Quattordici governi hanno adottato mercoledì i primi Industry Guidelines del Pall Mall Process, l’iniziativa diplomatica guidata da Regno Unito e Francia per imbrigliare l’industria globale dello spyware commerciale. Un documento non vincolante, privo di sanzioni, che arriva dopo un negoziato durato mesi — e che meno della metà dei Paesi presenti alla terza Conferenza del Pall Mall Process a Parigi (10 e 11 novembre) ha accettato di sottoscrivere.
L’atto
Le linee guida — presentate alla Conferenza con rappresentanti di 43 Paesi — chiedono alle aziende che sviluppano, vendono o finanziano commercial cyber intrusion capabilities (CCIC) di verificare i propri clienti, istituire salvaguardie tecniche contro l’abuso e mantenere sistemi di monitoraggio e segnalazione delle violazioni. Le imprese dovrebbero interrompere vendite e supporto quando il rischio di uso improprio grave diventa credibile, e sono invitate a “considerare” forme di riparazione per le vittime di violazioni dei diritti umani.
Il Quai d’Orsay rivendica “il primo standard globale di condotta responsabile”: “L’accesso a certe capacità una volta riservate a una manciata di agenzie governative specializzate si è progressivamente allargato: qualsiasi attore può oggi comprare ‘a scaffale’ la possibilità di penetrare silenziosamente un telefono”. Strumenti legittimi per l’intelligence e la lotta al crimine organizzato, ammette Parigi — ma “implicati anche in campagne di sorveglianza contro giornalisti, esponenti politici, attivisti o imprese”.
I firmatari
Dei 43 Paesi presenti, quattordici hanno firmato: Regno Unito e Francia in testa, con Stati Uniti, Germania, Italia e Giappone. Il Foreign Office britannico spiega l’obiettivo: “disincentivare attività irresponsabili su tutto il mercato dei CCIC, migliorare la trasparenza per regolatori, venditori e clienti, dare chiarezza alle imprese che operano dentro e ai margini del settore”.
Il vincolo è dichiaratamente morale, non giuridico. “Volontario non significa facoltativo: la parola data davanti ai propri pari, alla propria industria e ai propri cittadini è un impegno”, sostiene il ministero francese. Le linee guida “non creano nuovi obblighi giuridici internazionali e non rimettono in discussione gli usi che gli Stati considerano legittimi” in materia di sicurezza nazionale, difesa, lotta al crimine organizzato e cybersicurezza. La leva, se ci sarà, passerà dai governi che comprano gli strumenti e ne licenziano l’export.
Il precedente che pesa
Il processo era partito nel febbraio 2024 a Londra: nessuna delle aziende controverse — quelle i cui prodotti sono stati collegati agli abusi — sedeva al tavolo, solo grandi firme tecnologiche e di cybersicurezza. Un anno dopo, i partecipanti lamentavano già che l’iniziativa non avesse la capacità di cambiare davvero il modo in cui questi strumenti vengono commerciati e usati. Nel 2025 era arrivato il Code of Practice for States, sottoscritto finora da 27 Paesi, con i quattro pilastri dichiarati — accountability, precision, oversight, transparency — e nessun accordo su come orientare il comportamento delle imprese.
Il fronte critico
A settembre, oltre 25 organizzazioni della società civile — tra cui Amnesty International Security Lab, Freedom House e il Center for Democracy and Technology — avevano chiesto congiuntamente che le linee guida imponessero aspettative vincolanti, il divieto esplicito di vendere spyware ad attori non statali e meccanismi reali di rimedio per le vittime, avvertendo che “un linguaggio debole o diluito potrebbe invece legittimare un’industria associata a violazioni gravi e potenzialmente irreversibili”. Il testo di mercoledì parla di verifiche, non di divieti; di “considerare” rimedi, non di garantirli.
La posta in gioco
La geometria dell’iniziativa resta il suo punto più fragile: Londra e Parigi scrivono le regole del mercato mentre ne difendono le proprie industrie, una contraddizione che i critici hanno sollevato fin dal primo giorno e che il tenore non vincolante del documento non scioglie. Il Pall Mall Process è un primo passo su un vuoto di governance reale — ma un codice senza penali, firmato da meno della metà dei presenti, sposta il rischio dalla reputazione dei venditori alla coerenza dei compratori.
Il comunicato francese indica già il prossimo cantiere: “l’intelligenza artificiale, la crescente automazione di certe funzioni e l’emergere di nuovi modelli di business” pongono ai governi e alle imprese domande nuove. Il mercato, nel frattempo, non ha smesso di vendere.
(English version)
Fourteen governments on Wednesday adopted the first Industry Guidelines of the Pall Mall Process, the diplomatic initiative led by Britain and France to rein in the global commercial spyware industry. A non-binding document, with no penalties attached, that arrives after months of negotiation — and that fewer than half the countries present at the third Pall Mall Process conference in Paris (10–11 November) agreed to sign.
The act
The guidelines — presented at the conference, which brought together representatives from 43 countries — call on businesses that develop, sell or finance commercial cyber intrusion capabilities (CCICs) to vet their customers, establish technical safeguards against misuse and maintain systems for monitoring and reporting abuses. Companies should halt sales and support when the risk of serious misuse becomes credible, and are invited to “consider” remedies for victims of human rights abuses.
The Quai d’Orsay claims “the first global standard of responsible conduct”: “Access to certain capabilities once reserved for a handful of specialised government agencies has gradually widened: any actor can now buy ‘off the shelf’ the ability to silently penetrate a phone”. Legitimate tools for intelligence work and the fight against organised crime, Paris concedes — but “also implicated in surveillance campaigns targeting journalists, political figures, activists or businesses”.
The signatories
Of the 43 countries present, fourteen signed: Britain and France at the head, alongside the United States, Germany, Italy and Japan. The British Foreign Office sets out the aim: “to disincentivise irresponsible activity across the market for CCICs; improve transparency for regulators, vendors and customers; and provide clarity for businesses operating both within and peripherally to the industry”.
The constraint is openly moral rather than legal. “A voluntary code is not, however, an optional code: one’s word, given before one’s peers, one’s industries and one’s citizens, is a commitment,” the French ministry argues. The guidelines “do not create new international legal obligations and do not call into question uses that states consider legitimate” in matters of national security, defence, the fight against organised crime and cybersecurity. The leverage, if there is any, will come from the governments that buy the tools and license their export.
The precedent that weighs
The process began in London in February 2024: none of the controversial companies — those whose products have been linked to abuses — sat at the table, only major technology and cybersecurity names. A year later, participants were already complaining that the initiative lacked the ability to actually change how these tools are traded and used. In 2025 came the Code of Practice for States, so far signed by 27 countries, with its four declared pillars — accountability, precision, oversight, transparency — and no agreement on how to steer corporate behaviour.
The critical front
In September, more than 25 civil society organisations — among them Amnesty International Security Lab, Freedom House and the Center for Democracy and Technology — jointly called for the guidelines to impose binding expectations, an explicit ban on selling spyware to non-state actors and real remedy mechanisms for victims, warning that “weak or diluted language could instead legitimise an industry associated with grave and potentially irreversible violations”. Wednesday’s text speaks of vetting, not bans; of “considering” remedies, not guaranteeing them.
The stakes
The initiative’s geometry remains its most fragile point: London and Paris are writing the market’s rules while defending their own industries — a contradiction critics have raised since day one and that the document’s non-binding tenor does not resolve. The Pall Mall Process is a first step across a real governance gap — but a code without penalties, signed by fewer than half those present, shifts the risk from the vendors’ reputation to the buyers’ consistency.
The French communiqué already points to the next front: “artificial intelligence, the growing automation of certain functions and the emergence of new business models” pose new questions for governments and companies. The market, in the meantime, has not stopped selling.
Alexander Martin/The Record, Britain, France set out first guidelines for commercial hacking firms, 11 november 2026
‘Pillola’ SIOI
