La sovranità operativa è la capacità di continuare a operare — accedere ai dati, far girare i sistemi, erogare i processi — indipendentemente dalle decisioni di soggetti fuori dal tuo controllo. Non si misura su dove sta il server, ma su chi può interrompere, leggere o condizionare i tuoi processi. E si misura davvero: con cinque test, uno per dipendenza critica.
01Cos'è la sovranità operativa?
Definizione di lavoro, quella che usiamo con i clienti: la sovranità operativa è la capacità di un'organizzazione di continuare a operare indipendentemente dalle decisioni di soggetti che non controlla. Un fornitore che raddoppia il prezzo o cambia le condizioni d'uso. Una giurisdizione extra-UE che ordina l'accesso ai dati. Una sanzione, un embargo, una decisione politica che spegne un servizio. Se uno di questi eventi ferma un tuo processo critico, quel processo non è sovrano — qualunque cosa dica la brochure.
La distinzione da tenere ferma è quella tra residenza dei dati e sovranità. La residenza risponde a "dove sta il server"; la sovranità risponde a "chi può obbligare il fornitore, chi può leggere i dati, quanto mi costa uscire". La prima è geografia. La seconda è controllo. E non è nemmeno la "sovranità digitale" dei convegni: è una proprietà operativa, che o si dimostra con evidenze — contratti, architetture, tempi di uscita — o non esiste.
02Perché "datacenter in Europa" non basta?
Perché la giurisdizione segue la società, non il server. Il CLOUD Act statunitense (2018) ha reso esplicito che i provider soggetti a giurisdizione USA devono conservare e produrre i dati in loro possesso, custodia o controllo indipendentemente da dove sono conservati (US DoJ, CLOUD Act Resources; Congressional Research Service, R45173). Un datacenter a Francoforte gestito da una società americana risponde a Washington prima che a Bruxelles. Già nel luglio 2019 EDPB ed EDPS, nella valutazione congiunta chiesta dal Parlamento europeo, avevano rilevato che questa portata extraterritoriale può mettere i provider in conflitto di leggi con il GDPR (EDPB-EDPS, risposta congiunta alla commissione LIBE, 2019).
Per anni la risposta dei fornitori è stata "non è mai successo, e resistiamo alle richieste". Poi è arrivato il momento in cui la domanda è stata posta sotto giuramento. Il 10 giugno 2025, davanti alla commissione d'inchiesta del Senato francese sugli appalti pubblici e la sovranità digitale, al direttore degli affari pubblici e legali di Microsoft France è stato chiesto se potesse garantire che i dati dei cittadini francesi non sarebbero mai stati trasmessi alle autorità statunitensi senza l'accordo delle autorità francesi. La risposta: non posso garantirlo (ActuIA, audizione al Senato francese, giugno 2025). Non è uno scandalo: è la legge americana che funziona come previsto. Lo scandalo è continuare a chiamare "sovrano" ciò che non lo è. Il meccanismo contrattuale lo abbiamo smontato pezzo per pezzo nel Cloud Act spiegato a un CFO.
03Quanto dipende l'Europa dal cloud extra-UE?
I numeri descrivono una dipendenza strutturale, non un dettaglio. Secondo Synergy Research Group, Amazon, Microsoft e Google valgono insieme circa il 70% del mercato cloud europeo, mentre la quota dei provider europei nel loro stesso mercato è scesa dal 29% del 2017 al 15%, dove resta ferma dal 2022 — con i primi player locali, SAP e Deutsche Telekom, al 2% ciascuno. Il tutto su un mercato che nel 2024 valeva 61 miliardi di euro e cresce a doppia cifra (Synergy Research Group, luglio 2025).
Il punto non è che i tre hyperscaler siano cattivi fornitori: è che una dipendenza al 70% da tre società soggette alla stessa giurisdizione extra-UE è un singolo punto di guasto — tecnico, contrattuale e geopolitico. Lo ha messo nero su bianco la stessa Commissione europea: la proposta di Cloud and AI Development Act presentata il 3 giugno 2026, cuore del pacchetto sulla sovranità tecnologica, dichiara che l'eccessiva dipendenza da provider cloud non-UE «pone un rischio significativo per l'autonomia digitale e la resilienza dell'Europa» e punta a triplicare la capacità datacenter dell'UE in 5-7 anni (Commissione europea, CADA, giugno 2026). La proposta è all'inizio dell'iter legislativo: darà frutti tra anni. La tua esposizione, però, esiste oggi.
04Come si misura la sovranità operativa? I cinque test
La sovranità non è un aggettivo da capitolato: è una proprietà verificabile. Per ogni fornitore critico — cloud, SaaS gestionale, AI, posta — applica cinque test. Ogni risposta deve essere un'evidenza documentabile, non un'opinione.
- 1. Test di giurisdizione. Quali leggi extra-UE raggiungono il fornitore? Non guardare la sede della filiale che firma il contratto: guarda la capogruppo e chi controlla i dati. Se la catena societaria arriva in una giurisdizione con obblighi extraterritoriali (Cloud Act, FISA 702), quella legge arriva ai tuoi dati.
- 2. Test delle chiavi. Chi può tecnicamente leggere i dati? Cifratura "at rest" con chiavi custodite dal fornitore significa che il fornitore può leggere — e quindi consegnare. Sovrano è solo ciò che è cifrato con chiavi che custodisci tu, o che gira su infrastruttura tua.
- 3. Test di uscita. Quanto costa e quanti giorni servono per migrare — verso un altro fornitore o verso on-premise? Dati esportabili in formati aperti, procedure provate, costi noti. Se non hai mai provato l'uscita, non hai un piano di uscita: hai una speranza.
- 4. Test di continuità. Se domani il fornitore raddoppia il prezzo, cambia le condizioni o viene bloccato da una decisione presa altrove: quali processi si fermano, e per quanto? La risposta è una lista di processi con tempi, non un giudizio di probabilità.
- 5. Test di competenza. Il processo può girare senza il fornitore? Persone, documentazione, alternative provate. La dipendenza più profonda non è nel contratto: è nel non saper più fare a meno di qualcuno.
05Cosa cambia con il Data Act (e cosa no)?
Sul test di uscita l'Europa ha appena spostato l'equilibrio a favore del cliente. Il Data Act (Regolamento UE 2023/2854), applicabile dal 12 settembre 2025, dà ai clienti dei servizi di data processing — IaaS, PaaS, SaaS — il diritto di cambiare fornitore con preavviso massimo di due mesi e un periodo di transizione di 30 giorni, e include esplicitamente il diritto di riportare dati e asset digitali su infrastruttura on-premise (Commissione europea, Data Act; EUR-Lex, Reg. UE 2023/2854). Sui costi, due date: da settembre 2025 le switching charges devono limitarsi ai costi effettivamente sostenuti; dal 12 gennaio 2027 sono vietate del tutto.
Quello che il Data Act non fa: non trasforma il diritto di uscita in capacità di uscita. Il regolamento copre i "dati esportabili" — non le competenze, non l'architettura che nel frattempo hai costruito attorno ai servizi proprietari del fornitore, non i modelli AI addestrati dentro una piattaforma chiusa. E non tocca il test di giurisdizione: puoi cambiare hyperscaler in 30 giorni e restare esattamente sotto la stessa legge extraterritoriale di prima. Il Data Act abbassa il costo della porta. Attraversarla — e scegliere dove porta — resta un lavoro di architettura.
06Da dove iniziare, concretamente
Non da un position paper: da una mappa delle dipendenze. Un foglio con tre colonne — processo critico, fornitore, giurisdizione — e i cinque test applicati a ogni riga. È lo stesso metodo che usiamo per NIS2 e DORA: prima la fotografia, poi le decisioni. Da lì escono le priorità vere: i processi dove serve on-premise (dati critici, chiavi, AI su dati sensibili — il caso dell'AI senza vendor lock-in), quelli dove basta un fornitore EU-hosted con chiavi tue, e quelli dove il lock-in è accettabile perché l'uscita è provata e costa poco.
È il principio su cui è costruita la nostra pagina sulla sovranità operativa e l'intera linea dei prodotti P3: software sovrano, on-premise o EU-hosted, senza lock-in by design. Se vuoi partire dalla fotografia — rete, dati, fornitori, giurisdizioni — il primo passo è un audit on-prem di sette giorni. Per un confronto sul tuo caso, scrivici.