La responsabilità degli intermediari per frodi online: l’azione dell’UE

Come l’Unione Europea sta smantellando l’impunità degli intermediari digitali nel contrasto alle frodi online. DSA, enforcement e nuovi scenari tra responsabilità, algoritmi e intelligenza artificiale generativa. Per approfondire il tema, abbiamo pubblicato il volume Investigazioni e prove digitali – Blockchain e Crypto Asset, disponibile su Shop Maggioli e su Amazon

1. Premessa: quando il post diventa un’esca

Se fino a qualche anno fa le truffe finanziarie viaggiavano su e-mail mal scritte e improbabili eredità di dubbia provenienza, oggi hanno cambiato abito. Si aggirano nei reel, si insinuano tra una storia Instagram e una diretta Facebook, prendono le sembianze di influencer, esperti di trading o testimonial inconsapevoli grazie all’uso di AI generativa. Non c’è bisogno di dark web: il palcoscenico delle frodi è sotto gli occhi di tutti. E le piattaforme? Spesso fanno spallucce. O meglio: fingono di non vedere, se il contenuto genera traffico e il traffico genera profitto.
Ma qualcosa sta cambiando. Il vento normativo europeo ha alzato la voce. E stavolta il bersaglio è chiarissimo: le Big Tech non potranno più nascondersi dietro lo scudo dell’“hosting neutrale”. Per approfondire il tema, abbiamo pubblicato il volume Investigazioni e prove digitali – Blockchain e Crypto Asset, disponibile su Shop Maggioli e su Amazon

2. Il contesto: una frode su tre nasce online

Nel 2024, secondo i dati dell’Europol e delle autorità finanziarie nazionali, oltre il 70% delle truffe finanziarie originate nell’UE sono avvenute tramite canali digitali, con una preponderanza crescente delle piattaforme social. Dai finti annunci di investimenti in criptovalute alle pubblicità che promettono guadagni rapidi con testimonial noti (ovviamente ignari), la strategia è sempre più raffinata.
A guidare l’ondata è l’uso dell’intelligenza artificiale generativa, che consente di produrre deepfake credibili, chatbot persuasivi e interfacce di phishing quasi indistinguibili da quelle reali. Si tratta di una frode 4.0, dove i vecchi strumenti normativi iniziano a scricchiolare.

3. L’irresponsabilità strutturale delle piattaforme

Per anni, le piattaforme si sono coperte dietro un principio mutuato dalla direttiva eCommerce (2000/31/CE): l’hosting provider non è responsabile per i contenuti illeciti degli utenti, salvo che ne sia a conoscenza e non agisca per rimuoverli. Questo principio – la cosiddetta “responsabilità attenuata” – ha retto per un ventennio, finché non è esploso l’ecosistema delle pubblicità algoritmiche.
Con l’avvento del programmatic advertising e della profilazione automatica, le piattaforme sono diventate co-architetti del messaggio: lo selezionano, lo amplificano, lo rendono virale. Eppure, sul fronte delle frodi, continuano a proclamarsi meri contenitori.
È una posizione difficilmente sostenibile: quando un contenuto truffaldino è pubblicizzato tramite campagne sponsorizzate, promosso da influencer in partnership opache o presentato tramite pagine apparentemente ufficiali, l’architettura stessa del sistema pubblicitario online contribuisce al danno.

4. Il Digital Services Act: un nuovo paradigma

Con l’entrata in vigore del Regolamento (UE) 2022/2065, noto come Digital Services Act (DSA), l’Unione Europea ha segnato una discontinuità. Il DSA supera la logica dell’irresponsabilità passiva e introduce un sistema basato su:

• due diligence rafforzata per le piattaforme di grandi dimensioni (Very Large Online Platforms – VLOPs);
• obblighi proattivi di mitigazione del rischio sistemico, compresi quelli relativi alla diffusione di contenuti ingannevoli o illegali;
• obblighi di trasparenza pubblicitaria, con tracciabilità del committente;
• cooperazione rafforzata con autorità e regolatori nazionali, che possono richiedere la rimozione tempestiva dei contenuti illeciti;
• sanzioni fino al 6% del fatturato mondiale annuo.

Per la prima volta, le piattaforme non possono più limitarsi a una moderazione “su segnalazione”: devono prevenire attivamente i rischi sistemici, tra cui rientrano esplicitamente anche le frodi finanziarie online.

5. Il ruolo dell’ESMA e il caso irlandese

Nel marzo 2024, l’ESMA (European Securities and Markets Authority) ha scritto direttamente a Meta, Google, TikTok e altri colossi, invitandoli ad adottare misure concrete contro le pubblicità truffaldine su servizi finanziari. L’iniziativa nasce anche sulla scia delle segnalazioni della Central Bank of Ireland, da anni impegnata nel denunciare l’escalation di frodi pubblicitarie sui social.
L’intervento dell’ESMA non ha valore coercitivo, ma rappresenta un chiaro segnale di enforcement coordinato, che può sfociare – in caso di inadempienza – in azioni concertate con la Commissione e i Digital Services Coordinators nazionali.
Un precedente importante è la stretta operata da Google nel 2021, che ha imposto l’obbligo di autorizzazione FCA per gli annunci di servizi finanziari nel Regno Unito. Una misura efficace, che tuttavia resta opzionale in molti Paesi UE. Il DSA potrebbe renderla invece una prassi obbligata a livello europeo.

6. I limiti dell’approccio attuale

Nonostante il nuovo impianto regolatorio, restano alcuni nodi irrisolti:

• assenza di una responsabilità oggettiva delle piattaforme in caso di frode;
• scarsa interoperabilità delle banche dati di truffe tra autorità nazionali e operatori digitali;
• difficoltà probatorie per le vittime, spesso lasciate sole nel ricostruire la catena causale tra post, truffa e danno;
• ritardi nella rimozione dei contenuti e nelle misure di rimborso.

In particolare, il tema della responsabilità solidale tra il truffatore e la piattaforma che ha ospitato o pubblicizzato il contenuto resta ancora giuridicamente fragile. Eppure, da un punto di vista sistemico, l’asimmetria informativa e il vantaggio economico delle piattaforme giustificherebbero un’estensione della loro accountability.

7. AI generativa e deepfake: la nuova frontiera del rischio

Nel 2025, la sfida più seria non riguarda solo i contenuti scritti, ma i video e le immagini sintetiche: testimonial virtuali, dichiarazioni mai pronunciate, perfino deepfake con voci clonabili.
L’articolo 52 del DSA prevede l’obbligo per le piattaforme di “informare chiaramente l’utente quando interagisce con contenuti sintetici”. Ma nella realtà, questa etichettatura è poco efficace. I meccanismi di verifica sono fragili e le piattaforme non sempre hanno interesse a rallentare un contenuto che “funziona”.
Inoltre, il confine tra informazione pubblicitaria e contenuto organico è sempre più labile: basti pensare alle influencer finance che promuovono investimenti in criptovalute senza alcun disclaimer normativo, ma con codici referral ben visibili.

Potrebbero interessarti anche:

• Deepfake e diritto: l’UE è pronta ad affrontare la minaccia dell’IA?
• Telemarketing selvaggio e spoofing: come ridurre le chiamate indesiderate
• Cybercrime e cyberciminologia: analisi e prevenzione del crimine online

8. Verso una responsabilità proattiva: spunti per il legislatore (e i giudici)

Alla luce di quanto sopra, è ragionevole attendersi – o quantomeno auspicare – una giurisprudenza che:

• riconosca una responsabilità concorrente tra truffatore e piattaforma, laddove vi sia una mancata rimozione o una amplificazione algoritmica evidente;
• qualifichi le campagne fraudolente sponsorizzate come violazione dei doveri di diligenza professionale della piattaforma, ai sensi dell’art. 1218 c.c.;
• applichi analogicamente le norme sulla pubblicità ingannevole (d.lgs. 145/2007) anche ai contenuti “ibridi” generati da AI, se diffusi con finalità promozionali;
• estenda l’obbligo di vigilanza ex art. 28 GDPR nel caso in cui la piattaforma agisca come “co-titolare” o responsabile del trattamento per finalità di targeting commerciale.

In attesa di questi sviluppi, alcune Autorità Garanti (Irlanda, Francia, Paesi Bassi) stanno già elaborando linee guida interpretative, che potrebbero orientare il contenzioso.

9. Conclusioni: fine dell’impunità?

È prematuro parlare di “fine dell’impunità” per le Big Tech, ma il segnale politico e giuridico dell’Unione Europea è inequivocabile: le piattaforme non sono più neutre, né possono continuare ad esserlo in un contesto in cui algoritmi, intelligenza artificiale e pubblicità personalizzata contribuiscono a costruire il danno.
Il futuro – se vogliamo che sia digitale ma anche civile – passa per un riequilibrio delle responsabilità, una trasparenza algoritmica reale, e soprattutto una tutela concreta per le vittime. Perché è fin troppo facile, oggi, perdere i risparmi di una vita con un clic.
E se quel clic genera profitto per qualcun altro, allora quel qualcun altro non può chiamarsi fuori.