Ann Cathrin Riedel è direttrice generale di NExT e.V. e una delle voci più autorevoli in Germania in materia di governo digitale e modernizzazione amministrativa. Opera all’intersezione tra tecnologia, politica e resilienza democratica, con una crescente attenzione alla geopolitica e all’ordine internazionale.
In uno studio di recente pubblicazione ci spiega le strategie di uscita della PA dal cloud americano. La sovranità digitale non deve essere interpretata come un mero esercizio accademico o una forma di isolazionismo tecnologico, bensì come il prerequisito strategico essenziale per garantire la resilienza, l’agilità e l’affidabilità dei servizi pubblici in un’epoca di instabilità geopolitica permanente.
Oggi assistiamo a una profonda asimmetria nel settore pubblico. Se da un lato circa il 53% dei fornitori IT della Pubblica Amministrazione pianifica un’espansione decisa verso soluzioni cloud per integrare innovazioni come l’intelligenza artificiale e gestire i picchi di carico, dall’altro si osserva una preoccupante erosione del controllo sulle infrastrutture sottostanti.
Questa dipendenza da attori extra-europei non è una questione puramente tecnica, ma mina la capacità di autodeterminazione dello Stato. Senza il controllo sui sistemi che veicolano i dati dei cittadini, la capacità di agire in modo indipendente e sicuro viene compromessa, trasformando l’efficienza tecnologica in una vulnerabilità politica. Tale squilibrio pone le basi per rischi geopolitici senza precedenti, dove l’infrastruttura stessa cessa di essere un servizio neutro per trasformarsi in uno strumento di pressione esterna automatica e imprevedibile.
Sommario
Anatomia della Dipendenza
L’infrastruttura informatica è oggi una leva di potere globale, soggetta a dinamiche che superano i termini contrattuali per entrare nel perimetro della sicurezza nazionale.
Il rischio di un “Kill-Switch”, ovvero l’interruzione improvvisa dell’accesso a tecnologie critiche per decisioni politiche estere, è una realtà tangibile che trasforma le istituzioni europee in potenziali danni collaterali delle politiche altrui.
Casi recenti lo confermano in modo inequivocabile, si pensi alla sospensione forzata dei modelli avanzati di intelligenza artificiale di Anthropic, come Fable 5 e Mythos 5, imposta dalle autorità statunitensi tramite controlli sulle esportazioni, o alla revoca degli accessi Microsoft al Procuratore della Corte Penale Internazionale, Karim Khan, a seguito di sanzioni governative.
Questi episodi dimostrano la natura extraterritoriale e automatica delle sanzioni USA, che costringono le aziende private a diventare bracci operativi di Washington. A questa vulnerabilità politica si aggiunge un rischio finanziario insostenibile: le amministrazioni affrontano aumenti dei costi di licenza che, come nel caso di Microsoft Office, sono stimati fino al 41,7%, evidenziando un monopolio che drena risorse pubbliche senza possibilità di negoziazione.
Il conflitto normativo tra il CLOUD Act statunitense, che rivendica l’accesso ai dati indipendentemente dalla loro localizzazione fisica, e le tutele del GDPR e del Data Act europeo, crea un’incertezza legale che l’hosting localizzato non può risolvere, esponendo lo Stato a una fragilità sistemica permanente.
I rischi geopolitici rendono il superamento delle barriere alla trasformazione non più un’opzione, ma un prezzo necessario da pagare per la sicurezza nazionale. Tuttavia, il passaggio a soluzioni sovrane incontra ostacoli strutturali radicati, primo tra tutti la superiorità funzionale degli Hyperscaler, che beneficiano di decenni di investimenti e imponenti economie di scala. Le alternative europee richiedono oggi uno sforzo di integrazione superiore, quantificabile nell’esperienza del DigitalService in circa 0,3 FTE (Full-Time Equivalent) di personale tecnico aggiuntivo per progetto.
Oltre al divario tecnico, pesa un fenomeno di “Souveränitäts-Washing”, dove i grandi fornitori globali propongono soluzioni di hosting locale che, pur essendo geograficamente europee, mantengono la catena di controllo e le dipendenze software in mani extra-europee, mascherando la persistenza del rischio.
In questo contesto, la “diffusione della responsabilità” all’interno della pubblica amministrazione porta a scelte difensive: i funzionari, temendo errori individuali o fallimenti tecnici legati a tecnologie meno consolidate, preferiscono lo status quo degli ecosistemi chiusi. Questa aversione al rischio ignora che il vero pericolo non risiede nel costo dell’integrazione, ma nell’accettazione passiva di una dipendenza che può essere revocata in qualsiasi momento da una potenza straniera.
Architetture di Controllo: Il Framework C3A e la Strategia Europea
Per superare la paralisi decisionale, è stato sviluppato il framework C3A (Criteria enabling Cloud Computing Autonomy), introdotto nel 2026 come evoluzione strategica rispetto ai criteri puramente tecnici del C5. Il C3A non è una semplice checklist binaria, ma uno strumento di valutazione modulare basato sul contesto di rischio che analizza sei dimensioni: strategica, legale, dati, operativa, catena di approvvigionamento e tecnologica. Questo framework permette di misurare l’efficacia del controllo statale, dalla verifica del codice sorgente alla capacità di audit reale.
Parallelamente, il Cloud and AI Development Act (CADA) europeo mira a codificare questi principi attraverso gli Union Assurance Levels (SEAL), che classificano i servizi da SEAL 0 (piena dipendenza) a SEAL 4 (piena sovranità).
La validità di questo approccio è confermata da tendenze europee convergenti: si veda il caso della Francia, che ha ordinato il passaggio governativo a Linux entro l’autunno 2026, la decisione dei Paesi Bassi di disimpegnarsi dalle aziende USA per creare una cloud a controllo nazionale, o il recente stop della Finlandia al passaggio della propria piattaforma elettorale su AWS. Questi esempi dimostrano che la sovranità digitale è una direttrice politica concreta e non un’astrazione teorica, ma il framework C3A rimane uno strumento di misura inerte se non supportato da leve operative e finanziarie.
Percorsi verso l’Autonomia
La trasformazione dell’agire statale richiede l’attivazione di strumenti che traducano i criteri C3A in azioni di mercato. È fondamentale l’uso sistematico dell’IT-Zustimmungsvorbehalt (parere di conformità IT) per mappare le oltre 2.000 procedure di acquisto e identificare i punti critici nelle catene di fornitura, posizionando lo Stato come “Anchor Customer” per i fornitori europei.
Per sostenere questa transizione, occorre istituire un “Fondo per la Sovranità” che finanzi i maggiori costi iniziali di migrazione, premiando le amministrazioni che riducono attivamente le dipendenze strategiche.
Nelle realtà locali, dove il deficit di competenze è più marcato, l’intervento di “Roll-in-Teams” interdisciplinari può accelerare la transizione verso infrastrutture standardizzate come la Deutsche Verwaltungscloud (DVC) e il Sovereign Cloud Stack (SCS). L’obiettivo finale deve essere il consolidamento del cosiddetto “Deutschland-Stack”, un ecosistema di infrastruttura basato sull’Open Source che garantisca la verificabilità della sicurezza e l’interoperabilità dei sistemi. Solo attraverso la trasparenza degli standard aperti e la forza di acquisto coordinata lo Stato può riconquistare la capacità di imporre le proprie regole al mercato invece di subirne le imposizioni unilaterali.
In ultima analisi, la sovranità digitale deve essere riconosciuta come una responsabilità primaria della leadership politica, non delegabile ai soli uffici tecnici.
È necessario un mutamento di paradigma radicale che imponga l’inversione dell’onere della prova: una direttiva politica non negoziabile deve stabilire che non è più l’adozione di una soluzione sovrana a dover essere giustificata, ma deve essere sottoposta a una rigorosa procedura di autorizzazione l’accettazione di ogni nuova dipendenza strategica da attori extra-europei.
La sovranità non è uno stato statico, ma un processo continuo di gestione attiva del rischio che richiede un mandato politico chiaro e risorse adeguate. In un mondo in cui l’infrastruttura digitale determina la libertà di azione di una nazione, la scelta di investire nell’autonomia tecnologica è la massima espressione del dovere di tutela dello Stato verso i propri cittadini. Non si tratta di una questione di costi, ma di sovranità politica: solo governando i propri sistemi lo Stato potrà garantire che l’agire pubblico rimanga un esercizio libero, sicuro e pienamente autodeterminato.
