L’analisi del documento “Microsoft’s European Digital Commitments” rivela un’architettura complessa di rassicurazioni contrattuali che, pur rappresentando un passo avanti nella gestione dei dati, si scontrano con i limiti strutturali, tecnologici e giuridici del concetto di sovranità digitale europea. Sebbene Microsoft presenti queste misure come soluzioni definitive, per le finalità che ci siamo proposti a Bruxelles per raggiungere un’indipendenza strategica, non possiamo accontentarci più di garanzie contrattuali e procedure di conformità in quanto non scalfiscono la dipendenza sistemica dell’Europa dalle Big Tech americane.

Ecco perché queste promesse non realizzano una vera indipendenza europea:

La persistenza del controllo tecnologico (Lock-in)

Il primo ostacolo alla sovranità è la natura stessa del software e dell’infrastruttura. Quando un’organizzazione europea adotta la “Sovereign Landing Zone” di Microsoft o di qualunque altro campione globale come Google o Amazon, le sue “Confidential Computing” capabilities, sta di fatto approfondendo la propria integrazione in un ecosistema proprietario. Non c’è niente di sovrano o indipendente nel porsi come acquirente di tecnologia extra europea.

La sovranità digitale presuppone la capacità di un attore di autodeterminare le proprie scelte tecnologiche. Tuttavia, l’architettura di Azure è una “scatola nera” i cui codici sorgente, firmware e standard di interconnessione rimangono sotto il controllo esclusivo dell’azienda di Redmond. Anche se i dati risiedono fisicamente in Europa (EU Data Boundary), la capacità operativa (il “saper fare”) rimane esterna. Se l’Europa non può migrare istantaneamente i propri carichi di lavoro su un’infrastruttura alternativa senza costi proibitivi o perdite di funzionalità, non esiste indipendenza, ma solo una “gabbia dorata” regolamentata da contratto. Recenti scenari di guerra che hanno coinvolto due Region AWS in Medio Oriente e in Barhein mostrano quanto difficile sia l’affidamento a un solo fornitore, per quanto grande e resilente possa essere, porta con se una serie di vulnerabilità che fin qui non avevamo considerato, ovvero l’attacco ad infrastrutture critiche di un Paese alleato. Sembra una questione residuale ma in un rinnovato contesto geopolitico anche questo ha il suo peso.

Il conflitto tra giurisdizioni: Cloud Act vs. GDPR

Microsoft promette di contestare le richieste governative di accesso ai dati (es. dal governo USA). Tuttavia, questa è una garanzia di tipo legale-procedurale, non un’impossibilità tecnica. Come azienda statunitense, Microsoft è soggetta al U.S. CLOUD Act, che obbliga i provider americani a fornire dati anche se conservati su server esteri. La raggiungibilità giuridica dei dati è il perno delle nostre democrazie elettroniche e si cerca quindi di proteggere i dati personali e non personali dall’influsso di potenze estere. Il caso del cloud act americano è ben noto.

Le “garanzie contrattuali” offerte sono impegni a resistere in tribunale, ma non eliminano il conflitto di leggi. Un’Europa veramente sovrana non dovrebbe dipendere dalla volontà di un’azienda privata di fare causa al proprio governo per proteggere i dati europei. La sovranità richiederebbe che l’accesso ai dati fosse regolato esclusivamente da trattati internazionali e autorità giudiziarie locali, senza che una potenza straniera possa esercitare una pressione legale diretta sul fornitore del servizio.

La governance dei dati e l’illusione del controllo locale

Il documento menziona un consiglio di amministrazione composto da cittadini europei per governare i datacenter. Sebbene simbolicamente importante, questa misura non cambia la struttura proprietaria. La proprietà intellettuale, i profitti e le decisioni strategiche sullo sviluppo della piattaforma rimangono negli Stati Uniti. Qualcosa di questo l’abbiamo visto nella proposta di AWS di cloud sovrano, con una società separata ma sotto controllo della casa madre, che assume funzionari europei. E’ una misura che non è sufficiente da sola a garantire la governance dei dati.

Un “consiglio locale” ha un potere limitato rispetto alla “catena di comando” tecnologica. Se Microsoft USA decidesse di interrompere un aggiornamento o modificare le API globali, il consiglio europeo non avrebbe i mezzi tecnici per mantenere operativa l’infrastruttura in modo autonomo. La sovranità non è solo “dove” stanno i dati, ma “chi” controlla l’evoluzione dello strumento che li gestisce.

La dipendenza dall’Innovazione “Importata”

Un tema centrale del documento è l’offerta di strumenti avanzati per la conformità normativa (come il supporto a DORA e NIS 2). Questo crea un paradosso: l’Europa stabilisce le regole (regolazione), ma deve affidarsi a giganti americani per avere gli strumenti tecnici necessari a rispettarle.

Questa dipendenza normativa assistita impedisce la nascita di un ecosistema industriale europeo competitivo. Finché le Big Tech rimangono gli unici attori capaci di investire miliardi di dollari in sicurezza e cloud iperscalabile, l’Europa rimarrà un “regolatore di tecnologie altrui” anziché un produttore. Le garanzie di Microsoft, pur facilitando la vita alle imprese europee nel breve termine, consolidano il monopolio di fatto, rendendo superflua o troppo costosa la ricerca di alternative locali. In realtà ripetiamo da tempo che il modo migliore per accelerare le industrie locali è usare la leva della commessa pubblica per acquistare prodotti e servizi europei. Questo non comporterebbe alcuna spesa aggiuntiva ed è semplicissimo da fare. Laddove esistano alternative europee, esse andrebbero sempre preferite a quelle extra europee. Chiamatelo protezionismo, è esattamente quello che fanno tutti gli altri Stati extra europei.

Il limite del Confidential Computing

Microsoft promuove l’Azure Confidential Computing come soluzione per proteggere i dati durante l’uso. Sebbene sia una tecnologia d’avanguardia, essa si basa su hardware (come i processori Intel o AMD) e hypervisor sviluppati e controllati negli USA.

La sovranità digitale richiederebbe una “full-stack independence”: dal silicio dei chip al sistema operativo, fino all’applicazione finale. Utilizzare crittografia gestita da un provider che controlla anche le chiavi (o che gestisce il servizio di gestione delle chiavi) è un atto di fiducia contrattuale, non una garanzia di indipendenza tecnica assoluta.

Le “National Partner Clouds” come intermediari

Il documento cita collaborazioni come Bleu in Francia o Delos Cloud in Germania. Queste partnership sono presentate come il massimo della sovranità, poiché il cloud è operato da partner locali. Tuttavia, il “motore” sotto il cofano rimane Azure.

Questi partner nazionali agiscono come distributori e gestori di una tecnologia che non possiedono e che non possono modificare. Se il flusso di aggiornamenti da parte di Microsoft dovesse interrompersi, questi “cloud sovrani” diventerebbero obsoleti in pochi mesi. Si tratta di una sovranità di facciata, dove il controllo è delegato alla periferia ma il potere reale resta al centro.

Gli impegni contrattuali non bastavano ieri e non bastano nemmeno oggi

In sintesi, i “Digital Commitments” di Microsoft sono eccellenti strumenti di compliance (conformità). Aiutano le banche e le pubbliche amministrazioni europee a firmare contratti che soddisfano i requisiti legali attuali, riducendo il rischio di sanzioni.

Tuttavia, la sovranità digitale è un concetto politico e strategico che riguarda la libertà di agire e di innovare senza vincoli esterni. Finché l’infrastruttura critica europea poggia su basi proprietarie extracomunitarie, l’Europa rimane in una posizione di vulnerabilità strategica. Le promesse di Microsoft sono “impegni di buona condotta”, ma non sono un trasferimento di potere tecnologico. La vera indipendenza si ottiene solo attraverso la diversificazione dei fornitori, il sostegno all’open source e la creazione di una vera capacità infrastrutturale europea che non debba chiedere “permesso” o garanzie a entità straniere.