Diritto penale e tecnologia: le sfide del futuro

Maria D'Occhio & Nicole Bragazza

Siamo qui oggi con la professoressa Indovina, avvocato patrocinante in Cassazione, insegnante di Informatica per Giurisprudenza e Legal Tech presso l’Università Bocconi. La ringraziamo in primis per aver accettato il nostro invito.

Qual è stato il suo percorso accademico e professionale? Com’è nata la sua attenzione per il rapporto tra diritto penale e tecnologia? E in che modo questo interesse si è evoluto nel corso della sua carriera?

Ho deciso che sarei diventata avvocato a cinque anni. Ero convintissima: quando ci fu – è un processo ormai molto vecchio – l’assoluzione in secondo grado di Tortora, un caso davvero molto importante. Era un presentatore famosissimo quando ero bambina: c’era una trasmissione che si chiamava Portobello. 

In casa mia c’erano i fratelli di mia mamma, uno magistrato e uno avvocato, e ricordo fortemente l’immagine della trasmissione vista da tutti in TV, con l’avvocato Della Valle (che ho poi avuto la fortuna di ringraziare personalmente l’anno scorso in tribunale per questo “sacro fuoco”) e i miei ziiche si abbracciavano dalla felicità per la notizia. Lì è nato il “sacro fuoco”.

Poi mi sono laureata in Giurisprudenza, anche se a un certo punto ho avuto un dubbio: “Mi iscrivo a fisica?”. Avevo fatto il liceo scientifico con Piano Nazionale Informatica, quindi programmavo, etc. Poi invece, convinta, ho studiato giurisprudenza.

L’ultimo anno si affacciò una materia nuova che si chiamava informatica giuridica. Ho detto: “Masì, cambiamo”. Ho cambiato l’opzionale prima di laurearmi e mi ha cambiato la vita. Era il 2001, quindi tanto tempo fa, e ho visto fin dall’inizio l’evoluzione di questa materia. 

Il mio cuore però era il penale, e fortunatamente ho iniziato a lavorare per un bravissimo penalista a Milano, continuando parallelamente con l’informatica: ho lavorato in procura, ho fatto degli stage sui reati informatici, quindi ho continuato a tenere insieme diritto penale e diritto dell’informatica. Oggi faccio questo con grande felicità.

Spostandoci sulla digital forensics: in che modo incide sull’accertamento penale e sull’attività difensiva? E quali sono, a suo avviso, le criticità ancora da superare?

Tantissimo. I procedimenti contemporanei prevedono quasi sempre un elemento informatico a livello investigativo: è rarissimo che non ci sia un’immagine, una telecamera, un messaggio, qualcosa. 

Qui si scontrano due problemi enormi: da un lato, a mio avviso, una legislazione non pronta a maneggiare questi fenomeni. Abbiamo poche norme di procedura penale che dettaglino le procedure in tema di digital forensics; non sono up to date, non sono contemporanee. Abbiamo applicato norme che hanno ormai molti anni – come la Convenzione di Budapest che è del 2008 – enel frattempo la tecnologia è cambiata.

Per esempio, sugli accertamenti dei telefonini: prima si riusciva a estrarre qualcosa più facilmente; oggi, con la crittografia, se non abbiamo il PIN si ottiene poco o niente. Ci sono ancora disparità diazioni da parte delle varie procure (accertamento ripetibile o irripetibile su un dispositivo, ecc.). Dal punto di vista difensivo, ci sono poche persone in grado di maneggiare correttamente la digitalforensics: è ancora una materia di nicchia, complessa, e servono tecnici dedicati anche a livello informatico: non può essere “un informatico qualsiasi”. 

In secondo luogo, manca formazione, servirebbero linee guida più estese e rimangono tanti problemi tecnologici che fanno sì che sia veramente difficile maneggiare questi reperti: la tecnologia corre talmente veloce che il legislatore fa molta fatica a trovare anche dei nuovi dettami tecnici; quelli esistenti sono pochi e talvolta mal interpretabili.

Per quanto riguarda la prova digitale: impone un nuovo modo di pensare l’accertamento penale? E quali sono le differenze con la prova tradizionale?

Sì, richiede una nuova forma mentis, che spesso – dico la verità – non trovo negli operatori della giustizia. È un tema altamente tecnico. La difficoltà maggiore, nella mia quotidianità professionale, è trasferire un concetto. A volte devo semplificare concetti che possono non esserlo – e non dico di comprendere tutto al 100%, ci mancherebbe, ma ho grande curiosità e cerco di capire. Bisogna trasferirlo in maniera corretta: i giudici sono preparati su tantissime materie, ma possono nonessere dettagliatamente formati su questa, che è complessa. A volte anche i consulenti tecnici rischiano di essere “opachi”, cioè di non farsi comprendere bene. Quindi la prima cosa difficile è la comprensione e la conoscenza sulla prova digitale. 

Sulle diversità: alcune cose possono essere affini (se pensiamo, ad esempio, al campo medico,anche lì ci sono delle esperienze tecniche e i consulenti devono avere il loro ruolo), ma – se posso permettermi – andrebbe disciplinato meglio il ruolo del consulente tecnico e il suo posto nel processo. Oggi è diventato cruciale. 

Viviamo nella “società del rischio”, con una componente informatica fortissima: bisogna strutturare consulenti tecnici in ambito digital forensics ed espandere la conoscenza di questa materia che, ormai, è fondamentale non solo nel penale ma anche nell’ambito civilistico e nel giuseuropeistico.

Con le recenti evoluzioni tecnologiche, viene naturale pensare all’intelligenza artificiale. Si parla di nuove forme di criminalità informatica: quali prospettive si delineano per il futuro e quali strategie sono più efficaci per garantire una tutela effettiva delle vittime?

L’intelligenza artificiale fa parte della nostra vita da anni. L’avvento di ChatGPT ci ha fatto capire cosa può fare, ma l’IA – che a volte è, in senso buono, un mero calcolo statistico-probabilistico,quindi matematica e scienze applicate – era già presente nella nostra vita, soprattutto in ambito sicurezza/cybersecurity, attacchi e reati informatici.

Dobbiamo convivere con questa entità e dobbiamo porci dei problemi che, giuridicamente sono problemi seri. Pensiamo, ad esempio, al d.lgs. 231/2001: abbiamo pensato se alle società si potesse applicare la possibilità di avere una sorta di responsabilità nel sistema amministrativo; possiamo immaginare un sistema simile per l’IA? Le domande, gli interrogativi e leproblematiche tecniche sono tante: le opacità, le difficoltà di comprendere l’IA e la conseguente difficoltà nel legiferare. E poi c’è un tema di geopolitica molto importante: abbiamo un’ Europa attenta, abbiamo l’IA Act, e anche in Italia abbiamo una normativa nuova sull’intelligenza artificiale; ma dove l’IA sta prendendo veramente il via – Cina, Stati Uniti, i maggiori competitor – lì non ci sono normative in tema di intelligenza artificiale.

La domanda è: noi, con la legge, fermeremo in qualche modo nel senso buono - perché secondo me ci vogliono delle normative - ma rimarremo indietro? Quindi, se pensiamo all’utilizzo dell’IA, ad esempio, nella cybersecurity ( come attaccante, come difensivo), se noi abbiamo delle norme che impongono un’etica, saremo più etici anche nel difenderci contro un attacco, che magari è extra UE, che non avrà gli stessi legami etici? È un problema geopolitico, etico, tecnologico e socio-politico: dobbiamo tenere gli occhi aperti perché il mondo che costruiamo adesso è quellodel futuro. L’IA è una nuova rivoluzione, paragonabile – storicamente – alla rivoluzione industriale. Lo vedremo meglio tra un po’.

Restando sull’IA: in che modo inciderà sul ruolo del giurista? C’è chi pensa che possa sostituirloin alcune funzioni e chi, invece, la considera uno strumento complementare.

Vi dico come la uso io. Fortunatamente ho appreso, imparato a scrivere e a ragionare senza supporti di IA. Temo che, soprattutto tra i più giovani, l’IA farà “disimparare” a fare le cose: devo creare un file Excel – lo imparo, impiegando mesi – oppure chiedo all’IA di farmi quella cella; scrivo da 0 un paper o una lettera di raccomandazione oppure chiedo all’IA di farla? Chiedo all’IA. Così si disimpara come si fanno le cose. 

Questo è il pericolo più grosso che vedo per i futuri giovani e per i futuri giuristi: giurisprudenza non è “solo diritto”, è imparare a ragionare, argomentare, motivare, scrivere. Un giurista è un professionista con grandi competenze tecniche; non dobbiamo farci svilire rispetto all'idea dello studente di giurisprudenza. Tutto questo dobbiamo imparare a farlo, quindi, se il giurista moderno usa l’IA come la uso io – come “aiutante” – secondo me, è insostituibile. Io chiedo traduzioni e so che le potrei farle anch’io ma la domanda che dobbiamo porci è: lo posso fare io con più tempo o non lo posso fare io? Se non lo puoi fare tu, non farlo con l’IA, cioè far sì che l’intelligenza artificiale sia il tuo aiutante ma non che ti sostituisca. Le competenze che si apprendono oggi – in età formativa – sono insostituibili e poi se non vengono sviluppate e qualcuno lo farà per voi,rimarrà un enorme gap.

E ci sono anche rischi concreti: siamo pieni di casi di colleghi che hanno “inventato” completamente dei precedenti, affidandosi all’IA. In un caso del genere, un TAR ha affermato checiò è svilente nei confronti della professione e ha giustamente sanzionato il responsabile, perché attività di questo tipo sono truffaldine. Si crea confusione con un ente che crea confusione benissimo. Le allucinazioni dell’IA sono note: può affermare che Marte, invece di essere un pianeta, è un satellite ma lo dice talmente bene che poi ci puoi credere.

Tema collegato: l’uso di strumenti di analisi predittiva e di profilazione. In che modo possonoincidere sui diritti fondamentali dell’individuo? Possiamo armonizzare progresso tecnologico e un diritto penale garantista?

È un argomento complesso. Ciò che posso dire è che se usiamo l’IA in determinati casi “di rischio” – ad esempio per l’individuazione di soggetti, utilizziamo l’IA per il riconoscimento facciale nei casi in cui è lecito o necessario – è un conto. Se invece la utilizziamo per valutare la persona (come in vari sistemi sperimentati negli USA), stiamo sbagliando: i bias cognitivi esistono sia nelle macchine sia negli esseri umani, però se affidiamo una valutazione personale ad un’entità computazionale è la fine dell’umanesimo. Dobbiamo pensare che una valutazione dei singoli criteri– come fa il giudice e come fa un tribunale – debba rimanere insostituibile: pensiamo alla recidiva, alla pericolosità sociale. Quelle, secondo me, devono restare valutazioni empiriche, dichiarabili daun giudice e modificabili da altri giudici. Capita spesso che i giudici la pensano diversamente,hanno dei bias anche loro ma non dobbiamo farlo diventare un elemento valutato da un ente che non sappiamo come ragiona fino in fondo.

In conclusione: quali nuove competenze ritiene essenziali per il penalista chiamato a confrontarsi con le trasformazioni introdotte dal digitale e dall’intelligenza artificiale?

Vi dico il mio percorso personale e il mio consiglio. Il primo consiglio per un penalista: diventareun penalista. L’attività dell’avvocato è talmente complessa e lo dicevo prima, io ho in famiglia avvocati che hanno iniziato la professione tanti anni fa e facevano “un po’ di tutto”, io vi dico chequesto non è possibile. Il diritto penale oggi è molto tecnico, complesso, articolato. La prima cosa è formarsi bene nel diritto sostanziale e in quello processuale.

Dopodiché, se l’informatica ci piace – e, comunque, dobbiamo farcela piacere perché dobbiamo maneggiare la prova informatica e il reato informatico – se vogliamo comprenderla, bisogna studiare anche quello. Nel mio caso, mi piace, quindi, lo faccio volentieri, si dice ‘se ti piace il tuolavoro non lavorerai un giorno della tua vita” e io confermo ma è molto pesante stare al passo con i cambiamenti normativi nel penale e nel processuale: quando è arrivata la riforma Cartabia ho pensato “devo studiare da capo”. Io, più “vecchia” di voi, ho già studiato molte riforme prima, con indulti e riforme varie: bisogna continuare a studiare. Però la curiosità ci salverà, bisogna essere curiosi. Qualcuno più importante di me diceva “stay foolish” ma io dico anche “stay curious”. Se ci piace qualcosa, appassioniamoci e facciamone davvero la nostra professione.