Il disegno invisibile che dà forma al danno
Considerate il ruolo di un architetto nel mondo fisico. Un architetto non è responsabile di chi viene invitato in una casa, che è una decisione del proprietario. Né è responsabile di come un inquilino utilizza lo spazio. Ma l'architetto è responsabile della progettazione di una struttura che non crolli, che non intrappoli qualcuno in un incendio, che non permetta che si verifichi un danno a causa di un difetto nella sua forma fisica. I calcoli dei carichi devono essere accurati. Il tetto non deve perdere. Le pareti devono proteggere gli occupanti dai danni esterni. Questi sono obblighi strutturali. Non dipendono da chi utilizza l'edificio, ma sono essenziali per la sua capacità di funzionare in sicurezza.
In questa analogia, l'equivalente digitale dell'installazione di keycard o dell'assegnazione di permessi da parte del proprietario riflette ciò che definiamo in Accesso digitale negligenteTM[1] (NDA¹). Si tratta di controlli a livello di accesso, come login, verifica o protocolli di autenticazione. Determinano chi può entrare e a quali condizioni. Ma se l'edificio stesso non è strutturalmente solido, se le finestre non funzionano, se una stanza crolla in condizioni di utilizzo normale, se entrare in una certa parte dell'edificio espone a un pericolo evitabile, la colpa è dell'architetto, non dell'utente o della politica di accesso.
Questo è ciò che identifica la Negligent Digital Architecture (NDA²). Le piattaforme vengono costruite con sistemi che notoriamente falliscono. Se un ambiente digitale consente le truffe di phishing, permette lo spoofing telefonico e sopprime attivamente le attività legittime degli utenti senza possibilità di ricorso, non si tratta di semplici scelte di moderazione. Si tratta di difetti di progettazione che riflettono un rischio previsto. Proprio come le case automobilistiche sono ritenute responsabili per aver rilasciato consapevolmente veicoli con sistemi che si guastano in condizioni prevedibili, le piattaforme digitali devono essere tenute allo stesso standard. Il danno in questo caso non è speculativo. È il risultato di scelte architettoniche fatte con piena consapevolezza delle loro conseguenze.
Questa responsabilità ricade sulla gestione dell'edificio e, nei sistemi digitali, sulle aziende che progettano e distribuiscono le piattaforme che utilizziamo ogni giorno.
L'Internet moderno è sempre più governato non solo dai contenuti, ma anche dall'architettura. Ogni azione compiuta da un utente viene instradata attraverso sistemi progettati da società da mille miliardi di dollari, i cui prodotti definiscono l'esperienza di accesso, espressione e fiducia. Questi sistemi non sono neutrali. Sono strutturati, scalati e monetizzati in modo tale da ingannare abitualmente gli utenti, sopprimere la verità e invitare al danno.[2]. La teoria dell'architettura digitale negligente (NDA²) identifica queste decisioni strutturali come un vettore centrale del danno digitale.
A differenza degli atti visibili di moderazione o di applicazione delle politiche, NDA² funziona in silenzio. Non notifica, non spiega e non si impegna. Permette semplicemente che il danno si verifichi per omissione, ritardo, sviamento e poi attribuisce la colpa all'utente per essersi fidato del sistema che ha costruito.
Questa teoria si basa sul quadro fondamentale di NDA¹, che analizza come le piattaforme permettano ad attori non autorizzati di interfacciarsi con gli utenti sotto falso pretesto o autorità. Tale teoria mette al centro l'accesso come vettore di danno, concentrandosi sulla decisione di concedere o negare l'ingresso e su come la progettazione della piattaforma consenta l'impersonificazione, la manipolazione e l'accesso non autorizzato. Ha introdotto il concetto di stack digitale, un'infrastruttura stratificata in cui il danno viene creato e rafforzato dal momento dell'interazione.
NDA² è l'architettura della contraddizione: dove la struttura permette di nuocere, il silenzio impone il rispetto delle regole e le regole si applicano solo a chi le segue. Il danno non è astratto. È sistemico. È noto. Ed è prevenibile.
Non si tratta solo di contenuti o attori scorretti. Si tratta di un sistema che permette alle frodi note di persistere, mettendo a tacere le competenze.[3]. Quando ai truffatori viene permesso di falsificare l'identità di una piattaforma e di inviare messaggi di phishing senza alcuna restrizione, mentre la biografia di un esperto verificato viene silenziosamente soppressa per aver usato una terminologia accurata sugli abusi sessuali e la cattiva condotta, la piattaforma non fa solo cilecca. Codifica l'obiettivo sbagliato. Istituzionalizza la risposta sbagliata. E rende operativo il danno con il pretesto della protezione.
Quadro teorico: NDA² rispetto a NDA¹ e Incontri Negligenti
NDA² si basa sulle fondamenta gettate da NDA¹, che si allinea alle assunzioni per negligenza. NDA¹ si concentra su chi è autorizzato a entrare nel sistema, evidenziando le carenze nel punto di ingresso, come l'accesso agli utenti da parte di soggetti non verificati o malintenzionati a causa di screening o credenziali inadeguati.
La NDA², invece, si concentra su ciò che il sistema consente una volta che l'accesso è avvenuto. Si tratta di una linea diretta con la progettazione di un prodotto difettoso: il sistema funziona, il punto di accesso è stato concesso, ma ciò che avviene all'interno della piattaforma è governato da un'architettura che consente prevedibilmente un danno.
Questa teoria si distingue anche dagli Incontri negligenti, che sono paralleli alla supervisione negligente. L'Incontro Negligente si rivolge a piattaforme che non hanno alcuna struttura di progettazione, nessun protocollo di sicurezza, nessuna struttura di controllo, nessun modello di responsabilità. L'assenza di architettura è l'architettura. Nella NDA², invece, la struttura è presente, ma è solo progettata per fallire in condizioni prevedibili o, peggio, per essere applicata selettivamente in modo da ingannare gli utenti e proteggere le piattaforme dalla responsabilità.
La strategia legale avanzata nel caso Herrick contro Grindr[4] fa eco a questa logica. Il querelante in quel caso non sosteneva che Grindr pubblicasse contenuti dannosi, ma che il design del prodotto Grindr permettesse l'impersonificazione, le molestie e lo stalking dopo più di 50 segnalazioni. Il danno non era generato dall'utente, ma era permesso dal sistema. Sebbene il caso sia stato archiviato in base alla Sezione 230, ha aperto la porta a una nuova argomentazione: l'architettura della piattaforma, non solo i contenuti, può essere fonte di responsabilità.
La NDA² formalizza e porta avanti questa argomentazione. Essa afferma che:
Questa evoluzione giuridica, come si è visto in Herrick contro GrindrIl documento illustra un cambiamento nell'inquadramento del danno, non come contenuto, ma come conseguenza della progettazione del prodotto. NDA² si basa su queste fondamenta, ma fa un ulteriore passo avanti: non si limita ad affermare che il danno è stato permesso di verificarsi. Sostiene che il danno è stato costruito.
In qualsiasi altro settore, questo sarebbe classificato come un cedimento strutturale.
Esistono standard internazionali di sicurezza per i prodotti fisici, come la norma ISO 26262.[5] nel settore automobilistico o ISO 9001[6] per la gestione della qualità. Questi sistemi esistono non perché il fallimento sia garantito, ma perché è prevedibile. Un'automobile deve superare un test di integrità strutturale prima di poter essere venduta. Un prodotto non deve entrare nel mercato se i suoi difetti noti possono mettere in pericolo l'utente. Il danno si previene a livello di progettazione, non si risponde solo a posteriori.
Ma nell'ambiente digitale non esistono standard di questo tipo. Le piattaforme possono essere distribuite su scala globale senza requisiti di sicurezza architettonica. Nessun ente di certificazione richiede la prova della solidità strutturale prima del lancio. Eppure, queste piattaforme influenzano il comportamento, l'identità, il sostentamento e la sicurezza, probabilmente con una portata maggiore di qualsiasi altro prodotto mai venduto.
Questa assenza di supervisione è ciò che NDA² mette in luce. Non si tratta semplicemente della presenza di un danno, ma della sua prevedibilità e della decisione della piattaforma di rilasciare comunque la struttura.
Proprio come il marchio CE[7] I sistemi digitali devono essere sottoposti a standard equivalenti di responsabilità architettonica. NDA² ci chiede di smettere di trattare le piattaforme come contenitori innocui e di iniziare a riconoscerle come ambienti progettati in cui il silenzio, la soppressione e lo spoofing non sono sfortunati effetti collaterali, ma risultati di una progettazione negligente.
Il danno architettonico in azione: Come il design codifica il rischio
I danni che questa teoria affronta non sono teorici. Si verificano quotidianamente nei sistemi che pretendono di proteggere gli utenti.
Quando un esperto verificato tenta di pubblicare una biografia professionale che include un linguaggio accurato sugli abusi sessuali e la cattiva condotta istituzionale, e questo contenuto viene silenziosamente soppresso senza preavviso, non si tratta di una violazione dei contenuti, ma del risultato di un sistema costruito per applicare in modo eccessivo e senza trasparenza. L'utente non ha fatto nulla di male. L'architettura ha scelto di oscurare piuttosto che notificare.
Quando lo stesso utente riceve un messaggio di phishing che si spaccia per il supporto della piattaforma proprio nella finestra in cui il suo contenuto è stato nascosto, la truffa diventa efficace non perché il messaggio è credibile, ma perché la piattaforma stessa ha creato confusione. L'imitatore si inserisce nel vuoto. Il sistema ha reso credibile la frode.
Quando un utente in crisi cerca il ripristino di un incendio, l'aiuto di un fabbro o l'assistenza di una compagnia aerea e gli vengono mostrati call center fraudolenti in cima ai risultati di ricerca, mentre le aziende legittime sono sepolte, non si tratta di una svista di contenuto. È un progetto monetizzato. Il sistema premia le entrate pubblicitarie e il posizionamento rispetto alla convalida e alla protezione del pubblico.
Questi danni non sono stati accidentali. Sono stati lasciati persistere per disegno.
La responsabilità e la fallacia di incolpare l'utente
La NDA² non è una teoria sui danni che si verificano solo nel momento dell'abuso. Si tratta di decisioni progettuali sistemiche che rendono inevitabile l'abuso molto prima che si verifichi un danno diretto. È qui che si discosta dai modelli di responsabilità delle piattaforme che si basano solo sui contenuti o sulle tempistiche di moderazione.
Nel contenzioso federale consolidato In re: Uber Technologies, Inc., Contenzioso per aggressione sessuale a passeggeri[8] (MDL No. 3084), oltre 1.600 querelanti sostengono che la piattaforma di Uber non ha implementato misure di sicurezza adeguate, come un'adeguata selezione dei conducenti e funzioni di emergenza all'interno dell'app, nonostante fosse a conoscenza dei rischi. Analogamente, in In re Lyft Inc contenzioso derivato[9]Gli azionisti hanno accusato la dirigenza di Lyft di aver trascurato la sicurezza dei passeggeri, portando a un accordo che prevedeva l'impegno a migliorare i protocolli di sicurezza e le riforme della governance. Queste omissioni evidenziano caratteristiche tipicamente associate al Negligent Dating™: l'assenza di quadri di sicurezza, strutture di controllo e protezioni per gli utenti.
NDA² porta avanti questo ragionamento. Chiarisce che quando la struttura di una piattaforma è costruita in modo tale da consentire sistematicamente questi fallimenti, pur controllando attivamente un discorso neutrale o protettivo, la progettazione stessa diventa fonte di responsabilità. Il problema non è semplicemente ciò che la piattaforma non riesce a rimuovere, ma ciò che è stato progettato per consentire, ignorare o incentivare.
Mentre queste carenze sottolineano l'incapacità di costruire per la sicurezza, NDA² identifica un danno distinto: non si tratta semplicemente dell'assenza di progettazione, ma della presenza di scelte progettuali che consentono abusi prevedibili. La negligenza non è solo nell'omissione, ma nell'architettura che permette sistematicamente il persistere di truffe ripetute, impersonificazioni, soppressioni e ricorsi ritardati o assenti. È la struttura stessa del sistema che diventa il meccanismo del danno.
La distinzione è semplice ma fondamentale: l'abuso non inizia nel punto di contatto. Inizia con le scelte progettuali che hanno reso possibile quel contatto e il silenzio del sistema intorno ad esso.
Se si costruisce un tetto che perde, si sa che quando piove l'acqua entra nella struttura. Si sa che danneggerà il soffitto, deformerà i pavimenti, favorirà la formazione di muffa e potenzialmente comprometterà l'integrità dell'intero edificio. Non si tratta di una sorpresa. È il risultato prevedibile di un difetto di progettazione. Eppure, nel contesto digitale, le piattaforme sostengono che la "pioggia stessa", cioè il predatore, l'abusatore, il truffatore, l'impersonificazione, il link di phishing, sia un onere da sostenere per l'utente, invece di riconoscere che il sistema è stato costruito con un tetto che perde.
Questa è la distinzione fondamentale di NDA². Quando lo stack tecnologico è costruito con vulnerabilità note, che si tratti di comunicazioni spoofabili, segnali di autorità non autenticati o sistemi di moderazione opachi, il danno che ne deriva non è accidentale. È stato progettato. Incolpare l'utente per essersi "bagnato" non è solo falso, ma anche negligente.
In nessun altro settore tollereremmo una struttura che si guasta in condizioni normali e prevedibili, giustificando poi il guasto come responsabilità dell'occupante. Ma nell'architettura digitale, le piattaforme sviano la responsabilità della propria logica progettuale indicando le condizioni atmosferiche, l'utente o l'aggressore, tutto fuorché la falla che hanno costruito e che non sono riusciti a riparare.
Il cammino verso il futuro: La responsabilità nell'era delle infrastrutture
Non permettiamo che gli edifici crollino e diamo la colpa alle persone che vi si trovano all'interno. Non permettiamo che veicoli con difetti noti ai freni rimangano in circolazione. Richiediamo che le auto con sistemi elettronici e software siano conformi a rigorosi protocolli di sicurezza, come l'ISO 26262, che impone la sicurezza funzionale negli ambienti automobilistici, assicurando che i difetti siano identificati e risolti molto prima che il veicolo raggiunga il conducente.
Non permettiamo che i giocattoli per bambini superino i test di sicurezza. Non tolleriamo che gli elettrodomestici prendano fuoco a causa di difetti di cablaggio noti. In ogni altro settore, la sicurezza dei prodotti è un prerequisito, non un ripensamento. Eppure, nei sistemi digitali, dove l'architettura governa l'identità, la comunicazione e la fiducia, non esistono protezioni equivalenti.
Avendo lavorato nel settore commerciale di un ente di certificazione globale che verifica la conformità agli standard ISO e CE in diversi settori, ho acquisito una chiara comprensione di come una revisione rigorosa e standardizzata del design protegga i consumatori, un modello di responsabilità oggi nettamente assente nell'architettura digitale.
Non esiste un equivalente ISO per la sicurezza delle interfacce. Non esiste un marchio CE per la progettazione della piattaforma. Nessuna revisione UL per la logica algoritmica. Le piattaforme possono scalare a livello globale, consentire frodi, sopprimere la verità e mettere in pericolo gli utenti senza una sola revisione strutturale richiesta prima del lancio.
E ogni pezzo della struttura digitale è importante. Nel mondo fisico, il disastro degli airbag Takata[10] è un triste promemoria: un componente difettoso utilizzato in decine di modelli di auto ha portato al più grande richiamo automobilistico della storia, a più morti e al completo collasso finanziario dell'azienda. La colpa non era dell'auto nel suo complesso, ma di un singolo sistema integrato che è stato lasciato fallire. Questo è lo standard che accettiamo altrove: ogni parte deve essere sottoposta a controllo, perché il rischio noto non è mai neutro.
Nel settore tecnologico, tuttavia, questi difetti non solo non sono regolamentati, ma sono spesso monetizzati. Interi modelli di business
sono emersi che:
- traggono profitto dal danno direttamente (attraverso strutture di piattaforma che premiano la disinformazione, la manipolazione o la frode), oppure
- addebitare agli utenti la riparazione di danni alla reputazione o la rimozione di contenuti dannosi che non avrebbero mai dovuto essere consentiti in primo luogo[11].
Un'intera industria è emersa dai prevedibili fallimenti di un'architettura digitale negligente. Le aziende sono state create appositamente per trarre profitto dalle conseguenze di un danno, un chiaro indicatore che il danno non deriva da un uso improprio casuale, ma da difetti di progettazione strutturale.
Questi modelli di business dipendono dall'offerta di servizi come la protezione della privacy per i dati trapelati attraverso sistemi vulnerabili, la riparazione della reputazione in seguito a spoofing o impersonificazione e la rimozione dei contenuti solo dopo che l'esposizione dannosa si è già verificata.
Ognuno di questi servizi esiste perché l'architettura è fallita. Non sono soluzioni: sono risposte del mercato a fallimenti noti e prevenibili. E ognuno di essi è il risultato diretto di una Architettura digitale negligente (NDA²) ripartizione.
Queste non sono salvaguardie. Sono rimedi post-vendita per un fallimento architettonico, servizi rivenduti agli stessi utenti che il sistema non è riuscito a proteggere.
Tuttavia, nel settore tecnologico, non esiste una dottrina legale che si sia evoluta per trattare questi fallimenti come responsabilità da prodotto, nonostante soddisfino tutte le soglie tradizionali: prevedibilità, mancata avvertenza, progettazione difettosa e danno misurabile.
Non è sufficiente rimuovere retroattivamente i contenuti dannosi. Quando le piattaforme vengono utilizzate con la piena consapevolezza delle vulnerabilità strutturali, come la possibilità di spoofing, la soppressione silenziosa o l'applicazione opaca, il danno non è accidentale. È stato progettato. E deve essere trattato come un difetto di progettazione, non come un fallimento della moderazione.
NDA² richiede un cambiamento fondamentale:
- Dalla moderazione reattiva alla responsabilità architettonica.
- Dalla colpevolizzazione degli utenti alla certificazione dei sistemi.
- Dall'immunità della piattaforma alla responsabilità del prodotto, quando il danno è causato dalla struttura stessa che ne permette la prosperità.
I modelli esistono già. Codici edilizi. Protocolli di sicurezza automobilistica. Regolamenti sui prodotti di consumo. Ognuno di essi si basa sull'idea che il danno è prevenibile quando il rischio è noto. Internet non deve più essere un'eccezione a questa regola.
La struttura è il danno. E il sistema giuridico deve evolversi non per inventare una nuova dottrina, ma per applicare quella che già abbiamo.
La chiamiamo responsabilità del prodotto. Esiste proprio per attribuire la responsabilità quando i difetti di progettazione causano danni prevedibili. È ora di estendere questo standard alle strutture digitali che oggi governano le nostre vite. Queste piattaforme non sono esenti perché sono intangibili. Sono prodotti. Sono sistemi. E stanno fallendo per progettazione.
Perché la scala non può essere una scusa. Il silenzio non può essere uno scudo. E le piattaforme non possono essere l'unica industria a cui è permesso di danneggiare il pubblico per progetto.
La struttura è il danno. È giunto il momento di chiedere conto a questa struttura.
Citazioni e attributi
APA (7a edizione):
Starr, K. (2025). Architettura digitale negligente: Come la progettazione delle piattaforme codifica il danno. KStarr Enterprises, LLC. https://www.katherinestarr.com/negligent-digital-architecture/
MLA (9a edizione):
Starr, Katherine. Architettura digitale negligente: Come la progettazione delle piattaforme codifica il danno. KStarr Enterprises, LLC, 2025. www.katherinestarr.com/negligent-digital-architecture/.
Bluebook (Legale):
Katherine Starr, Architettura digitale negligente: Come la progettazione delle piattaforme codifica il danno, KStarr Enterprises, LLC (2025), https://www.katherinestarr.com/negligent-digital-architecture/.
Si veda anche Starr v. Google LLC, Complaint, No. 1:25-cv-01216-RP (W.D. Tex. depositato il 5 agosto 2025), che applica la Negligent Digital Architecture™ come causa di azione.
Citazioni
[1] Starr, K. (2025). Accesso digitale negligente: Quando la progettazione di una piattaforma consente un danno. KStarr Enterprises, LLC. https://www.katherinestarr.com/negligent-digital-access/
[2] Pasquale, F. (2015). La società della scatola nera: Gli algoritmi segreti che controllano il denaro e l'informazione. Harvard University Press.
[3] Citron, D. K. (2014). Crimini d'odio nel cyberspazio. Harvard University Press.
[4] Herrick contro Grindr LLC, 765 F. App'x 586 (2d Cir. 2019).
[5] Organizzazione internazionale per la standardizzazione. (2018). ISO 26262: Veicoli stradali - Sicurezza funzionale. Ginevra, Svizzera: ISO.
[6] Organizzazione internazionale per la standardizzazione. (2015). ISO 9001: Sistemi di gestione della qualità - Requisiti. Ginevra, Svizzera: ISO.
[7] Commissione europea. (n.d.). Marcatura CE - Valutazione della conformità. Recuperato da https://ec.europa.eu/growth/single-market/ce-marking_en
[8] Uber Technologies, Inc., contenzioso per violenza sessuale sui passeggeri (MDL No. 3084, N.D. Cal. 2023)
[9] Lyft Inc. Contenzioso derivato, n. CGC-20-584549 (Cal. Super. Ct., S.F. Cnty., depositato il 19 febbraio 2020)
[10] Amministrazione nazionale per la sicurezza del traffico autostradale (NHTSA). (2023). Richiami di airbag Takata. Dipartimento dei Trasporti degli Stati Uniti. https://www.nhtsa.gov/equipment/takata-recall-spotlight
[11] Zuboff, S. (2019). L'era del capitalismo di sorveglianza: La lotta per un futuro umano alla nuova frontiera del potere. Affari pubblici.
