Robert Steiner vanta oltre due decenni di esperienza nello sviluppo di prodotti conformi alle normative e nella creazione di partnership nei settori bancario, farmaceutico, manifatturiero e delle tecnologie aziendali, gestendo standard quali PCI DSS, GDPR, GxP, SOX, PSD2, eIDAS e WCAG in contesti multigiurisdizionali, con team distribuiti nei cinque continenti. Attualmente ricopre la carica di vicepresidente di COMPASS.

Domanda: Qual è la missione di COMPASS?

Steiner: L’Europa redige buone leggi ma le attua male. Tra la legge pubblicata nella Gazzetta Ufficiale e la legge vissuta da una persona che alle 7 del mattino clicca su “Accetta tutti i cookie”, c’è un enorme divario. COMPASS esiste per colmarlo.

La missione alla base di tutto ciò è semplice: la tecnologia digitale dovrebbe essere al servizio degli esseri umani, non il contrario. La regolamentazione è il meccanismo, mentre l’esperienza umana, la dignità e la partecipazione sono l’obiettivo.”

Domanda: Di che tipo di attività vi occupate? E in che modo opera l’organizzazione?

Signor Steiner: Quattro tipi di attività: monitoriamo l’attuazione, verificando come normative quali l’AI Act, il GDPR e il DSA si comportano una volta che lasciano Bruxelles e si confrontano con la realtà. Pubblichiamo analisi indipendenti: i nostri articoli recenti riguardano il voto sull’Omnibus dell’AI Act dell’UE, una guida pratica all’AI Act sul campo e il meccanismo di consenso sui cookie come “teatro della privacy”. Traduciamo: le stesse prove devono essere comprensibili sia per un responsabile della conformità che per un quindicenne, senza essere semplificate eccessivamente per nessuno dei due. E trasmettiamo ciò che scopriamo a chi redige e applica le norme. Se sono disposti ad ascoltare, ovviamente.

Il modo in cui operiamo è importante per noi tanto quanto ciò che facciamo. Le affermazioni che pubblichiamo sono riconducibili a fonti verificabili, i risultati sono distinti dalle deduzioni e le rettifiche vengono pubblicate quando i fatti lo richiedono. Abbiamo costruito l’infrastruttura di governance – politica sui conflitti di interesse, etica dei finanziamenti, protezione dei dati fin dalla progettazione – sin dal primo giorno, anziché adattarla in un secondo momento, e mettiamo in pratica ciò che sosteniamo, fino ad arrivare a un sito web privo di «dark patterns», senza cookie – nemmeno quelli funzionali – e senza pubblicità o script di profilazione di alcun tipo. Le uniche analisi che conduciamo sono prive di cookie e aggregate.

Domanda: Cosa ha dato origine a COMPASS? C’è stato un evento specifico?

Logo COMPASS. Immagine: COMPASS

Steiner: Più che un singolo evento, è stato un modello che continuava a ripetersi senza sosta. L’esempio più significativo è uno che ogni europeo conosce bene: il consenso ai cookie. Una legge pensata per proteggere la privacy che, a causa di un’attuazione inadeguata, ha portato centinaia di milioni di persone a cliccare su “Accetta tutto”, ottenendo l’esatto contrario di quanto previsto. Nessuno monitorava quella lacuna come parte del proprio lavoro effettivo. Le università erano troppo grandi per essere abbastanza veloci, alle autorità di regolamentazione mancava la profondità operativa, le società di conformità commerciali servono i clienti paganti e gli attivisti vengono spesso troppo facilmente liquidati come avversari dalle istituzioni che devono cambiare. Potrebbe non essere una verità piacevole, ma purtroppo è la realtà.

Quando abbiamo osservato l’AI Act arrivare in quello stesso vuoto, su una scala che fa sembrare il GDPR gestibile, la conclusione era inevitabile.

Abbiamo fondato COMPASS per convinzione personale – per amore sia della tecnologia che dell’Europa – perché l’alternativa era vedere ripetersi la vicenda dei banner sui cookie con una posta in gioco molto più alta. E tutto questo è avvenuto prima del Digital Omnibus: di certo non ce lo aspettavamo.”

Domanda: Quali leggi o regolamenti dell’UE sta monitorando con maggiore attenzione al momento? E c’è una tendenza o una questione emergente che vorrebbe mettere in evidenza?

Steiner: Con particolare attenzione l’AI Act dell’UE e l’impatto che l’Omnibus digitale sta avendo su di esso, il GDPR così come viene applicato nella pratica piuttosto che come è scritto, il DSA e il «Chat Control» come minaccia legislativa concreta alla crittografia. Un aspetto su cui lei è stato molto diretto – e che ci ha davvero resi orgogliosi di averla scelta.

La questione generale che vorrei sottolineare è che il divario di attuazione che siamo stati chiamati a monitorare si sta ora ampliando di proposito. L’accordo sull’Omnibus digitale di maggio scorso rinvia gli obblighi relativi ai rischi elevati previsti dalla legge sull’IA – le norme che disciplinano l’IA nelle assunzioni, nell’istruzione e nei servizi essenziali – dal 2 agosto 2026 al 2 dicembre 2027. L’UE ha già stabilito che questi sistemi sono ad alto rischio; ora ha anche deciso che possono aspettare sedici mesi. Beh… «deciso»… dopo un processo preparatorio in cui, dei 138 invitati alle cinque riunioni chiave «Reality Check» della Commissione, 114 rappresentavano il mondo delle imprese e nove la società civile – come documentato dal Corporate Europe Observatory nel novembre 2025.

Il lobbismo è e rimane una sfida enorme per l’UE. Abbiamo analizzato in dettaglio il voto sull’Omnibus del Parlamento, e i numeri relativi alle astensioni parlano da soli. Potete trovare la fonte dei dati del Reality Check qui.

La mappa del deficit strutturale mostra quali normative digitali dell’UE sono monitorate da COMPASS. Screenshot: COMPASS

Tre tendenze all’interno di questo quadro ci preoccupano maggiormente. In primo luogo, il «controllo delle chat» – la normalizzazione dell’idea che la crittografia sia negoziabile, cosa che i vostri lettori conoscono meglio di chiunque altro.

In secondo luogo, ciò che i ricercatori definiscono «monocolture algoritmiche» nelle assunzioni: un argomento su cui ci siamo concentrati con una certa ossessione e che è stato appena menzionato persino su LinkedIn, proprio dove ci si aspetterebbe di trovarne più discussione. Quando molti datori di lavoro utilizzano gli stessi modelli di selezione basati sull’IA, lo stesso candidato viene scartato ovunque in base allo stesso giudizio statistico: una modalità di fallimento che gli obblighi relativi agli alti rischi previsti dall’AI Act erano stati concepiti per affrontare – originariamente tra due settimane. Fino a dicembre 2027 le uniche misure di salvaguardia sono norme che non sono mai state progettate per quel problema, e il pacchetto Omnibus non offre alcuna soluzione provvisoria su come gli europei debbano essere protetti nel frattempo.

E in terzo luogo, un aspetto culturale, se non addirittura di cultura popolare: la condivisione prolifica, quasi simile allo spam, sui social di strumenti e flussi di lavoro basati sul “vibe-coding”, senza alcuna valutazione critica dei rischi per la privacy o la sicurezza. Ci sono influencer che raccomandano strumenti senza alcun senso di responsabilità nel caso in cui qualcuno subisca effetti negativi seguendo i loro consigli. Gli strumenti non sono il problema; lo sono invece la mancanza di pensiero critico e l’adozione cieca senza alcuna valutazione: credenziali incollate nei prompt, codice generato distribuito senza revisione, un approccio alla sicurezza ereditato da un tutorial. Non è affatto difficile copiare e incollare una politica sulla privacy in qualsiasi LLM e verificare se ci sono rischi: il problema è che non c’è consapevolezza della necessità di farlo.

Domanda: Cosa è importante per lei quando si tratta di comunicazione via e-mail?

Signor Steiner: Ci sono molti aspetti critici che si possono prendere in considerazione nella scelta di un provider di posta elettronica, specialmente per la propria organizzazione. Possiamo solo condividere ciò che abbiamo ritenuto più cruciale per la comunicazione via e-mail: che sia sicura e riservata, che i tracker, gli indirizzi e-mail sospetti o i link vengano rimossi o evidenziati come rischio, che l’interfaccia utente sia facile da usare e che sia di provenienza europea.

Non potremmo essere più soddisfatti della nostra scelta di Tuta. E lo diciamo sulla base della nostra esperienza nella gestione dei prodotti e di un intenso utilizzo quotidiano della posta elettronica che dura da vent’anni. La sfida principale che volevamo risolvere era quella di utilizzare un’unica soluzione semplice, intuitiva e sicura per tutti i nostri indirizzi e-mail: una soluzione europea con una reputazione impeccabile in materia di sicurezza e protezione dei dati.”

Domanda: Perché avete scelto Tuta Mail invece di un altro provider di posta elettronica?

Signor Steiner: Quando selezioniamo i fornitori – e lo stesso vale per l’hosting e altri servizi – scegliamo quelli che condividono davvero i nostri valori. Abbiamo fondato COMPASS per convinzione personale, per amore sia della tecnologia che dell’Europa, e apprezziamo i fornitori che credono davvero in ciò che fanno.

Domanda: Cosa le piace di più di Tuta Mail e perché è importante?

Signor Steiner: Da persona che si occupa di prodotti, chiedermi di scegliere una sola funzionalità preferita è come chiedermi di scegliere il mio gusto preferito di gelato: stanno così bene insieme che me ne concedo tre. :) La mia preferita è l’opzione di limitare la condivisione di comunicazioni sensibili tramite una password. È così semplice, così elegantemente realizzata e una funzionalità davvero utile quando si condivide qualcosa e si vuole assicurarsi di avere quel livello aggiuntivo di sicurezza e privacy. Al secondo posto, a pochissima distanza, c’è l’avviso che compare quando arriva un messaggio da un indirizzo e-mail che non è stato possibile verificare. Basta un piccolo calo di concentrazione alla fine di una giornata particolarmente intensa dal punto di vista delle e-mail, o un tentativo di frode subdolo e ingegnoso, e in una frazione di secondo si può commettere un errore, indipendentemente da quanti corsi di formazione sulla sicurezza informatica si siano seguiti: quella semplice funzionalità è davvero preziosa. E, infine, la tranquillità di sapere che le nostre comunicazioni appartengono solo a noi: che nessun marketing viene personalizzato sulla base di esse, che nessun modello viene addestrato su di esse. È triste che questo sia così unico e importante nel 2026, ma è così, e ne siamo grati ogni giorno.

Domanda: Perché per te è importante che Tuta Mail crittografi Ende-zu-Ende tutti i dati possibili?

Signor Steiner: Con Meta che a maggio ha rimosso la crittografia Ende-zu-Ende dai messaggi diretti di Instagram e con Chat Control che minaccia di compromettere una funzionalità che fino a poco tempo fa era semplicemente considerata lo standard di un servizio di alta qualità, è essenziale che fornitori come Tuta mantengano le pratiche e i valori che non avremmo mai pensato di vedere messi in discussione proprio dalle istituzioni a cui affidavamo la tutela della nostra privacy. La motivazione addotta da Meta, tra l’altro, era che pochissime persone sceglievano di attivarla – il che, a mio avviso, è un argomento a favore di impostazioni predefinite migliori, non della sua rimozione.

Ora più che mai, la crittografia Ende-zu-Ende è essenziale per la democrazia, la libertà di espressione, la partecipazione civica e la possibilità di comunicare liberamente.”

Come molti, Andrea ed io eravamo soliti osservare ciò che accadeva in altre parti del mondo e sentirci fortunati di essere europei. Vedere le istituzioni dell’UE allontanarsi ora da quello standard – e arrivare quasi a creare un mercato legale per la scansione delle comunicazioni private degli europei – è scoraggiante.

Domanda: Spesso si ritiene che Tuta Mail offra ai clienti un vantaggio in termini di reputazione grazie alla crittografia. È così anche nel suo Paese? In che modo questo avvantaggia COMPASS?

Signor Steiner: Poiché Tuta opera tramite il nostro dominio, i volontari, le organizzazioni e i politici con cui comunichiamo non sanno realmente quali fornitori utilizziamo – in effetti, questa intervista rappresenta la nostra scelta di renderlo pubblico, di proposito. A parte, ovviamente, quell’unico commento in cui mi sono lasciato andare all’orgoglio su LinkedIn, vedendovi lottare per preservare la crittografia Ende-zu-Ende (E2EE). Direi che funziona al contrario: è un’aspettativa che l’altra parte nutre nei nostri confronti, a causa delle nostre politiche pubbliche e della nostra posizione sulla privacy e sulla protezione dei dati – e con Tuta, la nostra infrastruttura è all’altezza di tale aspettativa. Una cosa a cui prestiamo particolare attenzione come ONG è rimanere completamente indipendenti da ogni fornitore e partner, indipendentemente da qualsiasi rapporto che potremmo avere. Questo ci permette sia di assicurarci che tu rispetti costantemente i tuoi standard, sia di mantenere la nostra libertà di giudizio qualora dovessimo mai notare qualcosa di sospetto riguardo a un fornitore o a un partner.

Domanda: Cosa diresti a un’altra organizzazione che sta valutando di passare a Tuta?

Signor Steiner: È incredibilmente semplice e un piacere da usare. Penso che la maggior parte delle organizzazioni tema l’idea di cambiare fornitore, aspettandosi che sia un processo complesso, lungo o incredibilmente noioso: posso testimoniare che non è affatto così. Abbiamo trasferito i nostri dodici indirizzi e-mail senza intoppi e la curva di apprendimento è minima, poiché l’interfaccia utente è piuttosto intuitiva. Naturalmente, come per qualsiasi nuovo servizio, ci vogliono un giorno o due per acquisire dimestichezza, ma l’interfaccia utente rende davvero tutto semplice.

Partecipa anche tu!

Di seguito Robert ha condiviso tre modi in cui potete partecipare a COMPASS, in ordine crescente di impegno.

• Leggi e condividi i nostri lavori: sono pubblici, gratuiti e scritti in modo da essere comprensibili.

• Fai volontariato con noi: gestiamo un programma di volontariato in continua espansione a livello europeo con ruoli concreti (ricerca sulle politiche, redazione, dati, progettazione, sovvenzioni) e un vero e proprio portale, non una casella di posta in cui i CV finiscono nel dimenticatoio.

• Sostienici: COMPASS è nella fase di avvio, indipendente per scelta e autofinanziato per necessità, e ogni contributo va a sostenere direttamente il lavoro di monitoraggio e formazione.