Il 3 giugno 2026 la Commissione europea ha presentato la proposta di regolamento sul cloud e sull’intelligenza artificiale — il Cloud and AI Development Act. La notizia, in Italia, è stata raccontata per quello che dice di sé: l’Europa vuole ridurre la dipendenza da pochi fornitori americani e costruire capacità di calcolo propria.
C’è però una parte del testo che nessuno ha raccontato dal lato di chi ne subirà le conseguenze: un sistema di classificazione della sovranità a quattro livelli, che stabilisce quali fornitori cloud possono lavorare per la pubblica amministrazione e a quali condizioni.
Come funziona la scala
I quattro livelli classificano i fornitori secondo criteri progressivamente più stretti: dove si trova fisicamente l’infrastruttura, chi la possiede, chi ne ha il controllo operativo, e di che nazionalità è il personale che può metterci le mani.
La regola che conta è alla base della scala: ogni fornitore che voglia servire il settore pubblico dovrà soddisfare almeno il livello 1, con eccezioni molto ristrette. I livelli superiori si applicano ai carichi di lavoro sensibili e ai settori critici.
Detta così sembra una questione per giuristi di Bruxelles. Diventa una questione italiana quando la si guarda dall’altra parte.
Il lato che nessuno guarda
Negli ultimi anni le amministrazioni italiane hanno migrato al cloud con i fondi del PNRR. Comuni, aziende sanitarie, enti regionali hanno firmato contratti pluriennali — molti dei quali con i grandi fornitori non europei, spesso attraverso convenzioni quadro e rivenditori.
Quei contratti sono stati firmati secondo le regole di allora. La domanda che il regolamento pone, e a cui oggi nessuno ha risposto, è cosa succede a un contratto pluriennale già in corso quando cambiano i requisiti di sovranità: se l’ente debba rinegoziare, se debba migrare, chi paga la migrazione, e con quali soldi — considerato che quelli del PNRR sono stati spesi per arrivare dove si è arrivati.
È il tipo di conto che non compare in nessun bilancio previsionale, perché al momento non esiste una norma che obblighi a metterlo. Esiste una proposta di regolamento, ed è precisamente questo lo spazio in cui vale la pena guardare adesso: prima che diventi una scadenza, quando ancora si può contare quanto costerà.
Perché è anche una storia di geopolitica
Il quadro non nasce come misura industriale ma come misura di dipendenza. La Commissione parte da due vulnerabilità dichiarate: la mancanza di capacità europea nei centri dati, e il fatto che l’infrastruttura su cui gira l’amministrazione pubblica europea appartenga a un numero ristretto di aziende di un altro continente.
Il modo in cui l’Europa prova a uscirne — classificare i fornitori invece di escluderli — è una scelta politica precisa, con un effetto collaterale che riguarda chiunque abbia bisogno di potenza di calcolo adesso: restringere l’accesso all’infrastruttura non europea significa, nel breve periodo, ridurre le opzioni disponibili.
Quello che questo pezzo non sa
Il testo è una proposta: deve passare dal Parlamento e dal Consiglio, e uscirà da quel percorso diverso da come ci è entrato. I quattro livelli potrebbero cambiare nei criteri, nelle soglie e nei tempi.
Non abbiamo ancora contato quante amministrazioni italiane siano dentro contratti cloud che scadono dopo l’eventuale entrata in vigore, né a quanto ammontino. È un conto che si può fare — i codici di gara e i decreti di finanziamento sono pubblici — e che ci proponiamo di fare.
- Proposta di regolamento della Commissione europea sul cloud e l intelligenza artificiale (Cloud and AI Development Act), 3 giugno 2026
- Quadro di classificazione della sovranità a quattro livelli previsto dalla proposta
