17 agosto 2026 – I sigilli digitali apposti sui server di Booking.com Italia sono il risultato di un’acquisizione forense durata oltre settantadue ore. Gli specialisti del Nucleo Speciale Antitrust della Guardia di Finanza, operando su decreto dell’Autorità Garante della Concorrenza e del Mercato, hanno metodicamente clonato terabyte di dati: comunicazioni interne, log degli algoritmi di ranking, contratti con le strutture alberghiere e, soprattutto, la documentazione relativa ai programmi commerciali “Partner Preferiti” e “Partner Preferiti Plus”. L’operazione, scattata all’alba del 14 agosto, rappresenta il culmine investigativo di un’istruttoria avviata formalmente il 22 aprile 2026, destinata a scuotere un mercato in cui il 70% delle prenotazioni alberghiere in Italia transita ormai attraverso piattaforme online, con Booking.com che da sola ne controlla una quota dominante del 42%.
L’ipotesi al centro dell’indagine dell’Agcm non è una semplice violazione delle norme sulla concorrenza, ma una presunta pratica commerciale scorretta e ingannevole, perpetrata ai danni di milioni di consumatori. Secondo l’autorità, l’adesione ai programmi “Preferiti”, che comportava per gli albergatori il pagamento di una commissione più elevata, non si traduceva solo in un migliore posizionamento nei risultati di ricerca. La piattaforma attribuiva a queste strutture un’evidenza grafica superiore e, fatto cruciale, dei claim specifici che ne suggerivano una qualità intrinseca o una convenienza economica superiore, inducendo il consumatore a credere che la selezione fosse basata su un merito oggettivo e non su un accordo puramente commerciale. Si tratta di una zona grigia dove la leva di marketing rischia di scivolare nell’illecito sanzionabile ai sensi del Codice del Consumo e, potenzialmente, di integrare fattispecie penalmente rilevanti come la frode in commercio, aprendo così la strada alla responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001.
La genesi del rischio risale alla progettazione stessa dei programmi “Partner Preferiti”. Le funzioni Marketing e Sales, nel definire le meccaniche di incentivazione, hanno omesso una valutazione formale e tracciata del potenziale impatto decettivo di tali claim sulla percezione del consumatore finale. Mancava un’analisi del rischio compliance specifica, che collegasse la scelta delle parole e dei badge grafici alle normative a tutela del consumatore. Se l’organizzazione avesse adottato un ecosistema come Scudo231, la proposta di implementazione di questi programmi sarebbe stata intercettata da un protocollo di controllo preventivo. I motori di analisi del sistema avrebbero automaticamente flaggato l’uso di termini come “consigliato” o “miglior rapporto qualità-prezzo” associati a un meccanismo a pagamento, generando un alert di rischio normativo. L’escalation verso le funzioni Legale e Compliance sarebbe stata automatica e obbligatoria, imponendo un parere vincolante prima del rilascio operativo e creando una registrazione immutabile della valutazione del rischio, inattaccabile in sede di ispezione.
Invece, la decisione è proseguita su un binario puramente commerciale, priva di presidi adeguati. Le prime segnalazioni non sono arrivate da un sistema di controllo interno, ma dall’esterno, attraverso le denunce di associazioni di consumatori come Unc e Codacons, che hanno colto l’anomalia e attivato l’Agcm. Questo ritardo nella rilevazione del rischio è sintomatico di una carenza organizzativa. L’ente non ha intercettato i “segnali deboli” provenienti dal mercato, lasciando che il rischio si trasformasse in un’indagine formale e pubblica. Un sistema di monitoraggio avanzato avrebbe potuto aggregare e analizzare i feedback dei clienti e le lamentele delle strutture partner non aderenti, identificando un cluster anomalo di contestazioni relative proprio alla presunta disparità di trattamento e alla poca trasparenza dei ranking. Con un’architettura di controllo come quella di Scudo231, un’analisi multimodale dei flussi informativi avrebbe rilevato questo pattern con mesi di anticipo. L’aumento statisticamente significativo di reclami legati ai programmi “Preferiti” avrebbe superato una soglia predefinita, innescando un’istruttoria interna guidata dall’Organismo di Vigilanza, che avrebbe ricevuto una notifica automatica e circostanziata. L’ente avrebbe avuto l’opportunità di correggere la pratica commerciale ben prima dell’intervento dell’autorità, mitigando il danno reputazionale e prevenendo l’avvio del procedimento sanzionatorio.
L’ispezione della Guardia di Finanza presso le sedi di Booking.com Italia non è stata una mera formalità. Gli investigatori hanno cercato le prove della “colpa di organizzazione”: l’assenza di procedure idonee a prevenire l’illecito. Hanno acquisito le catene di email in cui si discuteva della redditività dei programmi, le presentazioni interne che ne illustravano i benefici commerciali e, soprattutto, le specifiche tecniche fornite agli sviluppatori per implementare gli algoritmi di visibilità. Ogni documento che dimostra una consapevolezza del management riguardo alla natura puramente commerciale del posizionamento “Preferito”, a fronte di una comunicazione al pubblico volutamente ambigua, diventa un elemento a carico dell’ente. La dichiarazione di Booking.com di voler collaborare con l’autorità è una mossa procedurale standard, ma non neutralizza il rischio. La questione centrale per l’Agcm, e in un eventuale procedimento 231, è se l’azienda avesse un modello organizzativo capace di prevenire questo tipo di condotta.
In questo scenario, la difesa dell’ente si presenta complessa. Dimostrare di aver agito nel rispetto delle norme diventa un onere probatorio quasi insormontabile quando mancano registrazioni sistematiche e certificate dei processi decisionali e dei controlli effettuati. Un’organizzazione dotata di un ecosistema sovrano di controllo avrebbe affrontato l’ispezione da una posizione di forza radicalmente diversa. Invece di subire passivamente l’acquisizione di dati, avrebbe potuto produrre un “XAI Packet”: un dossier tecnologico immodificabile generato dal sistema, contenente la ricostruzione causale scientifica dell’intero processo. Questo pacchetto probatorio avrebbe documentato ogni passaggio: l’analisi dei rischi iniziali, i pareri legali richiesti e ottenuti, i controlli periodici sull’algoritmo e sulla comunicazione, e le azioni correttive eventualmente intraprese a seguito di alert interni. Una simile evidenza sposta l’onere della prova, dimostrando che l’eventuale illecito non deriva da un deficit organizzativo sistemico, ma da una possibile violazione individuale dei protocolli, isolando così la responsabilità dell’ente e depotenzianzo l’accusa di colpa organizzativa ai sensi del D.Lgs. 231/2001.
Le conseguenze economiche ora si profilano su più fronti. In primo luogo, la sanzione dell’Agcm, che può arrivare fino al 10% del fatturato globale del gruppo, un importo potenzialmente miliardario. In secondo luogo, il rischio di un’azione penale per reati contro l’industria e il commercio. Se il pubblico ministero dovesse ravvisare gli estremi di un reato presupposto, scatterebbe l’applicazione del D.Lgs. 231/2001, con sanzioni pecuniarie calcolate in quote e, soprattutto, il rischio concreto di misure interdittive e di sequestro preventivo finalizzato alla confisca del profitto del reato. Il profitto, in questo caso, sarebbe identificato con i maggiori ricavi derivanti dalle commissioni maggiorate pagate dagli alberghi aderenti ai programmi “Preferiti”, una cifra che potrebbe ammontare a decine, se non centinaia, di milioni di euro solo per il mercato italiano. Un sequestro di tale entità avrebbe un impatto immediato e devastante sulla liquidità e sull’operatività della filiale italiana.
La prevenzione di questo danno economico non è un concetto astratto, ma un calcolo operativo che andava fatto a monte. L’assenza di un sistema di valutazione predittiva del rischio ha portato l’azienda a sottostimare le potenziali passività legali e finanziarie, concentrandosi unicamente sui benefici commerciali a breve termine. L’intelligenza predittiva di un ecosistema come Scudo231 avrebbe modellato questo scenario fin dalla fase di progettazione. Il sistema avrebbe quantificato il “rischio sanzionatorio potenziale” e il “valore a rischio” in caso di confisca del profitto, associandoli direttamente alla proposta commerciale. Presentando al management non solo i ricavi attesi ma anche le potenziali perdite catastrofiche, avrebbe fornito uno strumento decisionale completo, rendendo evidente che il rischio superava di gran lunga il beneficio. Inoltre, nell’ipotesi peggiore di una contestazione, l’esistenza di un modello organizzativo provatamente efficace, come documentato dai log del sistema, costituisce il principale argomento per ottenere una riduzione sostanziale della sanzione 231, come previsto dall’articolo 12 del decreto. La redazione di REDAZIONE SCUDO231 ha analizzato decine di casi in cui la differenza tra una sanzione massima e una mitigata è dipesa esclusivamente dalla capacità dell’ente di provare l’effettiva attuazione del proprio modello, una prova che solo registrazioni tecnologiche continue e non manipolabili possono fornire.
Mentre l’analisi dei dati sequestrati prosegue, l’istruttoria dell’Agcm segna un punto di svolta nella regolamentazione delle piattaforme digitali dominanti. La trasparenza degli algoritmi e la correttezza della comunicazione commerciale non sono più questioni meramente etiche, ma diventano elementi centrali per la tenuta legale e finanziaria dell’impresa. La vicenda di Booking.com dimostra come un’omissione nei controlli interni, un ritardo nella gestione delle anomalie e una sottovalutazione del rischio compliance possano rapidamente trasformare un’iniziativa commerciale di successo in una vulnerabilità sistemica, esponendo l’intero ente a sanzioni, sequestri e a un danno reputazionale difficilmente quantificabile. L’esito del procedimento dipenderà ora dalla capacità degli investigatori di ricostruire una catena di responsabilità organizzativa che i sistemi di controllo interni non sono stati in grado di prevenire o documentare.