A giugno Bruxelles ha messo sul tavolo quattro livelli di sovranità per gli appalti pubblici europei. Ne abbiamo scritto qui. Da allora, la proposta di Cloud and AI Development Act (CADA) è entrata nella macchina legislativa, e la macchina ha iniziato a restituire pareri.
Il primo parere istituzionale di vero peso è arrivato il 23 settembre. Il Comitato economico e sociale europeo (CESE), l’organo consultivo che riunisce datori di lavoro, sindacati e società civile, ha adottato in plenaria un parere sul CADA, con 212 voti favorevoli, nessun contrario e 3 astensioni. Non è vincolante. Ma dice, con i numeri, ciò che molti nel settore andavano dicendo a bassa voce: così com’è, la proposta della Commissione non basta a cambiare chi vince le gare cloud in Europa.
Due numeri riassumono il parere. Quindici e quaranta. E il venticinque per cento: aspirazione o obbligo.
Quindici punti su centoventi
La proposta della Commissione non obbliga nessuno a comprare europeo. Ciò che fa è consentire agli enti pubblici, nella valutazione delle offerte, di attribuire punti per quello che chiama “valore aggiunto dell’Unione”: il fornitore è europeo, opera dall’Europa e non è soggetto a leggi di Paesi terzi che lo obbligano a consegnare i dati. Il considerando 67 della proposta limita quella ponderazione a 15 punti su 120. Poco più del 12% del punteggio.
Chi ha partecipato a una gara pubblica sa quanto vale. Un fornitore con dieci anni di vantaggio in scala, catalogo e referenze recupera 15 punti senza sforzo nei restanti 105. Il criterio esiste, compare nel capitolato, e non decide nulla.
Il CESE dice esattamente questo. L’emendamento 3 del parere propone di alzare il tetto a 40 punti su 120, un terzo del punteggio, perché 15 punti “non possono influenzare in modo significativo gli esiti degli appalti nella misura necessaria a invertire la dipendenza dal mercato”. A 40 punti, la sovranità smette di essere un criterio di spareggio e diventa un criterio che un fornitore non europeo non può recuperare nel resto.
La differenza tra i due numeri è la differenza tra una legge che segnala e una legge che redistribuisce.
Venticinque per cento: aspirazione o obbligo
Il secondo numero è la quota per le PMI. La proposta della Commissione dice che gli Stati membri dovrebbero “adoperarsi” affinché almeno il 25% degli appalti rilevanti in ambito cloud e IA sia aggiudicato a PMI innovative. “Adoperarsi” è la parola che svuota la frase. Nessuna sanzione, nessuna metrica, nessuna scadenza.
Nella raccomandazione 1.9, il CESE chiede che l’obiettivo diventi un “requisito condiviso”, con incentivi concreti all’attuazione: la suddivisione dei contratti in lotti che un’impresa di medie dimensioni possa servire, e condizioni di qualificazione semplificate. È la parte del parere che conta di più per chi gestisce cloud, hosting o e-mail dal Portogallo, o da qualsiasi altro Stato membro, senza essere un gruppo di telecomunicazioni.
Il motivo è aritmetico. Una gara pubblica per una piattaforma e-mail da 40.000 caselle può essere vinta da un grande operatore e realizzata da un piccolo fornitore, come è avvenuto con Ordem dos Advogados, l’Ordine degli Avvocati portoghese. Ma una gara concepita come lotto unico, con un fatturato minimo di decine di milioni, non permette alla PMI nemmeno di superare il primo criterio. La quota del 25% funziona solo se impone di progettare le gare in modo diverso. È questo che chiede il CESE.
Il parere aggiunge tre richieste senza numeri, ma con peso. Che l’infrastruttura cloud sia una priorità protetta nel prossimo quadro finanziario pluriennale, con la Banca europea per gli investimenti a mobilitare capitale privato. Che le zone di accelerazione per i data center, dove le autorizzazioni saranno più rapide, prevedano valutazioni obbligatorie di impatto sociale e ambientale e una consultazione pubblica autentica. E che il monitoraggio del regolamento misuri se le istituzioni pubbliche hanno acquisito la capacità di gestire i propri sistemi in autonomia, non solo se hanno cambiato fornitore.
A che punto è l’iter
Il parere del CESE da solo non decide nulla. Le decisioni spettano al Parlamento europeo e al Consiglio, ed entrambi hanno iniziato a lavorarci a settembre.
In Parlamento, il 17 settembre, il fascicolo (procedura 2026/0138(COD)) è stato assegnato congiuntamente alle commissioni Industria (ITRE) e Mercato interno (IMCO), con le commissioni Affari giuridici e Libertà civili chiamate a esprimere un parere. I relatori sono Diego Solier, del gruppo ECR, per l’ITRE, e Reinier van Lanschot, dei Verdi, per l’IMCO. Van Lanschot ha dichiarato pubblicamente di voler chiudere i negoziati con il Consiglio entro la fine del 2027.
In Consiglio, il Gruppo di lavoro Telecomunicazioni e società dell’informazione si è riunito sul CADA il 3, 8, 10, 15 e 22 settembre. Cinque riunioni in un mese sono il ritmo di un fascicolo prioritario.
Cosa significa in pratica: non ci sarà un testo definitivo prima del 2027, l’applicazione non arriverà prima del 2028, e i numeri del considerando 67 e la quota del 25% saranno negoziati riga per riga. Il parere del CESE è la prima posizione istituzionale che chiede di alzarli. Non sarà l’ultima: Germania e Francia, che stanno già cambiando software nelle loro pubbliche amministrazioni, hanno interesse a criteri più severi, e i Paesi in cui gli hyperscaler investono di più in data center hanno interesse al contrario.
Cosa significa per gli enti pubblici portoghesi
Per una coincidenza di tempi, il Portogallo si trova in una posizione curiosa. Il 1° ottobre è entrata in vigore la più ampia revisione del Codice dei contratti pubblici dal 2017, il Decreto-Legge 177/2026. La soglia per l’affidamento diretto di beni e servizi è salita a 75.000 €, quella della consultazione preliminare a 130.000 €, è stata creata una nuova “consultazione preliminare speciale” per i progetti di trasformazione digitale, e il nuovo articolo 54-A consente di riservare i contratti a PMI e startup certificate.
In altre parole, la legge portoghese ha già lo strumento che il CESE chiede per far funzionare la quota del 25%: riservare i contratti alle PMI. Ciò che manca è un qualsiasi criterio di preferenza europea o di sovranità. Il Decreto-Legge 177/2026 non usa la parola nemmeno una volta. La ponderazione del “valore aggiunto dell’Unione”, siano 15 o 40 punti, arriverà nei capitolati portoghesi solo quando il CADA sarà adottato e applicato.
Fino ad allora, c’è il Piano nazionale per il cloud sovrano, approvato a maggio, che classifica i processi della pubblica amministrazione in quattro livelli (neutro, standard, critico e strategico) e impone a ogni ente di classificare i propri entro il 30 giugno 2027. La logica è la stessa del CADA: più il processo è sensibile, più severo è il requisito di sovranità. La differenza è che il piano portoghese non ha ancora tradotto quei livelli in criteri di valutazione delle offerte, ed è lì che i 15 o 40 punti finiranno per atterrare.
Per un comune, una scuola o un istituto pubblico che lancia una gara per e-mail, hosting o collaborazione nei prossimi diciotto mesi, la domanda pratica è semplice. Il contratto durerà più a lungo dell’iter legislativo del CADA? In tal caso, il capitolato dovrebbe già chiedere al fornitore dove sono i dati, a quale giurisdizione risponde, chi detiene il suo capitale e se il servizio continua a funzionare qualora un governo straniero decida che non debba. Sono le domande che l’Europa sta per iniziare a valutare con un punteggio. Porle ora non costa nulla.
Le voci critiche
Il parere ha limiti che vale la pena indicare. Il CESE è consultivo; Parlamento e Consiglio possono ignorarlo del tutto, e spesso lo fanno. L’industria statunitense, attraverso la CCIA, ha già definito il CADA “discriminatorio” e ha messo in guardia da una frammentazione del mercato; alzare la ponderazione da 15 a 40 punti intensificherà quella pressione, e non è certo che gli Stati membri con i maggiori investimenti degli hyperscaler lo accettino. C’è anche una critica europea: i punti non creano capacità. Un criterio di sovranità che vale un terzo del punteggio aiuta solo se esistono fornitori europei con la scala per vincere, e in molti segmenti non ce ne sono ancora. Lo stesso CESE lo riconosce quando chiede finanziamenti protetti nel prossimo bilancio pluriennale.
Cosa resta
A giugno la Commissione ha detto che la sovranità digitale avrebbe iniziato a contare negli appalti pubblici. A settembre il CESE ha detto quanto deve contare per fare la differenza. Da qualche parte tra 15 e 40 punti, nel corso del 2027, si deciderà se l’Europa comprerà il cloud in modo diverso o si limiterà a scrivere capitolati diversi.
I 15 punti sono un’intenzione. I 40 sarebbero una politica.
Fonti
- Parere del CESE sul Cloud and AI Development Act, documento del Consiglio ST 13682/2026, 28 settembre 2026
- Fascicolo della procedura 2026/0138(COD), Parlamento europeo
- Agence Europe: Reinier van Lanschot nominato relatore in IMCO
- Consiglio dell’UE: Gruppo di lavoro Telecomunicazioni e società dell’informazione, 8 settembre 2026
- Proposta della Commissione COM(2026) 502, Cloud and AI Development Act, 3 giugno 2026
- WSGR: sintesi della proposta CADA
- CCIA: posizione sul CADA, giugno 2026
- RNC Advogados: appalti pubblici, cosa cambia dal 1° ottobre (Decreto-Legge 177/2026, in portoghese)
- APDC: il cloud sovrano dello Stato parte nel 2027, livelli e scadenze del PNNS (in portoghese)
- Sooma: Bruxelles propone quattro livelli di sovranità digitale negli appalti pubblici