Sovranità tecnologica: la nuova frontiera del rischio (e dell'opportunità) per imprese e professioni

Perché questo è il tema che decide il prossimo decennio C'è una frase che, da sola, fotografa il punto in cui siamo arrivati. Il 18 giugno 2025, davanti a una commissione del Senato francese, Microsoft ha ammesso ufficialmente di non poter garantire che i dati dei propri clienti europei restino al riparo dalle richieste delle autorità statunitensi, anche quando quei dati sono fisicamente conservati su server europei (Studio Ing. Righetti). Non lo ha detto un attivista della privacy né un concorrente: lo ha messo a verbale, sotto giuramento, il secondo fornitore cloud del mondo. Questa ammissione è il modo più onesto di entrare nel tema della sovranità tecnologica. Non è un dibattito ideologico tra europeisti e atlantisti, né una questione astratta da convegno. È un problema operativo, contrattuale e di responsabilità professionale che riguarda chiunque tratti dati di valore: l'impresa che custodisce il proprio know-how, lo studio professionale vincolato al segreto, la pubblica amministrazione che gestisce dati sanitari. La domanda non è più "se" affrontarlo, ma "chi" lo affronterà per primo trasformandolo in vantaggio competitivo. Questo articolo guarda alla sovranità tecnologica dal punto di vista che conta davvero per chi lavora: quello del business e delle professioni. Cosa cambia concretamente nei contratti, nei rischi, nelle opportunità di mercato. E perché il 2026 è l'anno in cui questo tema smette di essere teoria. Che cos'è (davvero) la sovranità tecnologica La sovranità tecnologica è la capacità di un soggetto — uno Stato, un'impresa, uno studio — di mantenere il controllo effettivo sulle infrastrutture digitali, sui dati e sulle tecnologie da cui dipende, senza essere esposto a interferenze, condizionamenti o vincoli imposti da ordinamenti giuridici stranieri. Tradotta in pratica, si articola su tre livelli: • Sovranità del dato: chi può effettivamente accedere alle informazioni e in base a quale legge. • Sovranità infrastrutturale: chi possiede e controlla i data center, le reti, i chip su cui gira tutto. • Sovranità tecnologica in senso stretto: chi sviluppa e controlla il software, i modelli di intelligenza artificiale, gli standard. Il punto critico è che oggi l'Europa, e l'Italia in particolare, è strutturalmente dipendente su tutti e tre i fronti. E questa dipendenza ha smesso di essere un dettaglio tecnico per diventare un rischio sistemico. I numeri della dipendenza: una fotografia impietosa Partiamo dai fatti, perché su questo tema l'aneddotica conta meno dei dati di mercato. Tre aziende statunitensi — Amazon, Microsoft e Google — controllano oltre il 70% del mercato cloud europeo, mentre la quota complessiva dei fornitori europei è scesa a circa il 15% nel 2025 (CNBC). I due maggiori operatori europei, SAP e Deutsche Telekom, si fermano ciascuno a un misero 2% del mercato continentale (CNBC). Lo studio del Parlamento europeo sulle dipendenze software e cyber è ancora più netto: gli hyperscaler statunitensi detengono circa il 70% del mercato UE, mentre la quota dei provider europei è precipitata a circa il 13% nel 2022, con il più grande attore europeo — SAP — che cattura solo il 2% del mercato cloud UE (Parlamento europeo). Su scala globale, AWS detiene circa il 30%, Azure il 20% e Google Cloud il 13%: oltre il 60% del mercato mondiale delle infrastrutture cloud in mano a tre soli soggetti americani (Key4biz). Questo significa che la quasi totalità dell'economia digitale europea — dai sistemi gestionali aziendali alle email, dagli archivi documentali ai modelli di AI — poggia su infrastrutture controllate da soggetti soggetti a una giurisdizione straniera. Non per cattiva volontà di nessuno: per affidabilità, scalabilità e costi, le imprese europee hanno scelto massicciamente gli hyperscaler, mentre iniziative come Gaia-X procedono troppo a rilento (Key4biz). La buona notizia, per chi sa leggerla in chiave di business, è che la domanda di alternative europee sta esplodendo. Il mercato europeo del cloud sovrano è destinato a crescere dagli attuali poco più di 20 miliardi di euro di fatturato annuo a oltre 100 miliardi entro il 2031, e il 60% dei responsabili IT dell'Europa occidentale dichiara di voler aumentare il ricorso a fornitori locali (Broadcom). Allo stesso tempo, gli analisti avvertono che nel breve termine il dominio degli hyperscaler statunitensi non diminuirà drasticamente, perché ogni transizione richiede tempo (Broadcom). C'è una finestra: chi si posiziona ora la cavalca. Il cuore giuridico del problema: il CLOUD Act Per capire perché la sovranità del dato non è risolvibile con una semplice clausola contrattuale, bisogna conoscere il convitato di pietra: il CLOUD Act (Clarifying Lawful Overseas Use of Data Act), legge federale statunitense firmata il 23 marzo 2018. Il meccanismo è tanto semplice quanto dirompente: le autorità statunitensi (Dipartimento di Giustizia, FBI, agenzie di intelligence) possono ordinare a qualsiasi fornitore di servizi digitali soggetto alla giurisdizione americana di consegnare i dati che detiene, ovunque essi siano fisicamente conservati nel mondo (AtWorkStudio). Il criterio rilevante non è più dove si trovano i dati, ma a quale ordinamento risponde chi li gestisce. Le conseguenze pratiche sono tre, e tutte e tre dovrebbero togliere il sonno a chi gestisce dati sensibili: • La localizzazione fisica non protegge: avere server a Milano, Francoforte o Parigi non mette al riparo dal potere di richiesta delle autorità USA (AtWorkStudio). • Il cliente europeo potrebbe non saperlo mai: il fornitore americano è spesso soggetto a un gag order che gli vieta di informare il titolare del trattamento dell'avvenuta richiesta (AtWorkStudio). • Conflitto diretto con il GDPR: l'art. 48 del Regolamento europeo vieta il trasferimento di dati personali ad autorità di Paesi terzi in assenza di un accordo internazionale, e il CLOUD Act di fatto aggira questa regola (AtWorkStudio). Il Comitato europeo per la protezione dei dati è stato esplicito: i fornitori soggetti al diritto UE non possono legalmente fondare un trasferimento di dati verso gli Stati Uniti unicamente su una richiesta basata sul CLOUD Act (Wire). La giurisprudenza è altrettanto chiara: la sentenza Schrems II della Corte di Giustizia UE (causa C-311/18, 16 luglio 2020) ha invalidato il Privacy Shield proprio perché la normativa statunitense — incluso il CLOUD Act — consente alle autorità pubbliche americane accessi incompatibili con il GDPR (iconsulentiprivacy.it). La toppa che non chiude lo strappo: il Data Privacy Framework Dopo Schrems II, la Commissione europea ha adottato il 10 luglio 2023 una nuova decisione di adeguatezza, l'EU-US Data Privacy Framework (DPF), che consente i trasferimenti verso le aziende USA che aderiscono volontariamente a un set di principi privacy (Baker Botts). Il DPF semplifica la burocrazia della compliance, ma — ed è il punto che ogni consulente deve mettere nero su bianco — non abroga il CLOUD Act: le autorità statunitensi conservano il potere di richiesta extraterritoriale (AtWorkStudio). E la sua stabilità giuridica è tutt'altro che garantita. Il 3 settembre 2025 il Tribunale dell'Unione europea ha respinto il ricorso del deputato francese Philippe Latombe contro la decisione di adeguatezza (causa T-553/23), confermandone per ora la validità (Baker Botts). Ma il 31 ottobre 2025 è stato proposto appello davanti alla Corte di Giustizia (causa C-703/25 P), tuttora pendente (Berkeley Technology Law Journal). Gli esperti non escludono affatto uno scenario "Schrems III", cioè un nuovo annullamento (Nextlevels). Il messaggio per chi fa business è inequivocabile: costruire la propria architettura dati su un meccanismo di adeguatezza sub iudice è una scommessa, non una strategia. Più di 3.400 organizzazioni statunitensi si affidano oggi al DPF come base giuridica autonoma (Baker Botts). Se l'appello dovesse ribaltare la decisione, l'intero impianto andrebbe ricostruito da capo, presumibilmente con tempi e costi rilevanti. La controffensiva europea: il Data Act e il Pacchetto Sovranità L'Europa non sta a guardare, e qui si aprono le opportunità concrete. Il Data Act: la leva per liberarsi dal lock-in Il Data Act (Regolamento UE 2023/2854) è pienamente applicabile dal 12 settembre 2025 (CNIL). Per le imprese è uno strumento potente, perché all'art. 25 impone ai fornitori cloud di: • garantire la portabilità dei dati verso altri fornitori; • consentire il cambio di provider in un massimo di 30 giorni; • abbattere i costi di switching (con divieto totale dei costi di migrazione a partire da gennaio 2027); • vietare le clausole contrattuali che creano dipendenze artificiali (DATA SECURITY BREACH). Le sanzioni arrivano fino a 20 milioni di euro o il 4% del fatturato mondiale (DATA SECURITY BREACH). Sul piano della sovranità, il capitolo VII del Data Act introduce per la prima volta misure esplicite per bloccare l'accesso illegittimo dei governi di Paesi terzi ai dati non personali conservati nell'UE — una risposta diretta e deliberata al CLOUD Act (Kiteworks). Per le imprese significa che il lock-in contrattuale, fino a ieri quasi inattaccabile, è oggi giuridicamente aggredibile. I contratti cloud in essere vanno rinegoziati, e conviene farlo ora (Bollettino Ufficiale). Il Pacchetto Sovranità Tecnologica del giugno 2026 Il 3 giugno 2026 la Commissione europea ha presentato il Pacchetto sulla sovranità tecnologica europea, un insieme di misure per rafforzare le capacità UE su semiconduttori, intelligenza artificiale, cloud e open source (Commissione europea). Il pacchetto comprende due proposte legislative — il regolamento sui semiconduttori 2.0 e il Cloud and AI Development Act — più una strategia sull'open source (Digital Strategy EC). Il Cloud and AI Development Act punta a triplicare la capacità dei data center europei nei prossimi cinque-sette anni e introduce un quadro unico a livello UE per valutare la sovranità di cloud e AI (Adnkronos). Si inserisce nel più ampio piano InvestAI lanciato da Ursula von der Leyen all'AI Action Summit di Parigi l'11 febbraio 2025: 200 miliardi di euro per fare dell'Europa "un continente dell'AI", di cui 20 miliardi destinati a quattro nuove AI gigafactory (AltoGain). Il caso italiano: il Polo Strategico Nazionale L'Italia ha una sua risposta concreta e già operativa. Il Polo Strategico Nazionale (PSN), costituito il 4 agosto 2022 tramite un partenariato pubblico-privato promosso da CDP Equity, TIM, Leonardo e Sogei, è il cloud sovrano della Pubblica Amministrazione italiana (Polo Strategico Nazionale). I risultati sono tangibili: a gennaio 2026 il PSN conta oltre 600 PA aderenti, di cui oltre 300 finanziate dal PNRR, con infrastruttura distribuita su quattro data center sul territorio italiano (Polo Strategico Nazionale). A ottobre 2025, secondo il CTIO Paolo Trevisan, 230 amministrazioni avevano già completato la migrazione al cloud sovrano italiano (Adnkronos). Circa l'80% dei servizi erogati a fine 2025 si riferisce a soluzioni proprietarie PSN, con la sovranità del dato garantita dall'infrastruttura italiana (Polo Strategico Nazionale). Il fronte più caldo per le professioni: studi legali e segreto professionale Qui il tema da macro-economico diventa personale, e tocca direttamente chi esercita una professione protetta. Un avvocato è vincolato al segreto professionale per legge. Un commercialista gestisce dati fiscali riservati, un medico dati sanitari. In tutti questi casi esiste un obbligo legale e deontologico di custodia che non può essere delegato a un soggetto la cui casa madre risponde a un ordinamento dove quel segreto non è riconosciuto allo stesso modo (Sovrani Digitali). Il paradosso, denunciato dallo stesso mondo professionale, è che gli ordini lo affermano in linea di principio ma quasi mai verificano quale cloud usino concretamente i propri iscritti (Sovrani Digitali). Gli studi legali che archiviano atti, fascicoli o dati cliente su piattaforme statunitensi (AWS, Azure, Google Cloud) sono esposti a rischi di non conformità GDPR ancora largamente sottovalutati, aggravati dall'assenza di clausole contrattuali adeguate sui trasferimenti extra-UE (Bollettino Ufficiale). Il titolare del trattamento — cioè lo studio — risponde in prima persona se anche una sola delle condizioni di legittimità manca (Bollettino Ufficiale). La checklist operativa minima per uno studio prudente comprende: Azione Riferimento normativo Perché è urgente Aggiornare le SCC nei contratti cloud attivi Decisione UE 2021/914, post Schrems II Contratti firmati prima del 2022 e non aggiornati sono già fuori conformità (Bollettino Ufficiale)

Condurre una Transfer Impact Assessment Schrems II (C-311/18) Obbligatoria per ogni trasferimento verso gli USA (Bollettino Ufficiale)

Mappare i diritti di portabilità Data Act, art. 25 (dal 12/09/2025) Consente la migrazione verso fornitori sovrani senza costi proibitivi (Bollettino Ufficiale)

Segnalare il rischio CLOUD Act nelle informative CLOUD Act 2018; art. 44-49 GDPR L'omissione è un difetto sostanziale del documento (Bollettino Ufficiale)

C'è anche una soluzione tecnica robusta su cui converge la dottrina più rigorosa: per i dati particolarmente sensibili o coperti da segreto, l'uso di soluzioni SaaS internazionali è ammissibile solo se i dati sono cifrati direttamente dal titolare e il fornitore cloud non ha alcun accesso alla chiave (Cancelleria dello Stato Ticino). La crittografia con gestione autonoma delle chiavi diventa così non un orpello tecnico ma un presidio deontologico. AI sovrana: la partita che si gioca ora Se il cloud è il terreno di ieri, l'intelligenza artificiale è il campo di battaglia di domani — e per le professioni intellettuali è già oggi. Il quadro normativo si è chiuso Per anni l'uso dell'AI da parte degli avvocati italiani si è mosso in un vuoto normativo. Con l'entrata in vigore della Legge 132/2025 e dell'AI Act europeo, quel vuoto è stato colmato (lexroom.ai). Paradossalmente, avere un quadro definito su trasparenza, supervisione umana e gestione dei dati ha reso l'adozione più sicura: gli avvocati ora sanno cosa devono fare per usare l'AI correttamente, e i fornitori sanno a quali standard rispondere (lexroom.ai). La Legge 132/2025, pur con aspetti critici, rappresenta un passo avanti nella regolamentazione dell'AI nelle professioni intellettuali (iusletter.com). L'AI Act (Regolamento UE 2024/1689), entrato in vigore il 1° agosto 2024, segue un'applicazione progressiva: i divieti sulle pratiche inaccettabili sono scattati il 2 febbraio 2025, gli obblighi per i modelli general-purpose il 2 agosto 2025 (Bollettino Ufficiale). Con l'accordo politico sul Digital Omnibus del 7 maggio 2026, alcune scadenze per i sistemi ad alto rischio sono state differite e i requisiti di watermarking fissati a fine 2026 (AltoGain). Il rischio specifico dell'AI per chi tratta dati riservati Il Consiglio degli Ordini Forensi Europei (CCBE) ha messo in guardia su un pericolo preciso: i modelli di AI potrebbero essere addestrati su dati riservati provenienti da più studi legali o clienti, generando condivisioni involontarie di informazioni o veri e propri conflitti di interesse (Ordine Avvocati Milano). Affidare un fascicolo riservato a un modello AI ospitato su infrastruttura non sovrana significa cumulare il rischio del CLOUD Act con quello dell'addestramento incrociato. C'è poi un avvertimento che vale la pena ricordare a chi si entusiasma troppo: i casi recenti di condanne per lite temeraria legate a un uso non supervisionato dell'AI dimostrano che l'AI non sostituisce il giudizio professionale, e chi lo dimentica si espone a rischi concreti (lexroom.ai). L'alternativa sovrana esiste e cresce Il mercato sta rispondendo. Mistral AI, il campione europeo dei modelli linguistici, ha siglato a novembre 2025 un'alleanza con SAP per soluzioni di sovereign cloud che mantengono il controllo su dati e infrastruttura (SAP). Il playbook di Mistral per la sovranità europea prevede investimenti massicci in data center europei ad alta densità e la creazione di una European Data Commons Initiative (RegTech News). Sul fronte infrastrutturale, a novembre 2025 Deutsche Telekom e Nvidia hanno annunciato un investimento da circa un miliardo di euro per costruire a Monaco la prima "fabbrica di AI sovrana" europea, operativa dall'inizio del 2026 (Xpert.Digital). Da rischio a vantaggio competitivo: la lettura strategica Tirando le fila, emerge un quadro che per imprese e studi professionali si traduce in tre messaggi operativi. Primo: la sovranità è già un requisito di compliance, non una scelta etica. Tra Schrems II, GDPR, Data Act e AI Act, il professionista o l'impresa che continua ad affidare dati critici a infrastrutture non sovrane senza le dovute cautele non sta facendo una scelta tecnologica neutra: sta accumulando esposizione legale, con responsabilità che ricade direttamente sul titolare del trattamento (Bollettino Ufficiale). Secondo: il Data Act ha riequilibrato il rapporto di forza. Il lock-in contrattuale che fino a ieri rendeva impraticabile cambiare fornitore è oggi giuridicamente aggredibile, con tempi certi (30 giorni) e costi in via di azzeramento (DATA SECURITY BREACH). Chi guida questa rinegoziazione per i propri clienti offre un servizio ad alto valore. Terzo: c'è un mercato da oltre 100 miliardi che si sta aprendo. La crescita prevista del cloud sovrano europeo da 20 a oltre 100 miliardi entro il 2031 (Broadcom), unita ai 200 miliardi del piano InvestAI (AltoGain), disegna un'opportunità per chi sviluppa soluzioni LegalTech sovrane, per chi consiglia le imprese sulla migrazione, per chi costruisce piattaforme che mettono la conformità al centro del prodotto. La sovranità tecnologica non è una difesa nostalgica contro il progresso. È la condizione perché il progresso resti sotto il controllo di chi lo usa. Per un professionista, è la differenza tra subire la tecnologia e governarla. E in un mercato dove il rischio ha conseguenze concrete e immediate, chi governa per primo non difende soltanto i propri clienti: costruisce il proprio vantaggio.

Tutte le affermazioni di questo articolo sono ancorate a fonti verificabili e datate, citate inline. I dati di mercato, le scadenze normative e i casi richiamati riflettono le informazioni disponibili alla data di redazione (giugno 2026) e vanno verificati alla luce degli sviluppi successivi, in particolare l'appello pendente sul Data Privacy Framework (causa C-703/25 P) e l'iter del Digital Omnibus.