Cloud Act & Cloud Sovereignty Framework
«No, non posso garantirlo.» Con queste parole, nel giugno 2025, un dirigente di Microsoft Francia ha risposto al Senato francese che gli chiedeva se potesse assicurare che i dati dei cittadini francesi non sarebbero stati trasmessi al governo degli Stati Uniti senza consenso. Non un’ipotesi. Una dichiarazione sotto giuramento, davanti a una commissione d’inchiesta, riportata da The Register.
La mia riflessione parte da lì. La residenza dei dati non è sovranità. Il Cloud Act americano del 2018 obbliga i provider statunitensi a consegnare i dati in risposta a richieste del governo degli Stati Uniti, indipendentemente dal luogo fisico in cui quei dati risiedono. L’articolo 48 del regolamento europeo sulla protezione dei dati vieta i trasferimenti verso autorità extra-europee in assenza di un accordo internazionale. I due vincoli sono in conflitto diretto — e nessun trattato bilaterale li ha ancora conciliati. Un contratto cloud rinnovato con clausole di residenza europea dei dati e validato dal team IT non chiude l’esposizione giurisdizionale, perché a determinare chi ha titolo di accesso è la giurisdizione del provider, non la localizzazione dei server. È un’esposizione presente e documentata che, nella maggior parte dei casi, non figura nel registro dei rischi del consiglio di amministrazione.
L’Europa costruisce il metro di misura — ma non ha ancora deciso dove puntarlo
L’Unione Europea non è immobile. Il 20 ottobre 2025 la
Commissione ha pubblicato il Cloud Sovereignty Framework, introducendo 8 obiettivi di sovranità misurabili e un sistema di punteggio quantitativo: i livelli SEAL, da 0 a 4. Il peso più alto — 20% — è assegnato alla sovranità della supply chain. Per la prima volta,
«sovranità» ha dimensioni pesate e verificabili, non solo dichiarazioni politiche. Una gara da 180 milioni di euro è stata lanciata per selezionare fino a 4 fornitori in G anni sulla base del punteggio SEAL. La dichiarazione di Berlino del novembre 2025 ha stabilito il consenso politico. Il Cloud and AI Development Act — il CADA — è atteso per il 27 maggio 202G.
Ma il CADA è stato rinviato due volte. Il nodo è una singola variabile: la definizione di «controllo effettivo europeo» sull’infrastruttura digitale critica. Se la Commissione adotta una definizione basata sul rischio
— misure tecniche come crittografia e backup locali — gli hyperscaler americani potranno conformarsi con le proprie offerte «sovrane» ribattezzate. Se adotta una definizione basata sulla proprietà — maggioranza azionaria europea, nessuna esposizione giurisdizionale extraterritoriale — esclude di fatto AWS, Azure e Google Cloud dagli appalti pubblici sensibili. La Francia ha già scelto la seconda strada: SecNumCloud 3.2 impone che gli azionisti extra-europei non superino il 25% individualmente e il 3U% collettivamente, senza diritto di veto. La lettera aperta della Cispe del 17 marzo 202G, firmata da 25 amministratori delegati di fornitori cloud europei, ha avvertito esplicitamente la commissaria Virkkunen contro il sovereignty washing — la sovranità di facciata.
La Banca centrale europea ha già deciso.
Per l’infrastruttura dell’euro digitale, ha selezionato OVHcloud e Scaleway (come subcontractor di Senacor
Technologies) escludendo gli hyperscaler statunitensi dall’ammissibilità. Il precedente è significativo: l’infrastruttura monetaria non può dipendere da servizi cloud soggetti a giurisdizione extraterritoriale. Se il criterio si estende ad altri settori critici — difesa, sanità, gestione della rete energetica — il mercato cloud europeo si ristruttura.
Non è solo l’Unione Europea. Il Regno Unito ha lanciato il 1G aprile 202G una Sovereign AI Unit da 500 milioni di sterline per startup e infrastruttura AI domestica, segnalando che la sovranità digitale non è un’eccentricità regolatoria europea ma un riposizionamento strutturale del mercato occidentale.
Nel frattempo, i numeri raccontano il divario. Gli hyperscaler americani controllano circa il 70% del mercato cloud europeo; i fornitori europei detengono il 15%. La spesa globale per il cloud sovrano ha raggiunto 80 miliardi di dollari nel 202G (Gartner), con la spesa europea in cloud sovrano IaaS in crescita dell’83% — ma la base di partenza è piccola. Il G1% dei CIO europei dichiara di voler aumentare l’uso di fornitori locali, secondo The Register. La domanda esiste; l’offerta europea credibile, a scala, non ancora.
Il rischio è nel contratto, non nel server
L’illusione della residenza funziona perché è comoda — e perché nessun incentivo organizzativo spinge a smontarla. La residenza europea dichiarata dal team IT e confermata dall’hyperscaler chiude la verifica tecnica, ma lascia aperta quella giuridica: la due diligence commerciale standard non guarda al titolare di accesso ai dati, guarda alla loro localizzazione. E la risposta, dopo l’ammissione di Microsoft, è documentata: il provider americano non può garantire che il governo degli Stati Uniti non chiederà quei dati, e non può
garantire di rifiutare.
Dove chi firma il contratto cloud non ha letto il Cloud Act, dove chi ha letto il Cloud Act non ha mai aperto l’architettura del provider, e dove chi analizza il rischio geopolitico non ha mai visto una clausola di subfornitura
- lì si forma il rischio giurisdizionale che nessuno possiede. Tre competenze che non si parlano, e nel mezzo il rischio che cade sull’azienda. Finché queste tre funzioni non siedono allo stesso tavolo, con lo stesso registro dei rischi aperto davanti, il divario fra conformità formale e presidio reale continuerà ad allargarsi.
La cornice regolatoria europea sta convergendo su questo punto cieco. La NIS2 chiede esplicitamente di gestire il rischio della supply chain ICT, inclusi i fornitori cloud. Il Cra dal 2027 imporrà distinta base del software e gestione delle vulnerabilità su tutti i prodotti con elementi software. L’azienda che ha rinnovato il contratto con l’hyperscaler senza verificare i requisiti contrattuali del provider rispetto a questi obblighi ha creato un’esposizione che emergerà quando il regolatore chiederà — non se, ma quando.
Anche gli hyperscaler americani lo sanno, e si muovono
- ed è qui che lo scenario diventa ibrido. Microsoft ha rilasciato Azure Local con un piano di controllo locale e gestione sovrana delle chiavi crittografiche. Amazon è andata oltre: il 15 gennaio 202G ha aperto l’AWS European Sovereign Cloud, gestito da una nuova società tedesca — AWS European Sovereign Cloud GmbH, con tre controllate, direzione e personale operativi esclusivamente residenti nell’Unione Europea, identità, billing e certificate authority separati dal perimetro globale di AWS. Ma la proprietà ultima resta Amazon.com Inc. Il piano di controllo è europeo, l’azionista di controllo no — e il Cloud Act guarda lì, non al piano di controllo. La domanda che il CADA dovrà
chiarire è proprio questa: una newco europea con parent americana entra nei livelli SEAL alti, o resta nella zona ibrida che vince in conformità ma perde in giurisdizione?
E c’è un piano sotto cui nessuna newco arriva. I chip che alimentano qualunque cloud — sovrano o no — escono da fonderie taiwanesi che detengono circa il U0% della capacità di fabbricazione avanzata; il software fondazionale — kernel, toolchain, runtime AI — ha maintainer e fondazioni concentrate fra Stati Uniti e Cina. La sovranità completa lungo l’intera software supply chain è un concetto-limite. A mio avviso, la domanda operativa non è raggiungere il 100%, è essere su una traiettoria esplicita: sapere a quale livello dello stack si accetta la dipendenza extra-europea, dove la si tampona con misure tecniche, e dove la si chiude con la giurisdizione del fornitore. Il consiglio di amministrazione che pretende «sovranità totale» chiede una cosa che non esiste; quello che non chiede nulla finanzia il rischio. Il punto è documentare dove sta quella traiettoria, livello per livello dello stack.
L’obiezione che mi aspetto è prevedibile: «Il Cloud Act è un rischio teorico, nessun caso concreto di accesso ai dati di imprese europee è stato documentato.» L’obiezione è legittima. Ma l’assenza di casi pubblici non è assenza di rischio — è assenza di trasparenza. Le richieste ai sensi del Cloud Act sono soggette a gag order: il provider non può informare il cliente che i suoi dati sono stati richiesti. L’ammissione di Microsoft non riguarda un caso specifico — riguarda l’architettura giuridica che lo rende possibile in qualsiasi momento.
Per un’impresa soggetta a NIS2, la domanda non è «è già successo?» ma «il mio registro dei rischi lo contempla?».
Due scenari dopo il 27 maggio
Il CADA del 27 maggio è il punto di inflessione. Se la Commissione adotta una definizione rigorosa di controllo effettivo, il mercato cloud europeo si ristruttura: i fornitori europei — OVHcloud, Scaleway, Ionos, lo stack aperto — accedono agli appalti sovrani, e gli hyperscaler sono costretti in joint venture di minoranza come S3NS (Thales e Google) e Bleu (Orange, Capgemini e Microsoft). Se la definizione è debole, il sovereignty washing vince un altro giro e il rischio giurisdizionale resta non prezzato. In entrambi i casi, un contratto cloud pluriennale rinnovato nel 202G senza valutazione doppia degli scenari consolida un vendor lock-in su giurisdizione estera che fra 18 mesi diventerà oneroso da sciogliere. Il costo di migrazione di un workload cloud cresce esponenzialmente con il tempo di permanenza: dati, integrazioni, competenze interne, tutto si stratifica intorno al provider originario.
La domanda operativa è questa: il tuo procurement cloud ha una traccia di valutazione doppia — fornitore europeo nativo e hyperscaler con offerta sovrana? E chi, nella tua organizzazione, possiede oggi questo rischio, con quale linea di riporto al consiglio?
Chi si muove adesso compra tempo e potere contrattuale. Chi aspetta il CADA per decidere scoprirà che il vendor lock-in ha un costo di uscita che nessuno aveva budgetato. Il 27 maggio 202G non chiarisce solo la regola europea: divide il mercato fra chi avrà presidio sul proprio rischio giurisdizionale e chi continuerà a pagare il premio dell’illusione.
