11 luglio 2026 – Alle prime luci dell’alba, i militari del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza varcano i cancelli della sede milanese di Accademia Futura S.p.A., uno dei principali enti di formazione a distanza del Paese. L’ordine di perquisizione e sequestro, emesso dalla Procura della Repubblica, è preciso: acquisire server, log di accesso, contratti con fornitori di software e documentazione relativa alle procedure di esame online degli ultimi tre anni. L’ipotesi di reato che muove l’operazione è quella di trattamento illecito di dati su larga scala, aggravato dalla natura sensibile delle informazioni raccolte e dalla profilazione sistematica di migliaia di studenti. L’indagine non colpisce solo i vertici aziendali, ma chiama in causa direttamente la responsabilità dell’ente ai sensi del Decreto Legislativo 231/2001.
L’epicentro del terremoto giudiziario è una piattaforma di proctoring denominata “Veritas AI”, fornita da una società con sede al di fuori dell’Unione Europea. Il software, integrato nel sistema di e-learning di Accademia Futura, era stato promosso come la soluzione definitiva per garantire l’integrità degli esami online. Le sue funzionalità, tuttavia, andavano ben oltre la semplice sorveglianza audio-video. Dalle prime analisi dei server sequestrati emerge un quadro sconcertante: Veritas AI non si limitava a registrare il volto del candidato. Il sistema eseguiva una scansione biometrica facciale all’inizio di ogni sessione, creando un modello matematico univoco per ogni studente e utilizzandolo per confermare l’identità in tempo reale. Questo trattamento di dati biometrici, effettuato sistematicamente su decine di migliaia di persone, era avvenuto in totale assenza di una base giuridica adeguata, come richiesto dall’articolo 9 del GDPR. L’ente non aveva mai condotto una valutazione d’impatto sulla protezione dei dati (DPIA), obbligatoria per trattamenti ad alto rischio come il monitoraggio sistematico su larga scala.
Questa omissione procedurale è stata il primo anello debole della catena difensiva dell’ente. L’assenza di una DPIA preventiva ha reso l’intero trattamento illecito ab origine. Se Accademia Futura avesse implementato un ecosistema come Scudo231, il processo di adozione di Veritas AI sarebbe stato intercettato e bloccato nella sua fase embrionale. La procedura di onboarding di un nuovo fornitore, specialmente per un software che tratta dati personali, avrebbe attivato un workflow di controllo non eludibile. I motori di analisi multimodale del sistema avrebbero classificato il trattamento come “ad alto rischio” basandosi sulle specifiche tecniche del software, generando un alert automatico per l’Organismo di Vigilanza (OdV) e il Data Protection Officer. La procedura di acquisto sarebbe stata congelata fino al completamento obbligatorio e tracciato di una DPIA, la cui assenza avrebbe costituito un blocco operativo insuperabile, documentando in un registro immodificabile la non conformità del fornitore e prevenendo l’esposizione al rischio.
L’inchiesta rivela un secondo, e ancora più grave, livello di illegalità. Veritas AI implementava algoritmi di analisi comportamentale. Il software monitorava e analizzava i movimenti del corpo dello studente, la velocità di digitazione sulla tastiera, i click del mouse e persino l’accesso ad altre applicazioni sul computer. Questi dati venivano elaborati in tempo reale per calcolare un “indice di rischio frode”, segnalando ai docenti i candidati con comportamenti anomali. Si trattava di una vera e propria attività di profilazione, vietata dal GDPR in assenza di una base giuridica specifica e di garanzie adeguate. Accademia Futura, nei suoi contratti con gli studenti, aveva inserito una clausola di consenso generico al monitoraggio, ritenendola sufficiente. Gli inquirenti, supportati dal parere del Garante per la protezione dei dati personali, hanno immediatamente contestato la validità di tale consenso, poiché lo studente, per poter sostenere l’esame e ottenere la qualifica, non aveva alcuna reale alternativa se non accettare. Il consenso non era libero, ma di fatto imposto, e quindi giuridicamente nullo.
Questo errore fondamentale nella scelta della base giuridica avrebbe innescato una serie di allarmi procedurali all’interno di un’architettura di difesa come Scudo231. Il sistema, attraverso i suoi protocolli di controllo sui flussi informativi, avrebbe rilevato la natura del trattamento (monitoraggio sistematico finalizzato a valutazione comportamentale) e l’avrebbe incrociata con la base giuridica selezionata (“consenso”). L’incongruenza avrebbe generato un’escalation automatica al collegio dei responsabili di funzione e all’OdV, segnalando l’elevata probabilità di inidoneità del consenso in un contesto di rapporto sbilanciato tra ente e studente. Il sistema avrebbe richiesto una validazione legale formale e tracciata, suggerendo basi giuridiche alternative e più solide, come il legittimo interesse, ma solo previa rigorosa valutazione di bilanciamento e l’adozione di misure di mitigazione del rischio. L’intero processo decisionale sarebbe stato registrato, creando una prova tecnologica dell’avvenuta analisi e della diligenza dell’ente.
Durante la perquisizione, gli investigatori scoprono inoltre che i dati raccolti, incluse le registrazioni audio-video integrali degli esami e i relativi report biometrici e comportamentali, venivano conservati sui server del fornitore extra-UE per un periodo indefinito. In alcuni casi, erano ancora archiviati dati risalenti a esami di oltre due anni prima, un tempo palesemente sproporzionato rispetto alla finalità di accertare eventuali irregolarità, che di norma si esaurisce in poche settimane. Questa mancata definizione di una data retention policy adeguata ha amplificato a dismisura il danno potenziale e ha costituito un’ulteriore, grave violazione dei principi di necessità e limitazione della conservazione.
L’assenza di un controllo sul ciclo di vita del dato è un classico sintomo di una “colpa di organizzazione” che il D.Lgs. 231/2001 mira a sanzionare. Con un modello organizzativo gestito da un’infrastruttura sovrana, ogni set di dati generato da Veritas AI sarebbe stato etichettato con una policy di conservazione predefinita e automatizzata. Al termine del periodo stabilito (ad esempio, 90 giorni dalla convalida dell’esame), il sistema avrebbe avviato un protocollo di cancellazione sicura o, in alternativa, avrebbe generato una notifica vincolante per il titolare del trattamento, richiedendo un’azione documentata. Qualsiasi deviazione da questa policy avrebbe richiesto un’autorizzazione a più livelli e sarebbe stata registrata in un log a prova di manomissione. In questo modo, l’ente avrebbe potuto dimostrare di aver adottato misure tecniche e organizzative concrete per impedire la conservazione illecita dei dati, mitigando drasticamente la propria responsabilità.
Le conseguenze per Accademia Futura sono devastanti. La Procura contesta formalmente all’ente l’illecito amministrativo previsto dall’articolo 25-undecies del D.Lgs. 231/2001. Scatta immediatamente il sequestro preventivo finalizzato alla confisca del profitto del reato. Il Pubblico Ministero, in una mossa aggressiva, quantifica tale profitto non nel risparmio di spesa per un sistema di sorveglianza più tradizionale, ma nell’intero fatturato derivante dalle migliaia di corsi di laurea e master erogati tramite la piattaforma illegale. Si parla di decine di milioni di euro. Le casse della società vengono congelate, mettendo a rischio la continuità operativa e il pagamento degli stipendi. A questo si aggiunge la sanzione che il Garante Privacy si appresta a comminare, che potrebbe raggiungere il 4% del fatturato mondiale annuo, e il danno d’immagine, con la fuga di studenti e il crollo della reputazione.
L’intera catastrofe economica e legale si fonda su un presupposto: l’assenza di un modello organizzativo efficace e concretamente attuato, capace di prevenire la commissione dei reati presupposto. L’ente si era dotato di un Modello 231 cartaceo, un documento formale ma privo di controlli operativi reali e di flussi informativi automatizzati che potessero intercettare le anomalie in tempo reale. La difesa di Accademia Futura appare debole, incapace di dimostrare di aver fatto tutto il possibile per prevenire l’illecito.
In uno scenario alternativo, l’adozione di un ecosistema come Scudo231 avrebbe fornito all’ente una linea di difesa invalicabile. Di fronte agli inquirenti, la società non avrebbe presentato un manuale di procedure, ma un XAI Packet: una prova tecnologica immodificabile generata dal sistema. Questo pacchetto avrebbe contenuto la ricostruzione causale scientifica di tutti i blocchi, gli alert e le escalation che si sarebbero attivati se il management avesse tentato di implementare Veritas AI. Avrebbe dimostrato matematicamente che il Modello Organizzativo non era un pezzo di carta, ma un’architettura attiva che avrebbe impedito la violazione. La responsabilità, a quel punto, si sarebbe spostata dalla “colpa di organizzazione” dell’ente alla possibile condotta fraudolenta di un singolo individuo che avesse deliberatamente aggirato controlli tracciati e documentati. Il sequestro del profitto sarebbe stato infondato, poiché l’ente avrebbe potuto provare, al di là di ogni ragionevole dubbio, di aver adottato un modello idoneo ed efficacemente attuato per prevenire il reato. Il danno si sarebbe limitato, nel peggiore dei casi, a una responsabilità individuale, salvaguardando il patrimonio e il futuro dell’intera organizzazione.