Cloud Act e sovranità digitale europea: un conflitto ancora aperto

La partita per il controllo dei dati si gioca su un terreno giuridico che si va facendo sempre più complesso, con regole che rischiano di essere incompatibili. Ma è l’intero scenario tecnologico a essere oggetto alle questioni di sovranità

La partita per il controllo dei dati europei si gioca su un terreno giuridico accidentato, dove due ordinamenti si fronteggiano con regole incompatibili. Da un lato il Gdpr e il Data Act europeo, che tutelano la riservatezza dei dati e impongono il consenso per i trasferimenti extra-Ue. Dall’altro il Cloud Act americano, che dal 2018 consente alle autorità statunitensi di richiedere dati a qualsiasi provider soggetto alla giurisdizione Usa, indipendentemente da dove quei dati siano fisicamente conservati. Un server a Francoforte o a Milano, se gestito da Amazon, Microsoft o Google, resta potenzialmente accessibile a un mandato emesso da un tribunale americano.

Il conflitto non è teorico. Come evidenzia un’analisi di Kiteworks, le due normative impongono obblighi direttamente opposti: il Cloud Act richiede ai provider americani di ottemperare alle richieste governative Usa ovunque i dati si trovino, mentre il Data Act europeo impone agli stessi provider di impedire accessi che sarebbero illegali secondo il diritto Ue e di contestare attivamente tali richieste. Un fornitore non può rispettare entrambe le leggi quando quella americana impone una divulgazione che quella europea vieta.

La questione si è riaccesa nelle ultime settimane. Oltre alla decisione della Corte Suprema che mette a rischio l’autonomia della Federal Trade Commission, la Corte d’Appello del Quinto Circuito negli Stati Uniti ha ulteriormente complicato la situazione dichiarando incostituzionale la struttura dell’agenzia federale che vigila su privacy e pratiche commerciali.

La decisione potrebbe avere ripercussioni sul Data Privacy Framework, l’accordo che dal 2023 consente i trasferimenti di dati personali dalla Ue agli Usa. Quel framework si regge sulla premessa che le autorità americane garantiscano una protezione adeguata: se la Ftc viene depotenziata, l’intero impianto rischia di vacillare, riaprendo scenari già vissuti con le sentenze Schrems I e II che avevano invalidato i precedenti accordi Safe Harbor e Privacy Shield.

L’Europa ha risposto con un pacchetto di misure sulla sovranità tecnologica più complessiva presentato dalla Commissione lo scorso giugno. Il Chips Act 2.0 punta a rafforzare la capacità produttiva nei semiconduttori avanzati, mentre il Cloud and AI Development Act introduce un quadro unico europeo per valutare la sovranità delle infrastrutture cloud e AI.

Il mese prima la Commissione aveva già annunciato linee guida più stringenti sull’uso di servizi cloud per dati sensibili della Pubblica amministrazione, raccomandando esplicitamente di evitare provider soggetti a giurisdizioni extraeuropee per informazioni classificate o critiche.

Ma le parole d’ordine sulla sovranità si scontrano con la realtà delle infrastrutture. I principali contratti cloud della pubblica amministrazione italiana ed europea continuano, infatti, a dipendere da hyperscaler americani. Le alternative europee esistono – tra questi le soluzioni emergenti delle Telco nazionali – ma scontano un divario di scala, funzionalità e capacità di investimento che non si colma per decreto.

La soluzione tecnica più efficace, secondo gli esperti, è architetturale: crittografia end-to-end con chiavi controllate esclusivamente dal cliente europeo. Se il provider non può accedere alle chiavi di cifratura, non può tecnicamente ottemperare a un mandato sulla base del Cloud Act che richieda dati leggibili, soddisfacendo contemporaneamente l’impossibilità tecnica richiesta dalla legge americana e l’obbligo di protezione imposto da quella europea.

È la strada indicata dal Data Act, che richiede ai fornitori cloud di implementare misure tecniche e organizzative adeguate a impedire accessi governativi extra-Ue ai dati conservati nell’Unione.

Il problema è che molte soluzioni pubblicizzate come “cloud sovrano” da provider americani non soddisfano questo requisito. Localizzare i server in Europa non basta se le chiavi di cifratura, gli strumenti di gestione e le competenze operative restano in mano a soggetti statunitensi.

Come osserva Wire, “anche se i dati sono ospitati a Francoforte o Parigi, se sono gestiti da un provider con sede negli Usa possono essere legalmente accessibili alle autorità americane, senza coinvolgere l’utente o alcuna autorità pubblica europea”.

Per le imprese europee il messaggio è duplice. Sul piano della compliance, affidarsi a provider soggetti al Cloud Act per dati sensibili significa esporsi a un rischio regolatorio che non è più ipotetico. Sul piano strategico, la dipendenza da infrastrutture extraeuropee limita la capacità di controllo su asset sempre più critici. Il Data Act ha abbassato le barriere al cambio di fornitore, eliminando i costi di switching entro gennaio 2027 e imponendo tempi di migrazione di due mesi. È un’opportunità per riconsiderare architetture e fornitori, ma richiede investimenti in competenze e pianificazione che molte organizzazioni non hanno ancora avviato.

La partita resta aperta. L’Europa ha gli strumenti normativi per affermare la propria sovranità digitale, ma tradurli in indipendenza operativa è un percorso lungo, che passa per investimenti in infrastrutture, formazione di competenze e scelte strategiche che non tutti sono pronti a compiere.