Banche, aeroporti, ospedali privati, raffinerie, utilities idriche, operatori ferroviari secondo quello che trapela dalla bozza del Cloud and AI Development Act, adottata dalla Commissione europea il 3 giugno 2026, conterrebbe una disposizione capace di estendere i criteri di sovranità cloud ben oltre il perimetro delle pubbliche amministrazioni, arrivando a toccare i soggetti privati che gestiscono infrastrutture essenziali per il funzionamento economico e sociale dell’Unione. Se questa lettura trovasse conferma nel testo definitivo, il CADA cesserebbe di essere una norma sul procurement pubblico per diventare uno strumento di governance dell’intera economia digitale europea nelle sue componenti più sensibili.
La proposta fa parte del pacchetto europeo sulla sovranità tecnologica presentato il 3 giugno 2026, che comprende anche una versione aggiornata del Chips Act e una strategia per l’open source. Il punto di partenza è un dato strutturale che Bruxelles considera inaccettabile e cioè che i provider americani, Amazon Web Services, Microsoft Azure e Google Cloud, controllerebbero circa l’80% della spesa professionale per il cloud in Europa, una concentrazione che la Commissione associa a un rischio concreto legato all’applicazione extraterritoriale del Cloud Act statunitense, norma che può obbligare fornitori con sede negli Stati Uniti a garantire accesso ai dati indipendentemente dal paese in cui questi siano fisicamente conservati. Per rispondere a questa situazione, il testo introduce un sistema di certificazione a quattro livelli di assurance. I primi due riguardano localizzazione dei dati e trasparenza della catena di fornitura, il terzo richiede proprietà e controllo europeo del provider, il quarto impone la piena indipendenza dimostrabile da qualsiasi interferenza di giurisdizioni straniere. I provider che puntano agli appalti pubblici critici dovrebbero sottoporsi ad audit e ottenere il riconoscimento formale dagli Stati membri.
Quando la sovranità digitale entra nelle corsie degli ospedali privati
La parte più rilevante della proposta, e anche quella più controversa, riguarderebbe l’estensione di questi criteri ai soggetti privati che operano in settori essenziali. Secondo quanto emerge dalla bozza, l’elenco dei soggetti potenzialmente coinvolti sarebbe ampio: oltre alle banche e agli ospedali privati, vi rientrerebbero aeroporti, raffinerie, operatori ferroviari e stradali, utilities idriche e infrastrutture dei mercati finanziari, vale a dire quella parte dell’economia che fa funzionare la vita quotidiana delle persone e dei sistemi produttivi su scala continentale. Il salto rispetto alle normative già in vigore sarebbe considerevole. NIS2 e DORA hanno introdotto obblighi di gestione del rischio tecnologico per operatori essenziali e soggetti finanziari, ma senza mai indicare quale tipo di cloud fosse accettabile né imporre standard di sovranità nella scelta del fornitore. Il CADA, nella sua formulazione attuale, potrebbe fare esattamente questo, orientando la scelta del provider in funzione di criteri definiti a livello europeo e attribuendo alla Commissione la facoltà di valutare se un’infrastruttura privata strategica stia usando strumenti sufficientemente indipendenti da controlli stranieri.
Le condizioni esatte in cui questo potere potrebbe essere attivato resterebbero, nella bozza attuale, poco definite, lasciando all’esecutivo europeo un margine di discrezionalità che gli operatori privati potrebbero trovare difficile da pianificare in anticipo.
Il nodo della giurisdizione e le risposte già in campo dei grandi provider
I grandi provider americani avevano risposto negli anni scorsi alle pressioni europee con offerte di cloud sovrano localizzate nel continente, partnership con operatori europei e architetture progettate per separare fisicamente i dati dalla giurisdizione statunitense. Bruxelles ha sempre considerato queste soluzioni insufficienti quando il controllo societario e giuridico finale restasse riconducibile a un soggetto soggetto al diritto degli Stati Uniti, indipendentemente da dove si trovassero fisicamente i server. Il CADA, evidentemente, muove dalla stessa premessa: la semplice promessa commerciale di sovranità, in certi contesti, non basterebbe. Quella che conta sarebbe la catena di controllo effettivo, giuridico e operativo, sul dato e sul servizio.
La posta in gioco è rilevante anche in termini economici. Gartner stima che la spesa europea per il cloud sovrano crescerà da 6,9 miliardi di dollari nel 2025 a oltre 23 miliardi entro il 2027, una traiettoria che riflette una trasformazione strutturale nelle preferenze di acquisto, non una tendenza passeggera. Il CADA, anche solo come proposta, starebbe già orientando le decisioni di investimento degli operatori di mercato.
Le associazioni di settore più vicine ai grandi provider americani hanno già contestato l’impostazione complessiva, definendola protezionismo regolatorio mascherato da sicurezza strategica. Dal lato europeo, la Commissione presenta il CADA come il completamento naturale di un percorso che ha preso avvio con il GDPR e che ora si estende alle infrastrutture computazionali, con l’obiettivo dichiarato di triplicare la capacità dei data center europei entro sette anni grazie a un investimento stimato attorno ai 200 miliardi di euro, in larga parte privati.
Il negoziato che deciderà quanto resterà della proposta
Il testo dovrà ora percorrere l’iter legislativo con Parlamento europeo e Consiglio, con un calendario indicativo che punta al 2027. Il negoziato sarà, presumibilmente, tutt’altro che lineare. Gli Stati membri con relazioni consolidate con i grandi hyperscaler porteranno argomenti al tavolo, soprattutto sulla parte che riguarda i privati e sulla vaghezza delle condizioni di attivazione del potere di intervento della Commissione. Il CADA si inserisce in un momento in cui i rapporti transatlantici sul digitale sono già tesi su più fronti come Digital Markets Act, AI Act, tassazione delle piattaforme e aggiungere una norma che potrebbe incidere sulle scelte tecnologiche di banche, raffinerie e ospedali privati significa portare il confronto su un piano che coinvolge interessi economici di dimensioni molto più ampie rispetto a qualsiasi dibattito precedente sulla regolazione delle piattaforme digitali. Quanto di questa proposta sopravviverà al trilogo è ancora da vedere, ma la direzione che la Commissione intende imprimere alla governance del cloud europeo è ormai dichiarata con una chiarezza che non lascia molti margini di ambiguità.
