La revisione del regolamento eIDAS del 2024 ha introdotto una nuova categoria di prove: i registri elettronici qualificati. Le norme di attuazione, pubblicate nel dicembre 2025, definiscono i requisiti che questi sistemi devono soddisfare (Regolamento 2024/1183, Regolamento di esecuzione 2025/2531). Una registrazione inserita in un registro certificato gode ora di una presunzione legale di integrità e ordine cronologico in tutti i 27 Stati membri.
In qualsiasi tribunale dell'UE, anche in una controversia tra società di diversi Stati membri, tale presunzione sposta l'onere della prova su chi contesta la registrazione. È quindi lecito chiedersi quale innovazione tecnologica l'abbia resa possibile.
Non ce n'è una.
Il framework non richiede decentralizzazione, tolleranza ai guasti tra parti indipendenti o verifica aperta. Si adatta perfettamente a un sistema chiuso gestito da un'unica azienda. Al di là del vocabolario normativo, i controlli richiesti si riducono a firme digitali, catene di hash e una chiave di firma protetta: gli stessi strumenti che gli ingegneri utilizzano da decenni nei normali database.
L'UE non ha innalzato il livello tecnico. Ha semplicemente convalidato quello esistente, apponendovi un privilegio legale. Per i titolari della proprietà intellettuale e gli avvocati che li difendono, scambiare tale convalida per una prova più solida è un errore costoso. Si baratta una prova verificabile da chiunque con un'etichetta che funziona solo dove viene riconosciuta e solo se il fornitore è ancora in grado di garantirla.
Un registro solo di nome
"Registro elettronico qualificato" suona come un'infrastruttura distribuita e a prova di manomissione. L'allegato al Regolamento di esecuzione 2025/2531 descrive qualcosa di molto più chiaro:
firme elettroniche avanzate o sigilli basati su certificati qualificati, per dimostrare la provenienza dei dati;
liste hash o alberi hash (SHA-256 o superiori) per fissare l'ordine dei record;
controlli di integrità basati sulla firma, in modo che qualsiasi modifica successiva sia rilevabile;
hardware certificato (Common Criteria EAL 4 o FIPS 140-3 Livello 3) per contenere le chiavi di firma.
Nessuno degli elementi di questo elenco richiede necessariamente una blockchain. I registri distribuiti sono consentiti, con alcuni requisiti ISO aggiuntivi, ma sono un'opzione, non una condizione. Una tabella PostgreSQL di sola aggiunta con voci firmate, una radice Merkle e un modulo di sicurezza hardware (HSM, il dispositivo antimanomissione utilizzato dalle banche per proteggere le proprie chiavi di firma) soddisfa gli stessi requisiti funzionali.
Registro qualificato certificato
Sistema equivalente, non certificato
Tecnologia
Database + PKI + catena di hash
Database + PKI + catena di hash (o più robusta)
Valore legale nell'UE
Presunzione legale (eIDAS Art. 45k)
Deve dimostrare la sua integrità da zero
I fornitori di registri contabili obietteranno che i loro sistemi sono distribuiti, indicando il numero di nodi che gestiscono. Ma dieci server sotto il controllo di un'unica azienda costituiscono pur sempre un'unica azienda. Chiunque detenga le chiavi radice, i contratti di hosting e la console di amministrazione può fallire, subire pressioni o commettere un errore, e tutti e dieci i nodi si arrestano con lui.
Il risultato è una gerarchia legale che ignora l'ingegneria. Un database sottoposto ad audit e etichettato come "qualificato" gode della presunzione; un sistema identico o migliore senza l'etichetta parte da zero. La legge si fida maggiormente della documentazione fornita dal fornitore rispetto alla validità matematica delle prove.
Un audit non è una garanzia
I difensori fanno riferimento al regime di vigilanza. I fornitori di servizi fiduciari qualificati sono sottoposti ad audit almeno ogni due anni e devono disporre di un piano di cessazione dell'attività che preservi l'accesso ai documenti in caso di chiusura (Regolamento di esecuzione 2025/2530, articolo 3).
Un piano di cessazione dell'attività è un'intenzione, non una prova. Funziona solo se, al momento del fallimento del fornitore, sono ancora disponibili fondi, un successore disposto a subentrare e personale che segua il piano. L'insolvenza, le vendite forzate e le ristrutturazioni sono proprio i momenti in cui nulla di tutto ciò è certo.
Un rapporto di audit attesta che il fornitore ha superato una checklist il giorno dell'audit. Non può ripristinare un archivio andato offline o ricostruire la catena di custodia a metà di un processo. Citare in giudizio un ente fiduciario fallito non salverà una pretesa persa di prova.
Le prove devono sopravvivere al fornitore
La proprietà intellettuale può rimanere preziosa e oggetto di controversie per decenni. Si pensi a un'azienda che mantiene segreto un processo anziché brevettarlo. Se in seguito un concorrente brevetta la stessa idea, l'azienda può continuare a utilizzare il suo processo solo dimostrando di esserci arrivata prima, e tale prova deve essere valida per tutto il tempo in cui il brevetto del rivale può essere fatto valere: fino a vent'anni.
Le aziende di software raramente durano così a lungo. I prodotti vengono ritirati dal mercato, le API deprecate, le startup acquisite o liquidate. Nel frattempo, le controversie che contano (un ex fornitore che riutilizza i vostri disegni, un nuovo brevetto che copre un processo che avete utilizzato per anni) spesso emergono dieci o quindici anni dopo la creazione dell'opera.
A quel punto, è necessario dimostrare che l'opera esisteva, che non è cambiata e che era vostra. Una registrazione contabile non può essere sufficiente da sola se la sua verifica richiede l'accesso all'API proprietaria del fornitore, una licenza per un software non più supportato o un archivio di deposito a garanzia che nessuno ha aperto da un decennio. Quando il fornitore cessa di esistere, con esso scompaiono anche le prove.
Ogni avvocato specializzato in proprietà intellettuale dovrebbe quindi applicare un test:
Se il fornitore del registro contabile scomparisse domani, un esperto indipendente sarebbe in grado di esportare le prove grezze e verificarle in tribunale utilizzando solo strumenti open source e standard pubblici?
Se la risposta è no, le prove non sono di vostra proprietà. Sono in affitto.
La presunzione si ferma al confine
La proprietà intellettuale è internazionale. Un'invenzione sviluppata a Monaco di Baviera viene brevettata negli Stati Uniti, prodotta a Shenzhen e concessa in licenza a Tokyo. I contraffattori non scelgono la giurisdizione in base alle esigenze di Bruxelles.
La presunzione di cui all'articolo 45k vincola i tribunali dell'UE. Un giudice federale statunitense, un collegio arbitrale di Singapore o l'Alta Corte di Londra non sono tenuti a fornire prove. Al di fuori dell'UE:
l'ammissibilità segue le procedure locali e le norme in materia di prove peritali, come ad esempio le contestazioni Daubert negli Stati Uniti, in cui la controparte chiede al giudice di escludere la testimonianza di un esperto il cui metodo non può essere verificato in modo indipendente;
un certificato UE non sostituisce una descrizione tecnica di come il documento è stato prodotto e verificato;
un esperto che deve ammettere che la verifica dipende da un codice sorgente chiuso e non divulgato del fornitore rischia l'esclusione, o al massimo una forte riduzione del valore probatorio.
Si consideri, ad esempio, uno standard aperto come RFC 3161 per quanto riguarda i timestamp. Il formato e la procedura di verifica sono pubblici e qualsiasi esperto competente, ovunque si trovi, può verificare un token con strumenti gratuiti, senza licenza e senza l'aiuto dell'emittente. Le prove create in questo modo sono valide ovunque. Le prove che si basano su un certificato UE hanno un peso rilevante nei tribunali dell'UE, ma ovunque altrove devono essere dimostrate da zero.
Usa il badge, non costruirci sopra
Nulla di tutto ciò rende inutili i registri qualificati. All'interno dell'UE, una presunzione legale rappresenta un reale vantaggio procedurale, a condizione che la registrazione rimanga verificabile per tutta la durata del bene e non dipenda dalla sopravvivenza del fornitore. Al di fuori dell'UE, aggiunge ben poco.
Pertanto, i titolari di proprietà intellettuale non devono scegliere tra il riconoscimento locale e la verificabilità globale. Dovrebbero combinare i due. Ancorare innanzitutto le prove a un'infrastruttura globale aperta che chiunque possa verificare senza chiedere autorizzazione, come i timestamp RFC 3161 o la blockchain di Bitcoin. Quindi, laddove sia probabile una controversia, aggiungere la prova riconosciuta dai tribunali locali: un registro qualificato nell'UE, un'autorità di timestamping accreditata in Cina, un timestamp accreditato dal governo in Giappone.
Quando decidete come la vostra azienda registra i propri asset principali:
Prima di tutto, ancoratevi a livello globale. Utilizzate standard aperti e infrastrutture pubbliche che qualsiasi esperto, in qualsiasi giurisdizione, possa verificare con strumenti gratuiti.
Aggiungete il riconoscimento locale laddove potreste essere coinvolti in controversie legali. Considerate le prove riconosciute a livello nazionale come un livello aggiuntivo, non come la base.
Conservate i dati e le prove. Una prova certifica solo un hash; senza il file originale esatto, non dimostra nulla. Conservate i dati certificati, byte per byte, insieme a pacchetti di prove completi (firme grezze, hash e catene di certificati), il tutto sotto la vostra custodia.
Verificate senza il fornitore. Assicuratevi che il vostro team possa verificare qualsiasi record storico con strumenti open source, disattivando la piattaforma del fornitore.
Una presunzione legale può farvi vincere la causa in una giurisdizione. Una prova verificabile da chiunque vi permette di sostenere la vostra tesi ovunque.
