Ogni volta che apri una cartella condivisa di lavoro, chiedi qualcosa a un chatbot o consulti il fascicolo sanitario del tuo Comune, quei dati passano quasi sempre da un data center che non appartiene a un’azienda europea. È una constatazione banale, ed è esattamente il punto da cui parte la partita politica più importante che l’Unione europea sta giocando sulla tecnologia.
Porta la data del 3 giugno 2026 la proposta di regolamento che a Bruxelles chiamano Cloud and AI Development Act, in sigla CADA. Non è ancora una legge: è l’inizio di un percorso che, secondo la stima del professor Giovanni Maria Riccio dell’Università di Salerno, richiederà due o tre anni, con i primi obblighi concreti attesi non prima del 2028-2029. Ma il modo in cui verrà scritta deciderà una cosa molto concreta: quanto costerà e quanto sarà affidabile l’infrastruttura digitale su cui poggiano scuola, sanità, banche e imprese europee nei prossimi dieci anni.
Che cos’è il cloud sovrano, detto senza gergo
Prima di tutto il vocabolario, perché qui si nasconde metà del problema. Il cloud è semplicemente l’insieme dei computer di qualcun altro su cui girano i tuoi programmi e stanno i tuoi file: invece di comprare un server, un’azienda o un ospedale lo affitta a consumo. Gli hyperscaler sono i pochissimi operatori che gestiscono quei computer su scala planetaria, con centinaia di migliaia di macchine. Sovranità digitale, infine, è la parola che i governi usano per indicare quanto controllo hanno davvero su quelle macchine e sui dati che ci passano dentro.
La tentazione è pensare che sovranità voglia dire “server piantati sul suolo europeo”. L’analisi pubblicata dal think tank statunitense Atlantic Council spiega perché non basta: un impianto costruito in Europa può comunque essere gestito da un gruppo che risponde anche alle leggi del proprio Paese d’origine. La geografia dei dischi non cancella la giurisdizione dell’azienda. È una differenza che sembra da avvocati e invece si sente in bolletta, come vedremo.
Nel dibattito europeo del 2026 la definizione si è spostata di conseguenza. Non più un’etichetta binaria — dentro o fuori a seconda della bandiera del fornitore — ma la capacità concreta di scegliere, verificare e all’occorrenza cambiare fornitore. Portabilità dei carichi di lavoro, possibilità di tenere le chiavi di cifratura, trasparenza su chi sono i subfornitori: sono questi, oggi, gli indicatori che contano quanto la nazionalità di chi firma il contratto. Su come questa idea si traduca in regole scritte, e sui quattro livelli di garanzia previsti dalla proposta, abbiamo dedicato un approfondimento a parte su cosa significa davvero “cloud sovrano” nelle regole europee.
Quanto è dipendente l’Europa, in numeri
I numeri sulla concentrazione del mercato sono il cuore della questione, e vale la pena leggerli con attenzione perché le fonti non coincidono del tutto.
Il Cloud & AI Study, completato nel luglio 2026 su incarico della Commissione (nello specifico della sua Direzione generale Connect), assegna ai fornitori hyperscale non europei circa il 72% del mercato dell’Unione. Gli operatori del continente, nella stessa rilevazione, passano dal 27% al 13%: il primo valore è del 2017, il secondo del 2022. Riccio, commentando la proposta CADA, cita invece un calo dal 29% a circa il 15% nello stesso arco di anni. Le due letture divergono di un paio di punti, probabilmente per il perimetro di mercato considerato, ma raccontano la stessa traiettoria: in cinque anni i fornitori del continente hanno perso circa metà della quota che avevano. Nessuna delle due versioni descrive un mercato in equilibrio.
C’è poi un dato più vecchio, citato nel report del think tank Cep insieme alle valutazioni del rapporto Draghi: secondo Synergy Research Group, Amazon Web Services, Microsoft Azure e Google Cloud tenevano insieme circa due terzi del mercato. Lo studio della Commissione aggiunge poi la proiezione che rende il tema urgente proprio adesso. Entro il 2027, secondo quelle stime, più di un megawatt su due installato nei data center del pianeta farà capo a un hyperscaler.
Il salto rispetto al passato è che questi operatori non affittano più soltanto spazio e potenza di calcolo. Controllano anche le piattaforme software, i servizi e sempre di più i modelli di intelligenza artificiale che ci girano sopra. Chi noleggia la sala macchine vende anche gli attrezzi.
Il problema fisico: mancano megawatt, non buone intenzioni
La seconda gamba della questione non è giuridica ma industriale, e si misura in energia elettrica. Sul 2025 il Cloud & AI Study mette in fila due grandezze: la domanda dei data center nei Ventisette si è fermata attorno ai 15,3 GW, mentre l’offerta effettivamente disponibile arrivava a 12,4 GW. Ne manca all’appello circa un quinto, vale a dire quei 3 GW che oggi separano ciò che serve da ciò che c’è.
Per dare una misura a chi non maneggia queste unità: un gigawatt è l’ordine di grandezza di una grande centrale elettrica. Il divario attuale, quindi, vale già un paio di centrali. E la traiettoria è il vero allarme: lo scenario di base dello studio, quello che presuppone politiche invariate, porta il buco intorno ai 14 GW quando si arriverà al 2030, e a quota 20 GW nel 2036. Vuol dire moltiplicarlo per sei o sette in poco più di un decennio.
Gli autori dello studio mettono però un paletto importante, e va riportato: non sostengono che la carenza sia inevitabile. Descrivono un rischio concreto che la costruzione di infrastrutture non stia dietro alla crescita della domanda, non una profezia. La differenza conta, perché è proprio sulla possibilità di piegare quella curva che si gioca l’intervento pubblico. Le cause del ritardo — autorizzazioni che possono arrivare a quattro anni, reti elettriche sature, acqua per il raffreddamento, un prezzo di costruzione che lo studio colloca sui 12,7 milioni di euro ogni megawatt realizzato — le abbiamo raccolte nell’analisi su perché in Europa costruire data center è così lento.
Perché la dipendenza non è un problema solo dei governi
Qui arriva la domanda che riguarda chiunque usi servizi digitali: cosa cambia se l’infrastruttura è straniera?
Nei workshop organizzati nel maggio e giugno 2026 dalla Democracy + Tech Initiative, da cui nasce l’analisi dell’Atlantic Council, alcuni partecipanti hanno evocato lo scenario estremo — l’ipotesi che l’accesso a tecnologie indispensabili venga limitato o interrotto per ragioni politiche. Il documento è però onesto nel dire che su quanto sia realistico non c’è affatto consenso tra gli esperti: una parte lo considera poco probabile e ricorda che infrastrutture globali molto sensibili hanno continuato a funzionare anche quando singoli Paesi ne sono stati esclusi.
L’effetto più probabile è un altro, e più prosaico: quando i fornitori sono pochi, il cliente ha poco potere contrattuale. Lo studio della Commissione lo dice in modo esplicito quando spiega che abbassare i costi di cambio fornitore serve a ridurre il rischio di restare bloccati su una piattaforma e ad aumentare la capacità negoziale di chi compra. Tradotto: se spostare i propri dati altrove è tecnicamente possibile ma costosissimo, il prezzo lo fa il venditore. Vale per l’ospedale che rinnova il contratto e, alla fine della catena, per la tariffa del servizio che tu paghi.
L’Atlantic Council aggiunge un’obiezione che smonta la soluzione facile. Poter cambiare fornitore in teoria vale poco se non esiste nessun altro fornitore in grado di offrire prestazioni e servizi equivalenti. La portabilità senza alternative è una porta aperta su un muro. Ed è la ragione per cui l’Unione, oltre a scrivere regole, sta cercando di far nascere capacità industriale vera.
Quando la legge di un altro Paese arriva sui tuoi dati
C’è un episodio, in queste settimane, che mostra il problema in modo tangibile invece che teorico.
Dal 18 agosto 2026 è diventato applicabile il regolamento europeo sull’e-Evidence, che permette alle autorità giudiziarie di uno Stato membro di chiedere direttamente a un fornitore di servizi con sede in un altro Stato la consegna o la conservazione di prove digitali: messaggi, file, indirizzi Ip, dati di un account. Serve a rendere più rapide le indagini, che oggi passano da procedure di cooperazione tra Stati notoriamente lente.
Proprio quella rapidità fa emergere il cortocircuito. Secondo l’Atlantic Council un fornitore soggetto insieme alle regole europee e a quelle statunitensi può ritrovarsi davanti a obblighi incompatibili: un’autorità gli ordina di consegnare informazioni, la legge dell’altro ordinamento gliene vieta la divulgazione. Non è un bug tecnico da correggere con un aggiornamento; il documento è netto nel dire che nessuna soluzione puramente tecnica cancella un conflitto tra le norme di due Stati sovrani.
La via d’uscita strutturale sarebbe un’intesa tra Unione europea e Stati Uniti nel quadro della legge americana nota come CLOUD Act, che stabilisca un canale riconosciuto per queste richieste. Ma i negoziati, riferiscono i partecipanti ai workshop, risultano fermi proprio per il peggioramento del clima politico tra le due sponde. Ecco perché la questione di dove stanno i tuoi dati è diventata, nel 2026, una questione di politica estera.
La strategia europea: tre cantieri aperti insieme
Di fronte a questo quadro Bruxelles ha cambiato metodo, ed è il passaggio meno raccontato.
Per anni la sovranità del cloud si è discussa dentro un unico contenitore: l’EUCS, il progetto di certificazione europea per i servizi cloud, cioè un bollino che avrebbe dovuto attestare quanto un servizio è sicuro. Il punto controverso era se legare il livello più alto del bollino a condizioni come la sede societaria nell’Unione o l’immunità dalle leggi extraterritoriali. Il progetto si è arenato e non è ancora concluso: l’agenzia europea Enisa lo elenca tuttora tra gli schemi in preparazione, accanto a quelli su 5G, portafogli di identità digitale e servizi gestiti di sicurezza.
Il think tank Cep aveva suggerito di sciogliere il nodo separando le cose: adottare in fretta la certificazione senza requisiti di sovranità, e affrontare la sovranità con leggi ordinarie, discusse da Parlamento e Consiglio. È in sostanza la direzione presa. Oggi i cantieri sono tre e distinti:
- Il riesame del Cybersecurity Act, sul tavolo dal 20 gennaio 2026, pensato per dare al sistema europeo di certificazione tempi più rapidi e prevedibili: l’obiettivo indicativo è arrivare a uno schema in dodici mesi.
- Il Cloud and AI Development Act del 3 giugno 2026, che porta la sovranità dentro la politica industriale e gli acquisti pubblici.
- Il quadro normativo già in vigore — Data Act, pienamente applicabile da settembre 2025, che contiene già obblighi contro gli accessi illeciti ai dati da parte di governi di Paesi terzi, più Gdpr e Nis2.
Il CADA non viaggia da solo: fa parte di un pacchetto più ampio presentato lo stesso 3 giugno, che l’Atlantic Council chiama European Technological Sovereignty Package e che comprende anche il Chips Act 2.0 sui semiconduttori, una strategia europea per il software open source e una tabella di marcia su digitale e intelligenza artificiale nell’energia.
La proposta CADA poggia su tre assi: ricerca e sviluppo sulle frontiere dell’intelligenza artificiale, potenziamento delle infrastrutture — con l’obiettivo dichiarato di triplicare il mercato europeo dei data center in cinque-sette anni — e il nuovo quadro europeo di valutazione della sovranità del cloud, organizzato in quattro livelli crescenti di garanzia.
Il vero motore: chi compra, non chi vieta
La leva su cui l’Unione punta di più non è un divieto ma un acquisto. Le pubbliche amministrazioni europee sono tra i più grandi clienti possibili per i servizi cloud, e usare quei contratti per premiare fornitori interoperabili e verificabili significa orientare il mercato senza chiudere le frontiere.
Lo studio della Commissione ha messo a confronto le opzioni con tanto di stime di costo e di risparmio. Sulla capacità infrastrutturale, l’intervento legislativo e finanziario a livello europeo risulta il più efficiente nella modellizzazione: 44,1 milioni di euro di costi contro 8,5 miliardi di risparmi. Sul fronte dell’adozione, il pacchetto più ambizioso — acquisti congiunti, un marketplace europeo, sostegno alle Pmi e misure sull’open source — costa nello scenario centrale 4,60 miliardi e ne farebbe risparmiare 50,65. Sono stime di uno studio a supporto delle politiche, non decisioni già prese, e vanno lette per quello che sono. Il confronto tra le opzioni, chi le preferisce e perché l’idea di una federazione cloud delle amministrazioni pubbliche sia diventata centrale lo abbiamo ricostruito nell’articolo su come gli appalti pubblici possono cambiare il mercato del cloud.
Il rischio che nessuno ha deciso
Resta la domanda scomoda, ed è quella su cui l’Atlantic Council chiude la sua analisi.
Il think tank sostiene che né l’Europa né gli Stati Uniti hanno deciso di separare i propri ecosistemi digitali. La separazione starebbe emergendo da sola, per accumulo di scelte minori: attuazioni rinviate, preferenze nazionali negli appalti, requisiti che divergono, trattative sospese. Il documento la definisce una frammentazione “per incidente, non per progetto”, e osserva che proprio per questo è difficile da correggere: non c’è un accordo da rinegoziare o una norma sbagliata da riscrivere.
E c’è un paradosso, che l’analisi mette in fila con chiarezza: gli Stati Uniti restano troppo importanti per essere sostituiti in fretta nelle infrastrutture digitali europee, ma proprio la diffidenza crescente nei loro confronti sta accelerando le politiche pensate per ridurne il peso. Più l’interdipendenza viene percepita come vulnerabilità, più cresce la spinta politica a costruirsi alternative.
Il pericolo che il think tank segnala all’Europa è simmetrico e vale la pena ricordarlo: se si riduce la dipendenza senza far crescere in parallelo l’offerta continentale, il risultato non è più autonomia — sono soltanto meno opzioni per imprese e amministrazioni, a parità di debolezza industriale. L’analisi sull’EUCS arriva alla stessa conclusione per un’altra strada, e la riassume così: al posto di una dipendenza si rischia di ritrovarsi con alternative che semplicemente non ci sono.
Cosa guardare da qui in avanti
Le date certe da tenere a mente sono poche. La proposta CADA è sul tavolo dal 3 giugno 2026 e dovrà passare per Parlamento e Consiglio; secondo la stima di Riccio, gli obblighi concreti per amministrazioni e fornitori non arriveranno prima del 2028-2029. Se il testo verrà approvato nella forma proposta, ogni Stato membro dovrà designare entro sei mesi dall’entrata in vigore almeno una zona dedicata ai data center, con procedure semplificate e un tetto di dodici mesi per l’autorizzazione a partire dalla domanda completa.
Il punto di equilibrio che Bruxelles cerca è scritto nella proposta stessa. Da un lato la tutela delle applicazioni critiche e dei dati sensibili; dall’altro un mercato che, per la sua parte prevalente, resti accessibile ai partner ritenuti affidabili. Che l’equilibrio regga non lo pensano tutti. Dal lato dell’industria, CCIA Europe ha bollato l’impianto sulla sovranità come una possibile discriminazione ai danni di chi non è europeo. Sul fronte opposto ci sono voci istituzionali che chiedono l’esatto contrario, cioè obblighi di autonomia più severi almeno dove sono in gioco applicazioni delicate per la sicurezza dello Stato.
La misura del successo, alla fine, non sarà quanti fornitori stranieri l’Europa escluderà. Sarà se un’azienda o un’amministrazione europea potrà cambiare fornitore nel momento in cui le condizioni geopolitiche, commerciali o tecnologiche lo rendessero necessario — e trovare qualcuno a cui rivolgersi. Tutto il resto, per ora, sono proposte.
Lascia un commento