C’è una domanda che sembra tecnica e invece decide tutto: se i tuoi dati stanno su un server acceso a Francoforte, ma la società che quel server lo gestisce ha sede negli Stati Uniti, quei dati sono al sicuro dalla legge americana? La risposta breve è no, non automaticamente. Ed è esattamente il punto da cui nasce tutta la discussione europea sul cloud sovrano.
Per anni la parola “sovrano” è stata usata come sinonimo di “tenuto qui”. Nel 2026 l’Unione europea sta provando a dire una cosa diversa e più scomoda: il luogo fisico è solo uno degli ingredienti, e da solo non basta. Se ti chiedi perché l’Europa stia mettendo mano a regole nuove invece di limitarsi a chiedere data center sul proprio territorio, la risposta sta qui. Il quadro complessivo di questa strategia lo abbiamo ricostruito nell’articolo sul Cloud and AI Development Act e su cosa cambia per l’Europa; questa pagina si occupa di una cosa sola, la più fraintesa: cosa vuol dire “sovrano”, in concreto, nel linguaggio delle regole europee.
Dove stanno i dati e chi comanda su quei dati sono due domande diverse
Partiamo dalla confusione. Localizzazione significa stabilire in quale Paese si trovano fisicamente i server che conservano ed elaborano le informazioni. Dipendenza giuridica significa invece stabilire quali leggi possono essere fatte valere sull’azienda che quei server li possiede e li amministra. Sono due cose separate, e possono benissimo non coincidere.
L’analisi dell’Atlantic Council, il think tank statunitense che si occupa di relazioni internazionali, lo mette nero su bianco: un’infrastruttura collocata in Europa può comunque appartenere a un gruppo che resta soggetto anche alle norme del proprio Paese d’origine. Tenere le informazioni dentro i confini dell’Unione, da questa prospettiva, non cancella di per sé il legame con un ordinamento straniero. Il documento nasce da due tavole rotonde di maggio e giugno 2026, e fissa il concetto in una formula che vale la pena ricordare: la posizione del server è solo metà della risposta, l’altra metà è l’ordinamento a cui risponde chi lo amministra.
È una distinzione che quasi nessuno spiega, ma che ribalta il modo di leggere le offerte commerciali. Quando un fornitore dichiara “i tuoi dati restano in Europa”, sta rispondendo alla prima domanda. Non alla seconda.
Un esempio vero: dal 18 agosto 2026 il conflitto è concreto
Fino a poco tempo fa questo era un ragionamento da giuristi. Poi è diventato un problema operativo, con una data precisa.
Il 18 agosto 2026 è diventato applicabile il regolamento europeo sull’e-Evidence. In parole semplici: è la norma che permette a un magistrato di uno Stato membro di chiedere direttamente a un fornitore di servizi digitali attivo in un altro Stato dell’Unione di consegnare o congelare dati utili a un’indagine. Messaggi, file, indirizzi IP, informazioni sugli account. Prima serviva passare dai canali di cooperazione giudiziaria tradizionali, molto più lenti; ora la richiesta viaggia in modo diretto.
Più è veloce quel meccanismo, però, più emerge l’attrito con le regole americane. Secondo l’Atlantic Council un fornitore che risponde contemporaneamente alle norme europee e a quelle statunitensi può ritrovarsi davanti a obblighi tra loro incompatibili: da una parte un’autorità che pretende la consegna delle informazioni, dall’altra una legge che ne vieta la divulgazione. Non è un cavillo: è la stessa azienda che riceve due ordini opposti e deve per forza disobbedire a uno dei due.
La via d’uscita immaginata da tempo sarebbe un’intesa tra Unione europea e Stati Uniti nel quadro del CLOUD Act, la legge americana che disciplina l’accesso delle autorità statunitensi ai dati detenuti dalle aziende del Paese. Un accordo del genere creerebbe un percorso riconosciuto per le richieste, riducendo i cortocircuiti. Ma i partecipanti ai workshop del think tank riferiscono che quei negoziati sono fermi, congelati dal peggioramento del clima politico tra le due sponde dell’Atlantico. E il documento aggiunge un avvertimento utile a chi cerca scorciatoie tecniche: nessuna soluzione puramente tecnologica può eliminare un conflitto tra le norme di due ordinamenti sovrani.
Perché la vecchia strada della certificazione si è bloccata
Il primo tentativo europeo di dare una definizione a tutto questo si chiamava EUCS, sigla che sta per lo schema europeo di certificazione dei servizi cloud. Una certificazione, semplificando, è un bollino: un ente verifica che un servizio rispetti certi requisiti e lo attesta, così chi compra sa cosa sta comprando senza doverlo controllare da solo.
Il problema è che dentro quel bollino qualcuno voleva infilare anche la sovranità. Nel 2025 la discussione verteva proprio su questo: se subordinare il livello di sicurezza più alto a condizioni come la conservazione dei dati nell’Unione, il controllo societario europeo e l’immunità dalle leggi extraterritoriali, cioè dalle norme che uno Stato pretende di applicare anche fuori dai propri confini. Il risultato è stato un blocco che dura ancora: l’EUCS non è stato abbandonato e compare tuttora tra gli schemi in preparazione presso l’Enisa, l’agenzia europea per la cybersicurezza, ma il percorso non è mai arrivato in fondo.
Il think tank tedesco Cep, in un report di oltre un anno fa, aveva individuato la ragione del blocco: usare una certificazione tecnica di sicurezza informatica per inseguire obiettivi di autonomia strategica esponeva il progetto a contestazioni giuridiche e commerciali. La proposta del Cep era di adottare rapidamente l’EUCS senza requisiti di sovranità e trattare quest’ultima con leggi ordinarie, passando da Parlamento e Consiglio.
Che il problema fosse anche di meccanismo lo si capisce da un confronto: l’EUCC, che riguarda i prodotti informatici, ha avuto via libera nel 2024 e si applica a partire dal 27 febbraio 2025. Uno è arrivato, l’altro no. Il 20 gennaio 2026 la Commissione ha presentato una revisione del Cybersecurity Act — la legge che regge l’intero sistema europeo di certificazione — per rendere le procedure più rapide e prevedibili, con un obiettivo indicativo di dodici mesi per sviluppare uno schema.
La svolta: quattro livelli invece di una risposta sola
Dal 3 giugno 2026 la sovranità ha cambiato contenitore. Quel giorno la Commissione ha presentato la proposta di regolamento nota come CADA, acronimo di Cloud and AI Development Act, tassello centrale del Tech Sovereignty Package.
Il pilastro che riguarda questa pagina è il terzo: una griglia comune per misurare quanto sovrani siano cloud e intelligenza artificiale. È costruita su quattro livelli di garanzia via via più stringenti, i cui criteri stanno nell’Allegato II della proposta. Servono a orientare la scelta del fornitore nelle funzioni della pubblica amministrazione. Il salto logico è questo: non si cerca più una risposta unica alla domanda “questo cloud è europeo, sì o no?”. Si stabilisce invece quanto controllo — operativo, giuridico, tecnologico — serva per uno specifico carico di lavoro. Un archivio amministrativo di routine e un sistema da cui dipende la continuità di un’infrastruttura critica smettono di essere trattati allo stesso modo.
È esattamente il compromesso che l’Atlantic Council suggerisce, dopo aver messo a confronto le due tesi opposte emerse nei workshop. Per alcuni esperti la portabilità non basta a cancellare il rischio legale. Un fornitore con sede negli Stati Uniti resta soggetto a certe disposizioni americane anche quando le informazioni stanno fisicamente nell’Unione. In quest’ottica, per i sistemi più sensibili, la proprietà europea dell’infrastruttura diventa parte della garanzia e non una misura protezionistica. Per altri, applicare requisiti di proprietà così stretti anche agli usi ordinari farebbe salire i costi e ridurrebbe la capacità disponibile, spingendo verso alternative europee che non hanno ancora la varietà di servizi dei grandi operatori americani. Da qui la doppia raccomandazione del think tank: criteri limpidi per distinguere un livello dall’altro, e vincoli sull’assetto proprietario solo dove una ragione concreta di sicurezza nazionale li giustifichi.
Vale la pena notare una cosa che le due analisi hanno in comune pur arrivandoci per strade diverse: quello che il policy paper propone come raccomandazione — livelli differenziati invece di una regola unica — la proposta della Commissione lo ha già scritto in un articolato. Non è un’idea in cerca di autore, è una scelta legislativa già formalizzata in attesa di negoziato.
Sovrano non vuol dire fare tutto da soli
C’è un secondo equivoco da sciogliere. Sovranità non è sinonimo di autarchia, cioè di fare a meno di chiunque non sia europeo.
La Commissione presenta il nuovo impianto come uno strumento per rafforzare l’autonomia digitale e proteggere applicazioni critiche e dati sensibili, e nello stesso tempo dichiara che il mercato deve restare in gran parte accessibile ai partner giudicati affidabili. La ragione è pratica prima ancora che politica: l’Europa non dispone oggi di un hyperscaler — cioè un fornitore cloud di scala globale come Amazon Web Services, Microsoft Azure o Google Cloud — paragonabile ai leader americani, e difficilmente potrebbe rimpiazzare in tempi brevi l’intera tecnologia che importa.
Sui numeri della dipendenza, le fonti disponibili raccontano la stessa parabola con misurazioni diverse. Il Cloud & AI Study, che la direzione generale Connect ha commissionato e che è stato chiuso nel luglio 2026, assegna agli operatori hyperscale extra-Ue circa il 72% del mercato dell’Unione. Nello stesso documento la fetta in mano ai fornitori europei scende al 13% nel 2022, contro il 27% di cinque anni prima. Il giurista Giovanni Maria Riccio, che ha commentato la proposta CADA, cita per gli stessi anni un calo dal 29% a circa il 15%. Due rilevazioni distinte, un solo verdetto: in cinque anni la quota europea si è all’incirca dimezzata. Ed è anche il motivo per cui la sovranità non si risolve costruendo capannoni: la carenza di potenza di calcolo in Europa è un problema reale, ma lo stesso studio mette in guardia: avere i capannoni sul proprio territorio non produce da solo l’autonomia tecnologica.
Gli indicatori che contano davvero
Se la nazionalità della società non è l’unico criterio, quali sono gli altri? Dalle analisi emerge una lista concreta di elementi che misurano quanto una dipendenza sia reversibile:
- Portabilità dei carichi di lavoro: la possibilità effettiva di spostare applicazioni e dati verso un altro fornitore, non solo sulla carta.
- Interoperabilità: far dialogare sistemi diversi attraverso standard e protocolli comuni, così da non restare incastrati su un’unica piattaforma — quello che nel settore si chiama lock-in.
- Accesso alle chiavi crittografiche: chi detiene le chiavi che aprono i dati cifrati.
- Trasparenza sulla catena dei subfornitori: sapere chi c’è davvero dietro il servizio, oltre al nome sul contratto.
Su questi indicatori l’Atlantic Council solleva un’obiezione che vale la pena riportare: sul piano tecnico la libertà di cambiare fornitore conta poco finché nessun concorrente regge il confronto su servizi, prestazioni e dimensioni. Vale anche per l’open source, cioè il software a codice aperto: essendo costruito da comunità internazionali con componenti di molti Paesi, sostituire un prodotto americano con un equivalente aperto non produce da solo autonomia. Quello che conta è se in Europa ci sono le competenze per controllare, verificare e mantenere quel codice.
Quando tutto questo diventa una regola vera
Ultimo punto, ed è quello che ridimensiona ogni titolo allarmato. Il CADA, alla data di agosto 2026, è una proposta: la Commissione l’ha presentata, ma deve ancora attraversare Parlamento europeo e Consiglio. Non è cambiato nulla, per ora, per chi compra o vende servizi cloud.
Riccio stima in due o tre anni il percorso parlamentare ordinario: prima del 2028-2029, quindi, difficilmente amministrazioni e fornitori si troveranno davanti obblighi veri. Nel frattempo il testo può cambiare, e le posizioni divergono già apertamente: per l’associazione di settore CCIA Europe quel quadro rischia di discriminare chi non è europeo; sul fronte opposto, altre voci istituzionali vogliono requisiti di autonomia più severi dove la sicurezza nazionale è in gioco.
Chi acquista servizi cloud non si muove però nel vuoto normativo in attesa del CADA. Dal settembre 2025 il Data Act si applica per intero, e già oggi impone a chi tratta dati per conto altrui di opporsi agli accessi illeciti richiesti dai governi di Paesi terzi. E il pacchetto sulla cybersicurezza del gennaio 2026 comprende anche modifiche alla direttiva Nis2, che fissa gli obblighi di sicurezza informatica per i settori critici. Il rischio opposto, come segnala l’analisi di Veronica Balocco su queste norme, è semmai la stratificazione. Data Act, Gdpr, Nis2, Cybersecurity Act, l’eventuale EUCS e il futuro CADA insistono tutti sugli stessi temi da prospettive diverse. Bruxelles dovrà evitare che l’autonomia strategica generi una nuova frammentazione delle regole proprio mentre cerca di ridurre quella tra Stati membri.
Come si è visto in apertura, la domanda giusta non è se un cloud sia europeo. È un’altra, e il CADA prova a renderla misurabile su quattro gradini: quanto controllo serve per questa cosa specifica, e quanto sarebbe realistico cambiare fornitore se domani diventasse necessario. La misura della sovranità digitale, alla fine, non è quanti fornitori stranieri vengono esclusi, ma quanto è credibile la possibilità di continuare a lavorare anche quando cambiare partner diventa indispensabile. Quella libertà di scelta non nasce solo dalle regole: servono infrastrutture e serve una domanda che le sostenga. Ecco perché Bruxelles insiste tanto sugli acquisti delle pubbliche amministrazioni come leva di mercato.
Lascia un commento