UE contro Google: la battaglia del DMA su Android, IA e sicurezza degli utenti

La Commissione Europea sta portando avanti due procedimenti paralleli contro Google ai sensi del Digital Markets Act (DMA) — uno sull'interoperabilità di Android e uno sulla condivisione dei dati di ricerca online — che hanno scatenato una forte opposizione da parte di Google e di esperti di sicurezza esterni, preoccupati per i rischi legati alla cybersecurity, alla privacy dei dati e all'integrità della piattaforma.

Cosa propone la Commissione

Interoperabilità di Android (Articolo 6(7))

La Commissione ha avviato un procedimento il 27 gennaio 2026 per definire le misure tecniche che Google deve implementare affinché terze parti possano ottenere "un'interoperabilità effettiva con, e l'accesso a fini di interoperabilità a, le stesse funzionalità hardware e software" utilizzate dai servizi di Google . Il 27 aprile 2026, la Commissione ha emesso constatazioni preliminari che mirano specificamente alle funzionalità rilevanti per i servizi di IA di terze parti — imponendo a Google di concedere agli assistenti AI rivali lo stesso accesso alle funzionalità chiave di Android di cui gode Gemini, tra cui l'attivazione vocale, l'integrazione a livello di sistema con la ricerca e la capacità di interagire con altri software Android . Le constatazioni preliminari sono state aperte a una consultazione pubblica, chiedendo feedback su "efficacia, completezza, sforzo di integrazione e tempistiche di implementazione" .

Il DMA già richiede che qualsiasi misura di integrità o sicurezza imposta da Google all'accesso di terze parti sia "strettamente necessaria e proporzionata" — il che significa che Google non può bloccare l'interoperabilità per motivi di sicurezza senza dimostrare che ogni restrizione è mirata e limitata .

Condivisione dei dati di ricerca (Articolo 5(10))

Un secondo procedimento, avviato anch'esso il 27 gennaio 2026, riguarda l'obbligo di Google di fornire a motori di ricerca terzi e sviluppatori di IA l'accesso ai suoi dati di ricerca online — compresi quelli relativi al modello Gemini — a condizioni "eque, ragionevoli e non discriminatorie" (FRAND) . Reuters ha riportato che le linee guida della Commissione coprono come i rivali possono accedere ai dati di ranking, ai dati di click e query e ai servizi legati all'IA .

Preoccupazioni per la cybersecurity e la privacy sollevate da Google e da esperti esterni

La posizione di Google

Google ha sostenuto che "Android è intrinsecamente aperto" e che "condivide già i dati di ricerca con i rivali in conformità con il DMA", ma ha avvertito di essere "preoccupata che un approccio prescrittivo possa danneggiare la sicurezza e la privacy degli utenti" . In un post sul blog del settembre 2025, Google ha dichiarato che il DMA "sta rendendo difficile proteggere gli utenti da truffe e link dannosi su Android, costringendoci a rimuovere le nostre legittime salvaguardie a tutela della sicurezza", citando il rischio che gli obblighi di interoperabilità costringano Android a indebolire le protezioni contro il malware sideloading e il phishing . Google si è anche lamentata del fatto che i "gatekeeper" sotto indagine non ricevono accesso completo al fascicolo della Commissione, una pratica che definisce "incompatibile con i diritti di difesa" sanciti dal diritto UE .

Preoccupazioni di esperti e think tank esterni

• ECIPE ha messo in guardia in un policy brief che l'Articolo 5(4) del DMA potrebbe "costringere i fornitori di sistemi operativi mobili a consentire link esterni non regolamentati, bypassando i controlli di sicurezza critici ed esponendo milioni di utenti di smartphone a minacce informatiche" e che il "sistema open source ampiamente utilizzato di Android potrebbe essere compromesso dall'applicazione del DMA, limitandone potenzialmente flessibilità, sicurezza e innovazione" .
• Il Center for Cybersecurity Policy and Law ha pubblicato un documento in cui avverte che la spinta del DMA all'interoperabilità "potrebbe indebolire" i controlli di sicurezza delle piattaforme mobili, poiché le funzionalità principali vengono aperte a sviluppatori esterni che potrebbero non seguire gli stessi standard di sicurezza .
• La Information Technology and Innovation Foundation (ITIF) ha presentato osservazioni in cui sostiene che le misure di interoperabilità proposte dalla Commissione sono troppo ampie e potrebbero "minare la sicurezza dell'ecosistema Android" se ai servizi di IA di terze parti viene concesso l'accesso a livello di sistema senza obblighi di sicurezza corrispondenti .
• Un articolo scientifico su arXiv (febbraio 2025) ha osservato che "le iniziative di interoperabilità hanno generato notevoli controversie per il loro potenziale di introdurre nuove vulnerabilità di sicurezza, indebolire le difese della piattaforma e aumentare la superficie d'attacco a disposizione degli attori malintenzionati" .
• I TTLF Working Papers della Stanford Law School hanno osservato che le decisioni sul DMA "potrebbero influenzare in modo significativo la progettazione e i modelli di business delle piattaforme, con effetti che si estendono ben oltre i confini geografici dell'UE", approfondendo il divario normativo transatlantico su sicurezza e concorrenza .

Contesto più ampio: obiettivi di concorrenza dell'UE vs. considerazioni di sicurezza

La tensione centrale del DMA

Il DMA è stato progettato per aumentare "la contendibilità del mercato nei mercati digitali" e "creare più spazio per l'innovazione e più scelta per i consumatori" . Le sue disposizioni in materia di interoperabilità e condivisione dei dati sono viste come essenziali per rompere il "lock-in" delle piattaforme, specialmente nel nascente mercato dell'IA. La revisione biennale della Commissione (giugno 2026) ha concluso che il DMA "rimane adatto allo scopo e non necessita di revisioni" , a testimonianza dell'intenzione dell'UE di proseguire nonostante gli avvertimenti del settore.

Uno scontro normativo in escalation

I procedimenti contro Google fanno seguito a misure simili adottate contro Apple nel 2025 per l'interoperabilità di iOS con dispositivi connessi come gli smartwatch . Ciò dimostra una spinta normativa sistematica su entrambi i principali ecosistemi mobili. Lo scontro è più acceso proprio sull'IA: la Commissione sta di fatto cercando di impedire a Google di usare Android come fossato competitivo per Gemini, proprio mentre il mercato dell'IA generativa prende forma. TNW lo ha descritto come la decisione che determinerà "se l'intelligenza artificiale diventerà il prossimo grande lock-in di piattaforma o il primo a essere spezzato prima che si consolidi" .

Conflitto con altri quadri normativi UE

ECIPE ha osservato che "l'applicazione del DMA sta ora generando tensioni con altri quadri normativi UE, in particolare nei settori della protezione dei dati, della cybersecurity, dei diritti di proprietà intellettuale e della tutela dei consumatori" . L'applicazione degli obblighi di interoperabilità "illustra queste tensioni in modo particolarmente chiaro" perché ciò che il DMA richiede per la concorrenza può entrare in diretto conflitto con ciò che il GDPR, la Direttiva NIS2 e il Cyber Resilience Act richiedono per la sicurezza. La Commissione riconosce questa tensione nei propri documenti: il DMA consente misure di integrità solo laddove siano "strettamente necessarie e proporzionate" , ma i critici sostengono che l'onere della prova ricada sul gatekeeper, creando un effetto dissuasivo sulla sicurezza proattiva.

In sintesi: L'UE sta spingendo Google ad aprire le funzionalità principali di Android e i dati di ricerca ai concorrenti, in particolare ai rivali nel campo dell'IA, mentre Google e numerosi esperti di sicurezza avvertono che l'interoperabilità imposta indebolirà le protezioni antimalware, aumenterà le superfici d'attacco e creerà conflitti con altre leggi UE sulla cybersecurity.