La pietra veggente non vuole testimoni

Palantir, l’Europa e il prezzo indicibile della sovranità ceduta in comode rate mensili

Dossier Thiel — Episodio VI

C’è un paradosso che circola in sordina nei corridoi dei ministeri europei e che nessuno ama formulare ad alta voce: un dato può dormire fisicamente a Milano, Vienna o Amsterdam, protetto da cancelli, guardie e certificazioni ISO a non finire, ed essere al tempo stesso legalmente a disposizione di Washington. Non per via di un’invasione, non per effetto di una guerra, ma in virtù di un contratto firmato liberamente, spesso con un certo entusiasmo, a volte per un importo simbolico. Un euro. Una sterlina. Il prezzo di una sovranità che si scopre già ceduta quando ci si accorge di volerla rivendicare.

Palantir Technologies — nome tratto dalla sfera veggente del Signore degli Anelli, quel manufatto che permette di vedere lontano ma che in mano sbagliata corrode la mente di chi la usa — è oggi l’azienda che più di ogni altra incarna questa contraddizione. Fondata nel 2003 con il supporto finanziario di In-Q-Tel, il braccio di venture capital della CIA, capitalizzata attorno ai 450 miliardi di dollari, Palantir gestisce contratti con alcune delle agenzie più sensibili del pianeta: dalla CIA all’ICE, dall’esercito americano impegnato in Ucraina alle forze israeliane operanti a Gaza. Eppure bussa alla porta degli ospedali, dei ministeri e delle polizie europee con la stessa disinvoltura con cui un rappresentante di forniture di ufficio propone una nuova marca di carta per stampante. Solo che il prodotto è diverso. E la dipendenza, una volta instaurata, ha una struttura molto particolare.

Il cavallo di Troia analitico

La strategia commerciale di Palantir ha un nome preciso nel gergo interno: “Land and Expand”. Atterra con poco, espanditi con tutto. L’esempio più eloquente è quello del National Health Service britannico: nel pieno della pandemia del 2020, Palantir entrò nel sistema sanitario nazionale del Regno Unito con un contratto da una sterlina. Non è un errore di battitura. Una sterlina, simbolica come un’offerta votiva, per accedere ai dati sanitari di decine di milioni di cittadini britannici. Quattro anni dopo, quello stesso contratto si è evoluto in un accordo da 330 milioni di sterline. Matematica applicata alla fiducia istituzionale: la prima dose è gratis.

Il meccanismo non è accidentale, è ingegneristico. L’ingresso avviene attraverso un “Discovery Package” — un progetto pilota della durata di tre mesi che costa tra le 50.000 e le 250.000 sterline — al termine del quale l’istituzione si trova di fronte a una mappa dettagliatissima delle proprie inefficienze, costruita su dati che ha consegnato volontariamente. A quel punto il passo successivo — la licenza annuale Foundry per un’organizzazione, circa 3 milioni di sterline l’anno — sembra quasi ovvio. Quasi inevitabile. Come cambiare idea dopo aver già dato le chiavi di casa.

Ma la dipendenza più sottile non è tecnologica: è umana. I cosiddetti Forward Deployed Engineers, ingegneri “dislocati in avanzamento”, vengono letteralmente incorporati nelle strutture del cliente. Non si collegano da remoto: lavorano fisicamente negli uffici del ministero, dell’ospedale, del comando militare. Costruiscono l’ontologia digitale dell’organizzazione — una mappa semantica di come i dati si relazionano tra loro — e nel farlo diventano indispensabili. Licenziarli significherebbe perdere la chiave interpretativa dell’intero sistema. Il costo? Circa 150.000 sterline per persona a trimestre. Ma il vero costo non si misura in sterline.

L’Italia: pragmatismo e opacità

L’Italia ha scelto quella che i documenti di analisi definiscono eufemisticamente una “via pragmatica”. Una scelta che andrebbe letta, con il corretto registro linguistico, come: abbiamo fatto quello che faceva comodo senza troppa trasparenza pubblica. Il Ministero della Difesa, attraverso Teledife, intrattiene un rapporto documentato con Palantir che risale almeno al 2015, quando fu registrato un contratto da 1,3 milioni di euro. Seguirono un accordo da 148.000 euro nel maggio 2021 e altri due nello stesso anno per 434.998 e 99.998 euro rispettivamente — importi che sembrano calibrati per restare sotto soglie di controllo e visibilità. Il Policlinico Gemelli di Roma utilizza invece la piattaforma Foundry per l’analisi dei dati clinici nel centro Generator RWD.

Più recente e più inquietante è la notizia, riportata dal Messaggero, di un approccio diretto al Ministero dell’Interno. Palantir avrebbe proposto al Viminale l’utilizzo di un proprio “prodotto software” saltando del tutto la procedura di gara pubblica. Il ministero, stando alle fonti giornalistiche, avrebbe declinato l’offerta. Ma il fatto che l’offerta fosse strutturata in quei termini — fuori gara, per via diretta, in un incontro riservato con il CEO Alex Karp — dice qualcosa di abbastanza eloquente sulla cultura commerciale di un’azienda abituata a trattare le istituzioni come clienti e le procedure democratiche come ostacoli burocratici da aggirare con eleganza.

Non sorprende che le interrogazioni parlamentari sulla “sovranità informativa” siano rimaste in larga parte senza risposta sostanziale. La domanda, formulata da più parti, era semplice: è saggio affidare dati sanitari, fiscali e di difesa a sistemi i cui algoritmi sono protetti dal segreto commerciale e soggetti a giurisdizione straniera? La risposta ufficiosa è stata, all’italiana, un silenzio articolato.

Il CLOUD Act e l’illusione del confine

Qui si arriva al paradosso tecnico-giuridico che dovrebbe togliere il sonno a qualunque dirigente pubblico europeo con un minimo di consapevolezza geopolitica. Lo US CLOUD Act del 2018 autorizza le autorità americane a richiedere l’accesso ai dati detenuti da aziende statunitensi indipendentemente dalla localizzazione fisica dei server. In italiano: se il vostro fornitore cloud ha sede legale negli Stati Uniti, Washington può bussare alla porta e chiedere i dati. Non importa se i server sono a Milano, Francoforte o Dublino. Non importa cosa dice il GDPR. La giurisdizione segue la società, non la geografia.

La distinzione tra “residenza dei dati” e “sovranità dei dati” non è un tecnicismo da informatici: è la differenza tra sapere dove si trovano fisicamente le valigie e sapere chi ha la chiave. Palantir, nata con i dollari della CIA e con contratti attivi con le agenzie di intelligence americane, porta con sé strutturalmente quella chiave. L’architettura chiusa del suo software — definita “black box” nei rapporti tecnici — rende impossibile verificare tecnicamente che i dati non vengano esfiltrati verso server esteri. Non è un’accusa: è un’impossibilità strutturale di dimostrazione contraria. Il che, nel diritto come nella logica, è un problema non trascurabile.

La Svizzera che disse no (nove volte)

Non tutta l’Europa ha ceduto con uguale entusiasmo. La Svizzera — paese non membro dell’UE ma con una tradizione di neutralità e riservatezza che fa della diffidenza istituzionale una virtù nazionale — ha respinto Palantir almeno nove volte tra il 2018 e il 2025. Nove agenzie federali, incluso l’esercito, hanno detto no dopo aver esaminato i rischi. Un audit militare del dicembre 2024 ha identificato tre categorie di rischio giudicate inaccettabili: la soggezione strutturale al CLOUD Act americano, l’impossibilità tecnica di garantire l’assenza di trasferimento dati verso server esteri data la natura chiusa del software, e il vendor lock-in — la dipendenza strategica da specialisti esterni che renderebbe l’istituzione incapace di funzionare autonomamente in caso di crisi o interruzione del servizio.

L’ufficio svizzero di segnalazione del riciclaggio di denaro ha definito l’utilizzo del software “probabilmente illegale” per mancanza di basi giuridiche nell’incrocio massivo di dati. Una conclusione che, trasportata nel contesto italiano, porrebbe qualche domanda imbarazzante sui contratti già in essere.

La risposta di Palantir alla pubblicazione di questa storia è stata istruttiva. L’azienda ha citato in giudizio Republik, la testata indipendente svizzera che aveva pubblicato l’inchiesta congiunta con il WAV Research Collective, basata su 59 richieste di accesso agli atti presentate alle agenzie governative elvetiche. L’azione legale riguarda formalmente il mancato diritto di replica, previsto dal diritto svizzero sull’informazione. Ma la giornalista Marguerite Meyer ha spiegato che i rappresentanti di Palantir erano stati intervistati di persona nella sede zurighese dell’azienda prima della pubblicazione, e che a tutte le domande inoltrate era stato dato riscontro. Le “richieste di rettifica” avanzate dall’azienda erano, secondo la redazione, “molto estese”. Tradotto: non volevano una rettifica, volevano una riscrittura.

Se una causa legale intentata da un’azienda da 450 miliardi di dollari contro una testata indipendente svizzera si qualifichi come SLAPP — Strategic Lawsuit Against Public Participation, ovvero una causa usata per intimidire e prosciugare le risorse di chi fa giornalismo scomodo — è questione che Palantir contesta recisamente. L’azienda precisa di non aver chiesto la rimozione di contenuti né risarcimenti danni. Ma Balz Oertli del WAV Research Collective ha spiegato a Wired Italia che “l’impatto principale è il notevole dispendio di ore dedicato alla gestione della causa”. Per una testata piccola e indipendente, questo è esattamente l’effetto funzionale di una SLAPP, indipendentemente dalle intenzioni dichiarate.

Il manifesto del Technofascismo

Mentre i legali di Palantir occupano i tribunali svizzeri, Alex Karp ha trovato il tempo di scrivere un libro. “The Technological Republic” è un testo che i critici hanno definito con discreta uniformità come il manifesto politico di un CEO convinto di stare rifondando la filosofia del potere. Karp, formato alla Goethe-Universität di Francoforte e alla London School of Economics con una tesi in filosofia sociale seguita da Habermas, non è l’abitualmente arrogante tecnocrate della Silicon Valley. È qualcosa di più sofisticato e, per questo, di più interessante da leggere in filigrana.

Nel manifesto, Karp delinea una visione in cui la tecnologia non serve lo Stato: lo sostituisce, lo riorganizza, gli impone un’etica. Abbraccia il “hard power” come necessità storica, definisce le armi con intelligenza artificiale “inevitabili”, attacca quello che chiama “pluralismo vacuo” e dichiara con una certa disinvoltura che alcune culture hanno prodotto meraviglie mentre altre si sono rivelate “regressive e dannose”. Nel testo compare anche la proposta di reintrodurre il servizio militare obbligatorio. Il tutto scritto con la prosa di chi sa che nessuno lo può processare perché non è un politico: è solo un’azienda privata che vende software.

Che Palantir sia stata fondata con l’appoggio di In-Q-Tel, che Peter Thiel — cofondatore e riferimento ideologico dell’azienda — sia comparso a Roma per una conferenza a porte chiuse a tema Anticristo, che Karp scriva manifesti politici mentre i suoi ingegneri lavorano incorporati nei ministeri europei: tutto questo potrebbe essere letto come una serie di coincidenze eccentriche. Oppure come la coerenza interna di un progetto che non ha mai preteso di essere qualcosa di diverso da quello che è. Il problema è che chi ha firmato i contratti spesso non ha letto il progetto.

La perdita silenziosa della sovranità

La questione della sovranità digitale non è un vezzo nazionalista né un argomento da complottisti in cerca di occupazione. È una questione strutturale: chi controlla i dati con cui vengono prese le decisioni, controlla le decisioni. Se l’algoritmo che definisce i profili di rischio nella polizia italiana, oppure il sistema che gestisce i dati clinici di un policlinico pubblico, oppure la piattaforma che supporta le scelte operative del Ministero della Difesa, è una black box di proprietà di un’azienda americana soggetta alla giurisdizione di Washington, il concetto di sovranità si trasforma in una scenografia. Un palazzo con la facciata in marmo e le fondamenta in affitto.

Non aiuta il fatto che le alternative europee esistano ma siano ancora in una fase embrionale o comunque non competitive in termini di diffusione. La certificazione francese SecNumCloud 3.2, sviluppata dall’ANSSI, è diventata il benchmark continentale per l’immunità extraterritoriale: garantisce che il fornitore non possa cedere dati ad autorità straniere, che il controllo effettivo risieda in un attore europeo, che la sicurezza operi a livello applicativo e non solo fisico. Il progetto ARTEMIS, consorzio franco-europeo che coinvolge Thales, Atos e Dassault Systèmes con 150 milioni di euro di investimento, nasce esplicitamente come alternativa a Palantir per i servizi di intelligence. Il programma EU DIGITAL, con 500 milioni di budget e la partecipazione di Francia, Germania, Paesi Bassi, Belgio e Spagna, punta a ridurre la dipendenza tecnologica dagli Stati Uniti.

La distinzione tecnica cruciale — quella che separa un sistema su cui si ha controllo da uno su cui si ha solo l’impressione del controllo — è quella tra BYOK e HYOK. Nel modello BYOK, Bring Your Own Key, le chiavi crittografiche sono del cliente ma rimangono accessibili al provider: sotto il CLOUD Act, il provider può essere costretto a usarle per decifrare i dati. Nel modello HYOK, Hold Your Own Key, le chiavi restano esclusivamente nell’ambiente del cliente e il provider non può fornire dati in chiaro a nessun terzo. La differenza non è tecnica nel senso astratto: è la differenza tra avere la chiave di casa e avere una copia della chiave di casa depositata dal fabbro.

Il problema non è Palantir in quanto tale. Il problema è la struttura di incentivi che rende conveniente per le istituzioni pubbliche europee scegliere la soluzione americana immediata piuttosto che investire nella costruzione di un’alternativa europea lenta e costosa. La Svizzera ha pagato il prezzo dell’autonomia: ha rifiutato nove volte, ha costruito una prassi istituzionale di resistenza, e ora si ritrova un procedimento legale in corso contro la testata che ha reso pubblico tutto questo. È un prezzo che dimostra esattamente quanto valga la sovranità che si rifiuta di cedere.

Il dubbio come postura necessaria

Sarebbe semplice, a questo punto, consegnare al lettore una conclusione pulita: Palantir cattiva, Europa ingenua, alternativa sovrana urgente. Ma il dubbio metodico esige un po’ più di comodità narrativa. Le alternative europee sono spesso meno efficienti, meno integrate, più costose in fase iniziale. I governi che scelgono Palantir non lo fanno tutti per corruzione o ingenuità: lo fanno spesso perché il problema che devono risolvere esiste e il sistema americano lo risolve, adesso, con strumenti che quelli europei non hanno ancora. Il NHS britannico gestisce dati sanitari di 67 milioni di persone: il problema operativo era reale prima della soluzione di Palantir, e nessuna certificazione ANSSI lo risolveva nel 2020.

Il paradosso reale è questo: l’Europa produce normative sulla protezione dei dati — il GDPR, il Data Act, l’AI Act — con una prolificità e una complessità che non hanno eguali nel mondo. E contemporaneamente continua ad affidarsi, per le funzioni più critiche dello Stato, a sistemi extraeuropei che quelle normative non possono raggiungere. Scrive regole per tutti tranne che per le proprie infrastrutture decisionali. Non è ipocrisia: è qualcosa di peggio. È la struttura cognitiva di chi sa quello che dovrebbe fare, dichiara di volerlo fare, e poi firma il contratto con il fornitore più comodo.

Quanto a Palantir, non ha bisogno di nascondersi. I contratti sono pubblici, il manifesto di Karp è in libreria, la strategia commerciale è documentata. La pietra veggente non ha mai preteso di essere invisibile. Ha solo preferito che nessuno si facesse troppe domande su chi la stesse guardando.

Ennio Martignago

Vedi la biografia completa