emergesse.
Dall’altra parte, il Forum Disuguaglianze Diversità, di cui De Rosa è partner di progetto, parla di campagna di discredito e sostiene che egli abbia lasciato l’attività nel 2018, anche per la crescita del proprio impegno professionale nelle istituzioni. Resta da chiarire, e non è marginale, la differenza fra l’aver lasciato l’attività operativa e il figurare ancora come segretario dell’ente giuridico.
Intanto Banca Etica ha comunicato la chiusura del rapporto bancario con il collettivo. È l’effetto pratico di una designazione americana su un soggetto italiano: agisce sulle banche prima che sui tribunali.
Il nodo europeo
C’è un secondo livello, ed è quello che dovrebbe preoccupare di più. L’incarico attuale di De Rosa riguarda il quadro europeo dell’identità digitale, il regolamento che entro il 2027 dovrà dotare i cittadini dell’Unione di un portafoglio digitale contenente documenti, credenziali e attributi personali. È l’infrastruttura identitaria di quattrocentocinquanta milioni di persone.
La Commissione ha costruito in questi anni un apparato normativo imponente sulla tecnologia, dall’AI Act alle regole sui servizi digitali, e ha imposto obblighi minuziosi a imprese ed editori. Sulla verifica di chi progetta i propri sistemi, invece, non ha nulla di paragonabile. Regola gli altri con precisione notarile e controlla sé stessa con leggerezza.
Cosa serve, al di là del caso singolo
Se la vicenda si esaurisce nel derby fra chi grida allo scandalo e chi grida alla persecuzione, avremo perso l’occasione. Il caso Paolo De Rosa dovrebbe produrre tre cose concrete.
La prima: una procedura di verifica dei precedenti obbligatoria per chiunque ricopra incarichi tecnici su infrastrutture critiche, indipendentemente dalla forma contrattuale.
La seconda: l’obbligo di dichiarare cariche e appartenenze associative all’atto della nomina, con aggiornamento annuale, come già avviene per gli amministratori pubblici.
La terza: una posizione italiana esplicita sull’extraterritorialità delle designazioni americane. Un ente italiano è stato colpito da un provvedimento straniero con effetti immediati sul sistema bancario nazionale, senza che Roma sia stata consultata. Che la valutazione americana sia fondata o meno, il precedente resta: la sovranità digitale di una Nazione si misura anche dalla capacità di decidere da sola chi sia pericoloso sul proprio territorio.
Il caso è appena cominciato. Le risposte della Commissione e del ministero dell’Interno diranno se l’Italia ha imparato qualcosa o se aspetterà il prossimo Washington per accorgersi di chi lavora nei propri server.
Fonti
U.S. Department of the Treasury — Treasury Takes Action Against Violent Far-Left Terrorist Networks (26 agosto 2026)
U.S. Department of State — Designation of Autistici/Inventati as a Specially Designated Global Terrorist
TorinoCronaca — Dietro al collettivo sanzionato in Usa per terrorismo, c’è anche il nome di un uomo di Stato
La Verità — Autistici Inventati, il tecnico di Stato e gli Usa
ANSA — Fidanza (FdI): Ue e Pd chiariscano su De Rosa
Cloud Italia — Le misure del Piano Nazionale di Ripresa e Resilienza
Forum Disuguaglianze Diversità — Con Paolo De Rosa, per una politica pubblica che garantisca i nostri diritti digitali
