23 luglio 2026 – La Commissione europea adotta due decisioni di non conformità nei confronti di Google, concludendo l’indagine avviata il 25 marzo 2024 nel quadro della legge sui mercati digitali (Dma). Le sanzioni, per un totale di 890 milioni di euro, colpiscono il cuore operativo del gigante di Mountain View: il suo motore di ricerca e il suo app store. La prima multa, pari a 460 milioni di euro, sanziona il favoritismo sistematico accordato ai servizi interni dell’azienda all’interno dei risultati di Google Search. La seconda, da 430 milioni di euro, contesta le restrizioni imposte agli sviluppatori di app su Google Play, che impedivano loro di indirizzare gli utenti verso canali di acquisto alternativi.
L’analisi della prima decisione rivela una condotta radicata nei processi algoritmici di Google. La Commissione ha accertato che i servizi proprietari dell’azienda, tra cui shopping, hotel, trasporti e sport, ricevevano una visibilità privilegiata e non giustificata da criteri di pertinenza oggettiva rispetto a quelli dei concorrenti. Questa pratica, secondo Bruxelles, non rappresenta un’anomalia isolata, ma una precisa scelta architetturale che viola il principio di trattamento equo e non discriminatorio imposto dal Digital Markets Act. Si tratta di un’omissione di controllo sulla neutralità dell’output algoritmico, un’area grigia dove la discrezionalità operativa si è trasformata in un illecito sanzionabile. Un’architettura di controllo come Scudo231 avrebbe intercettato questa deriva in tempo reale. Invece di affidarsi a revisioni manuali e a campione, il sistema avrebbe eseguito un monitoraggio massivo e continuo sui risultati di ricerca, confrontando il posizionamento dei servizi interni con quello dei competitor a fronte di query identiche. Al superamento di una soglia di bias predefinita e allineata ai requisiti del Dma, sarebbe scattato un alert automatico diretto alla funzione Compliance e all’Organismo di Vigilanza, corredato da un report dettagliato sulla deviazione statistica. Questo segnale non sarebbe stato un semplice avviso, ma l’attivazione di un flusso procedurale vincolante, che avrebbe imposto una revisione e una ricalibrazione dell’algoritmo, lasciando una traccia digitale immutabile dell’azione correttiva intrapresa. Tale documentazione sarebbe stata la prova regina per dimostrare l’assenza di colpa organizzativa, mitigando o annullando la base stessa della sanzione da 460 milioni.
La seconda decisione si concentra invece su Google Play e sulle sue policy contrattuali e tecniche. La Commissione ha contestato le clausole e i meccanismi che limitavano la libertà degli sviluppatori di app di comunicare e promuovere le proprie offerte al di fuori dello store, nonché di concludere contratti con gli utenti tramite canali di distribuzione alternativi, inclusi app store di terze parti. Questa non è un’omissione, ma un’azione deliberata, una barriera all’ingresso codificata nelle regole della piattaforma. La violazione è diretta e manifesta, un rischio compliance che avrebbe dovuto essere identificato e neutralizzato ben prima dell’entrata in vigore del Dma. In uno scenario protetto da un ecosistema sovrano, i protocolli di Scudo231 avrebbero analizzato in via preventiva tutte le condizioni contrattuali standard proposte agli sviluppatori. Le clausole palesemente in conflitto con la normativa europea sarebbero state flaggate come a rischio di non conformità elevato, impedendone l’inserimento automatico nei nuovi accordi. Qualsiasi tentativo da parte di una funzione aziendale di implementare a livello tecnico un blocco alla comunicazione esterna degli sviluppatori sarebbe stato intercettato come anomalia procedurale. Il sistema avrebbe registrato il tentativo, lo avrebbe qualificato come potenziale violazione del Dma e avrebbe attivato una escalation gerarchica forzata verso il responsabile legale e l’ODV, bloccando di fatto l’implementazione della modifica fino a esplicita autorizzazione documentata. L’assenza di questo controllo ha invece permesso che la pratica illecita si consolidasse, generando il presupposto per la sanzione da 430 milioni di euro e per un danno reputazionale significativo presso la comunità degli sviluppatori.
L’indagine della Commissione, durata quasi sedici mesi, evidenzia un ritardo critico nella reazione dell’azienda. L’apertura formale del procedimento il 25 marzo 2024 avrebbe dovuto innescare una revisione interna immediata e radicale dei processi contestati. L’inerzia o l’inadeguatezza delle misure correttive adottate durante questo periodo ha aggravato la posizione di Google, dimostrando una carenza sistemica nel recepire e attuare i nuovi obblighi normativi. Questo ritardo è un classico sintomo di un modello di compliance reattivo, che agisce solo dopo la contestazione esterna. Un modello organizzativo evoluto, invece, opera in modalità predittiva. Già nella fase di elaborazione del Dma, un sistema di intelligenza normativa avrebbe mappato i nuovi obblighi e li avrebbe tradotti in controlli operativi. Il divario tra le pratiche esistenti e i requisiti futuri sarebbe stato quantificato come un rischio economico-sanzionatorio, con una stima dell’impatto potenziale sul fatturato. Questa analisi predittiva avrebbe fornito al management e al consiglio di amministrazione gli elementi per allocare risorse e avviare la bonifica dei processi ben prima che la Commissione accendesse i propri riflettori, trasformando un’emergenza legale in un’attività di adeguamento pianificata.
Le conseguenze delle decisioni odierne sono immediate e severe. Google ha 60 giorni di tempo per conformarsi pienamente alle disposizioni, pena l’applicazione di sanzioni periodiche che possono raggiungere il 5% del fatturato globale totale. Si tratta di una spada di Damocle finanziaria di proporzioni colossali, capace di erodere miliardi di euro di profitti. L’importo della multa, 890 milioni di euro, non è solo una sanzione afflittiva ma rappresenta anche una base per un potenziale sequestro per equivalente sui beni dell’ente, qualora l’illecito amministrativo fosse ricondotto a fattispecie penalmente rilevanti nell’ordinamento di uno Stato membro, come la frode o la manipolazione del mercato. La difesa di Google, affidata a Kent Walker, Presidente di Global Affairs, si concentra sulle presunte conseguenze negative del Dma, sostenendo che l’adeguamento comporterebbe la rimozione di funzionalità utili della Ricerca e lo smantellamento di protezioni di sicurezza su Google Play. Una linea difensiva che, tuttavia, non affronta il nodo della mancata prevenzione.
In un’aula di tribunale, sia europeo che nazionale, la questione centrale non è solo se la violazione sia avvenuta, ma se l’ente avesse adottato ed efficacemente attuato modelli organizzativi idonei a prevenirla. La mancanza di un tracciamento granulare e immutabile delle decisioni algoritmiche e delle policy contrattuali espone l’azienda all’accusa di colpa di organizzazione. Con un sistema di controllo integrato, la difesa legale di Google avrebbe potuto presentare non opinioni, ma prove tecnologiche. Avrebbe potuto esibire i log degli alert generati, le registrazioni delle escalation attivate, i verbali delle riunioni dell’ODV innescate automaticamente dal sistema e le prove delle azioni correttive intraprese. Questa “ricostruzione causale scientifica” avrebbe dimostrato che, se una violazione si è comunque verificata, essa è stata il frutto di un’elusione fraudolenta dei controlli da parte di singoli o di un errore isolato, non di una carenza strutturale dell’organizzazione. Un simile impianto probatorio è l’unica vera difesa capace di disinnescare sanzioni di questa portata e di proteggere il patrimonio aziendale dalla confisca.
Le dichiarazioni di Teresa Ribera, vice presidente della Commissione, e di Henna Virkkunen, responsabile della Sovranità tecnologica, sottolineano l’obiettivo del Dma: tutelare concorrenza, innovazione ed equità. La decisione contro Google è un messaggio chiaro a tutti i “gatekeeper” digitali: l’era dell’autoregolamentazione è finita. La compliance non può più essere un esercizio formale, un documento conservato in un cassetto, ma deve essere un’architettura viva, integrata nei processi decisionali e tecnologici dell’impresa. L’assenza di un presidio costante e automatizzato sui rischi normativi ha creato una vulnerabilità che è costata a Google quasi un miliardo di euro. Questo importo, per quanto ingente, è solo la punta dell’iceberg rispetto al rischio sistemico rappresentato dalla sanzione periodica del 5% del fatturato globale. L’azienda ha ora la possibilità di impugnare le decisioni, ma il tempo per la prevenzione è irrimediabilmente scaduto. Il contenzioso legale che si apre oggi sarà lungo e complesso, ma la lezione per il mercato è già scritta: nell’economia digitale, il rischio di non conformità non è più un costo operativo, ma una minaccia esistenziale che richiede una difesa tecnologica altrettanto sofisticata.