Regulation of Financial Protocol DAOs: Addressing the Problems of Decentralization and AI Governance

Autori: Salvatore Luciano Furnari, Chiara Villani — Università degli Studi di Roma "Tor Vergata", Roma Fonte: in M. Lustenberger et al. (eds.), Decentralized Autonomous Organizations—Governance, Technology, and Legal Perspectives, Springer Proceedings in Business and Economics (2026) DOI: https://doi.org/10.1007/978-3-032-03273-7_7 Licenza: Creative Commons Attribution 4.0 International

Abstract

L'articolo esamina le sfide giuridiche della regolamentazione delle Decentralized Autonomous Organizations (DAO) nei mercati finanziari, in particolare quelle che offrono servizi di finanza decentralizzata (DeFi). Dopo aver classificato le DAO in Social DAO, Investment DAO e Protocol DAO, discute lo status giuridico ambiguo delle DAO, la loro struttura di governance decentralizzata e autonoma, e gli ostacoli che pongono ai quadri regolatori tradizionali. Le DAO sono tipicamente governate da smart contract e operano su blockchain, complicando l'enforcement regolatorio a causa della loro struttura decentralizzata e non gerarchica. L'integrazione dell'intelligenza artificiale (AI) introduce ulteriori complessità in materia di responsabilità (accountability e liability), poiché l'AI è priva di personalità giuridica. Il paper riporta approcci regolatori innovativi — la "embedded supervision" e la "polycentric co-regulation" — e suggerisce infine che le Protocol DAO potrebbero essere più opportunamente considerate come "asset infrastrutturali" piuttosto che entità imprenditoriali tradizionali, incoraggiando la compliance volontaria.

Keywords: Financial protocol DAO · Decentralization · Artificial intelligence

1. Le DAO e il loro status giuridico incerto

Una DAO (Decentralized Autonomous Organization), talvolta chiamata DAC (Decentralized Autonomous Corporation), è un'organizzazione gestita in tutto o in parte da un programma informatico decentralizzato, con voto e comunità prive di leadership centralizzata. Come nota Wikipedia (in una frase aggiunta nel 2016 e tuttora invariata), «lo status giuridico preciso di questo tipo di organizzazione è incerto».

L'articolo si propone di contribuire alla definizione di uno status giuridico per le DAO, esaminando l'assenza di uno status chiaro e le difficoltà regolatorie derivanti dalla loro gestione decentralizzata e dalle operazioni basate su blockchain.

2. Le DAO dei mercati finanziari
2.1 Scomporre il termine per ottenere una definizione

Un approccio utile parte dallo scomporre l'acronimo nei concetti di "Decentralized Organization" (DO) e "Autonomous" (A).

Autonomous deriva da "Autonomous Agent": entità la cui esistenza dipende dagli esseri umani solo nella creazione; una volta creati, operano indifferenti all'azione o volontà dei programmatori. Esempio comune: i virus informatici. La creazione di agenti pienamente autonomi richiede sistemi di AI complessi. Con l'avanzamento dell'AI si è passati dal machine learning al deep learning, verso processi di self-learning e self-modifying. I sistemi più avanzati ("strong AI") operano indipendentemente dagli input iniziali e prendono decisioni autonome, spesso etichettate come "black box" per la loro non trasparenza. I sistemi primordiali ("weak AI") sono limitati al problem solving su base di istruzioni umane.
Decentralized Organization si definisce come organizzazione non gerarchica, priva di un "corpo centrale" che ne dirige le operazioni. Per compensare l'assenza di controllo gerarchico, le "azioni" sono governate da regole stabilite ex ante e condivise dai partecipanti, o incentivate tramite meccanismi di ricompensa, spesso affidate a smart contract.

Una DAO può quindi definirsi come un'organizzazione decentralizzata gestita da un agente autonomo: composta da persone e asset, strutturata senza autorità centrale e gestita in modo autonomo da un software che opera indipendentemente da partecipanti e programmatori.

2.2 Tipi di DAO

Sebbene il concetto risalga al 2013, gli sforzi di classificazione sono recenti. La classificazione più importante è quella basata sulla funzione, in almeno tre categorie:

Grant o Social DAO — finalità filantropiche; distribuiscono i fondi raccolti a progetti selezionati dalla comunità (es. MolochDAO, GitCoin DAO, Big Green DAO).
Protocol DAO — mirano a "gestire" un protocollo decentralizzato (es. Uniswap, MakerDAO, ICP, Yearn). Uniswap è l'esempio migliore: opera come "decentralized exchange" (DEX) con modello "automated market maker" (AMM), dove gli utenti depositano coppie di cripto-asset di pari valore in "pool" gestiti da smart contract. Lo scambio si basa su una formula matematica (tipicamente il "Constant Product Market Maker"). I fornitori di liquidità ricevono le "fee" generate in proporzione ai depositi.
Investment DAO — raccolgono fondi per investire in progetti imprenditoriali dividendo i profitti tra i partecipanti. Il primo progetto a definirsi "DAO" (2016), noto come The DAO, appartiene a questa categoria: fu abbandonato dopo un attacco hacker e un report della SEC che riconobbe la natura di "security" ai token offerti.
2.3 Applicazioni delle DAO nei mercati finanziari

Le DAO hanno un ruolo trasformativo nel settore finanziario, in particolare le Protocol DAO che abilitano e governano i protocolli DeFi. Esempi:

DEX (es. Uniswap): trading peer-to-peer di asset digitali senza intermediari centralizzati.
Protocolli di lending (es. Aave, Venus): servizi simili a quelli bancari.
Yield aggregator (es. Yearn): servizi simili a società di investimento.

La governance decentralizzata consente ai token holder di votare su decisioni chiave (upgrade del protocollo, strutture delle fee), decentralizzando il controllo e promuovendo trasparenza e accountability. Un tratto distintivo è il funzionamento distribuito basato su una sorta di "simbiosi mutualistica": nei DEX i liquidity provider guadagnano ricompense proporzionali al volume delle transazioni, incentivando l'offerta di liquidità.

Nota critica: alcuni autori sostengono che la decentralizzazione della DeFi sia in gran parte illusoria, poiché il controllo effettivo risiede spesso presso pochi attori chiave (in particolare gli sviluppatori del codice); la "decentralizzazione" sarebbe più uno strumento strategico per evitare i costi regolatori.

3. Gli ostacoli regolatori
3.1 Una struttura decentralizzata

Le DAO abbassano le barriere d'accesso ai servizi "finanziari" ma richiedono una ri-valutazione dei quadri regolatori. Da una prospettiva "macro", i governi possono esercitare solo controlli deboli:

Le DAO operano su blockchain, senza legame con una singola giurisdizione o entità.
Le autorità non possono semplicemente "spegnere" una DAO: non esiste un server centralizzato o una sede da colpire.
La misura più immediata — bloccare il dominio web dell'interfaccia — resta superficiale e inefficace (aggirabile con una VPN; i frontend open-source possono essere replicati/"mirrored" su più domini).

La portata giurisdizionale limitata di ogni singolo governo evidenzia una sfida regolatoria senza precedenti, richiedendo approcci innovativi.

3.2 ...e una governance affidata all'AI

I sistemi di AI, pur integrati nelle operazioni delle DAO, sono privi della capacità giuridica di agire come agenti: non possono stipulare contratti né essere ritenuti responsabili. Legalmente un'AI non può assumere il ruolo di "director", "manager" o "entrepreneur" di una DAO.

The DAO stessa mancava di una struttura formale per la rappresentanza esterna, operando come mera "entità IT"; interagiva col mondo esterno tramite DAO.LINK (entità di diritto svizzero) e una serie di agenti detti "contractors".
Nessun sistema giuridico riconosce oggi la personalità giuridica agli algoritmi.
Problema dell'identificazione del soggetto da citare in caso di danni: l'assenza di un'entità legale centralizzata complica l'individuazione di un responsabile ("responsibility gap").

Riferimenti normativi UE:

La Risoluzione del Parlamento europeo del 16 febbraio 2017 aveva proposto lo status di "persona elettronica" per i robot autonomi; posizione poi abbandonata.
L'AI HLEG (2019) ha stabilito che non è necessario dare personalità giuridica alle tecnologie emergenti: il danno è generalmente riconducibile a persone fisiche o categorie esistenti di persone giuridiche.
Il paradigma UE "human-centric" e l'approccio "human-in-the-loop" risultano però impraticabili nel contesto DAO, poiché imporre supervisione umana continua contrasterebbe con il loro modello operativo autonomo.
Nemmeno la AI Liability Directive (AILD, 2022) risolve le criticità legate al "black box problem" e al nesso causale.

Il problema centrale dell'AI è l'opacità: all'aumentare dell'autonomia cresce lo scollamento tra input e output ("black box"). Il report ESMA 2023 identifica l'AI come fattore che impatta negativamente la trasparenza, proponendo di rendere il decision-making più "explainable".

4. La necessità di un approccio regolatorio differente

Per superare i problemi di AI e decentralizzazione, il paper esplora diverse ipotesi:

Trasparenza da blockchain: la blockchain fornisce un registro immutabile delle azioni; l'AI può addirittura aiutare la compliance analizzando i dati on-chain.
"Deterrence formula": incorporare misure preventive nella struttura dell'algoritmo (es. per prevenire manipolazioni di mercato), estendendo alle DAO l'approccio risk-based di MiFID II.
"Embedded supervision": l'AI monitora azioni e transazioni della DAO in tempo reale, segnalando attività sospette direttamente sulla blockchain — monitoraggio continuo e trasparente degli intermediari algoritmici, più efficace della supervisione tradizionale. Va però adattata: per gli intermediari algoritmici la stabilità dipende dalla robustezza del codice (resistenza agli attacchi informatici), non dalla struttura di capitale, sostanzialmente inesistente.
"Polycentric co-regulation": la regolamentazione come risultato di un approccio collaborativo tra autorità, operatori del settore e altri stakeholder. Se anche la regolamentazione ha origine decentralizzata, ottiene maggiore consenso e compliance. Evoluzione verso la "participatory regulation".

Riferimenti normativi: il legislatore europeo con il Regolamento (UE) 2023/1114 (MiCAR) regola i crypto-asset service provider (CASP) traspondendo quasi integralmente le regole degli intermediari finanziari tradizionali.

Restano irrisolte due questioni giuridiche legate all'assenza di personalità giuridica dell'AI nelle DAO: (1) l'istituzione di un regime di responsabilità; (2) la capacità di stipulare contratti. Anche con una deterrence formula, un'AI non può essere ritenuta responsabile, e le DAO mancano di struttura formale per la rappresentanza esterna — un "vuoto di accountability" doppio.

Menzione: lo Stato del Vermont (USA) ha tentato di colmare il gap con un emendamento del 2020 alla legislazione LLC, permettendo la creazione di blockchain-based LLC governate tramite smart contract, mantenendo la limited liability. Data la natura globale delle DAO sarebbe però auspicabile un quadro regolatorio internazionale.

Riguardo la responsabilità:

Attribuirla ai programmatori rischierebbe una liability potenzialmente indefinita (impossibile garantire codice privo di errori; possibile collisione con la libertà di espressione, essendo il software opera dell'ingegno).
Attribuirla agli utenti è già possibile per l'uso doloso: chi sfrutta deliberatamente un errore per profitto a danno altrui ricade nei quadri di responsabilità esistenti. La blockchain è ben adatta al tracciamento tramite strumenti forensi sempre più sofisticati.
5. Considerare le DAO come infrastrutture per risolvere l'incertezza regolatoria

Tesi centrale: il tentativo di regolare le DAO come se fossero entità di mercato finanziario convenzionali rivela un difetto di fondo — presume che le DAO operino come "business" tradizionali.

Solo le Investment DAO somigliano davvero alle imprese (sforzo imprenditoriale collettivo, generazione e distribuzione di ricavi, token con diritti amministrativi e quote).
La maggior parte delle DAO attive — le Protocol DAO — funziona invece più come infrastruttura.

L'analogia del "ponte di ferro": un protocollo come un DEX è paragonabile a un "iron bridge" pubblico. Funziona come piattaforma neutrale che facilita interazioni tra stakeholder diversi. Va distinto dall'entità privata (impresa) che detiene una concessione per operare il ponte. Il DEX è di per sé un asset — uno strumento infrastrutturale — e va qualificato giuridicamente come tale.

Tentare di assegnare personalità giuridica a (certe) DAO è quindi un esercizio improduttivo, analogo al tentativo di attribuirla a un oggetto inanimato (una roccia).

Approccio proposto:

Sottoporre solo il codice degli algoritmi ad autorizzazione preventiva (come le regole per costruire il ponte di ferro).
Focalizzare gli audit sul codice piuttosto che sulla parte "umana".
Introdurre un sistema di "label"/autorizzazione che confermi la conformità degli algoritmi agli standard regolatori, favorendo la compliance spontanea grazie alla fiducia trasmessa agli investitori. Chi interagisce con una Protocol DAO priva di label sopporterebbe pieno rischio e responsabilità (come chi interagisce con intermediari off-shore).
Possibile sistema assicurativo legato all'ottenimento dell'autorizzazione, finanziato da parte delle fee del protocollo (con l'avvertenza del "moral hazard").

Conclusione: data la natura decentralizzata e la difficoltà di "imporre" regole, l'approccio regolatorio preferibile dovrebbe puntare a dimostrare i benefici della compliance, incoraggiando l'adesione volontaria: standard per lo sviluppo di codice sicuro, "cyber insurance", best practice di risk management. Le DAO andrebbero classificate come infrastrutture, sfruttando le loro qualità uniche per favorire l'adesione volontaria agli standard piuttosto che imporre una vigilanza rigida.

Bibliografia essenziale

Il paper cita, tra gli altri: Wikipedia (definizione DAO); Wang et al. (2019); Buterin (guida terminologica DAO/DAC); Benkler (The Wealth of Networks, 2006); Searle (weak/strong AI); Russell & Norvig (AI: A Modern Approach, 2021); De Filippi & Wright (Blockchain and the Law, 2018); il report AI HLEG (2019); ESMA (2023); i working paper su "Fake-DeFi" e la "decentralisation illusion"; MiCAR (Reg. UE 2023/1114); AI Act (Reg. UE 2024/1689); Furnari (La Finanza Decentralizzata, 2023).