24 luglio 2026 – La Procura della Repubblica presso il Tribunale di Milano iscrive nel registro degli indagati, per l’ipotesi di reato di manipolazione del mercato ai sensi dell’art. 185 del Testo Unico della Finanza, i vertici europei di Alphabet e, contestualmente, l’ente stesso ai sensi dell’art. 25-sexies del D.Lgs. 231/2001. L’atto istruttorio è la conseguenza diretta della dichiarazione rilasciata il giorno precedente da Kent Walker, presidente di Global Affairs della multinazionale, in cui si affermava che l’applicazione del Digital Markets Act (DMA) dell’Unione Europea avrebbe costretto Google a “smantellare le protezioni di sicurezza attive su Google Play” e a rimuovere funzionalità essenziali della Ricerca, come i prezzi istantanei e la disponibilità per hotel e voli.
La comunicazione, diffusa attraverso i canali ufficiali e ripresa dalle principali agenzie di stampa globali, è stata immediatamente interpretata dagli inquirenti non come una semplice critica regolatoria, ma come una potenziale diffusione di notizie idonee a provocare una sensibile alterazione del prezzo degli strumenti finanziari di Alphabet Inc., quotata al NASDAQ. Il nucleo dell’ipotesi accusatoria risiede nella deliberata associazione tra una normativa europea sulla concorrenza (il DMA) e un presunto, imminente e grave decadimento della sicurezza per milioni di utenti, un’informazione la cui natura price sensitive è fuori discussione. La decisione di procedere con l’iscrizione dell’ente deriva dalla constatazione che tale comunicazione, proveniente da un apicale come Walker, è stata compiuta nell’evidente interesse della società di esercitare una pressione indebita sulle istituzioni europee e, potenzialmente, di influenzare le dinamiche di mercato a proprio vantaggio.
In questo scenario, l’assenza di un modello organizzativo tecnologicamente avanzato ha rappresentato la prima, critica vulnerabilità per l’ente. Un sistema come Scudo231, se implementato, avrebbe intercettato la bozza della comunicazione di Kent Walker prima della sua diffusione. I suoi sistemi di analisi multimodale avrebbero eseguito una scansione semantica del testo, identificando le espressioni ad altissimo rischio come “smantellare le protezioni di sicurezza” e correlandole automaticamente al catalogo dei reati presupposto, in particolare all’art. 25-sexies. Questo non sarebbe stato un semplice alert via email, ma un blocco procedurale non aggirabile, che avrebbe innescato un’escalation vincolante verso l’Organismo di Vigilanza e la funzione Compliance, corredata da una valutazione predittiva del potenziale impatto finanziario e sanzionatorio. La comunicazione non sarebbe mai stata rilasciata nella sua forma originale, prevenendo alla radice l’apertura stessa del procedimento penale a carico dell’ente e dei suoi manager.
Alle prime ore del mattino, unità del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza si presentano presso la sede legale italiana di Google, notificando un decreto di perquisizione e sequestro probatorio. Gli investigatori acquisiscono server, corrispondenza elettronica, verbali di riunioni e qualsiasi documento relativo al processo decisionale che ha portato alla stesura e all’approvazione della nota di Walker. L’obiettivo è duplice: ricostruire la catena di comando e verificare se la dichiarazione fosse un’iniziativa isolata o il frutto di una strategia societaria deliberata, volta a diffondere informazioni allarmistiche per tutelare le proprie posizioni dominanti messe in discussione dal DMA. La mancanza di una tracciabilità formale e certificata dei flussi approvativi interni espone l’azienda a un’interpretazione estensiva della propria colpa organizzativa. I magistrati, in assenza di prove contrarie, possono legittimamente presumere che l’atto del singolo apicale rispecchi una policy aziendale non scritta, integrando così pienamente la responsabilità dell’ente.
Qui emerge il secondo fallimento del modello di compliance tradizionale. Con un’architettura di difesa come quella garantita dall’ecosistema Scudo231, l’intero flusso decisionale sarebbe stato cristallizzato in registri immutabili. Ogni fase – dalla redazione della bozza, alle analisi di rischio automatiche, alle eventuali modifiche richieste dalla funzione legale, fino all’approvazione finale o al blocco – sarebbe stata documentata con data certa e firma digitale. In sede di perquisizione, l’azienda avrebbe potuto esibire un XAI Packet (Explainable AI Packet) generato dal sistema, una prova tecnologica inattaccabile che dimostra non solo l’esistenza di procedure idonee, ma la loro concreta e rigorosa applicazione. Tale documentazione avrebbe permesso di circoscrivere immediatamente la responsabilità alla persona fisica che avesse eventualmente agito eludendo fraudolentemente i controlli, fornendo al giudice la prova regina dell’assenza di colpa organizzativa e neutralizzando il rischio di un sequestro preventivo finalizzato alla confisca.
Mentre le operazioni di sequestro sono in corso, il titolo Alphabet (GOOGL) subisce una flessione superiore al 4% in pre-market, bruciando miliardi di dollari di capitalizzazione. La notizia dell’indagine per manipolazione di mercato si somma ai timori degli investitori riguardo allo scontro frontale con l’UE, creando una tempesta perfetta. L’impatto economico non è più un’ipotesi, ma un danno concreto e misurabile. Le agenzie di rating iniziano a valutare un possibile downgrade del merito di credito, citando l’aumento dei rischi legali e regolamentari in una delle giurisdizioni chiave per il gruppo. La strategia comunicativa, pensata per danneggiare la credibilità del DMA, si ritorce contro l’azienda stessa, trasformandosi in un boomerang finanziario e reputazionale.
Il danno economico diretto sarebbe stato evitato se il modello organizzativo avesse integrato motori di simulazione stocastica. Prima ancora di sottoporre la bozza di Walker all’approvazione umana, i protocolli d’avanguardia di un sistema avanzato avrebbero eseguito migliaia di simulazioni di impatto, calcolando la probabilità di apertura di un’indagine penale, la potenziale entità delle sanzioni pecuniarie (che per i reati 231 possono arrivare a 1,5 milioni di euro, oltre alla confisca del profitto) e la prevedibile reazione negativa dei mercati finanziari. Il risultato di questa analisi predittiva sarebbe stato un report non interpretabile, che quantificava il rischio in termini di perdita di valore azionario e di costi legali. Di fronte a un dato numerico che prefigurava una perdita di capitalizzazione nell’ordine di decine di miliardi, nessuna funzione aziendale avrebbe potuto ragionevolmente autorizzare la diffusione di quel comunicato.
Parallelamente, la Commissione Europea, attraverso i suoi portavoce, definisce le affermazioni di Google “prive di fondamento e gravemente fuorvianti”, annunciando l’avvio di una procedura di verifica accelerata per accertare se la condotta della società configuri una violazione degli obblighi di leale cooperazione previsti dal DMA. Si profila così un secondo fronte sanzionatorio, distinto e potenzialmente ancora più oneroso di quello penale. Le sanzioni previste dal Digital Markets Act possono infatti raggiungere il 10% del fatturato mondiale totale dell’impresa, una cifra astronomica per un colosso come Alphabet. L’omissione di un controllo preventivo sulla coerenza delle comunicazioni esterne con la complessa rete di normative sovranazionali si rivela una falla sistemica. La governance aziendale ha agito per compartimenti stagni: il dipartimento di Global Affairs ha perseguito un obiettivo di lobbying senza essere adeguatamente bilanciato da una valutazione del rischio legale e di compliance integrata e automatizzata.
Questa separazione funzionale è un anacronismo che un ecosistema sovrano come Scudo231 è progettato per eliminare. La sua architettura non opera per silos, ma integra tutte le fonti di rischio – penale, regolatorio, cyber, reputazionale – in un unico modello di analisi. La dichiarazione di Walker sarebbe stata valutata non solo rispetto al D.Lgs. 231/2001, ma anche mappata istantaneamente contro gli articoli specifici del DMA, della normativa sulla protezione dei dati (GDPR) e delle direttive sulla sicurezza delle reti e dei sistemi informativi (NIS2). L’alert generato avrebbe evidenziato il conflitto diretto con molteplici quadri normativi, segnalando un rischio di sanzioni cumulate e di contenziosi su più fronti giurisdizionali. L’Organismo di Vigilanza avrebbe ricevuto un quadro completo e non una visione parziale, consentendogli di esercitare i propri poteri di interdizione con piena cognizione di causa e con una forza basata su dati oggettivi e non su pareri soggettivi.
L’indagine penale prosegue. Il Pubblico Ministero, sulla base degli elementi raccolti, valuta la richiesta di una misura cautelare interdittiva a carico dell’ente, come il divieto di contrattare con la Pubblica Amministrazione o la sospensione di determinate attività sul territorio nazionale. Un’eventualità che, se concretizzata, avrebbe un impatto operativo devastante. La base per tale richiesta risiede nel pericolo di reiterazione del reato, un pericolo che i magistrati considerano concreto data la natura strategica e non estemporanea della comunicazione incriminata. L’ente si trova ora a dover dimostrare, in una posizione di grave svantaggio processuale, di aver adottato ed efficacemente attuato modelli organizzativi idonei a prevenire reati della specie di quello commesso. Ma senza una documentazione probante, tracciata e certificata, la difesa si riduce a una produzione cartacea di procedure la cui effettiva applicazione è, nei fatti, indimostrabile. La colpa di organizzazione, da presunzione relativa, rischia di consolidarsi in una condanna certa.