Dall'Ue 180 mln per il cloud sovrano, ma c'è anche l'americana Google

Cosa è successo

Il 17 aprile la Commissione europea ha assegnato il suo primo appalto per servizi cloud sovrani: €180 milioni di euro, sei anni, quattro consorzi vincitori selezionati sulla base di un Cloud Sovereignty Framework che misura otto criteri, dai requisiti legali alla trasparenza della supply chain.

• Tre dei quattro aggiudicatari — Post Telecom (con OVHcloud e CleverCloud), il tedesco StackIT e il francese Scaleway — raggiungono SEAL-3, il livello che certifica la piena resilienza digitale rispetto a interferenze di paesi terzi. Il quarto, il consorzio Proximus, si ferma a SEAL-2 perché la sua infrastruttura dipende da S3NS, joint venture tra Thales e Google Cloud. La Commissione lo ha incluso ugualmente, formulando un principio atteso con una certa apprensione dall'industria europea: "Tecnologie non europee, quando operate all'interno di un framework rigoroso e adeguato, possono soddisfare il livello minimo di sovranità richiesto".

Lo stesso giorno, Investigate Europe, il Guardian e altri media pubblicavano un'inchiesta sulle consultazioni pubbliche del 2024: Microsoft e DigitalEurope — i cui membri includono Amazon, Google e Meta — avevano ottenuto dalla Commissione che una loro clausola di segretezza fosse trasferita quasi alla lettera nella revisione della Direttiva sull'Efficienza energetica.

I dati ambientali dei singoli data center europei — consumi energetici, uso idrico, performance — sono classificati come informazione commerciale riservata, inaccessibili anche tramite richieste di accesso agli atti. Dieci esperti legali consultati dall'inchiesta la ritengono in violazione della Convenzione di Aarhus e del diritto europeo alla trasparenza ambientale. Solo il 36% dei data center idonei ha finora presentato i dati richiesti, e solo l'80% di quanto presentato è considerato affidabile dalla Commissione stessa.

Perché è importante

La Commissione presenta l'esito del tender come una pietra miliare della sovranità digitale europea e propone il modello come schema replicabile per le pubbliche amministrazioni. Ma nel comunicato manca un numero. Gli hyperscaler americani — AWS, Microsoft Azure, Google Cloud — controllano tuttora circa il 70% del mercato cloud europeo, contro il 15% dei provider europei. In questo quadro, includere Proximus/S3NS non è soltanto una concessione pragmatica: è la formalizzazione di una ridefinizione.

Separare "sovranità operativa" da "sovranità tecnologica" e dichiarare che la prima compensa la seconda è un'operazione semantica prima che tecnica — comprensibile, forse necessaria, ma difficilmente un punto di arrivo. Il CISPE, l'associazione dei provider cloud europei, aveva avvertito prima dell'aggiudicazione che il framework attribuiva alla giurisdizione legale un peso del 10% sul punteggio complessivo di sovranità. Non è stato ascoltato.

La storia delle emissioni aggiunge poi un ulteriore livello di lettura. L'infrastruttura che l'Europa è in parte costretta ad includere nel proprio perimetro di sovranità è la stessa il cui impatto ambientale locale — su reti elettriche, riserve idriche, territorio — i suoi operatori hanno contribuito a rendere opaco per legge. Non è necessariamente una questione di malafede, ma di geometria del potere: i soggetti da cui l'Europa non può prescindere hanno anche la capacità di modellare le regole che li riguardano. A Bruxelles, quella capacità si esercita durante le consultazioni pubbliche, con un linguaggio che finisce quasi invariato nel testo definitivo.

E adesso?

• Il tender è pensato come anticipo del Cloud and AI Development Act (CADA), atteso entro fine anno, che dovrà stabilire cosa significhi "cloud sovrano" per il mercato unico europeo. Sarà quel testo a determinare se la distinzione tra sovranità operativa e tecnologica viene codificata come standard o viene invece contestata con requisiti più stringenti — che, applicati rigidamente, rischierebbero però di escludere dall'ecosistema pubblico europeo proprio i provider di frontiera, perpetuando la dipendenza che si vuole ridurre.
• Sul fronte delle emissioni, la consultazione pubblica sulla seconda fase della direttiva si chiude questo mese, mentre gli esperti legali consultati dall'inchiesta valutano già possibili ricorsi. Se il CADA recepirà le indicazioni di CISPE, dando maggior peso alla giurisdizione nel framework di sovranità, nei prossimi mesi il perimetro di ciò che conta come "sovrano" potrebbe restringersi. Se non lo farà, il modello appena validato da Bruxelles rischia di diventare lo standard europeo nel momento in cui i dati che permetterebbero di valutarne l'impatto reale restano chiusi in un cassetto — messi lì, non per caso, dagli stessi soggetti che il modello dovrebbe regolare.