In pochi giorni la Commissione europea ha mostrato le due facce dell’esecuzione del Digital Services Act. Il 20 luglio 2026 ha inflitto ad AliExpress una sanzione da 550 milioni di euro per non aver valutato e mitigato con diligenza i rischi legati alla diffusione di prodotti illegali, non sicuri o contraffatti sulla sua piattaforma di commercio elettronico. Cinque giorni prima aveva accettato il piano d’azione con cui X si impegna a rimediare alle violazioni accertate a dicembre 2025. Due esiti opposti, una multa e un piano accolto, che convergono sullo stesso punto: la decisione non chiude la vicenda, obbliga la piattaforma a rimediare sotto sorveglianza.
La sanzione più alta finora, e come è stata costruita
Il provvedimento contro AliExpress è, per importo, la sanzione pecuniaria più elevata finora adottata sulla base del regolamento. La Commissione contesta alla piattaforma di non aver valutato con diligenza il rischio di diffusione di prodotti illegali, non sicuri o contraffatti, e lo fa su tre piani precisi. AliExpress non ha verificato in modo adeguato di disporre di personale sufficiente a esaminare i prodotti potenzialmente illegali, sopravvalutando l’efficacia del proprio sistema di rilevazione e rimozione e trascurando la sproporzione tra il numero dei moderatori umani e il loro carico di lavoro. Ha valutato in modo inadeguato come i propri sistemi di raccomandazione e di pubblicità amplifichino la circolazione di quei prodotti: i test dei servizi della Commissione hanno mostrato che molti articoli illegali venivano raccomandati o pubblicizzati agli utenti prima di essere effettivamente rimossi. E si è affidata a un solo indicatore quantitativo, inidoneo a misurare davvero il fenomeno.
L’importo tiene conto della natura e della gravità delle violazioni, del numero di utenti dell’Unione coinvolti e della durata, protrattasi almeno fino al giugno 2025, quando la Commissione aveva formulato le conclusioni preliminari. Tra le circostanze attenuanti pesa la novità stessa del regolamento.
Perché la multa non chiude il caso
La decisione è una decisione di non conformità, e da qui il regolamento fa scattare un percorso. AliExpress ha tempo fino al 20 ottobre 2026 per presentare alla Commissione un piano d’azione che rimedi alla violazione degli obblighi di valutazione e mitigazione dei rischi sistemici. Il Comitato europeo per i servizi digitali ha un mese dalla ricezione del piano per esprimere un parere; la Commissione ha poi un altro mese per adottare la decisione finale e fissare un termine ragionevole di attuazione. Se la piattaforma non si conforma, rischia penalità di mora. La sanzione, insomma, fissa un prezzo per il passato, ma l’obbligo vero guarda al futuro: costruire e dimostrare processi di valutazione del rischio che oggi mancano.
Vale la pena ricordare che il procedimento contro AliExpress era stato aperto il 14 marzo 2024 e che, il 18 giugno 2025, la Commissione aveva già accettato e reso vincolanti una serie di impegni offerti dalla piattaforma per la maggior parte delle criticità. La multa colpisce dunque la parte residua e più grave: la diligenza nel valutare e mitigare i rischi.
L’altra faccia: il piano di X accolto ma non promosso
Sull’altro versante, la Commissione ha accolto il piano d’azione di X in materia di obblighi di trasparenza e di accesso ai dati per i ricercatori, dopo la decisione di dicembre 2025 che aveva accertato la violazione del regolamento e la relativa sanzione. X si impegna a migliorare il proprio archivio della pubblicità con funzioni di ricerca più efficaci e tempi di risposta più rapidi, a pubblicare più informazioni sugli annunci e a consentire l’accesso tramite API. Promette inoltre ai ricercatori idonei un accesso effettivo ai dati pubblici, velocizzando la selezione delle domande, rendendolo gratuito e modificando le proprie condizioni per non vietare più su base contrattuale l’estrazione dei dati pubblici.
Il punto delicato è un altro. Il Comitato europeo per i servizi digitali, consultato, ha reso il proprio parere il 15 giugno e ha giudicato le misure solo parzialmente adeguate, ritenendo insufficienti quelle di audit e, di conseguenza, l’intero piano. La Commissione ha accolto ugualmente il piano, ma ha chiarito diversi punti che X dovrà osservare in fase di attuazione. La piattaforma ha sei mesi per applicare le misure e dovrà poi far certificare i risultati da un audit esterno indipendente, da trasmettere alla Commissione; se l’audit formulerà raccomandazioni, X dovrà attuarle integralmente. Anche la via correttiva, dunque, non si chiude con un via libera, ma con un’attuazione vigilata e verificata.
Un’architettura che somiglia alla vigilanza
Messi accanto, i due casi raccontano un’esecuzione che assomiglia più alla vigilanza continua che alla singola punizione. AliExpress e X sono entrambe piattaforme online di dimensioni molto grandi (VLOP) designate ai sensi del regolamento, ed è per questo che a procedere è direttamente la Commissione. Il percorso è lo stesso: procedimento, impegni o sanzione, piano d’azione, parere del Comitato, attuazione sotto sorveglianza, penalità in caso di inadempimento. Il documento che conta non è la multa, ma il piano e il suo audit.
Ritorna qui un problema già emerso su questo blog. La contestazione ad AliExpress ruota attorno all’incapacità di misurare il rischio con indicatori adeguati, e il piano di X inciampa proprio sulle misure di audit: in entrambi i casi la difficoltà non è affermare di aver agito, ma dimostrarlo con metriche verificabili, lo stesso nodo che avevamo visto quando la responsabilità cyber è salita in consiglio di amministrazione senza che gli standard per dimostrarla fossero ancora scritti. La logica del rischio sistemico, del resto, è la stessa che governa il design e le impostazioni predefinite delle piattaforme, come negli obblighi a tutela dei minori. E l’esecuzione poggia su un’architettura di cooperazione, tra il Comitato europeo per i servizi digitali e i coordinatori nazionali dei servizi digitali, che ricorda da vicino la richiesta dell’EDPB di far dialogare i regolatori.
Per chi si occupa di conformità, il messaggio dei due provvedimenti è coerente. La sanzione economica, anche quando raggiunge i 550 milioni, non estingue l’obbligo: apre una fase in cui la piattaforma deve presentare un piano, sottoporlo al vaglio del Comitato, farlo verificare da un audit e attuarlo entro un termine, pena ulteriori penalità. Il Digital Services Act non si applica a colpi di multa isolata, ma come una sorveglianza che pretende processi documentati e misurabili. Resta alle piattaforme l’onere di costruirli prima del controllo, non dopo; e resta alla Commissione, con il Comitato, il compito di dire quando un piano è davvero adeguato.
