I dati possono essere conservati in Europa mentre il controllo delle infrastrutture, delle tecnologie e delle decisioni rimane altrove. Una contraddizione
I dati possono essere conservati in Europa mentre il controllo delle infrastrutture, delle tecnologie e delle decisioni rimane altrove. Una contraddizione che mette alla prova l’autonomia digitale del continente.
Immaginiamo un ospedale europeo che conserva le cartelle cliniche dei propri pazienti in un data center situato all’interno dell’Unione Europea. Le informazioni sono cifrate, l’infrastruttura rispetta standard di sicurezza riconosciuti e il fornitore garantisce la continuità dei servizi. Apparentemente, tutte le condizioni per una gestione affidabile sono soddisfatte. Eppure, dietro questa solidità tecnologica, esiste una questione meno evidente: chi controlla realmente quell’infrastruttura? Chi può modificarne le condizioni operative? E cosa accadrebbe se una crisi internazionale alterasse improvvisamente gli equilibri commerciali, normativi o politici da cui dipende?
Queste domande mostrano quanto il cloud sia diventato una questione che supera i confini dell’informatica. Nato come modello per rendere più accessibili e flessibili le risorse tecnologiche, oggi costituisce una componente fondamentale dell’economia, della pubblica amministrazione e delle infrastrutture strategiche. La sua diffusione ha prodotto vantaggi considerevoli, consentendo anche a organizzazioni di dimensioni limitate di accedere a capacità di elaborazione, sicurezza e continuità operativa prima difficilmente sostenibili.
Secondo Eurostat, nel 2025 il 53% delle imprese dell’Unione Europea acquistava servizi cloud, una percentuale che raggiungeva l’85% tra le grandi aziende. Dietro questi numeri troviamo industrie, ospedali, istituzioni finanziarie, università e servizi pubblici. La trasformazione è ormai strutturale: una parte crescente delle attività economiche e sociali europee dipende da piattaforme digitali gestite da un numero relativamente ristretto di grandi operatori.
Per molto tempo, la discussione sulla sovranità digitale si è concentrata soprattutto sulla localizzazione delle informazioni. Conservare i dati entro i confini europei è stato considerato un requisito importante per garantirne la protezione e il rispetto delle normative. La posizione geografica di un server, tuttavia, racconta soltanto una parte della storia.
Un data center può trovarsi a Francoforte, Milano o Varsavia ed essere gestito da una società soggetta anche a ordinamenti giuridici esterni all’Unione. Le tecnologie utilizzate possono dipendere da software proprietari sviluppati altrove, mentre gli aggiornamenti, le chiavi crittografiche e gli strumenti di amministrazione possono essere governati attraverso strutture organizzative distribuite in diversi Paesi.
Questo non significa che un fornitore internazionale rappresenti automaticamente un rischio o che la presenza di una società extraeuropea comprometta necessariamente la protezione dei dati. Significa riconoscere che la sovranità è composta da diversi livelli di controllo, che devono essere valutati separatamente.
Esiste una sovranità giuridica, legata alle norme applicabili e alla capacità di far valere diritti e responsabilità. Esiste una sovranità tecnologica, che riguarda la disponibilità delle competenze, dei sistemi e delle alternative necessarie per non dipendere integralmente da un singolo operatore. Ed esiste una sovranità operativa, probabilmente la più concreta, che consiste nella possibilità di mantenere funzionanti i servizi essenziali anche quando un fornitore diventa indisponibile o le condizioni di accesso cambiano.
Un’organizzazione può soddisfare i requisiti di localizzazione dei dati e, contemporaneamente, avere margini molto limitati per intervenire autonomamente sulle tecnologie che li elaborano.
La dipendenza, inoltre, raramente nasce da una decisione isolata. Si sviluppa progressivamente attraverso applicazioni, contratti, competenze, interfacce proprietarie e processi organizzativi costruiti attorno a una determinata piattaforma. Dopo anni di integrazione, cambiare fornitore può richiedere investimenti considerevoli, modifiche ai sistemi e una revisione delle competenze interne.
È il fenomeno del vendor lock-in. I dati possono continuare ad appartenere formalmente al cliente, mentre la libertà concreta di trasferirli e utilizzarli altrove diventa sempre più difficile da esercitare.
Quando questa condizione riguarda una singola impresa, rappresenta soprattutto un problema economico e gestionale. Quando interessa interi settori produttivi, amministrazioni pubbliche e infrastrutture critiche, assume una dimensione geopolitica. La capacità di un continente di governare le proprie funzioni essenziali dipende anche dalla disponibilità di alternative tecnologiche credibili.
L’Unione Europea ha iniziato ad affrontare questa vulnerabilità attraverso strumenti normativi e iniziative industriali. Il Data Act, applicabile dal settembre 2025, introduce disposizioni volte a facilitare il passaggio tra fornitori di servizi di elaborazione dei dati e a ridurre alcuni ostacoli alla portabilità. È un intervento significativo, ma il diritto di cambiare fornitore non coincide automaticamente con la capacità tecnica di farlo.
Nel 2026 la Commissione Europea ha inoltre introdotto un quadro di valutazione della sovranità cloud basato su più dimensioni di controllo. L’aspetto interessante è il tentativo di superare una definizione puramente geografica o commerciale della sovranità, traducendola in requisiti e livelli di garanzia valutabili.
Resta però una difficoltà fondamentale: l’autonomia tecnologica non può essere costruita soltanto attraverso la regolamentazione. Servono infrastrutture competitive, capacità industriali, ricerca, investimenti e competenze. Senza questi elementi, l’Europa rischia di stabilire regole per tecnologie sulle quali esercita un’influenza limitata.
La dimensione umana di questa trasformazione è spesso trascurata. Un medico che consulta una cartella clinica, un ricercatore che utilizza capacità di calcolo o un cittadino che accede a un servizio pubblico non conoscono necessariamente la catena di dipendenze tecnologiche che rende possibile quell’operazione. E non dovrebbero essere costretti a conoscerla. Dovrebbero però poter contare su organizzazioni capaci di comprenderla, governarla e assumersene la responsabilità.
Quando un servizio essenziale si interrompe, la distinzione tra problema tecnico, decisione commerciale e tensione geopolitica perde importanza per chi ne subisce le conseguenze. Un sistema sanitario non può sospendere la propria attività nell’attesa che venga risolta una controversia tra fornitori. Un’amministrazione pubblica non può considerare la dipendenza tecnologica una questione esclusivamente contrattuale.
La sovranità digitale comincia dove esiste una possibilità concreta di scelta.
Per l’Europa, costruire autonomia non significa necessariamente escludere i grandi operatori internazionali o inseguire un’improbabile autosufficienza tecnologica. Significa sviluppare la capacità di negoziare, verificare, sostituire e, quando necessario, continuare a operare indipendentemente dalle decisioni di un singolo soggetto.
La sfida dei prossimi anni sarà quindi meno visibile della costruzione di nuovi data center. Consisterà nel trasformare l’autonomia da dichiarazione politica a capacità operativa dimostrabile, attraverso architetture interoperabili, competenze distribuite e responsabilità chiaramente identificabili.
Perché il rischio maggiore non è necessariamente affidare una parte delle proprie infrastrutture a qualcuno che si trova altrove. È scoprire, nel momento in cui diventa necessario scegliere diversamente, di non avere più gli strumenti per farlo.
