Il perimetro grigio: DeFi, NFT e ciò che resta fuori da MiCA

C’è una frase che gira nei canali Telegram dei protocolli e nelle slide degli sviluppatori entusiasti: «Noi siamo DeFi, MiCA non ci riguarda». La pronunciano con la sicurezza di chi ha letto un considerando e si è fermato lì. Io quel considerando l’ho letto fino in fondo, e poi ho letto anche quello che EBA ed ESMA hanno risposto. La risposta, tradotta dal burocratese, suona così: «Spiacenti, ma il nostro punto di vista è diverso» (Bitcoin.com News). Qui non si tratta di sapere se la DeFi è regolata. Si tratta di sapere dove finisce la regola scritta e comincia il rischio reale. Perché in mezzo c’è una zona grigia larga come un continente, e il cliente che ci opera dentro va avvisato prima, non dopo.

1. Il considerando 22: l’esenzione che quasi nessuno merita

Partiamo dal testo. Il Regolamento (UE) 2023/1114 (MiCA) contiene, al considerando 22, la clausola su cui si regge tutta la narrazione dell’esenzione: i servizi sulle cripto-attività prestati «in modo completamente decentralizzato senza alcun intermediario» non dovrebbero rientrare nell’ambito di applicazione del Regolamento (MiCA, considerando 22). Sembra una porta spalancata. È una cruna d’ago.

Lo stesso considerando aggiunge la riga che fa crollare il castello: se parte di quelle attività o servizi è svolta in modo decentralizzato, gli obblighi di MiCA restano in vigore (MiCA, considerando 22). Tradotto: non esiste lo sconto per la mezza decentralizzazione. O il servizio è decentralizzato dall’inizio alla fine del suo ciclo di vita, oppure rientra nel perimetro. E quasi nessun protocollo, oggi, supera questo test: un front-end ospitato da qualcuno, una fondazione che controlla gli aggiornamenti, un team che detiene le chiavi di amministrazione, un meccanismo di governance riconducibile a soggetti identificabili bastano a riportare tutto sotto MiCA (Aurum; PwC Legal).

La domanda giusta, allora, non è come il progetto si chiama, ma chi comanda davvero. Lungo l’intero arco del servizio – emissione, manutenzione, aggiornamento, parametri, tesoreria – il controllo è genuinamente distribuito, oppure si può ancora ricondurre a un nucleo, a una foundation, a un operatore individuabile? Se la risposta è la seconda, l’esenzione svanisce (Merkle Science).

2. ESMA non sa (ancora) dove tracciare la linea, e lo ammette

Qui sta il punto più scomodo, e da avvocato del diavolo lo dico chiaro: il regolatore stesso naviga a vista. ESMA ha riconosciuto il considerando 22, ma ha notato che la portata precisa dell’esenzione resta incerta, suggerendo una valutazione caso per caso di ciascun sistema (Aurum). Le autorità dell’Unione non hanno ancora fornito una definizione operativa di «modo decentralizzato». Una guidance di livello 3 da parte di ESMA è attesa nel corso del 2026 (Aurum; da verificare nei tempi e nei contenuti).

Cosa significa per il cliente? Significa che oggi non c’è un porto sicuro documentale. Non esiste una checklist ufficiale da spuntare per dire «ecco, sono fuori da MiCA, carta alla mano». C’è un criterio sostanziale – il controllo effettivo – che verrà riempito di contenuto a posteriori, sentenza dopo sentenza, linea guida dopo linea guida. Chi costruisce oggi un protocollo contando sull’esenzione sta scommettendo su come ESMA interpreterà domani una parola che oggi non è definita. Non è una scommessa che consiglierei a cuor leggero.

3. La fotografia di Bruxelles: il rapporto congiunto EBA-ESMA

Il 16 gennaio 2025 EBA ed ESMA hanno pubblicato il rapporto congiunto sui recenti sviluppi delle cripto-attività, contributo alla relazione che la Commissione europea deve presentare ai sensi dell’articolo 142 di MiCAR, dedicato proprio a finanza decentralizzata, prestito, indebitamento e staking (EBA; Joint Report, art. 142 MiCAR, PDF).

I numeri sgonfiano molta retorica. La DeFi resta un fenomeno di nicchia: il valore bloccato nei protocolli rappresenta circa il 4% del valore complessivo del mercato cripto a livello globale. L’adozione nell’Unione, pur sopra la media mondiale, è inferiore a quella di altre economie sviluppate, come Stati Uniti e Corea del Sud. I mercati UE di lending e borrowing in DeFi valgono circa 1,8 miliardi di euro, lo staking circa 3,6 miliardi (Joint Report EBA-ESMA, gennaio 2025; Morgan Lewis).

Un dettaglio che vale come allarme: il rapporto osserva che il numero di attacchi alla DeFi e il valore delle cripto sottratte sono cresciuti in correlazione con la dimensione del mercato. I rischi principali – vulnerabilità del codice degli smart contract, sfruttamento dei meccanismi economici, tecniche come il Maximum Extractable Value – non sono ipotesi accademiche, sono cronaca (Joint Report EBA-ESMA, gennaio 2025; CMS).

Va detto con onestà: il rapporto è di natura analitica e non avanza raccomandazioni di policy né proposte legislative alla Commissione (EBA; CMS). È una fotografia, non un disegno di legge. Ma le fotografie, a Bruxelles, sono il primo fotogramma delle leggi che verranno. La Commissione è mandata dall’art. 142 a valutare la necessità e la fattibilità di regolare la DeFi e il prestito di cripto-attività: la riflessione è aperta, e una normativa dedicata alla DeFi entro il 2026 è uno scenario discusso (Cointribune; da verificare).

4. Gli NFT: fuori da MiCA, finché non rientrano dalla finestra

Sugli NFT la regola di partenza è semplice. MiCA non si applica alle cripto-attività uniche e non fungibili con altre cripto-attività (art. 2, par. 3, MiCA; considerando 10 e 11). Il quadro NFT da collezione, l’opera d’arte digitale autenticamente irripetibile: restano fuori. Ma il diavolo, come sempre, sta nelle eccezioni, e qui le eccezioni sono due lame ben affilate.

Prima lama, la frazionatura. Il considerando 11 stabilisce che le frazioni di una cripto-attività unica e non fungibile non vanno considerate uniche e non fungibili (MiCA, considerando 11). Spezzi l’NFT in mille quote vendibili, e ciascuna quota perde lo scudo: torna potenzialmente cripto-attività regolata.

Seconda lama, le serie ampie. Sempre il considerando 11: l’emissione di NFT in «grandi serie o collezioni» va considerata un indicatore di fungibilità, e la mera attribuzione di un identificativo unico non basta, di per sé, a classificare l’asset come unico e non fungibile (MiCA, considerando 11; Crystal Intelligence). Tradotto per chi lancia una collezione da diecimila pezzi tutti sostanzialmente intercambiabili: la chiami NFT, ma il regolatore potrebbe leggerla come una serie fungibile travestita. La sostanza batte l’etichetta.

Il rischio ulteriore è un secondo salto: se quella stessa serie incorpora aspettative di rendimento, diritti economici o profili da investimento collettivo, non solo rientra in MiCA – può addirittura scavalcarla e finire sotto MiFID II come strumento finanziario. La griglia di MiCA non è l’unica in campo, ed è il prossimo punto.

5. La trappola peggiore: diventare strumento finanziario o CASP «di fatto»

Molti operatori ragionano come se l’unica alternativa fosse «dentro MiCA» o «fuori da tutto». È un errore di prospettiva che può costare carissimo. Esiste una terza casella, ed è la più pesante: lo strumento finanziario ai sensi di MiFID II.

Il 17 dicembre 2024 ESMA ha pubblicato le linee guida sulle condizioni e i criteri per la qualificazione delle cripto-attività come strumenti finanziari (ESMA75453128700-1323, Final Report). Il principio cardine è la neutralità tecnologica: non conta con quale tecnologia un asset è emesso e trasferito. Se un asset digitale, pur girando su DLT, possiede i requisiti dello strumento finanziario, è trattato come tale e resta regolato da MiFID II (ESMA, Final Report 17 dicembre 2024). Il token «cripto» non è un salvacondotto: se cammina come un valore mobiliare e rende come un valore mobiliare, è un valore mobiliare.

C’è poi un cono d’ombra che riguarda direttamente la DeFi più evoluta: i protocolli di liquid staking e gli aggregatori di rendimento che mettono insieme capitale, lo investono secondo strategie automatizzate e ridistribuiscono i ritorni potrebbero qualificarsi come organismi di investimento collettivo (CIU/OICR), facendo scattare gli obblighi della disciplina AIFMD o UCITS (Guideline 4, ESMA, Final Report 17 dicembre 2024; analisi di operatori di settore). Qui non si parla più di MiCA: si parla di gestione collettiva del risparmio, un livello di vigilanza ben più severo.

Accanto a questo, il rischio del CASP «di fatto». Se dietro un’interfaccia presentata come decentralizzata c’è un soggetto che presta in concreto un servizio sulle cripto-attività – gestione di ordini, custodia, exchange, consulenza – quel soggetto è un prestatore di servizi sulle cripto-attività, etichetta DeFi o no, e gli serve l’autorizzazione. La forma decentralizzata non cancella la sostanza del servizio prestato (PwC Legal; Aurum).

Attività	Regola di partenza	Dove scatta il rischio
DeFi «completamente decentralizzata»	Fuori da MiCA (considerando 22)	Anche parziale decentralizzazione → MiCA si applica
NFT unico e irripetibile	Fuori da MiCA (art. 2.3; considerandi 10-11)	Frazionatura o grandi serie → fungibilità → dentro
Staking / liquid staking	Non disciplinato in modo specifico da MiCA	Pooling + strategia + rendimento → possibile OICR (AIFMD/UCITS)
Lending / borrowing	Fuori dal perimetro CASP di MiCA	Sotto osservazione UE (art. 142); possibile futura disciplina
Token con diritti economici / rendimento	—	Strumento finanziario → MiFID II (neutralità tecnologica)

6. Staking e lending: il limbo regolatorio sotto osservazione

Staking e lending sono il cuore economico della DeFi, e sono anche il punto in cui la mappa regolatoria è più sfocata. MiCA non li disciplina come servizi autonomi e tipizzati: non c’è un «servizio di staking» nell’elenco delle attività CASP. Il che non significa che siano liberi: significa che vivono in un limbo, dove la qualificazione dipende da come l’attività è concretamente strutturata.

Il rapporto congiunto EBA-ESMA li ha messi espressamente sotto la lente proprio perché l’art. 142 di MiCAR chiede alla Commissione di valutare la fattibilità e la necessità di regolare il prestito e l’indebitamento di cripto-attività (Joint Report, gennaio 2025; Lexology). Per ora l’impegno UE su questi consumatori e istituzioni finanziari risulta limitato, ma «sotto osservazione» è esattamente la condizione che precede una regola.

Il messaggio al cliente che fa staking o lending è duplice. Da un lato, oggi nessuno gli rilascerà un’autorizzazione «di staking», perché la categoria non esiste come tale. Dall’altro, l’assenza di una casella non è immunità: se la struttura assomiglia alla gestione collettiva, alla raccolta di depositi o alla prestazione di un servizio finanziario, scattano le discipline esistenti – AIFMD, normativa bancaria, MiFID II – che non aspettano una legge nuova per mordere. La via prudente è mappare la singola operazione contro tutte le griglie, non solo contro MiCA.

7. DAO e sviluppatori: chi paga quando non c’è nessuno da citare?

Ed eccoci alla domanda che spaventa di più, e che la retorica della decentralizzazione preferisce non sentire. Se un protocollo è di tutti, di chi è la responsabilità quando qualcosa va storto? La risposta che si sta consolidando nei tribunali, soprattutto d’oltreoceano, è brutale: di chi controllava, anche se diceva di non controllare.

Alcune corti hanno qualificato le DAO prive di una struttura giuridica adeguata come società di fatto (unincorporated partnership), esponendo a responsabilità personale i partecipanti alla governance, i membri e gli investitori (Coinlib). Il precedente più citato resta il caso bZeroX / Ooki DAO: nel 2022 la CFTC statunitense ha contestato l’esercizio di una piattaforma di trading illegale e ha chiamato a rispondere, come convenuti individualmente responsabili, i titolari di token che avevano votato nella governance – segnalando che un regolatore è disposto a colpire i singoli partecipanti anche in assenza di una struttura societaria tradizionale (Blockchain Council). È giurisprudenza statunitense, non europea, e va maneggiata come tale (da verificare la trasponibilità nell’UE), ma indica una direzione che i giudici tendono a seguire.

Per gli sviluppatori il discorso è speculare. Chi costruisce e mette in produzione uno smart contract con una vulnerabilità nota, senza far svolgere un audit serio del codice, può esporsi a pretese per colpa (negligenza) quando quella falla viene sfruttata (Nadcab). I modelli emergenti distribuiscono la responsabilità in proporzione al controllo e alla partecipazione: titolari di token di governance, sviluppatori, operatori di nodo condividono la responsabilità secondo il ruolo effettivo nel sistema (Blockchain Council). La decentralizzazione, paradossalmente, non dissolve la responsabilità: la moltiplica e la sparpaglia su più teste.

8. L’enforcement non è un’ipotesi: i supervisori sono già al lavoro

Chi pensa che, in attesa della guidance 2026, ci sia una tregua, si illude. Con le finestre transitorie nazionali in chiusura – dal 1° luglio 2025 nei Paesi Bassi fino al 1° luglio 2026 negli Stati membri più lenti – tutti i soggetti regolati devono essere pienamente conformi, e le autorità nazionali (BaFin in Germania, AMF in Francia, AFM nei Paesi Bassi) stanno già conducendo revisioni di vigilanza, controlli a campione e indagini per verificare il rispetto di MiCA (InnReg). La fase dell’attesa indulgente è finita.

Per chi opera dietro l’ombrello DeFi questo cambia il calcolo del rischio. Finché il supervisore non guardava, l’etichetta «decentralizzato» era una scommessa quasi gratuita. Ora che guarda, la scommessa ha un costo: se l’autorità riqualifica il servizio come CASP non autorizzato o come strumento finanziario offerto senza i requisiti, la conseguenza non è un richiamo, è un procedimento.

9. Cosa dire, davvero, al cliente che opera in DeFi

Riduco tutto all’osso, perché è qui che si misura l’utilità di un avvocato. Primo: l’esenzione del considerando 22 non è un’etichetta che ci si appiccica, è un test sostanziale sul controllo effettivo lungo tutto il ciclo di vita del servizio – e quasi nessun protocollo lo supera per intero. Secondo: la decentralizzazione parziale non sconta nulla; basta un pezzo accentrato – front-end, chiavi di upgrade, tesoreria, governance riconducibile – per far rientrare tutto in MiCA.

Terzo: sugli NFT, attenzione alle due lame – frazionatura e grandi serie – che trasformano l’oggetto «unico» in cripto-attività fungibile regolata; e se l’NFT incorpora rendimento, il salto successivo è MiFID II. Quarto: staking e lending vivono in un limbo sotto osservazione UE; non c’è una casella, ma le discipline esistenti (OICR, banca, MiFID II) possono mordere lo stesso. Quinto: nelle DAO e per gli sviluppatori la responsabilità personale non è teoria – si distribuisce sul controllo effettivo, e chi vota, chi aggiorna, chi scrive il codice difettoso può essere chiamato a rispondere.

Non prometto a nessuno che strutturarsi in un certo modo lo metterà al riparo: la deontologia mi vieta di promettere risultati (art. 17 del Codice deontologico forense), e in un terreno dove il regolatore stesso ammette di non aver ancora tracciato la linea, garantire un esito sarebbe disonesto. Dico una cosa diversa, e più utile. La zona grigia della DeFi non è uno spazio di libertà: è uno spazio di incertezza, e l’incertezza, in diritto, è rischio a carico di chi ci opera. Mappare quel rischio prima di costruire – chi controlla, cosa rende, come è strutturato – non è eccesso di prudenza. È l’unico modo per non scoprire la regola il giorno in cui il supervisore bussa.

Tutte le affermazioni di questo articolo sono ancorate a fonti verificabili e datate, citate inline. I dati riflettono le informazioni disponibili al 24 giugno 2026 e vanno verificati alla luce degli sviluppi successivi.