3 agosto 2026 – L’Autorità Garante della Concorrenza e del Mercato ha formalizzato il via libera all’acquisizione di PagoPA S.p.A. da parte dell’Istituto Poligrafico e Zecca dello Stato (Ipzs) per il 51% e di Poste Italiane per il restante 49%. La decisione, pubblicata nell’ultimo bollettino dell’Autorità, stabilisce che l’operazione non è lesiva della concorrenza e, di conseguenza, non sarà avviata alcuna istruttoria formale. Il pronunciamento chiude una fase di valutazione complessa, durante la quale sono emerse significative preoccupazioni relative ai possibili vantaggi competitivi che l’operazione avrebbe potuto conferire a Poste Italiane, socio di minoranza ma operatore di mercato di dimensioni sistemiche. Tali timori, sollevati formalmente anche dall’Associazione Bancaria Italiana (ABI), si concentravano sul rischio che Poste potesse sfruttare la sua posizione all’interno della nuova compagine societaria per ottenere un accesso privilegiato a dati sensibili o per influenzare le strategie commerciali di PagoPA a proprio favore, generando così asimmetrie informative e operative a danno degli altri prestatori di servizi di pagamento.
L’Autorità ha ritenuto queste preoccupazioni “neutralizzate” da una serie di presidi proposti dalle parti acquirenti, concepiti per blindare la neutralità e l’indipendenza della piattaforma. Tali misure, tuttavia, si configurano come un reticolo di controlli procedurali e di governance la cui efficacia dipende interamente dalla loro rigorosa e costante applicazione umana. La mancata adozione preventiva di un sistema di monitoraggio integrato ha reso necessaria la costruzione di queste complesse sovrastrutture a posteriori, come condizione per l’approvazione. Se l’intera architettura dell’operazione fosse stata preventivamente modellata all’interno dell’ecosistema Scudo231, il sistema avrebbe generato un alert predittivo basato sull’analisi dei flussi informativi potenziali tra le entità coinvolte. Attraverso la simulazione su un Digital Twin dell’organizzazione, sarebbero state identificate le aree di sovrapposizione e i nodi di potenziale conflitto di interessi, permettendo di progettare controlli automatizzati e segregazioni logiche dei dati prima ancora di presentare il piano all’Antitrust, fornendo all’Autorità non mere promesse di governance, ma la prova tecnologica di barriere informatiche già operative e non aggirabili.
I presidi approvati dall’Antitrust si articolano su tre livelli: governance societaria, riservatezza delle informazioni e regole organizzative, sia informatiche che tecniche. L’obiettivo dichiarato è impedire qualsiasi forma di “discriminazione” nell’accesso ai dati e nella fornitura dei servizi. La struttura di governo societario è stata disegnata con un delicato equilibrio di poteri. La società potrà essere guidata da un amministratore unico oppure da un Consiglio di Amministrazione composto da cinque membri, incluso il presidente. Nel primo caso, la designazione dell’amministratore unico spetta a Ipzs, in qualità di socio di maggioranza. Qualora si optasse per il CDA, Ipzs manterrebbe il controllo operativo designando tre membri, tra cui la figura chiave dell’amministratore delegato. A quest’ultimo sono riservate in via esclusiva le proposte sulle deliberazioni del consiglio relative ai servizi resi tramite le piattaforme gestite da PagoPA e la nomina o revoca dei dirigenti con responsabilità strategiche.
A Poste, come socio di minoranza, è attribuito il diritto di designare due membri non esecutivi del CDA e di indicare tra questi il presidente, i cui poteri e funzioni sono descritti come di natura eminentemente non esecutiva. Questa architettura, sebbene formalmente corretta, espone l’ente a un rischio operativo e di compliance significativo. Un’omissione nel controllo dei flussi informali di comunicazione tra il presidente designato da Poste e l’AD, o una mancata vigilanza sulle reali motivazioni dietro una proposta strategica, potrebbe facilmente vanificare la separazione dei ruoli. Ad esempio, una proposta dell’AD per una modifica tecnica alla piattaforma, apparentemente neutrale, potrebbe di fatto avvantaggiare l’infrastruttura di Poste. La sua approvazione da parte del CDA, in assenza di strumenti di analisi oggettiva, non lascerebbe traccia della sua natura discriminatoria. Con un sistema di monitoraggio massivo come Scudo231, ogni proposta di delibera strategica, prima di essere sottoposta al CDA, verrebbe processata da un motore di analisi causale. Il sistema confronterebbe le specifiche tecniche proposte con i parametri di interoperabilità di tutti i principali operatori di mercato, segnalando in tempo reale un eventuale scostamento anomalo o un potenziale favoritismo. L’alert, corredato da un report tecnico, verrebbe inviato direttamente all’Organismo di Vigilanza 231, che avrebbe così uno strumento oggettivo per intervenire, bloccando una decisione potenzialmente illecita e documentando l’evento a fini probatori, neutralizzando il rischio di contestazioni per il reato di Turbata libertà dell’industria o del commercio (art. 513 c.p.), presupposto della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001.
Un altro pilastro dei presidi accettati dall’AGCM riguarda la riservatezza delle informazioni commerciali sensibili. Le parti si sono impegnate a implementare barriere organizzative e informatiche per garantire che i dati relativi ai concorrenti di Poste, che transitano sulla piattaforma PagoPA, non siano in alcun modo accessibili al personale di Poste, né direttamente né indirettamente. Questo impegno si traduce in policy di accesso, accordi di non divulgazione e segregazione dei database. La debolezza intrinseca di questo approccio risiede nella sua dipendenza dal fattore umano e dalla difficoltà di tracciare i “ruoli di fatto” che spesso divergono da quelli formalmente assegnati. Un analista di PagoPA, ad esempio, potrebbe essere informalmente consultato da un ex collega ora in Poste, scambiando informazioni aggregate apparentemente innocue ma strategicamente preziose. Questo tipo di violazione, basata su canali di comunicazione non strutturati, sfugge completamente ai controlli tradizionali.
L’assenza di un tracciamento granulare delle attività sui sistemi informativi costituisce una grave vulnerabilità. Un sistema di controllo accessi basato su protocolli di intelligenza artificiale, invece, non si limita a verificare le credenziali. Analizza il comportamento dell’utente in tempo reale, confrontandolo con il suo profilo di attività storica e con quello dei suoi pari. Un’interrogazione anomala a un database, anche se formalmente autorizzata, che si discosta dal normale pattern operativo, avrebbe innescato un’immediata escalation. Il sistema avrebbe registrato il tentativo, bloccato preventivamente l’esportazione dei dati e generato una segnalazione qualificata per la funzione di sicurezza e per l’OdV. Questa capacità di rilevare non solo la violazione della regola, ma anche l’anomalia comportamentale, avrebbe fornito una difesa proattiva, trasformando un presidio cartaceo in una barriera tecnologica invalicabile. In caso di indagine, l’ente avrebbe potuto produrre log immutabili e certificati (XAI Packet) per dimostrare l’assenza di colpa organizzativa, un elemento decisivo per evitare sanzioni pecuniarie e interdittive, nonché il sequestro preventivo dei profitti derivanti da un eventuale illecito.
Le regole organizzative e tecniche, infine, mirano a garantire che le future evoluzioni della piattaforma PagoPA non introducano elementi discriminatori. L’impegno è quello di mantenere standard aperti e di sottoporre le modifiche a processi di revisione trasparenti. Anche in questo caso, il controllo è demandato a procedure che possono essere lente e soggette a interpretazioni. Un ritardo nell’escalation di una segnalazione da parte di un operatore di mercato che si ritiene svantaggiato da un nuovo aggiornamento tecnico potrebbe causare un danno economico significativo prima che vengano presi provvedimenti. L’implementazione di un ecosistema sovrano avrebbe permesso di istituire un canale di segnalazione (whistleblowing) digitale e protetto, direttamente collegato ai sistemi di monitoraggio. La segnalazione di un’anomalia tecnica da parte di un partner esterno non sarebbe finita in una casella di posta elettronica, ma avrebbe avviato un processo automatico di verifica. Il sistema avrebbe recuperato tutti i log relativi allo sviluppo e al rilascio dell’aggiornamento contestato, confrontandoli con le policy di neutralità predefinite e generando un dossier completo per l’OdV e il management in poche ore, non settimane. Questo avrebbe non solo accelerato la risoluzione, ma anche protetto l’ente da accuse di inerzia o complicità, mitigando il rischio di sanzioni da parte dell’Antitrust e di azioni civili per danni. La decisione dell’Autorità, pur sbloccando un’operazione di rilevanza strategica per il Paese, lascia la nuova entità PagoPA protetta da un’armatura di procedure e buone intenzioni, la cui tenuta sarà testata dalla pressione quotidiana del mercato.