A fine aprile 2026 il TAR del Lazio ha emesso un’ordinanza che costringe AGCOM a consegnare a Cloudflare le relazioni istruttorie sul funzionamento di Piracy Shield — documenti che l’autorità aveva tenuto rigorosamente segreti. Nello stesso periodo, un rapporto indipendente del Centre for European Policy Studies ha definito il site-blocking europeo «rotto», indicando l’Italia come caso emblematico di tutto ciò che può andare storto quando si affida a un sistema automatizzato il compito di decidere cosa può e cosa non può esistere su internet. Intanto AGCOM continua a sbandierare 101.000 siti «abbattuti» come fosse una medaglia al valore, ma quel numero racconta solo l’aggressività del sistema — non la sua precisione, non la sua efficacia, e certamente non i danni inflitti a servizi perfettamente legittimi usati da milioni di persone che non hanno mai piratato nulla in vita loro. Se la misura del successo è il numero di porte che hai sfondato, poco importa quante fossero le porte sbagliate.
Il Piracy Shield è nato nel febbraio 2024 con una missione apparentemente circoscritta: fermare lo streaming illegale delle partite di Serie A, il famigerato «pezzotto». Da allora si è trasformato in qualcosa di radicalmente diverso — un’infrastruttura di censura automatizzata capace di oscurare qualsiasi sito internet in trenta minuti, senza che un giudice abbia mai visto la segnalazione, senza che il proprietario del dominio possa difendersi in tempo utile, e senza che chi segnala per errore subisca alcuna conseguenza. Con il cosiddetto Piracy Shield 2.0, il perimetro si è allargato a film, serie TV e contenuti on-demand, e l’obbligo di blocco si estende ora ai resolver DNS pubblici e ai provider VPN, servizi che milioni di persone usano per proteggere la propria privacy, non per piratare partite di calcio. La domanda da porsi non è se Piracy Shield funziona. La domanda è: a chi serve davvero, e a spese di chi.
DNS avvelenato per legge: anatomia di Piracy Shield
Per capire Piracy Shield bisogna partire dal DNS, il Domain Name System — in termini brutali, la rubrica telefonica di internet. Quando digiti un indirizzo nel browser, il DNS traduce quel nome leggibile in un indirizzo IP numerico, il vero recapito del server che ospita il sito. Piracy Shield interviene esattamente a questo livello: qualcuno segnala un dominio o un indirizzo IP come pirata, AGCOM lo inserisce nella piattaforma, e tutti gli operatori italiani — ISP, fornitori DNS, provider VPN — hanno esattamente trenta minuti per bloccare quell’indirizzo, restituendo agli utenti un IP controllato dall’autorità al posto di quello reale. Il termine tecnico per questa operazione è DNS poisoning, avvelenamento deliberato delle risposte DNS — la stessa identica tecnica usata dal Great Firewall cinese e dai filtri iraniani per la censura di stato. La differenza, se vogliamo chiamarla così, è che in Italia lo fa un’autorità amministrativa per proteggere gli introiti delle pay-tv e del campionato di calcio. In quei trenta minuti non c’è verifica giudiziaria, non c’è contraddittorio, non c’è possibilità per il proprietario del sito di dimostrare che il blocco è un errore. AGCOM ordina, gli operatori eseguono — e se qualcosa va storto, se ne riparla dopo. Forse.
Chi decide cosa bloccare? Non un magistrato, non un’autorità tecnica indipendente, non un organismo sottoposto a controllo democratico. Decidono i titolari dei diritti: leghe calcistiche, broadcaster, major dell’intrattenimento — soggetti privati con un interesse economico diretto nel blocco. Sono loro a segnalare direttamente domini e indirizzi IP alla piattaforma AGCOM, che funge da intermediario automatizzato, non da filtro critico. Matthew Prince, CEO di Cloudflare, ha definito il sistema una «scatola nera» dove le segnalazioni entrano e i blocchi escono senza che nessuno possa verificarne la fondatezza in tempo reale. Il rapporto del Centre for European Policy Studies, pubblicato nel 2026 e finanziato da Nord Security ma condotto in piena autonomia dal think tank, fotografa il difetto strutturale con chirurgica chiarezza: i titolari dei diritti «non affrontano alcuna conseguenza finanziaria per gli errori», e questo crea un incentivo perverso a segnalare in eccesso piuttosto che in difetto. Detto senza mezzi termini: se sbagli e blocchi Google Drive per dodici ore, mandando in tilt il lavoro di decine di migliaia di persone, non ti succede niente. Se non segnali e qualcuno pirata la partita, perdi soldi. L’asimmetria è totale, e i risultati si vedono.
L’espansione del sistema è la parte che dovrebbe togliere il sonno a chiunque abbia a cuore un internet libero. Con le modifiche legislative approvate nell’ottobre 2024, Piracy Shield non si limita più ai provider internet tradizionali: ora coinvolge esplicitamente i resolver DNS pubblici — Cloudflare 1.1.1.1, Google 8.8.8.8, Quad9 9.9.9.9 — e i provider VPN. Parliamo di servizi utilizzati da centinaia di milioni di persone nel mondo, non per piratare contenuti, ma per proteggere la propria navigazione dalla sorveglianza del provider, aggirare censure in paesi autoritari, o semplicemente navigare più velocemente grazie a resolver più performanti di quelli del proprio ISP. L’obbligo è brutale nella sua semplicità: accreditarsi sulla piattaforma Piracy Shield e implementare i blocchi entro trenta minuti dalla segnalazione, pena sanzioni milionarie. Il Piracy Shield 2.0 ha ampliato anche la tipologia di contenuti protetti — non più solo eventi sportivi in diretta, l’alibi originale dell’urgenza legato alla partita che dura novanta minuti, ma anche film, serie TV, contenuti on-demand disponibili da mesi sulle piattaforme legali. Questa estensione demolisce l’unico argomento che dava una parvenza di logica alla finestra dei trenta minuti: se il contenuto è accessibile legalmente da sei mesi, l’urgenza non esiste, ma il meccanismo che trasforma segnalazioni private in censura statale non cambia di una virgola.
Da Google Drive a Cloudflare: cronaca dei danni collaterali
Il 19 ottobre 2024 è la data che Piracy Shield non potrà mai cancellare dalla propria cronologia. Alle 18:56, nel bel mezzo di Juventus-Lazio, il sistema ha bloccato il dominio drive.usercontent.google.com — l’indirizzo critico attraverso cui funziona Google Drive per tutti gli utenti italiani. Il risultato: dodici ore di blackout completo del servizio cloud più usato nelle scuole e nelle aziende del paese. Studenti che non potevano accedere ai documenti per gli esami del lunedì, imprese con i file di lavoro intrappolati nel cloud, professionisti tagliati fuori dai propri archivi durante scadenze lavorative — tutto per una segnalazione sbagliata durante una partita di calcio. Non un oscuro sito di streaming pirata: Google Drive, che non compariva nella misteriosa «whitelist» di AGCOM, una lista segretissima di siti teoricamente protetti dal blocco. L’esistenza stessa della whitelist è un’ammissione di colpa preventiva che grida più forte di qualsiasi critica: se devi compilare un elenco di siti da non bloccare per errore, sai già che il tuo sistema bloccherà siti per errore. Nello stesso incidente sono finiti nel tritacarne cache di YouTube e servizi di Google Workspace, moltiplicando i danni ben oltre il singolo dominio e dimostrando che il problema non era un incidente isolato ma un difetto strutturale nell’architettura stessa del sistema.
Google Drive è stato il caso più clamoroso, ma non certo l’unico. Uno studio dell’Università di Twente, pubblicato a settembre 2025, ha documentato sistematicamente che Piracy Shield aveva già colpito centinaia di siti legittimi, dimostrando al contempo che i pirati aggiravano i blocchi senza difficoltà sfruttando la vastità dello spazio di indirizzamento disponibile online. AGCOM ripete ossessivamente che il sistema ha «abbattuto» oltre 101.000 siti, contro i circa 9.000 chiusi nei decenni precedenti — ma spacciare la quantità per qualità è il trucco retorico più vecchio del mondo, e i numeri raccontano una storia assai diversa da quella trionfale: su 20.000 siti segnalati, solo circa 1.000 risultano effettivamente bloccati da Google. Il resto è burocrazia automatizzata che produce cifre impressionanti sulla carta e risultati trascurabili nella realtà. A gennaio 2026 AGCOM ha inflitto a Cloudflare una multa record da 14,2 milioni di euro perché il resolver DNS 1.1.1.1 si rifiutava di implementare i blocchi. L’azienda ha risposto definendo Piracy Shield «censura di internet» priva di garanzie adeguate e minacciando di rimuovere tutti i propri server dal territorio italiano — una prospettiva tutt’altro che teorica, visto che Cloudflare gestisce l’infrastruttura CDN che accelera la navigazione per una porzione significativa del web italiano, e il suo ritiro rallenterebbe internet per milioni di utenti che nemmeno sanno di usare i suoi servizi ogni giorno.
La battaglia legale si è intensificata nel 2026 e comincia a produrre risultati che AGCOM non si aspettava. A marzo Cloudflare ha presentato ricorso formale contro la sanzione, e a fine aprile il TAR del Lazio ha emesso un’ordinanza collegiale che accoglie parzialmente le richieste dell’azienda: AGCOM è stata obbligata a consegnare le relazioni istruttorie relative alle riunioni del Consiglio del 6 novembre e del 17 e 29 dicembre 2025 — i documenti interni che hanno portato alla decisione di multare Cloudflare. Un’autorità che pretende di bloccare siti in trenta minuti senza la minima trasparenza è stata costretta da un tribunale a scoprire le proprie carte, e il precedente potrebbe avere ripercussioni ben oltre il caso specifico. All’interno della stessa AGCOM le fratture sono visibili a occhio nudo: la commissaria Elisa Giomi ha espresso pubblicamente riserve sull’efficacia e sui rischi tecnici di Piracy Shield, arrivando a suggerire la sospensione del sistema. Ma la macchina continua a macinare, alimentata dalla lobby calcistica e dalla narrazione che trasforma ogni critica tecnica in una presunta difesa dei pirati — come se dire «questo sistema blocca Google Drive e non ferma nessun pirata» equivalesse a dire «viva lo streaming illegale».
Il disastro italiano ha compagnia in Europa, e il confronto è istruttivo. In Spagna, LaLiga ha ottenuto un ordine di blocco mirato a indirizzi IP di Cloudflare: quegli stessi indirizzi servivano 3.300 servizi legittimi, tutti finiti offline come effetto collaterale di una richiesta approvata senza verifiche adeguate. In Belgio, nell’aprile 2025, OpenDNS di Cisco ha abbandonato il paese piuttosto che sottostare a ordini di blocco considerati sproporzionati — una scelta drastica che il rapporto CEPS cita esplicitamente come esempio di come «l’esposizione a responsabilità sproporzionate può incentivare il ritiro dei fornitori di servizi». Facciamo un passo indietro e guardiamo il quadro generale: quando il tuo sistema anti-pirateria convince aziende tecnologiche a lasciare il tuo mercato, il problema non è la compliance delle aziende. Il problema è il sistema. Ma AGCOM e i legislatori italiani continuano a comportarsi come se l’unico difetto fosse la resistenza degli operatori, non l’architettura stessa di uno strumento che chiede a tutti di rompere internet per proteggere i diritti televisivi del campionato di calcio.
L’anomalia italiana in Europa e la banalità dell’aggiramento
Il confronto con il resto del continente è impietoso, e mette a nudo l’eccezionalismo italiano nella sua forma peggiore. La Germania ha stabilito per via giudiziaria che un resolver DNS «contribuisce alla connessione dei domini internet in modo puramente passivo, automatico e neutrale» e dunque non può essere obbligato a implementare blocchi — una posizione diametralmente opposta a quella italiana, che tratta i resolver come complici della pirateria. Il Regno Unito, spesso citato come il modello di site-blocking più funzionante d’Europa, opera esclusivamente attraverso ordini giudiziari con limiti temporali definiti, esige prove tecniche che il blocco proposto non danneggerà contenuti legittimi, e non ha mai registrato casi significativi di overblocking — la dimostrazione che combattere la pirateria senza devastare internet è possibile, quando esiste la volontà politica di farlo con criterio. La Francia ha imboccato una strada aggressiva più simile a quella italiana: a marzo 2026 un tribunale parigino ha ordinato blocchi DNS a Google, Cloudflare e Cisco, estendendo l’obbligo persino a VPN come ProtonVPN, CyberGhost e NordVPN. Ma la differenza cruciale resta: in Francia i blocchi passano per ordini giudiziari con scadenza — quelli emessi a marzo scadono a giugno 2026 — non attraverso una piattaforma automatizzata dove soggetti privati ottengono censura istantanea senza supervisione di un magistrato. L’Italia è l’unico paese europeo dove il percorso dalla segnalazione al blocco non attraversa mai un tribunale.
Piracy Shield è in rotta di collisione anche con il Digital Services Act europeo, che impone criteri stringenti di proporzionalità, trasparenza e garanzie procedurali per qualsiasi limitazione dell’accesso ai servizi digitali. Il DSA non è stato concepito per impedire la lotta alla pirateria, ma nemmeno per legittimare sistemi dove chi segnala non risponde degli errori, chi viene bloccato non dispone di strumenti di difesa tempestiva, e chi subisce danni collaterali non ha alcun meccanismo di compensazione. Il rapporto CEPS propone soluzioni che l’Italia ignora sistematicamente: i titolari dei diritti dovrebbero contribuire ai costi di implementazione, dovrebbero rispondere civilmente dei danni da overblocking, e i tribunali dovrebbero esigere la dimostrazione preventiva che il blocco non danneggerà servizi legittimi. Raccomanda inoltre di abbandonare completamente il blocco per indirizzo IP — definito «intrinsecamente sovra-inclusivo» perché un singolo IP può ospitare migliaia di domini diversi — in favore di meccanismi basati su DNS o URL, meno distruttivi per l’ecosistema. Proposte di buon senso elementare che nel contesto italiano suonano come fantascienza, perché il sistema è stato costruito apposta per evitare qualsiasi forma di responsabilità da parte di chi preme il pulsante del blocco.
Ed eccoci al paradosso che demolisce l’intero impianto dall’interno: aggirare Piracy Shield è tecnicamente banale, alla portata di chiunque sappia fare una ricerca su un motore di ricerca. Basta attivare il DNS over HTTPS — DoH — nel browser: Firefox e Chrome lo supportano nativamente, la configurazione richiede due clic nelle impostazioni e meno di un minuto del tuo tempo. Il DNS over TLS (DoT) offre lo stesso risultato a livello di sistema operativo. Una VPN con server fuori dall’Italia rende l’intero Piracy Shield completamente irrilevante, come se non esistesse — e no, usare una VPN non è illegale, è un tuo diritto. Non servono competenze da ingegnere informatico, non serve installare software esoterico, non serve capire i dettagli del protocollo DNS: basta seguire una guida di tre righe. I pirati professionisti — quelli che gestiscono le piattaforme di streaming illegale, l’obiettivo dichiarato di tutto questo apparato — cambiano dominio e indirizzo IP in pochi minuti, molto più velocemente dei trenta minuti che AGCOM impiega per bloccarli. Chi resta intrappolato nella rete dei blocchi sono gli utenti comuni: quelli che usano il DNS predefinito del proprio provider, quelli che non sanno cos’è un resolver, quelli che non hanno mai sentito nominare DoH nella loro vita. Piracy Shield, nella pratica quotidiana, è un sistema che punisce l’ignoranza tecnologica e lascia completamente indisturbati i professionisti della pirateria — l’esatto opposto del risultato dichiarato.
Ma concentrarsi sull’inefficacia tecnica, per quanto sacrosanto, significa perdere il quadro d’insieme — e il quadro è quello che conta davvero. Piracy Shield non è un sistema anti-pirateria che funziona male. È un’infrastruttura di censura che funziona esattamente come è stata progettata: centralizzata, opaca, veloce, sottratta al controllo democratico e alla supervisione giudiziaria. Oggi oscura siti di streaming pirata, insieme a Google Drive, servizi Cloudflare e centinaia di domini che non c’entravano nulla. L’architettura per oscurare qualsiasi altra cosa è già in piedi, il precedente tecnico e giuridico è stabilito, e basta allargare la definizione di «contenuto da proteggere» per trasformare uno strumento anti-pirateria in qualcosa di molto più inquietante. Non è allarmismo da paranoici: è l’analisi lucida di ciò che accade quando si costruisce un meccanismo di blocco automatizzato senza contrappesi, senza trasparenza, senza nessuno che risponda dei danni. Il TAR del Lazio ha aperto una breccia, Cloudflare sta combattendo nei tribunali una battaglia che riguarda la libertà di rete di tutti noi, e il rapporto CEPS ha documentato il fallimento con dati che non lasciano margini di interpretazione. Ma finché il Parlamento italiano continuerà a legiferare sotto dettatura delle lobby sportive, e finché AGCOM continuerà a funzionare come braccio esecutivo di interessi privati senza dover rendere conto a nessuno, l’unica difesa concreta resta quella individuale: capire come funziona il DNS, configurare il proprio resolver, e rifiutare l’idea che un’autorità amministrativa possa decidere al posto tuo cosa puoi e cosa non puoi vedere su internet.