Performance, scalabilità e sostenibilità economica hanno guidato per anni le strategie cloud. Oggi queste variabili non esauriscono più la valutazione. La crescente dipendenza dei processi aziendali da applicazioni, dati e servizi esterni richiede anche una riflessione sul controllo che l'impresa conserva sulla propria infrastruttura digitale.
Un incidente presso il provider, una modifica contrattuale, una tensione geopolitica o l'applicazione di una normativa extraterritoriale possono influire sulla disponibilità dei servizi e sulla gestione delle informazioni. La sovranità digitale entra in questo spazio: aiuta l'azienda a comprendere da chi dipende, quali condizioni regolano tale dipendenza e quanto margine conserva per cambiare rotta.
Quando il luogo del dato non basta
La sovranità digitale viene spesso associata alla residenza del dato, cioè al Paese in cui un provider conserva informazioni e copie di backup. La localizzazione mantiene un ruolo importante, soprattutto per le organizzazioni soggette a requisiti normativi o contrattuali specifici. Rappresenta però solo il primo livello dell'analisi.
Un'azienda può conservare i propri dati in un data center europeo e affidarsi comunque a un provider soggetto a ordinamenti extraterritoriali. La società che firma il contratto, la struttura del gruppo, i Paesi dai quali il personale tecnico può accedere ai sistemi e la catena dei subfornitori completano il quadro giuridico e operativo.
Il secondo livello riguarda la governance. Chi amministra l'infrastruttura? Chi può autorizzare un accesso privilegiato? Chi controlla le chiavi di cifratura, gli aggiornamenti software e le configurazioni di sicurezza? Due servizi ospitati nello stesso territorio possono offrire livelli di controllo molto diversi in base alle risposte a queste domande.
Esiste poi una dimensione infrastrutturale. La continuità di un servizio cloud dipende dalla capacità di calcolo, dalle reti, dall'alimentazione del data center, dai processi operativi e dalle competenze che garantiscono assistenza e ripristino. Conoscere questa catena permette di individuare eventuali punti di concentrazione e dipendenze difficili da sostituire.
Anche la portabilità rientra nella valutazione. Formati proprietari, costi di uscita, grandi volumi di dati e architetture strettamente legate ai servizi del provider possono limitare la libertà dell'impresa. Un'exit strategy definita fin dall'inizio riduce questo rischio e rende più credibile qualsiasi strategia multi-cloud o ibrida.
Il CADA nel quadro europeo
L'attenzione verso queste dipendenze ha raggiunto anche il livello politico. Il 3 giugno 2026 la Commissione europea ha presentato il Cloud and AI Development Act, una proposta di regolamento inserita nel pacchetto per la sovranità tecnologica europea.
Il provvedimento punta a sostenere la ricerca su tecnologie cloud e AI avanzate, accelerare lo sviluppo della capacità dei data center nell'Unione e introdurre un framework comune per valutare la sovranità dei servizi cloud e AI. Il meccanismo di adozione collegato a questo framework riguarda principalmente il settore pubblico.
Il CADA non introduce quindi obblighi diretti per le imprese private. Per il B2B rappresenta un'indicazione della direzione intrapresa dall'Europa: aumentare la capacità infrastrutturale disponibile e ridurre la dipendenza da un numero ristretto di operatori extra-UE.
La proposta parte da un problema strutturale. Secondo la valutazione d'impatto della Commissione, la quota dei provider europei nel mercato cloud continentale è scesa dal 29% del 2017 al 15% nel 2022. Il dato non suggerisce alle aziende di abbandonare gli hyperscaler, che continuano a offrire capacità, scalabilità e un catalogo di servizi difficilmente replicabile. Rende però opportuno valutare il rischio legato alla concentrazione.
Perché le aziende rivedono la collocazione dei workload
Il mercato italiano continua a investire nel cloud. Secondo il rapporto Il Digitale in Italia 2026 di Anitec-Assinform, nel 2025 il mercato digitale nazionale ha raggiunto 84,4 miliardi di euro, con una crescita del 3,4%. I Servizi ICT hanno registrato un aumento dell'8,1%, sostenuto anche dalla domanda di cloud, cybersecurity e intelligenza artificiale.
L'infrastruttura disponibile sul territorio cresce insieme al mercato. Il MIMIT riferisce oltre 7 miliardi di euro di investimenti nei data center registrati tra il 2023 e il 2025 e ulteriori 25 miliardi annunciati per il triennio 2026-2028.
Parallelamente, le imprese stanno adottando criteri più selettivi per collocare i workload. Il Private Cloud Outlook 2026 di Broadcom, basato su 1.800 decisori IT a livello globale, indica che l'83% delle aziende considera la repatriation dal public al private cloud e il 50% ha già trasferito almeno alcuni carichi di lavoro.
Broadcom ha commissionato l'indagine, che non descrive specificamente il mercato italiano. I risultati aiutano comunque a leggere un cambiamento più ampio. Le aziende non stanno riportando ogni applicazione all'interno di ambienti privati: stanno riesaminando sicurezza, costi, prestazioni e dipendenze workload per workload.
Dalla sovranità alla strategia cloud
Una strategia efficace parte dalla classificazione. Dati e applicazioni non presentano tutti lo stesso valore, lo stesso rischio o gli stessi requisiti di continuità. Applicare garanzie identiche all'intero patrimonio IT può generare costi e complessità senza produrre un beneficio proporzionato.
Alcuni criteri aiutano a trasformare il principio di sovranità in decisioni concrete:
- Criticità. Identificare l'impatto che indisponibilità, perdita o accesso improprio avrebbero sui processi aziendali.
- Governance. Verificare soggetto contrattuale, accessi amministrativi, gestione delle chiavi, subfornitori e giurisdizioni applicabili.
- Continuità. Valutare architettura del data center, ridondanza, connettività, procedure operative e capacità di ripristino.
- Portabilità. Definire formati, tempi, costi e responsabilità necessari per trasferire dati e applicazioni.
- Sostenibilità economica. Confrontare il costo complessivo degli ambienti con pattern di utilizzo e requisiti effettivi del workload.
Il risultato conduce spesso verso un modello ibrido. Il public cloud mantiene il proprio valore per servizi globali, progetti che richiedono elasticità e carichi variabili. Private cloud e colocation offrono maggiore presidio per workload sensibili, prevedibili o strettamente collegati alla continuità del business.
La sovranità digitale richiede quindi consapevolezza delle dipendenze e capacità di governarle. Mappare dati, applicazioni e fornitori permette all'impresa di scegliere l'ambiente più adatto a ogni workload e di conservare libertà di decisione nel tempo.
