Il cloud sovrano europeo: un continente che tiene la propria memoria in casa d'altri

Mi chiamo Duarte, scrivo da Lisbona, e mi occupo di sovranità tecnologica europea — che è un modo elegante per dire che passo le giornate a studiare quanto poco l'Europa controlli le infrastrutture su cui vive. Nel mio primo articolo per questa Bacheca ho tracciato la mappa generale della dipendenza tecnologica europea. Oggi voglio piantare la bandiera su un punto preciso di quella mappa: il cloud. Perché se c'è un luogo dove la retorica della sovranità digitale si scontra con la realtà dei contratti firmati, è il data center.

Partiamo da un esercizio che consiglio a ogni giurista, imprenditore, amministratore pubblico: chiedetevi dove stanno fisicamente i vostri dati. Non "nel cloud", che è una parola di marketing per indicare il computer di qualcun altro. Fisicamente: in quale edificio, in quale giurisdizione, sotto il controllo societario di chi. La risposta, per la stragrande maggioranza delle imprese europee, è: su server gestiti da tre società americane. Amazon Web Services, Microsoft Azure, Google Cloud. Le stime di mercato attribuiscono a questi tre hyperscaler una quota combinata del mercato cloud europeo intorno al 70% (da verificare), con i fornitori europei — OVHcloud, Deutsche Telekom, Aruba, Scaleway e gli altri — compressi in una frazione minoritaria e, secondo diverse analisi, in calo relativo nonostante la crescita assoluta del mercato (da verificare). L'Europa produce dati come nessun altro continente regolamentato al mondo, e li deposita quasi tutti in casa d'altri.

1. Il paradosso giuridico: il dato europeo su infrastruttura americana

Questa non sarebbe una notizia — la divisione internazionale del lavoro esiste, e nessuno si straccia le vesti perché i semiconduttori vengono da Taiwan — se non fosse per un dettaglio che trasforma una questione industriale in una questione giuridica: le due sponde dell'Atlantico hanno costruito due ordinamenti incompatibili sul medesimo oggetto.

Da una parte c'è il CLOUD Act americano del 2018 — Clarifying Lawful Overseas Use of Data Act — che consente alle autorità statunitensi di ordinare a un fornitore di servizi soggetto alla giurisdizione USA la consegna di dati «in suo possesso, custodia o controllo», indipendentemente dal luogo in cui i dati si trovano fisicamente. Tradotto: se Microsoft Ireland conserva i dati di un'impresa italiana in un data center di Dublino, e un giudice federale americano emette un ordine legittimo verso Microsoft Corporation, quel dato può essere raggiunto. Il criterio di collegamento non è la geografia del server, ma il controllo societario del fornitore. È la logica dell'extraterritorialità applicata all'informazione.

Dall'altra parte c'è il GDPR, che all'articolo 48 dice esattamente il contrario: le sentenze e le decisioni amministrative di autorità di paesi terzi che impongono il trasferimento o la comunicazione di dati personali sono riconosciute o eseguibili solo se fondate su un accordo internazionale, come un trattato di mutua assistenza giudiziaria. In assenza di quell'accordo, la consegna diretta è un trasferimento illecito.

Mettete le due norme una accanto all'altra e osservate il fornitore americano che opera in Europa: se obbedisce all'ordine del giudice USA viola il GDPR, se obbedisce al GDPR viola l'ordine del giudice USA. Questo conflitto non è teorico, non è risolto, e non è risolvibile per via contrattuale. Nessuna clausola, nessun addendum sulla protezione dei dati, nessuna promessa commerciale può sciogliere un conflitto tra sovranità legislative. I fornitori lo sanno, e infatti i loro transparency report ammettono l'esistenza di richieste governative sui dati di clienti enterprise, pur dichiarando di contestarle quando possibile (da verificare per numeri e casistica). Il punto giuridico rimane: il dato europeo su infrastruttura a controllo americano vive sotto due ordinamenti contemporaneamente, e in caso di conflitto decide la casa madre, non il cliente.

2. Schrems II e il Data Privacy Framework: la tregua che non è una pace

Chi pensa che questo problema sia una fissazione da accademici dovrebbe rileggere la sentenza Schrems II della Corte di giustizia (causa C-311/18, 16 luglio 2020). La Corte demolì il Privacy Shield — il secondo accordo di adeguatezza UE-USA, dopo che il primo, Safe Harbor, era caduto con Schrems I — con un ragionamento che nessuna riforma cosmetica può aggirare: i programmi di sorveglianza americani fondati sulla Section 702 del FISA e sull'Executive Order 12333 consentono accessi ai dati degli europei che non rispettano il principio di proporzionalità, e non offrono agli interessati europei una tutela giurisdizionale effettiva. Non era un problema di clausole: era un problema di ordinamento.

La risposta politica è arrivata nel luglio 2023 con la decisione di adeguatezza sul Data Privacy Framework: gli Stati Uniti hanno introdotto, con un executive order, limiti di proporzionalità alla sorveglianza e un meccanismo di ricorso a due livelli culminante in una Data Protection Review Court. Sulla carta, i trasferimenti verso le società americane certificate sono di nuovo leciti. Nella sostanza, il DPF è una tregua costruita su fondamenta che l'Europa non controlla: si regge su un atto esecutivo del Presidente degli Stati Uniti, revocabile o modificabile da qualunque amministrazione, e su organi di garanzia la cui indipendenza è stata oggetto di tensioni istituzionali negli sviluppi politici americani del 2025 (da verificare per lo stato attuale degli organi di controllo coinvolti). Ricorsi contro la decisione di adeguatezza sono stati portati davanti ai giudici europei (da verificare per lo stato dei procedimenti), e l'ipotesi di una "Schrems III" circola da tempo negli ambienti specializzati.

Il punto che interessa al giurista pratico è questo: l'intera legalità dei flussi di dati transatlantici — su cui poggiano i contratti cloud di milioni di imprese europee — dipende da una decisione di adeguatezza che è già caduta due volte in dieci anni. Chi costruisce la propria compliance sull'ipotesi che non cada una terza volta non sta gestendo un rischio: lo sta ignorando.

3. Gaia-X e EUCS: le due battaglie che l'Europa sta combattendo contro se stessa

Di fronte a questo quadro, l'Europa ha tentato due risposte. Vale la pena raccontarle entrambe, perché insieme compongono un ritratto impietoso del modo europeo di fare politica industriale.

La prima è Gaia-X, lanciata nel 2019-2020 su iniziativa franco-tedesca con un'ambizione dichiarata enorme: costruire un'infrastruttura di dati federata europea, interoperabile, trasparente, alternativa agli hyperscaler. Il progetto è stato accolto come l'Airbus del cloud. Poi è successo quello che succede spesso: alla federazione hanno aderito anche le controllate europee degli stessi hyperscaler americani e di operatori cinesi, l'ambizione infrastrutturale si è progressivamente ridotta a un lavoro su standard, etichette di conformità e framework di certificazione, alcuni membri fondatori sono usciti sbattendo la porta lamentando la cattura del progetto (da verificare per la cronologia delle uscite), e a distanza di anni Gaia-X non gestisce un solo server. Non è inutile — il lavoro sugli standard di interoperabilità e sulle etichette di trasparenza ha un valore tecnico reale — ma la distanza tra ciò che prometteva e ciò che è diventata è la misura esatta della difficoltà europea a trasformare i documenti in infrastrutture.

La seconda battaglia è più sottile e più importante, e si chiama EUCS: lo schema europeo di certificazione della cibersicurezza per i servizi cloud, elaborato da ENISA ai sensi del Cybersecurity Act. Sembra un dossier tecnico da ingegneri. È in realtà il campo su cui si è giocata la vera partita politica del cloud sovrano. Il nodo: le prime bozze dello schema prevedevano, per il livello di affidabilità più alto, dei requisiti di sovranità — in sintesi, l'immunità dalle leggi extra-UE, ottenibile solo con sede legale in Europa, controllo societario europeo e personale non assoggettabile a ordini di giurisdizioni terze. Con quei requisiti, un hyperscaler americano non avrebbe mai potuto certificarsi al livello massimo, per quanti data center europei costruisse: il CLOUD Act lo segue ovunque, come un'ombra societaria.

Su questo punto l'Unione si è spaccata: la Francia, che nel suo schema nazionale SecNumCloud quei requisiti li impone già, a favore; Paesi Bassi, Irlanda e altri Stati membri contrari, in nome della neutralità tecnologica e — diciamolo — dei rapporti commerciali e diplomatici con Washington. Il risultato è che i criteri di sovranità sono stati rimossi dalle bozze successive e il dossier è rimasto a lungo impantanato, senza adozione formale dello schema (da verificare per lo stato di avanzamento attuale del dossier). Fermatevi un momento su cosa significa: l'Europa non è riuscita a mettersi d'accordo nemmeno sull'etichetta volontaria che avrebbe permesso a un cliente di sapere se il proprio fornitore è immune o no dalle leggi di un paese terzo. Non a imporre la sovranità: a renderla visibile.

4. Le mosse del 2025-26 e il "sovereign cloud" degli hyperscaler

Il biennio in corso ha riportato il tema in cima all'agenda. Nell'aprile 2025 la Commissione ha presentato l'AI Continent Action Plan, che lega esplicitamente la partita dell'intelligenza artificiale a quella della capacità di calcolo e del cloud: gigafactory di AI, potenziamento della capacità di data center europea, e l'annuncio di una proposta legislativa dedicata — il Cloud and AI Development Act — con l'obiettivo dichiarato di aumentare in misura molto significativa la capacità cloud europea nei prossimi anni e di favorire soluzioni sovrane per i carichi di lavoro critici, anche negli appalti pubblici (da verificare per i contenuti e i tempi della proposta, il cui iter era ancora in corso al momento in cui scrivo). La direzione politica è chiara e, per la prima volta, il lessico della sovranità è entrato stabilmente nei documenti ufficiali della Commissione. Se seguiranno miliardi e requisiti vincolanti, o soltanto comunicazioni, è la domanda da un trilione di euro.

Nel frattempo, gli hyperscaler hanno fatto la mossa commercialmente più intelligente: si sono messi a vendere la sovranità loro stessi. AWS ha annunciato una European Sovereign Cloud con miliardi di investimento, governance dedicata europea e infrastruttura separata (da verificare per gli importi e l'operatività effettiva); Microsoft ha lanciato le sue soluzioni sovrane per l'Europa e ha assunto "impegni digitali europei" pubblici, incluso l'impegno a contestare in giudizio gli ordini governativi sui dati dei clienti europei; Google ha costruito partnership con operatori locali — in Francia con Thales, in Germania con T-Systems — in cui il partner europeo gestisce chiavi crittografiche e controlli operativi. Sono offerte serie, tecnicamente sofisticate, con caratteristiche reali: residenza dei dati in Europa, personale europeo, chiavi di cifratura esterne al fornitore, boundary operative separate.

E tuttavia il giurista deve porre la domanda che il materiale di marketing accuratamente evita: la controllata europea di una società americana cessa di essere soggetta al CLOUD Act? La risposta, a diritto vigente, è no. Il criterio del «possession, custody or control» guarda alla catena di controllo societario, non alla residenza dei dati né alla nazionalità dei dipendenti. La cifratura con chiavi detenute da un terzo europeo è l'unico presidio che sposta davvero l'equilibrio — perché rende il dato consegnabile ma non leggibile — e non a caso è il cuore delle architetture più credibili. Ma per tutto il resto, la distinzione tra "sovereign cloud" di un hyperscaler e cloud ordinario di un hyperscaler è una distinzione di governance e mitigazione del rischio, non di immunità giuridica. Chiamarla sovranità è un'estensione semantica generosa. La parola giusta sarebbe: resilienza contrattuale sotto giurisdizione altrui.

5. Cosa significa per le imprese e per gli studi legali italiani

Scendo dal piano continentale a quello dello studio professionale, perché questa rivista la leggono avvocati. Uno studio legale italiano che usa la posta elettronica, il gestionale documentale o il backup in cloud di un fornitore americano — cioè quasi tutti — sta depositando fascicoli, corrispondenza riservata e strategie difensive dei propri clienti su un'infrastruttura potenzialmente raggiungibile da un ordine di una giurisdizione terza. Il segreto professionale, che nel nostro ordinamento è presidio di rango costituzionale della difesa, incontra qui un limite che non dipende dalla diligenza dell'avvocato ma dall'architettura societaria del suo fornitore. Non sto dicendo che domani un procuratore americano leggerà i vostri fascicoli: la probabilità concreta è bassa e i fornitori hanno interesse a contestare le richieste. Sto dicendo che la possibilità giuridica esiste, che il cliente sofisticato ha il diritto di chiedervi conto di dove stanno i suoi dati, e che "non lo so" sta diventando una risposta professionalmente indifendibile.

Per le imprese il discorso è parallelo e i regolatori lo hanno già formalizzato: DORA per il settore finanziario e NIS2 per i settori essenziali — ne ho scritto in questa Bacheca, non mi ripeto — impongono di trattare la dipendenza da fornitori ICT critici come un rischio da mappare, contrattualizzare e mitigare, con tanto di strategie di uscita. La domanda "dove stanno i dati e sotto quale legge" è ormai una domanda da consiglio di amministrazione. Il passo ulteriore, che consiglio a ogni impresa che gestisce dati davvero sensibili, è la classificazione: non tutto deve stare su cloud sovrano — sarebbe antieconomico e spesso inutile — ma i carichi di lavoro critici vanno identificati, e per quelli la scelta del fornitore deve pesare la giurisdizione quanto pesa il prezzo. È esattamente la logica che la Francia applica con SecNumCloud alla pubblica amministrazione e che l'Italia ha seguito, con proprie qualificazioni, per il cloud della PA attraverso ACN e il Polo Strategico Nazionale — il quale peraltro utilizza anche tecnologia di hyperscaler in configurazioni a controllo nazionale, a dimostrazione che il compromesso è la regola, non l'eccezione (da verificare per gli assetti attuali).

6. La prospettiva atlantica: la lezione di un piccolo paese di navigatori

Chiudo con lo sguardo da Lisbona, che è poi la ragione per cui scrivo in questa rubrica. Il Portogallo è un piccolo paese atlantico che ha imparato una lezione nei secoli: chi controlla le rotte controlla il commercio, e chi si limita a usare le rotte altrui prospera finché conviene a chi le possiede. Oggi le rotte sono i cavi sottomarini che approdano a Sines e a Carcavelos, i data center che crescono lungo la nostra costa attirati dall'energia rinnovabile e dalla posizione tra tre continenti, le regioni cloud che gli hyperscaler hanno acceso o annunciato anche qui (da verificare per lo stato delle singole regioni). Il mio paese, come l'Italia, non avrà mai un hyperscaler proprio. Ma questo non rende la partita irrilevante: la rende diversa. Per i paesi medi e piccoli dell'Unione, la sovranità del cloud non passa dal costruire un campione nazionale, ma dal pretendere — in sede europea — regole che rendano la dipendenza visibile, misurabile e reversibile: etichette di certificazione che dicano la verità sull'esposizione alle leggi extra-UE, obblighi di portabilità effettiva che il Data Act ha cominciato a introdurre, appalti pubblici che pesino la giurisdizione, cifratura a chiavi europee come standard per i dati critici.

L'alternativa è lo scenario attuale a tendere: un'Europa che scrive le migliori leggi del mondo sulla protezione dei dati e le fa girare su infrastrutture di cui non controlla né la proprietà, né la giurisdizione, né — con l'AI — la capacità di calcolo che decide chi produce intelligenza e chi la consuma. Un continente giuridicamente sovrano e materialmente affittuario, che ogni dieci anni scopre in un'aula di Lussemburgo che la tregua transatlantica su cui poggiava tutto era, appunto, una tregua.

La domanda scomoda, questa volta, la faccio doppia. Ai colleghi: se domani un vostro cliente vi chiedesse per iscritto in quale giurisdizione è raggiungibile il suo fascicolo, sapreste rispondere senza telefonare al fornitore? E ai decisori europei: se non siamo riusciti ad approvare nemmeno un'etichetta volontaria che dice dove comanda la legge di un altro, con quale credibilità parliamo di sovranità?