Il concetto tradizionale di sicurezza nazionale, storicamente ancorato alla difesa dei confini fisici e alla tutela delle infrastrutture materiali (centrali elettriche, reti idriche, nodi ferroviari), sta subendo una metamorfosi radicale sotto la spinta di una digitalizzazione pervasiva e irreversibile. Nell’ecosistema contemporaneo, la distinzione tra ciò che è “critico” e ciò che è “ordinario” non risponde più a criteri puramente accademici o a tabelle ministeriali predefinite.
La realtà operativa ed economica dimostra che il tessuto sociale e produttivo di un Paese può essere paralizzato con la stessa efficacia sia dal sabotaggio di una centrale elettrica, sia dal blocco prolungato di un’applicazione di messaggistica istantanea o di una piattaforma di navigazione satellitare.
La sovranità digitale emerge quindi non come un’ambizione teorica, ma come una necessità strategica cogente. Essa si definisce come la capacità di uno Stato e delle sue articolazioni pubbliche e private di mantenere il controllo autonomo sui propri dati, sulle infrastrutture di calcolo, sulle reti di trasmissione e sugli algoritmi di intelligenza artificiale. Senza questa autonomia fondamentale, l’indipendenza politica ed economica diventa un’illusione, esponendo il sistema-Paese a vulnerabilità sistemiche asimmetriche, governate da attori geopolitici e colossi tecnologici situati al di fuori della giurisdizione nazionale ed europea.
L’occasione per far emergere queste discussioni è stata l’evento AI+Now 2026, un appuntamento di rilievo dedicato alle sfide dell’intelligenza artificiale, della sicurezza digitale e della trasformazione tecnologica nazionale. La giornata è stata inaugurata dal think tank “Close-up Meeting“, focalizzato sul ruolo del cloud sovrano e sulla compliance per la Pubblica Amministrazione e i settori strategici, riunendo esperti provenienti dal mondo delle PMI, delle istituzioni e della ricerca.
Con un prestigioso intervento che ha ispirato questo articolo, Antonio Baldassarra (AD di Seeweb) ha proposto una riflessione profonda sul concetto di criticità delle infrastrutture, sostenendo che la distinzione tra servizi “critici” e “non critici” sia oggi più accademica che reale; servizi d’uso quotidiano come WhatsApp o le app per la mobilità, pur non essendo classificati formalmente come critici, sono percepiti come tali dagli utenti per la loro scarsa fungibilità.
Baldassarra ha inoltre messo in guardia contro la Shadow AI, ovvero l’utilizzo non regolamentato di strumenti di intelligenza artificiale all’interno delle aziende, e ha suggerito che la vera sovranità digitale non si ottenga con grandi annunci di “campioni europei”, ma attraverso un percorso incrementale di indipendenza tecnologica che rimuova progressivamente le dipendenze esterne.
Sommario
La criticità funzionale e la vulnerabilità sociale
I quadri normativi europei e nazionali tendono a catalogare le infrastrutture critiche attraverso criteri quantitativi e settoriali rigidi. Vengono giustamente protetti i sistemi bancari, le reti di distribuzione dell’energia e i nodi di trasporto principali. Tuttavia, esiste una profonda divergenza tra questa classificazione burocratica e la percezione reale degli utenti quotidiani.
Servizi digitali apparentemente non essenziali, come le piattaforme di infomobilità o i canali di comunicazione interpersonale crittografata, non godono dello stesso livello di protezione strategica riservato alle reti elettriche. Eppure, un loro disservizio generalizzato è in grado di generare una paralisi sociale e operativa immediata.
Se un’applicazione di navigazione smette di funzionare, ha spiegato l’AD di Seeweb, la catena logistica dell’ultimo miglio si interrompe; se una piattaforma di messaggistica aziendale subisce un blackout, i flussi di lavoro di migliaia di imprese si bloccano istantaneamente. La criticità è diventata un fattore eminentemente funzionale. Gli strumenti digitali odierni sono percepiti dalla collettività come difficilmente fungibili, ma a volte non esistono alternative analogiche pronte all’uso. Rispetto a pochi decenni fa, la società ha progressivamente smarrito la capacità di risolvere problemi logistici, comunicativi e gestionali quotidiani in assenza di supporti algoritmici.
Quando l’utente medio non è più in grado di orientarsi nello spazio o di coordinare un’attività lavorativa elementare senza l’ausilio di un’applicazione specifica, il confine stesso della sicurezza nazionale si sposta dal perimetro cibernetico istituzionale al comportamento del singolo cittadino. La dipendenza tecnologica radicale trasforma servizi privati, spesso ospitati su infrastrutture estere, in punti di rottura sistemici per l’intero Paese.
La Shadow AI e la porosità dei processi interni
Mentre le pubbliche amministrazioni e le grandi organizzazioni societarie sono impegnate in lunghi cicli di approvazione per la redazione di linee guida, policy etiche e quadri normativi complessi sulla gestione dell’Intelligenza Artificiale, la base operativa si muove a una velocità incompatibile con la burocrazia.
È il fenomeno della Shadow AI: l’utilizzo non autorizzato e non monitorato di strumenti di intelligenza artificiale generativa da parte dei dipendenti per assolvere a compiti lavorativi quotidiani.
Questo comportamento non è guidato da intenti dolosi, bensì da un desiderio di efficienza individuale e di accelerazione dei processi di revisione e sintesi. Il lavoratore che si trova a dover riassumere un report tecnico di centinaia di pagine o a dover redigere una relazione complessa in tempi ristretti tende a esternalizzare la funzione intellettuale a motori di calcolo esterni e gratuiti, accessibili tramite un semplice browser web.
Questa prassi espone le organizzazioni pubbliche e private a rischi gravissimi di esfiltrazione involontaria di dati. Le informazioni immesse nei prompt di sistemi di intelligenza artificiale di terze parti (come dati finanziari aziendali, cartelle cliniche anonimizzate ma ri-identificabili, o bozze di provvedimenti amministrativi) vengono acquisite dai provider esteri per addestrare i modelli successivi o vengono memorizzate in server situati fuori dalla giurisdizione nazionale.
La perdita di controllo informativo non avviene più soltanto tramite attacchi cyber tradizionali (ransomware o phishing), ma si consuma attraverso una delega inconsapevole e volontaria delle funzioni analitiche a motori opachi.
Questa porosità strutturale dei processi interni rende imperativa la transizione verso architetture cloud nazionali tecnicamente solide, capaci di ospitare istanze locali di modelli linguistici avanzati, garantendo che il dato non abbandoni mai il perimetro di sovranità stabilito dalla legge.
Architetture Cloud dinamiche e la scomposizione delle dipendenze
Un errore comune nell’analisi del rischio informatico consiste nel considerare la sovranità come un concetto statico o una condizione binaria di tipo on/off. L’illusione di possedere un data center sicuro ed esclusivo (“on-premise”) o di utilizzare un cloud certificato induce un falso senso di invulnerabilità. Nella realtà architetturale moderna, i software non sono blocchi monolitici indipendenti, ma ecosistemi iper-connessi che si scambiano continuamente dati attraverso interfacce di programmazione delle applicazioni (API).
Un’applicazione strategica, classificata come critica e sottoposta a severi protocolli di sicurezza, può dipendere a livello infrastrutturale o logico da un microservizio considerato non critico.
Ad esempio, una piattaforma di gestione della logistica sanitaria potrebbe appoggiarsi a un’API esterna per la geolocalizzazione o per la ricezione di dati meteorologici. Se quel singolo microservizio subisce un attacco o cessa di funzionare, l’intero processo primario si blocca, vanificando gli investimenti miliardari profusi nella messa in sicurezza dell’infrastruttura principale.
La sovranità tecnologica deve essere ripensata come un processo dinamico e continuo di analisi e rimozione delle dipendenze a ogni livello della filiera del valore del software.
Focalizzarsi esclusivamente sulla protezione dei grandi nodi centrali, trascurando la miriade di micro-punti di rottura che costellano le architetture moderne, significa condannare il sistema-Paese a una vulnerabilità latente ma devastante.
Il percorso verso la riconquista dell’autonomia digitale si scontra con una barriera strutturale drammatica: la crisi delle competenze sistemiche. La sistematica esternalizzazione dei servizi informatici verso i grandi provider d’oltreoceano, attuata negli ultimi vent’anni dall’industria e dalla Pubblica Amministrazione europea, ha generato un progressivo svuotamento di figure professionali fondamentali.
Il mercato del lavoro soffre di una carenza cronica di sistemisti di basso livello, architetti di rete e specialisti di cybersecurity in grado di operare direttamente “sotto il cofano” dei sistemi complessivi. L’Europa ha formato generazioni di integratori di sistemi ed esperti di configurazione di piattaforme altrui, perdendo la capacità ingegneristica di progettare, compilare e mantenere infrastrutture di calcolo native.
Il Rischio delle Soluzioni Preconfezionate: Nel tessuto delle piccole e medie imprese, questa assenza di competenze profonde si traduce in una falsa percezione di sicurezza. Si ritiene erroneamente che l’acquisto di pacchetti software commerciali prefabbricati, l’installazione di un firewall standard o la sottoscrizione di un abbonamento antivirus siano sufficienti a proteggere gli asset aziendali. Queste soluzioni “scatola nera” offrono una protezione superficiale ma non immunizzano l’azienda da attacchi mirati o da vulnerabilità strutturali della catena di fornitura software.
Regolamentazione e Innovazione
Su scacchiere geopolitico mondiale, le ambizioni europee di sovranità tecnologica si scontrano con la dura realtà dei mercati globali, dominati da Stati Uniti e Cina. Questi due blocchi vantano oltre tre lustri di vantaggio nello sviluppo delle infrastrutture cloud e dei modelli di intelligenza artificiale su larga scala, supportati da investimenti di capitale di rischio immensamente superiori a quelli europei.
L’Unione Europea ha storicamente cercato di compensare il proprio ritardo tecnologico esercitando una forte leadership normativa (attraverso regolamenti complessi come il GDPR, il Data Act e l’AI Act). Tuttavia, la discrepanza tra la meticolosità dell’ambizione regolatoria europea e la velocità iper-accelerata di esecuzione dei concorrenti globali mette in luce il paradosso di questa competizione asincrona: il tempo è la variabile più critica e la governance normativa, da sola, non genera capacità computazionale.
L’errore metodologico che ha spesso caratterizzato le iniziative tecnologiche continentali richiama la celebre metafora filosofica del paradosso di Achille e la tartaruga. Se l’Europa pianifica la propria sovranità digitale ponendosi come obiettivo la creazione immediata di gigantesche infrastrutture monolitiche capaci di replicare o superare le attuali soluzioni commerciali estere, il traguardo reale continuerà a spostarsi in avanti a una velocità superiore rispetto alle capacità di implementazione burocratica.
Quando i grandi progetti pubblici centralizzati giungono alla fase di operatività, le tecnologie di riferimento sono già migrate verso nuovi paradigmi architetturali, rendendo l’infrastruttura sovrana obsoleta prima ancora che possa essere adottata su larga scala. L’inseguimento di una chimera di autarchia digitale totale e istantanea produce immobilismo o costose cattedrali nel deserto informatico.
Per uscire da questo stallo, l’unica alternativa praticabile è l’adozione di una strategia basata sui piccoli passi e sul pragmatismo incrementale. L’affrancamento dalle dipendenze tecnologiche non deve avvenire tramite decreti impositivi globali, ma attraverso la riconquista progressiva di singoli frammenti della filiera tecnica. Anzitutto puntare sulla adozione di Standard Open Source Interoperabili. Svincolare i dati aziendali e pubblici dalle piattaforme proprietarie per eliminare i costi di migrazione e i vincoli tecnologici (vendor lock-in). Occorre un chiaro investimento nelle Competenze di Base, la formazione di tecnici capaci di gestire il software a livello di codice sorgente e l’infrastruttura a livello di configurazione hardware. Infine, è importante la valorizzazione delle Eccellenze Locali, garantendo la prossimità fisica del dato e la conformità legale ed etica.
La transizione non consiste nel rifiutare l’apporto dell’innovazione globale, bensì nel ricostruire una solida cultura delle competenze sistemiche e una consapevolezza diffusa che permei l’intero spettro produttivo, dalle micro-imprese fino ai vertici della Pubblica Amministrazione. Solo riducendo in modo sistematico e molecolare le singole dipendenze strutturali, e investendo sulla capacità di governare i processi tecnici più profondi, sarà possibile garantire un futuro economico e sociale che sia realmente sovrano e non meramente normato dall’esterno.
