Per anni l'Unione Europea ha agito seguendo un presupposto lineare: definire norme rigorose per la protezione dei dati e la privacy avrebbe automaticamente generato uno spazio sicuro in cui far crescere campioni tecnologici locali. L'idea era che la legge potesse fungere da scudo e, contemporaneamente, da volano. Tuttavia, la realtà operativa sta dimostrando che l'esercizio del potere normativo non coincide con l'esercizio della sovranità tecnologica.

Il risultato è un'asimmetria profonda. Mentre Bruxelles scrive regolamenti, l'infrastruttura fisica e logica su cui poggia l'economia digitale europea rimane in gran parte di proprietà di aziende nordamericane. Non si tratta di una mancanza di competenze tecniche, ma di un'incapacità sistemica di tradurre i principi giuridici in opportunità di mercato per gli operatori europei.

Il Cloud and AI Development Act e la ricerca dell'autonomia

Al centro del tentativo di correggere questa rotta c'è il CAIDA (Cloud and AI Development Act). Questo progetto legislativo non è un semplice aggiornamento normativo, ma ambisce a diventare il nucleo di un pacchetto industriale volto a garantire che l'Europa dipenda meno da fornitori extra-UE per le proprie infrastrutture digitali più critiche.

L'obiettivo del CAIDA è definire regole e strumenti per lo sviluppo di servizi cloud e capacità di calcolo per l'intelligenza artificiale che siano effettivamente a prova di Europa. In particolare, l'atto punta a creare condizioni che permettano a operatori sotto controllo europeo di gestire i dati più sensibili, come quelli relativi alla difesa, alla sanità o alla pubblica amministrazione.

Analisi strategica: Il CAIDA rappresenta il tentativo di spostare il baricentro dalla 'compliance' (rispetto delle regole) alla 'capacità' (possesso dei mezzi). Se l'AI Act regola l'uso dell'intelligenza artificiale, il CAIDA dovrebbe regolare l'infrastruttura che la rende possibile. Senza il controllo del calcolo e dello storage, l'Europa rischia di essere un regolatore di tecnologie che non possiede.

Il paradosso di EduStorage

Per comprendere dove il sistema si inceppa, occorre guardare a casi concreti. EduStorage è una federazione di storage cloud progettata per il sistema universitario e della ricerca italiano. L'obiettivo era ambizioso ma tecnicamente lineare: aggregare infrastrutture distribuite per creare un'alternativa europea ai grandi provider nordamericani, dedicata alla conservazione e condivisione di dati scientifici.

Il progetto ha dimostrato che la tecnologia esiste, l'idea è valida e i soggetti interessati sono presenti. Eppure, l'implementazione si è scontrata con un muro invisibile. Il paradosso risiede nel fatto che, mentre l'Europa invoca la sovranità digitale, le procedure operative quotidiane ne negano la possibilità.

Le barriere riscontrate non sono di natura tecnica, ma amministrativa:

• Procedure di gara scritte su misura per chi è già leader di mercato.
• Qualificazioni cloud che riflettono lo stato del mercato di anni fa.
• Responsabilità amministrative che scoraggiano l'adozione di soluzioni innovative a favore di quelle consolidate.

Questo scenario crea un circolo vizioso: i soldi pubblici finiscono per finanziare infrastrutture americane perché i capitolati di gara, pur essendo formali, sono implicitamente modellati sui servizi offerti dai colossi statunitensi.

Massimo Carboni e la battaglia contro i bit invisibili

Massimo Carboni, Chief Technical Officer di GARR, ha vissuto in prima persona questa frizione tra visione tecnologica e realtà burocratica. Nel suo racconto emerge una consapevolezza amara: il problema dell'innovazione europea non è la carenza di idee, ma l'architettura delle regole. Carboni sottolinea come, lavorando a EduStorage, sia diventato evidente che il vero ostacolo non siano i bit, ma le procedure.

La sua esperienza evidenzia come il CTO di un'organizzazione pubblica si trovi a combattere non contro i competitor tecnologici, ma contro una struttura di procurement che penalizza l'alternativa locale. Quando le regole di accesso al mercato sono calibrate sui fornitori esistenti, ogni tentativo di costruire un'alternativa europea viene percepito come un rischio amministrativo piuttosto che come un valore strategico.

'C’è un momento preciso in cui ti rendi conto che il problema non è tecnologico'

Questa riflessione di Carboni sposta l'attenzione dal piano dell'ingegneria a quello della governance. La sovranità digitale non si ottiene scrivendo codice, ma riscrivendo i capitolati di gara.

Perché il CAIDA continua a slittare

Nonostante l'urgenza, la presentazione del CAIDA è stata rinviata più volte. Sebbene sulla carta la data fissata fosse il 3 giugno, i ritardi a Bruxelles suggeriscono tensioni profonde. Secondo Innocenzo Genna, le spiegazioni per questi rinvii sono molteplici e intrecciate tra loro.

Il ritardo non è solo burocratico, ma riflette la difficoltà di bilanciare due esigenze opposte: la necessità di proteggere i dati europei e l'attuale dipendenza operativa dai provider USA. Un'azione troppo brusca potrebbe destabilizzare i servizi pubblici che già poggiano su tali infrastrutture; un'azione troppo lenta rende la sovranità un concetto puramente teorico.

Analisi geopolitica: Il rinvio del CAIDA indica che l'UE fatica a trovare un compromesso tra l'ambizione politica di autonomia e la realtà economica di un mercato dove i provider americani hanno un vantaggio competitivo strutturale. Il rischio è che il CAIDA diventi un'altra norma che, pur essendo corretta nei principi, arrivi troppo tardi per cambiare l'assetto del mercato.

La trappola dei capitolati tra AI Act e l'autonomia digitale UE

L'Europa si trova oggi in una posizione ambivalente. Da un lato, l'AI Act stabilisce standard globali per l'intelligenza artificiale, posizionando l'UE come il principale arbitro etico e legale della tecnologia. Dall'altro, l'assenza di un'infrastruttura cloud sovrana rende l'applicazione di queste regole dipendente da terzi. Il potere digitale non risiede in chi scrive la legge, ma in chi possiede il server dove la legge deve essere applicata.

Per le imprese italiane e l'ecosistema europeo, questa situazione crea una trappola. Se le regole di certificazione e i requisiti di gara continuano a fotografare un mercato dominato da pochi attori globali, le aziende locali non avranno mai le dimensioni necessarie per competere, indipendentemente dalla qualità della loro tecnologia.

Il rischio è che le norme nate per proteggere l'Europa finiscano per frenarla, creando un ambiente dove la conformità normativa diventa un costo che solo i grandi colossi possono assorbire facilmente, mentre le realtà locali vengono soffocate dalla burocrazia del procurement. L'infrastruttura digitale non è un semplice servizio di supporto, ma la base materiale su cui si costruisce la competitività industriale.

Per uscire da questa impasse, l'UE deve passare a una strategia di procurement attivo. Ciò significa progettare gare d'appalto che non richiedano requisiti impossibili per i nuovi entranti, ma che premino la sovranità del dato e la resilienza dell'infrastruttura.

Scenari futuri e indicatori: 1. Scenario di accelerazione: Il CAIDA viene approvato con clausole che obbligano la PA a quote di storage su cloud europei. Indicatore: Percentuale di contratti cloud pubblici assegnati a provider UE nel 2027. 2. Scenario di stagnazione: Il CAIDA viene approvato ma rimane una cornice di principi senza incentivi economici o obblighi di procurement. Indicatore: Persistenza della quota di mercato dei provider USA sopra il 90% nei servizi cloud della PA europea. 3. Scenario di frammentazione: Gli stati membri, stanchi dei ritardi di Bruxelles, creano norme di sovranità nazionali divergenti. Indicatore: Adozione di leggi nazionali sul cloud in almeno tre grandi paesi UE (es. Francia, Germania, Italia) prima della piena attuazione del CAIDA.

Implicazioni per le imprese italiane e l'UE

Per l'imprenditore italiano, la partita della sovranità digitale si gioca sulla capacità di intercettare il cambiamento nei capitolati di gara. Se il CAIDA riuscirà a sbloccare il mercato, si aprirà una finestra di opportunità per i provider locali e i sistemintegratori capaci di offrire soluzioni di calcolo e storage conformi agli standard europei.

Tuttavia, l'intersezione tra AI Act e NIS2 impone un carico di compliance elevatissimo. Le imprese devono prepararsi a una gestione dei dati che non sia solo sicura, ma localizzata. La vera sfida per l'UE non è più scrivere leggi, ma costruire l'industria capace di renderle operative senza dipendere da infrastrutture extra-europee.

Domande frequenti

Fonti: Agendadigitale, Claudiagiulia, Huffingtonpost ·