DeFi sotto MiCA: il regolatore ha sparato nel buio e ora raccoglie i cocci

Il problema che nessuno vuole nominare ad alta voce

Quando il Parlamento europeo ha approvato il regolamento Markets in Crypto-Assets — Regolamento (UE) 2023/1114, entrato in piena applicazione il 30 dicembre 2024 — si è celebrato come un trionfo di chiarezza regolatoria. Io ero in aula a Strasburgo quella settimana, e ricordo bene l'atmosfera da inaugurazione. Champagne istituzionale, comunicati stampa trionfali, la solita fanfara. Quello che nessuno ha detto con la necessaria brutalità è che MiCA lascia fuori dalla porta proprio il fenomeno più rilevante dell'ecosistema cripto: la decentralized finance. E lo fa in modo che, a distanza di un anno e mezzo dall'applicazione piena, continua a generare incertezza operativa, contenziosi silenziosi e una corsa silenziosa verso strutture giuridiche ibride progettate per stare in un limbo regolatorio.

Il considerando 22 di MiCA è la norma che ha creato più danni di qualsiasi disposizione esplicita: afferma che il regolamento non si applica ai crypto-asset services forniti in maniera «completamente decentralizzata, senza alcun intermediario». Una formulazione che suona liberatoria, ma che nasconde una contraddizione logica fondamentale: un protocollo che non ha intermediari, per definizione, non è un soggetto a cui rivolgere un divieto o un obbligo. La norma, quindi, non esonera nessuno — semplicemente non sa a chi parlare.

Cosa significa "fully decentralised" nel 2026? Ancora nessuno lo sa

L'European Securities and Markets Authority — ESMA — ha pubblicato nel marzo 2025 le sue linee guida in materia di DeFi, un documento atteso da mesi e accolto con un misto di sollievo e costernazione. Il sollievo era comprensibile: finalmente qualcosa di scritto. La costernazione, però, era più lucida. ESMA ha elencato una serie di criteri per valutare se un protocollo possa considerarsi «sufficientemente decentralizzato» — tra cui l'assenza di controllo da parte di un soggetto identificabile sulla governance, l'inesistenza di un admin key attivo, la distribuzione geografica dei nodi validatori — senza però indicare soglie quantitative o metodologie di verifica vincolanti.

Il risultato pratico è che ogni progetto DeFi che voglia operare con un minimo di serenità giuridica deve oggi commissionare una propria analisi legale interna, arrivare a una conclusione, e sperare che il regolatore nazionale condivida la stessa interpretazione. Nel frattempo, la BaFin tedesca e l'AMF francese hanno già adottato posizioni divergenti su casi praticamente identici, il che è esattamente l'opposto dell'armonizzazione che MiCA prometteva di garantire.

Il nodo dei DAO e della responsabilità diffusa

Il vero terreno minato, però, è quello dei decentralized autonomous organization. Un DAO che gestisce un protocollo di prestito o di scambio su blockchain è un soggetto giuridico? In Italia, la risposta formale è ancora no — mancano norme di riconoscimento esplicito, e i tentativi di inquadrare i DAO come associazioni non riconosciute ai sensi degli articoli 36-38 del Codice Civile presentano problemi strutturali evidenti, a partire dall'assenza di una sede, di un organo rappresentativo e di una volontà unitaria ricostruibile.

Eppure, quando un protocollo causa un danno — una liquidazione abusiva, un exploit non segnalato tempestivamente, una modifica di parametri che azzera le posizioni degli utenti — qualcuno deve rispondere. La dottrina della joint liability dei token holders con diritti di governance, avanzata da alcuni giuristi nordeuropei nel 2025, è affascinante ma inapplicabile su larga scala: presuppone che si possa identificare chi ha votato cosa, quando, e con quale consapevolezza del rischio. In un ecosistema in cui la partecipazione alla governance è spesso delegata ad altri wallet attraverso meccanismi di liquid delegation, la catena causale si dissolve prima ancora di essere individuata.

MiCA e i protocolli ibridi: il problema reale del 2026

La questione che occupa maggiormente il mio studio in questo momento non riguarda i protocolli pienamente decentralizzati — quelli esistono, ma sono una minoranza — bensì i cosiddetti hybrid protocols: strutture che mantengono una componente centralizzata nella frontend infrastructure, nell'accesso alle API, nella gestione delle chiavi di emergenza o nel controllo dei parametri di rischio, pur presentandosi come DeFi agli utenti finali.

Questi protocolli sono il vero buco nero di MiCA. Tecnicamente, potrebbero rientrare nell'ambito applicativo del regolamento come fornitori di crypto-asset services ai sensi dell'articolo 3, paragrafo 1, numero 16. Praticamente, molti di essi operano senza licenza CASP — Crypto-Asset Service Provider — sostenendo di essere «sufficientemente decentralizzati» nella componente core del protocollo. Le autorità nazionali, sommersa da centinaia di richieste di autorizzazione per i casi chiari, non hanno ancora sviluppato una prassi consolidata per questi casi grigi. Il risultato è un'industria che avanza in apnea, sapendo che il conto arriverà ma non sapendo quando.

Il paradosso dello stablecoin DeFi

Un capitolo a parte meritano gli stablecoin algoritmici e i decentralised stablecoins — come DAI, oggi USDS, o i più recenti esperimenti con meccanismi di over-collateralization on-chain. MiCA, attraverso il Titolo III e il Titolo IV, disciplina rispettivamente gli asset-referenced token e gli e-money token. Un stablecoin decentralizzato governato da un DAO, senza un emittente identificabile, non rientra formalmente in nessuna delle due categorie — il che dovrebbe essere una buona notizia per chi li emette, se non fosse che questa esclusione li priva anche di qualsiasi protezione normativa agli occhi degli investitori istituzionali.

Ho seguito da vicino una operazione di tesoreria corporativa in cui un cliente voleva detenere una quota di riserve liquide in uno stablecoin decentralizzato. Il consulente fiscale era disponibile, l'auditor era disponibile, il CFO era disponibile. A bloccare tutto è stato il parere del compliance officer: nessuno stablecoin privo di un emittente riconosciuto ai sensi di MiCA può essere inserito in bilancio con un trattamento di equivalente liquidità. Fine della storia. L'innovazione muore spesso non per eccesso di regolazione, ma per assenza di regolazione abbinata a eccesso di prudenza aziendale.

Cosa serve, concretamente

La Commissione europea ha annunciato per il quarto trimestre del 2026 una proposta legislativa specifica per la DeFi, che dovrebbe integrare MiCA con un regime ad hoc. Ho letto la bozza preliminare circolata in luglio — non è pubblica, ma a Bruxelles i documenti viaggiano. L'approccio è quello della activity-based regulation: si regola la funzione economica svolta dal protocollo, indipendentemente dalla sua architettura tecnica. Un automated market maker che consente scambi tra asset digitali svolge la funzione di un exchange, e quindi — argomenta la bozza — dovrebbe essere soggetto a obblighi equivalenti, adattati alla sua natura automatizzata.

L'idea è concettualmente corretta. Ma l'esecuzione sarà un incubo, perché presuppone che il legislatore riesca a definire in modo stabile funzioni economiche che evolvono più velocemente di qualsiasi ciclo legislativo. Nel tempo necessario a promulgare la norma, il protocollo si sarà già riconfigurato in qualcosa di diverso. Lo abbiamo già visto con le prime bozze di MiCA del 2020, quando il lending decentralizzato era appena agli albori e non fu mai disciplinato in modo esplicito.

La verità scomoda è che la DeFi non aspetta il legislatore. E il legislatore, con tutta la buona volontà del mondo, arriva sempre in ritardo a una festa che si è già spostata altrove. Il mio consiglio ai clienti, in questo momento, è di costruire strutture giuridiche robuste sulle incertezze esistenti — non di aspettare che la nebbia si diradi. La nebbia, nel diritto cripto europeo, è una condizione permanente. Imparate a navigarci.