Per un'azienda la sovranità digitale non è una questione geopolitica astratta: è la capacità di sapere dove stanno i propri dati, chi può decidere di mostrarli a un terzo e quanto costerebbe portarli altrove. Perché se ne parla proprio ora? Perché la Commissione europea ha messo nero su bianco che una dipendenza eccessiva da fornitori cloud non europei rappresenta un rischio concreto per l'autonomia e la resilienza digitale del continente, e perché il mercato conferma quella preoccupazione: secondo stime di mercato (tra cui Funcas, 2025), i grandi fornitori non europei valgono circa il 70% del mercato cloud europeo, mentre i fornitori europei si attestano tra il 13% e il 15%. Per una PMI non è un dibattito da convegno: è una voce di rischio nel proprio bilancio.

La dipendenza come rischio d'impresa

Un fornitore digitale è un fornitore come gli altri finché non cambia le regole. Quando concentra quote di mercato molto alte, può alzare i prezzi, cambiare le condizioni contrattuali o dismettere un prodotto senza che il cliente abbia un'alternativa praticabile. È qui che la dipendenza smette di essere un tema tecnico e diventa un rischio d'impresa: continuità operativa, costi e libertà di decidere.

Va chiarito subito un equivoco. Avere i server in Europa non equivale ad avere sovranità. Un fornitore statunitense può essere obbligato dal CLOUD Act, la legge USA del 2018 sull'accesso ai dati conservati anche all'estero, a consegnare informazioni a un'autorità americana indipendentemente da dove sono ospitate. La data residency (residenza dei dati) in UE non è quindi un'immunità giuridica: per chi tratta dati personali di clienti e dipendenti è un tema di conformità al GDPR e di rischio legale, prima ancora che di architettura. Chi ripensa il proprio stack parte spesso da qui: decidere cosa migrare e dove collocare i carichi di lavoro è anche una scelta di controllo.

Cosa sta facendo l'Europa

Negli ultimi due anni l'Unione ha trasformato la parola sovranità in strumenti misurabili. Il primo tassello è il Data Act, in vigore dall'11 gennaio 2024 e applicabile dal 12 settembre 2025: l'articolo 29 affronta direttamente le egress fee (i costi di uscita), stabilendo che dal 12 settembre 2025 gli oneri di cambiamento possano coprire solo i costi effettivi e che dal 12 gennaio 2027 vadano rimossi del tutto. Uscire da un cloud dovrà quindi costare meno.

Sul fronte industriale, l'IPCEI CIS (Next Generation Cloud Infrastructure and Services) è stato approvato il 5 dicembre 2023 e autorizza fino a 1,2 miliardi di euro di aiuti di Stato da sette Paesi membri, Italia compresa. Sul fronte della valutazione dei fornitori, la Commissione ha pubblicato un Cloud Sovereignty Framework (quadro di sovranità del cloud) organizzato in livelli da SEAL-0 a SEAL-4 e in 48 criteri distribuiti su 8 categorie: una griglia pubblica per valutare quanto un servizio sia davvero indipendente da fornitori e leggi extra-UE. Nell'aprile 2026 la Commissione ha aggiudicato un contratto da 180 milioni di euro su sei anni a quattro raggruppamenti europei, chiedendo un livello di resilienza digitale non bloccabile da un fornitore extra-UE. Infine la proposta CADA (Cloud and AI Development Act), adottata il 3 giugno 2026, disegna quattro livelli di sovranità e punta ad almeno triplicare la capacità di data center in UE in cinque o sette anni. Va detto con chiarezza: CADA è una proposta, non una legge in vigore.

Fa da sfondo la spinta sulla sicurezza dei prodotti: su questo si innesta il tema, già raccontato, del prodotto sicuro by design previsto dal Cyber Resilience Act.

Cosa cambia in pratica per una PMI

Per una PMI la sovranità non si compra, si verifica. Prima di firmare o rinnovare un contratto cloud, quattro domande cambiano il risultato.

  • Dove sono i dati. Non basta la bandierina del Paese: servono regione di archiviazione, repliche, backup e sede legale del fornitore.
  • Chi li controlla. Il fornitore è soggetto a leggi extra-UE? Quali autorità possono chiedere accesso ai dati, e con quali tutele?
  • Come si esce. Clausole di uscita e portabilità, formati esportabili, tempi di restituzione dei dati, costi residui: vanno letti prima, non al momento della disdetta.
  • Quanto è sostituibile il fornitore. Standard aperti, open source, architetture multi-vendor e nessun servizio proprietario non esportabile. La sostituibilità conta prima del prezzo: è ciò che tiene il prezzo onesto.

A questo si aggiunge il quadro degli obblighi di sicurezza, che rende la scelta del fornitore anche una decisione di conformità: gli adempimenti e i controlli previsti in Italia non si scaricano su un contratto firmato male.

Il lock-in si misura

Un lock-in (dipendenza forzata) non si vede finché non si prova a uscire. Il caso più citato del 2024 è quello di VMware dopo l'acquisizione da parte di Broadcom: contratti rinegoziati con aumenti di listino che, secondo fonti di mercato, in alcuni casi hanno toccato da +200% a +500%, con migrazioni di clienti verso alternative come Proxmox. Non è una statistica e non va letta come tale: è un esempio di quanto rapidamente possano cambiare prezzo e condizioni quando l'alternativa è debole.

Il fenomeno ha una conseguenza visibile: secondo il State of the Cloud Report 2025 di Flexera, circa il 21% dei carichi di lavoro è già stato riportato da cloud pubblico a on-premise o cloud privato, per costi e, in parte, sovranità. L'antidoto, però, non è un singolo fornitore "sicuro": sono gli standard aperti, l'open source e la possibilità concreta di cambiare.

Strumenti concreti in Italia

Anche in Italia esistono leve utilizzabili subito. Il voucher Cloud & Cybersecurity del MIMIT mette sul tavolo 150 milioni di euro: contributo a fondo perduto fino al 50% delle spese ammissibili e fino a 20.000 euro per PMI e lavoratori autonomi, con accesso tramite fornitore abilitato. Attenzione: importi e requisiti sono cambiati più volte tra 2025 e 2026, quindi va verificata la versione dell'avviso vigente.

Sul fronte della qualificazione, l'ACN (Agenzia per la cybersicurezza nazionale) pubblica il catalogo dei servizi cloud qualificati, articolato su livelli da QC1 a QC4: il livello richiesto dipende dalla tipologia di dati e di servizio e orienta le scelte verso fornitori verificabili. Per una PMI che vuole tenere insieme continuità, controllo dei dati e costi prevedibili, la strada più concreta resta una gestione attenta di server, cloud e SaaS, con criteri di scelta espliciti invece che improvvisati.

In sintesi

Sovranità digitale non significa autarchia, né costruire tutto in casa. Significa sostituibilità: poter cambiare fornitore senza dipendere da uno solo, sapere dove sono i dati, chi li controlla e quanto costa andarsene. Per una PMI è una scelta di rischio prima che di tecnologia, e conviene farla adesso, mentre il quadro europeo, dal Data Act al Cloud Sovereignty Framework, comincia a offrire strumenti concreti.