L’Unione europea ha costruito in quindici anni uno dei sistemi di regolazione dell’economia digitale più articolati al mondo. Gdpr, Digital Markets Act, Digital Services Act, AI Act, Data Act e Nis2 hanno progressivamente ampliato il perimetro delle regole applicabili alle imprese e ai servizi digitali. Il prossimo problema da affrontare potrebbe però essere meno legislativo e più operativo: come applicare in modo coerente norme affidate a una pluralità crescente di istituzioni, autorità europee e regolatori nazionali.
È da questa considerazione che parte lo Strategy Note Closing the EU Enforcement Gap – Three steps to make digital rules count in practice, firmato da Kai Zenner, Capo dell’ufficio dell’eurodeputato Axel Voss (Germania/PPE), e Maria Koomen, analista indipendente esperta di tecnologia e democrazia, e pubblicato il primo settembre 2026. Secondo l’analisi, a livello europeo 315 organismi gestiscono complessivamente 597 mandati relativi alla governance, all’attuazione e all’enforcement di 171 atti digitali. Gli autori individuano nella frammentazione, nella scarsità di risorse e competenze e nella possibile esposizione delle decisioni regolatorie alle pressioni politiche e geopolitiche alcuni dei principali ostacoli all’efficacia del sistema.
La proposta è costruita su tre passaggi successivi. Il primo prevede un forum permanente per coordinare i diversi regolatori. Il secondo punta a trasformare l’attuale European Health and Digital Executive Agency, HaDEA, in una Digital Enforcement Agency, DEA, dotata di poteri autonomi di indagine, audit e applicazione delle norme nei confronti dei maggiori operatori digitali. Nel lungo periodo, infine, gli autori immaginano una revisione dei Trattati che consenta di costruire un sistema di enforcement indipendente esteso all’intero mercato unico digitale, comprendendo anche cybersecurity, connettività e concorrenza.
La riforma avrebbe quindi un impatto che va oltre il perimetro delle Big Tech. Per gli operatori di telecomunicazioni la questione riguarda soprattutto l’intersezione crescente tra disciplina delle reti, sicurezza informatica, servizi intermediari, cloud, dati e piattaforme digitali. La DEA delineata dal paper non assorbirebbe inizialmente la regolazione della connettività, che rimarrebbe nell’orbita del Berec e delle authority nazionali, ma potrebbe diventare uno dei punti di riferimento europei per gli altri servizi digitali che sempre più spesso fanno parte dell’offerta e dell’infrastruttura degli operatori.
Indice degli argomenti
Dalle 20 leggi del 2010 alle 171 di oggi
Il punto di partenza dello studio è la crescita del corpus normativo europeo. Gli atti digitali applicabili nell’Unione sarebbero passati da circa 20 nel 2010 agli attuali 171. Alla crescita delle norme si è accompagnata una distribuzione delle competenze che varia da disciplina a disciplina e da Stato a Stato.
La Commissione europea detiene circa un terzo dei mandati complessivi censiti dagli autori. Solo 18, tuttavia, riguardano direttamente funzioni di enforcement, dieci in via esclusiva e otto condivisi con gli Stati membri, e coprono 12 dei 171 provvedimenti considerati. Nel frattempo molte authority nazionali hanno accumulato nuovi incarichi: alcune autorità per la protezione dei dati, nate per l’applicazione del Gdpr, svolgono anche funzioni di sorveglianza del mercato previste dall’AI Act, mentre in altri Paesi la distribuzione dei compiti segue schemi differenti.
Il risultato è un quadro nel quale uno stesso servizio può essere interessato contemporaneamente da più regimi. Il paper cita il sistema di raccomandazione di TikTok, che deve confrontarsi con Dsa, Gdpr, direttiva sui servizi media audiovisivi e AI Act, attraverso meccanismi di supervisione e tempistiche differenti. L’aumento della complessità deriva quindi anche dalla sovrapposizione funzionale di norme nate per disciplinare aspetti diversi dello stesso ecosistema digitale.
Un’applicazione ancora disomogenea tra gli Stati
La frammentazione istituzionale produce effetti anche sulla capacità di intervento delle diverse authority. Nel settore della protezione dei dati, per esempio, nel 2024 le autorità tedesche hanno emesso 416 sanzioni, quelle spagnole 281 e quelle italiane 140, mentre una dozzina di Stati membri ne ha adottate meno di dieci.
Gli autori richiamano anche il caso della Data Protection Commission irlandese, particolarmente importante perché in Irlanda hanno la sede europea numerosi gruppi tecnologici statunitensi. Citando i dati dell’organizzazione noyb, il paper segnala che il 99,93% dei reclami esaminati dall’autorità irlandese sarebbe stato chiuso senza una decisione nel merito.
Il divario riguarda inoltre le competenze disponibili. Non tutte le amministrazioni nazionali dispongono dello stesso livello di specializzazione necessario per seguire normative tecniche come AI Act o Nis2. Anche i tempi dei procedimenti possono ridurre l’efficacia degli interventi: nel caso Google Shopping sono trascorsi più di sette anni tra la decisione sull’infrazione e la conclusione del contenzioso relativo all’appello.
La carenza di personale riguarda anche Bruxelles. Secondo il paper, la Commissione deve fare i conti con un deficit di organico del 76% rispetto alle esigenze individuate per la supervisione del Digital Markets Act. La sproporzione può diventare particolarmente rilevante quando le istituzioni pubbliche devono confrontarsi con operatori che dispongono di risorse economiche, legali e tecnologiche molto maggiori.
Il doppio ruolo della Commissione
Una parte importante dello studio riguarda la posizione della Commissione europea. Con Dma, Dsa e alcune disposizioni dell’AI Act, Bruxelles ha assunto direttamente un ruolo di primo piano nell’applicazione delle regole ai maggiori operatori tecnologici.
Per Zenner e Koomen, però, la centralizzazione non risolve automaticamente il problema dell’indipendenza. La Commissione partecipa alla definizione delle politiche europee, propone la legislazione, gestisce dossier industriali e allo stesso tempo conduce negoziati internazionali in materia di commercio e sicurezza. Le decisioni regolatorie nei confronti di una grande società tecnologica possono quindi collocarsi nello stesso momento in cui Bruxelles tratta con il Paese d’origine dell’impresa su dossier economici o geopolitici più ampi.
Il paper associa a questo scenario anche la crescita dell’attività di lobbying. La spesa dell’industria digitale a Bruxelles, sulla base dei dati citati dagli autori, sarebbe salita da 97 milioni di euro nel 2021 a 151 milioni nel 2025. I cinque maggiori gruppi tecnologici statunitensi avrebbero inoltre totalizzato complessivamente più di un incontro al giorno con rappresentanti della Commissione.
Primo passo, un forum europeo dei regolatori
La prima fase della riforma è concepita come quella meno invasiva. Zenner e Koomen propongono la creazione di un EU Digital Regulation Cooperation Forum, EU DRCF, modellato sull’esperienza britannica.
Il nuovo organismo non avrebbe poteri sanzionatori. Servirebbe piuttosto a mettere stabilmente in comunicazione le strutture incaricate di applicare discipline diverse, condividendo informazioni e metodologie e coordinandosi sui casi che attraversano più mercati.
Ne farebbero parte Edps ed Edpb per la protezione dei dati, European Board for Digital Services per le piattaforme, DMA High-Level Group per i gatekeeper, AI Board per l’intelligenza artificiale, Enisa per la cybersecurity, Berec per la connettività, European Competition Network per la concorrenza e il comitato congiunto delle European Supervisory Authorities per la finanza digitale. La Commissione presiederebbe il forum senza diritto di voto, mentre l’Edps svolgerebbe le funzioni di segretariato.
L’esperienza britannica rappresenta il modello operativo. Il Digital Regulation Cooperation Forum del Regno Unito riunisce FCA, ICO, Ofcom e CMA e pubblica un programma annuale comune. Per il 2026-2027 le attività interessano, tra l’altro, AI agentica, cybersecurity, open finance e smart data, aree nelle quali le competenze dei diversi regolatori inevitabilmente si incontrano.
Secondo gli autori, una struttura europea di questo tipo potrebbe partire già nel 2027, anche attraverso il Digital Fitness Check previsto per il primo trimestre dell’anno, utilizzando infrastrutture amministrative in gran parte già disponibili.
Perché il nuovo modello può interessare anche le telco
Il collegamento con il settore delle telecomunicazioni va circoscritto con attenzione: la regolazione della connettività rimarrebbe affidata al sistema composto da Berec e regolatori nazionali. L’utilità per gli operatori deriverebbe soprattutto dalla possibilità di rendere più coerente l’applicazione delle regole nei punti in cui le telecomunicazioni incontrano altri segmenti dell’economia digitale.
È un’esigenza che emerge già dalla normativa vigente. La direttiva Nis2 include esplicitamente tra i settori ad alta criticità i fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico, accanto a cloud provider, data center e altri operatori dell’infrastruttura digitale.
Anche il Digital Services Act entra in contatto con l’universo delle comunicazioni elettroniche. Il regolamento comprende tra i servizi di “mere conduit” quelli che consistono nella trasmissione delle informazioni su una rete o nella fornitura dell’accesso a una rete. Il considerando 29 cita inoltre espressamente servizi VoIP e altri servizi di comunicazione interpersonale. Un successivo documento della Commissione precisa che gli internet access provider rientrano nella definizione di “mere conduit”.
Il punto, quindi, è che la disciplina delle telecomunicazioni non vive più in un compartimento separato dalle altre politiche digitali. Un operatore può fornire connettività e contemporaneamente servizi cloud, cybersecurity, comunicazioni interpersonali o altre soluzioni digitali, ciascuna delle quali può ricadere sotto obblighi differenti. Questo non significa che tutte le norme digitali si applichino indistintamente a tutte le telco, ma aumenta i casi nei quali diventa necessario stabilire con precisione dove finisce una competenza regolatoria e ne comincia un’altra.
Lo stesso Berec mostra già questa evoluzione. La sua strategia 2026-2030 dichiara di voler promuovere una regolazione coerente delle “digital infrastructures and services” e include nel proprio raggio di attenzione infrastrutture terrestri, satellitari e sottomarine, reti fisse e mobili e soluzioni virtuali e cloud. Nel 2025, rispondendo alla consultazione sulla revisione del Dma, Berec ha concentrato il proprio contributo proprio su servizi e tecnologie vicini al suo mandato: comunicazioni interpersonali indipendenti dalla numerazione, cloud computing, intelligenza artificiale e dati.
Un esempio concreto arriva dall’interoperabilità dei servizi di messaggistica. La Commissione ha chiesto a Berec di esprimersi sull’offerta di riferimento presentata da Meta per consentire l’interoperabilità di WhatsApp ai sensi dell’articolo 7 del Dma. È un caso in cui competenze maturate nella regolazione delle comunicazioni elettroniche vengono utilizzate nell’applicazione di una norma pensata per i gatekeeper digitali.
In questa prospettiva, un enforcement europeo maggiormente coordinato potrebbe essere utile alle telco soprattutto per ridurre il rischio di interpretazioni divergenti tra discipline confinanti e rendere più prevedibile il quadro nei servizi transfrontalieri. Non eliminerebbe gli obblighi né sostituirebbe le authority settoriali, ma potrebbe facilitare il coordinamento quando una stessa attività interessa connettività, dati, sicurezza e servizi digitali.
Berec partecipa già al gruppo di alto livello del Digital Markets Act insieme a Edps, Edpb, European Competition Network, Consumer Protection Cooperation Network e regolatori audiovisivi. Il gruppo ha espressamente il compito di fornire alla Commissione competenze sull’applicazione e sull’enforcement del Dma e di favorire un approccio coerente tra strumenti normativi diversi. Il DRCF immaginato da Zenner e Koomen estenderebbe e renderebbe strutturale proprio questa logica di cooperazione.
Secondo passo, trasformare HaDEA nella Digital Enforcement Agency
La fase successiva avrebbe una portata molto maggiore. Invece di costruire da zero una nuova organizzazione, gli autori propongono di trasformare HaDEA, l’European Health and Digital Executive Agency, nella futura Digital Enforcement Agency.
HaDEA opera dal 2021 nella gestione di programmi europei relativi a salute, digitale, industria e spazio e dispone già di sedi, procedure per la gestione del personale, strutture contabili e di audit e rapporti operativi con Commissione e Stati membri. Il suo mandato è inoltre già stato più volte modificato nel corso degli anni.
L’operazione dovrebbe coincidere con il Quadro finanziario pluriennale 2028-2034. Inserire la trasformazione nel negoziato sul nuovo bilancio permetterebbe, secondo il paper, di presentarla come una riorganizzazione dell’architettura esistente e delle relative risorse anziché come la creazione isolata di un ulteriore ente europeo.
C’è anche una coincidenza con il calendario dell’AI Act. L’articolo 112 prevede entro agosto 2028 una valutazione sull’adeguatezza dei poteri e delle risorse dell’AI Office e, entro agosto 2029, una verifica sull’eventuale necessità di istituire una specifica agenzia dell’Unione.
Per rendere possibile la trasformazione di HaDEA sarebbero necessari un atto istitutivo basato sull’articolo 114 del Trattato sul funzionamento dell’Unione e modifiche mirate a Dma, Dsa, AI Act, Gdpr e Data Act per trasferire le competenze previste.
AI, dati e piattaforme nel mandato della DEA
Il campo d’azione iniziale dell’agenzia sarebbe volutamente circoscritto. Il paper esclude infatti dall’immediata centralizzazione sia la cybersecurity, dove opera Enisa, sia la connettività, presidiata da Berec. La DEA dovrebbe concentrarsi dove, secondo gli autori, sono più forti le sovrapposizioni e le difficoltà di enforcement: intelligenza artificiale, dati e piattaforme.
La Commissione conserverebbe le funzioni politiche e di designazione: stabilirebbe, per esempio, chi debba essere qualificato come gatekeeper, Vlop o Vlose e quali modelli GPAI siano sottoposti agli obblighi relativi al rischio sistemico.
Alla nuova agenzia passerebbe invece l’enforcement tecnico: indagini, audit, ispezioni, sanzioni e rimedi. Le autorità nazionali manterrebbero la competenza primaria sui casi domestici, mentre la DEA interverrebbe in presenza di una dimensione transfrontaliera, di rischi sistemici a livello europeo o, per alcuni dossier Gdpr e Data Act, quando venisse accertato il malfunzionamento dell’enforcement nazionale.
L’organizzazione interna non seguirebbe le singole leggi, perché questo rischierebbe di ricreare le stesse separazioni che il progetto cerca di superare. Gli autori immaginano invece aree trasversali dedicate alla condotta dei gatekeeper e alla contendibilità dei mercati, ai rischi sistemici e alla sicurezza online, ai modelli GPAI e ai dati, con una possibile evoluzione sul terreno della resilienza democratica.
Un organico tra 450 e 500 persone
Lo Strategy Note quantifica anche le dimensioni della futura struttura. Gli operatori direttamente supervisionati sarebbero inizialmente circa 20-24, ma diversi gruppi ricadrebbero contemporaneamente sotto più aree di controllo.
Applicando un rapporto di dieci addetti per soggetto supervisionato nei singoli domini, ispirato al modello dell’Anti-Money Laundering Authority, il paper stima la necessità di 450-500 persone. Circa 350 potrebbero essere trasferite dalle unità della Commissione dedicate a Dsa, Dma e AI Act, facendo riferimento agli organici pianificati, mentre altre 100-150 dovrebbero arrivare da amministrazioni nazionali, società civile e settore privato.
La DEA potrebbe aprire indagini autonomamente o su richiesta della Commissione e delle autorità nazionali, chiedere informazioni, effettuare ispezioni e condurre audit. La supervisione quotidiana verrebbe affidata a squadre congiunte composte da personale europeo e funzionari distaccati dalle authority degli Stati membri. Le decisioni sulle violazioni e sulle eventuali sanzioni spetterebbero al board esecutivo dell’agenzia.
Il progetto punta anche a ridurre i tempi dei procedimenti, prevedendo scadenze per le diverse fasi delle istruttorie e meccanismi automatici di escalation qualora i termini non vengano rispettati.
Nel lungo periodo più poteri anche al Berec
È nella terza fase che il progetto investirebbe direttamente la governance della connettività. Gli autori considerano infatti DRCF e DEA compatibili con gli attuali Trattati, mentre una riorganizzazione più profonda richiederebbe una modifica dell’assetto istituzionale europeo.
La prospettiva delineata prevede quattro pilastri. La DEA avrebbe competenza su AI, dati e piattaforme; un’Enisa rafforzata potrebbe ottenere poteri diretti di enforcement nella cybersecurity; il Berec acquisirebbe vere competenze applicative sui framework della connettività; un’autorità europea indipendente per la concorrenza assumerebbe alcune delle funzioni oggi concentrate nella Commissione.
Per le telecomunicazioni sarebbe il cambiamento più significativo del progetto, perché modificherebbe il ruolo di Berec. Oggi l’organismo ha principalmente il compito di favorire un’applicazione coerente del quadro regolatorio europeo da parte delle authority nazionali e contribuire al funzionamento del mercato interno delle comunicazioni elettroniche.
Il tema è particolarmente attuale mentre l’Europa sta ridiscutendo il quadro della connettività con il Digital Networks Act. Berec considera proprio la coerenza e la semplificazione del mercato interno tra i nodi centrali della revisione e ha avvertito che il futuro framework dovrebbe rafforzare il mercato unico evitando di introdurre ulteriore complessità.
Una maggiore integrazione dell’enforcement digitale potrebbe quindi incidere sulle telco in due modi distinti: nel medio periodo attraverso un coordinamento più strutturato tra Berec e l’autorità competente per piattaforme, dati e AI; nel lungo periodo attraverso un possibile rafforzamento dello stesso Berec.
I limiti giuridici e le resistenze politiche
La creazione di autorità europee indipendenti deve però confrontarsi con i vincoli previsti dai Trattati. Un punto particolarmente delicato è la dottrina Meroni, derivante dalla sentenza della Corte di giustizia del 1958, che limita la possibilità di attribuire alle agenzie dell’Unione poteri discrezionali troppo ampi.
La giurisprudenza successiva, in particolare la decisione relativa all’Esma e allo short selling, ha consentito deleghe più ampie quando i poteri sono definiti con precisione e restano sottoposti al controllo giudiziario. Su questa base gli autori ritengono possibile affidare alla DEA funzioni tecniche di enforcement, lasciando alla Commissione le decisioni di natura maggiormente politica.
Le difficoltà saranno anche politiche. La Commissione dovrebbe trasferire poteri e risorse; alcune authority nazionali perderebbero competenze sui casi transfrontalieri; gli Stati più contrari alla crescita del bilancio europeo potrebbero contestare l’operazione. Gli autori prevedono inoltre l’opposizione di alcune grandi imprese tecnologiche, che potrebbero preferire l’attuale distribuzione delle competenze.
La scelta di partire da HaDEA risponde proprio a questo problema: anziché aggiungere una nuova struttura all’amministrazione europea, il progetto punta a riconvertirne una esistente e a trasferire almeno una parte del personale già impiegato nell’applicazione delle normative digitali.
La finestra del bilancio europeo
Il fattore tempo rappresenta uno degli elementi centrali della proposta. La Commissione si prepara a una nuova fase di revisione del quadro normativo digitale mentre procede il negoziato sul prossimo Quadro finanziario pluriennale.
Per Zenner e Koomen, il ciclo del bilancio 2028-2034 offre l’occasione per affrontare insieme competenze, organizzazione, personale e finanziamenti, inserendo la DEA in un processo di riorganizzazione più ampio. Una proposta formulata fuori dal negoziato sul Mff sarebbe maggiormente esposta alle critiche relative alla creazione di nuovi organismi e all’aumento dei costi amministrativi.
La terza fase rimane inevitabilmente più lontana. La revisione dei Trattati richiede l’unanimità dei 27 Stati membri e la successiva ratifica secondo gli ordinamenti costituzionali nazionali. Gli stessi autori riconoscono quindi l’incertezza politica di questo passaggio.
Il percorso proposto evita per questo di concentrare l’intera riforma in un unico intervento. Prima verrebbe rafforzato il coordinamento tra le istituzioni già operative, poi alcune funzioni di enforcement verrebbero trasferite a un organismo specializzato e soltanto in seguito si aprirebbe il dossier dei Trattati. Per l’Europa il confronto sulle regole digitali entra così in una fase nella quale la capacità di applicare in modo uniforme ciò che è già stato approvato diventa importante quanto la definizione di nuovi obblighi. E per le telecomunicazioni, sempre più integrate con cloud, sicurezza, dati e servizi digitali, anche l’architettura con cui quelle regole vengono applicate è destinata a diventare un tema industriale.
Partecipa alla community