Open source: illusione o pilastro della sovranità digitale europea?

A lungo, l’open source ha occupato nel discorso europeo una posizione ambigua: celebrato nelle dichiarazioni, marginale nei bilanci. Il pacchetto sovranità del 3 giugno 2026 ne cambia almeno lo status: la strategia open source dell’Unione vi figura come uno dei quattro pilastri, allo stesso livello dei semiconduttori, del cloud e dell’IA. La logica è solida: i beni comuni digitali offrono una trasparenza completa sullo stack tecnologico, riducono il lock-in proprietario e permettono di mettere in comune lo sforzo di innovazione. Di fronte a piattaforme chiuse soggette a diritti terzi, il codice aperto è l’unica dipendenza che si può verificare, forkare e ospitare autonomamente. Una volta ottenuti i sorgenti o i pesi, nessuna decisione straniera può ritirarli.

Ciò che luglio ha mostrato: l’apertura come forza…

L’incidente di luglio, paradossalmente, ha perorato l’apertura tanto quanto l’ha messa in discussione. È grazie a modelli a pesi aperti che i team della vittima hanno potuto decifrare i payload dell’attaccante e ricostruire la cronologia — una capacità forense che nessuna API chiusa, soggetta a quote e a condizioni d’uso, avrebbe garantito nel momento peggiore. Ed è la cultura della divulgazione propria dell’ecosistema aperto ad aver prodotto, in poche settimane, il post-mortem tecnico più dettagliato mai pubblicato su un incidente di questo tipo: cronologia con marca temporale, azioni ricostruite, metodi documentati. L’intera comunità ha imparato dall’attacco. Un attore chiuso avrebbe pubblicato quattro paragrafi.

… e come superficie d’attacco

Ma l’onestà obbliga a guardare l’altra faccia. Una piattaforma aperta, concepita per accelerare i contributi esterni, espone strutturalmente più superficie di un giardino chiuso: repository pubblici, pipeline di valutazione, componenti terzi — ed è proprio un componente d’infrastruttura terzo, esposto e vulnerabile, ad aver fatto da porta d’ingresso. L’incidente è diventato un elemento centrale del dibattito sulla politica dell’IA open source: i sostenitori del controllo vi vedono la prova che la diffusione di capacità potenti debba essere limitata; i sostenitori dell’apertura, la prova che la difesa collettiva funziona solo grazie alla trasparenza. I due schieramenti hanno ragione su un punto: l’apertura senza investimento in sicurezza è una promessa non finanziata.

La condizione europea: finanziare i beni comuni

È qui che si giocherà la strategia europea. L’open source diventa un pilastro di sovranità solo a tre condizioni. Uno: finanziare la manutenzione e la sicurezza dei componenti critici — non soltanto l’innovazione, ma l’idraulica. I guasti provengono quasi sempre da mattoni oscuri mantenuti da tre volontari. Due: costruire una capacità europea di audit e di risposta sui beni comuni (revisione del codice, SBOM sistematici, CVE trattate alla velocità richiesta dal Cyber Resilience Act). Tre: che gli acquirenti pubblici si assumano una preferenza per le soluzioni aperte quando esistono, trasformando il discorso in un portafoglio ordini.

La risposta alla domanda del titolo è dunque condizionale. Pilastro, sì — se l’Europa lo tratta come un’infrastruttura che si mantiene. Illusione, certamente — se continua a trattarlo come una risorsa gratuita da consumare.