Una fuga di dati non è un difetto di software per la nuova legge

La direttiva europea sul software difettoso, in vigore dal 9 dicembre, non copre le fughe di dati come quella di Claude Code: per la privacy resta il GDPR, non diverso da prima.

Perché conta

Si legge in giro che dal 9 dicembre un software difettoso avrà sempre un responsabile da cui farsi risarcire: non è vero per il danno più comune, una fuga di dati, e confondere le due cose porta a cercare la tutela sbagliata.

In pratica

Se un software ti causa un danno dopo il 9 dicembre, prima di invocare la nuova direttiva guarda il tipo di danno: per dati distrutti o rovinati c'è una strada nuova, per dati divulgati senza consenso resta il Garante Privacy, come prima.

Penso che la direttiva europea sulla responsabilità del software, in vigore dal 9 dicembre, sia un passo vero. Ma non per il motivo con cui la si racconta in questi giorni: non copre il tipo di danno che capita più spesso quando un software sbaglia, una fuga di dati personali.

La direttiva (2024/2853, testo che ho letto su EUR-Lex) tratta un programma, un'app o un sistema di intelligenza artificiale come un prodotto qualsiasi, un tostapane, una bicicletta. Se un difetto ti causa un danno vero — alla salute, ai beni, oppure la distruzione o la corruzione di dati personali che non usi per lavoro — puoi chiedere un risarcimento a chi l'ha fatto, non solo disinstallare il programma. Vale per i prodotti messi sul mercato dopo il 9 dicembre 2026. Lo stesso articolo della direttiva, al paragrafo 4 lettera a, dice però un'altra cosa, raccontata molto meno: fughe di dati e violazioni della privacy restano fuori. Per quelle la direttiva lascia tutto com'era, e si applica il GDPR, il regolamento europeo sulla privacy in vigore già da anni.

Il caso che mostra la differenza è di pochi giorni fa. Un bug di Claude Code, il programma di Anthropic per scrivere codice, mandava l'email dell'utente a siti esterni: la inseriva nelle richieste che il programma faceva da solo sul web, e alcuni utenti hanno raccontato di aver ricevuto ondate di spam. È un difetto del software, in un senso comune della parola. Ma nel senso in cui lo intende la direttiva è una fuga di dati e una violazione della privacy, non una distruzione o una corruzione di dati. Per quello che ho letto nel testo, non è il tipo di danno coperto dalla nuova direttiva: resta il campo del GDPR, esattamente come prima del 9 dicembre.

La migliore obiezione

Si può dire che la distinzione sia un cavillo: in entrambi i casi il danno nasce da un difetto, perché cambiare la legge da invocare? Una risposta: perché il GDPR ha già le sue regole, le sue sanzioni e un'autorità dedicata — il Garante per la protezione dei dati personali, in Italia — pensate apposta per le fughe di dati. Mescolarle con la nuova direttiva avrebbe creato due strade diverse per lo stesso tipo di danno. Resta però un problema vero, che le fonti non risolvono: capire se un danno è stato "distrutto" un dato o "divulgato" un dato, e quindi quale strada prendere, non è ovvio in un caso reale. Né la direttiva né l'articolo del bug di Claude Code lo spiegano in modo semplice per chi non è avvocato: è un'obiezione che resta in piedi.

Cosa fare

La conseguenza pratica è una sola: se da dicembre un software ti causa un danno, prima di pensare alla nuova direttiva guarda di che tipo di danno si tratta. Se un bug ha cancellato o rovinato dati tuoi non legati al lavoro, oppure ti ha fatto male a salute o a un bene, la strada nuova esiste, verso chi ha fatto il software. Se invece il danno è che i tuoi dati sono finiti dove non dovevano — un'email usata per mandarti spam, come nel caso di Claude Code — la strada resta quella di sempre: una segnalazione al Garante Privacy, non la nuova direttiva. Dal 9 dicembre cambia una cosa, non tutto.