Cloud sovrano: la nuova legge UE che cambia tutto
Il 3 giugno 2026 la Commissione Europea ha presentato il Cloud and AI Development Act: una proposta di legge che ridefinisce chi può toccare i dati delle pubbliche amministrazioni europee e introduce quattro livelli di sovranità digitale obbligatori per i provider cloud.
Perché l'Europa ha deciso di intervenire adesso
Il mercato cloud europeo vale oltre 61 miliardi di euro (dato Synergy Research Group 2024) ed è dominato per il 70% da tre aziende americane: Amazon Web Services, Microsoft Azure e Google Cloud. I provider europei, da OVHcloud a Deutsche Telekom, passando per Telecom Italia, si spartiscono un misero 15%, una quota che era al 29% nel 2017 e da allora non ha fatto altro che scendere mentre il mercato cresceva sei volte.
Il problema non è solo commerciale. È strutturalmente legale. Esiste una legge americana del 2018 chiamata CLOUD Act che obbliga qualsiasi azienda statunitense a consegnare alle autorità federali USA qualsiasi dato in suo possesso, ovunque nel mondo. Non importa se il server si trova a Milano o a Francoforte: se il provider è americano, Washington può accedere ai dati. In conflitto diretto con il GDPR europeo, senza meccanismo di ricorso per i cittadini UE.
Il risultato pratico è che dati sanitari, documenti riservati di ministeri, fascicoli giudiziari e piani industriali salvati su cloud americano sono potenzialmente accessibili al governo USA, legalmente, senza che nessuno lo sappia.
Cosa prevede il Cloud and AI Development Act
Il CADA introduce un sistema di classificazione a quattro livelli per tutti i servizi cloud usati dalla pubblica amministrazione europea. Ogni livello corrisponde a un grado crescente di protezione rispetto a rischi come accessi non autorizzati da Paesi terzi, interruzioni del servizio e perdita di controllo sui dati.
Il Livello 1 è il minimo obbligatorio per qualsiasi fornitore che voglia lavorare con il settore pubblico europeo: requisiti base di sicurezza e trasparenza, nessun obbligo di struttura proprietaria europea.
Il Livello 2 e 3 alzano progressivamente i requisiti. Il Livello 3 richiede che il provider sia di proprietà e sotto il controllo di soggetti europei, con una finestra aperta: la Commissione potrà certificare anche provider extra-UE considerati affidabili, purché garantiscano le tutele richieste. È il livello in cui potrebbe rientrare, ad esempio, la joint venture S3NS formata da Google e Thales.
Il Livello 4, il più stringente, è riservato alle attività critiche dello Stato: difesa, sicurezza nazionale, gestione delle frontiere, giustizia, infrastrutture essenziali. Qui non è ammessa alcuna interferenza di Paesi terzi e l'intera catena del software deve essere trasparente e verificabile. Niente CLOUD Act. Niente FISA 702.
Il punto che cambia tutto per le aziende
La norma non riguarda solo le pubbliche amministrazioni. Chiunque fornisca servizi alla PA, studi professionali, software house, fornitori di soluzioni SaaS, agenzie digitali, dovrà fare i conti con i requisiti di sovranità del proprio cliente pubblico. Se la PA è obbligata ad usare un provider di Livello 3 o 4 per certi dati, il consulente che gestisce quei sistemi dovrà fare le stesse scelte.
Il CADA prevede inoltre l'obiettivo di triplicare la capacità europea dei data center, un obiettivo ambizioso considerando il gap attuale, entro cinque-sette anni. Chi costruisce infrastrutture con componenti prodotti in Europa o con ridotto impatto energetico potrà accedere a corsie preferenziali per l'allacciamento alla rete elettrica e a tariffe ridotte.
A che punto siamo: iter e tempi reali
La proposta è stata adottata formalmente dalla Commissione il 3 giugno 2026, insieme al nuovo Chips Act 2.0, nel pacchetto Tech Sovereignty Package. Da oggi inizia l'iter legislativo ordinario: il testo passa a Parlamento Europeo e Consiglio dell'Unione, che dovranno negoziarlo e approvarlo. I tempi tipici per un regolamento di questo tipo sono due-tre anni, il che significa che le prime obbligazioni concrete per PA e fornitori non arriveranno prima del 2028-2029.
Tuttavia, alcune grandi aziende non stanno aspettando. Microsoft, Google e Amazon hanno già avviato iniziative di cloud sovrano su base volontaria, joint venture con partner europei, data center segregati, offerte specifiche per la PA (argomento che avevamo già affrontato quando ci siamo chiesti cosa succederebbe se Google Workspace non fosse più accessibile in Europa), proprio per non trovarsi tagliate fuori quando la norma entrerà in vigore.
Cosa cambia concretamente per chi gestisce un sito o un'infrastruttura digitale
Nel breve periodo, per una PMI o per uno studio professionale, non cambia nulla di operativo nell'immediato. Le scelte di oggi, usare Google Workspace o Microsoft 365, AWS, Azure, restano valide e conformi. Ma chi gestisce infrastrutture per enti pubblici, ospedali, studi medici o strutture che trattano dati sensibili farà bene a tenere d'occhio l'evoluzione normativa e a documentare già ora le scelte architetturali adottate.
Nel medio-lungo periodo, il CADA è il segnale più chiaro che l'Europa ha mai dato sulla direzione della sovranità digitale come requisito normativo concreto: non più dibattito teorico, ma requisito contrattuale per lavorare con il settore pubblico. Conoscere i quattro livelli, sapere dove si collocano i propri fornitori e capire quali dati richiedono quale grado di protezione diventerà una competenza indispensabile per qualsiasi consulente digitale.
