Mentre il Cloud and AI Development Act segue il suo iter in Parlamento e in Consiglio, la Commissione europea non ha aspettato: nella propria gara per il cloud sovrano ha applicato una griglia di livelli di sovranità, ha escluso chi non raggiungeva il minimo e ha aggiudicato tutto a fornitori europei. Il risultato mostra fin dove arrivano le offerte “sovrane” degli hyperscaler e cosa un ente pubblico europeo può esigere già oggi.
Cosa è già successo
Nell’aprile 2026 la Commissione ha suddiviso un contratto quadro di sei anni da 180 milioni di euro, aperto a tutte le istituzioni e agenzie dell’UE, tra quattro consorzi: Post Telecom con OVHcloud e Clever Cloud, STACKIT (Gruppo Schwarz), Scaleway (Gruppo Iliad) e Proximus con S3NS, Clarence e Mistral. Li ha valutati con il suo Cloud Sovereignty Framework, che traduce la sovranità in otto obiettivi misurabili e assegna un livello SEAL da 0 a 4: controllo societario, localizzazione dei dati, catena di fornitura, apertura tecnologica, sicurezza e conformità al diritto dell’UE. Erano ammissibili solo gli offerenti che raggiungevano il livello SEAL-2 (sovranità dei dati). OVHcloud, STACKIT e Scaleway hanno raggiunto il SEAL-3 (resilienza digitale). Il consorzio basato su S3NS, la joint venture tra Thales e Google, si è fermato al SEAL-2, il minimo. La Commissione applicherà gli stessi criteri ai propri servizi digitali e pubblicherà una versione aggiornata del framework.
Cosa sta per arrivare
Il Cloud and AI Development Act (CADA) renderà obbligatorio questo tipo di griglia per il settore pubblico in ogni Stato membro, con quattro livelli di garanzia e l’obbligo del livello 2 o superiore nei settori critici, estendibile alle aziende soggette alla NIS2. Abbiamo spiegato i quattro livelli in Bruxelles propone quattro livelli di sovranità digitale negli appalti pubblici.
Il Public Procurement Act, adottato il 9 settembre, sostituisce le direttive sugli appalti pubblici con un regolamento unico che introduce una preferenza europea in tutti i settori: almeno il 30% della valutazione su criteri diversi dal prezzo, in cui l’origine europea può contare, e il potere per la Commissione di chiudere le gare ai paesi senza reciprocità. Le piattaforme di e-procurement dovranno essere stabilite nel SEE, conservare lì i propri dati ed essere libere da controllo esterno.
Nessuna delle due è ancora in vigore. Il CADA non avrà un testo definitivo prima del 2027 e non si applicherà prima del 2028; il Public Procurement Act non si applicherà prima del 2029. Ma un contratto cloud quadriennale firmato oggi terminerà sotto queste regole.
Dove si collocano Microsoft, Google e Amazon
I tre hyperscaler possono soddisfare il livello 1: hanno filiali europee e regioni dati nell’UE. Ma non è ciò che viene offerto per impostazione predefinita. La residenza dei dati nell’UE è un’opzione da configurare e contrattare separatamente, a un prezzo aggiuntivo e con esclusioni, come la telemetria, l’assistenza e alcuni servizi di IA, che continuano a uscire dall’Europa. Persino per garantire il livello 1 il cliente deve sapere cosa chiedere e pagarlo. Il problema inizia al livello 2. Finché la società madre è soggetta al CLOUD Act e alla FISA 702, un fornitore controllato dagli Stati Uniti non può garantire che nessun attore straniero acceda ai dati o sospenda il servizio. Il caso del 2025, in cui l’account e-mail di un procuratore della Corte penale internazionale è stato sospeso a seguito di sanzioni statunitensi, è citato nei lavori preparatori come lo scenario esatto che il livello 2 intende prevenire.
La loro risposta è il modello del trustee: tecnologia americana gestita da un’entità europea che detiene le chiavi e impiega il personale. S3NS (Thales con Google), Bleu (Orange e Capgemini con Microsoft) e l’European Sovereign Cloud di AWS seguono tutti questa strada. La gara della Commissione ne ha mostrato il limite: il consorzio che si appoggiava a S3NS si è fermato a SEAL-2, il minimo, mentre i fornitori europei nativi hanno raggiunto SEAL-3. Il livello 3 del CADA ammette fornitori controllati da paesi terzi solo se la Commissione riconosce formalmente la giurisdizione e le garanzie sono dimostrate; il livello 4 non ammette eccezioni.
Dove si colloca Sooma
Sooma è un’azienda europea, con capitale, direzione e team nell’UE, che gestisce la propria infrastruttura dal 2018: server esclusivamente in Europa, fuori dalla portata delle leggi di paesi terzi. I criteri strutturali dei livelli 2 e 3 del CADA, stabilimento e dati nell’UE, catena di subappalto europea, assenza di controllo da paesi terzi e team europeo, sono semplicemente il modo in cui Sooma ha sempre operato. Sooma Business, con e-mail, drive e chat basati su software open source, soddisfa il criterio di apertura tecnologica che il quadro SEAL valorizza e che previene il vendor lock-in.
La tabella seguente confronta i criteri del CADA e del quadro SEAL con ciò che ogni tipo di fornitore è in grado di dimostrare oggi.
| Cosa richiederà l’acquirente | Microsoft, Google, Amazon | Sooma |
|---|---|---|
| Stabilimento e controllo nell’UE | Filiale europea, ma controllo ultimo negli USA; affrontato solo tramite un modello di trustee (S3NS, Bleu, AWS European Sovereign Cloud) | Azienda europea, capitale e direzione nell’UE |
| Dati, backup e log nell’UE | Regioni europee disponibili; telemetria e assistenza non sempre confinate nell’UE | Server esclusivamente in Europa |
| Subappaltatori europei | Catena globale di hardware, software e assistenza | Data center, connettività e fornitori nell’UE |
| Immunità da ordini e sanzioni di paesi terzi | Non può essere garantita finché la società madre è soggetta al CLOUD Act e alla FISA 702; il modello del trustee si è fermato a SEAL-2 nella gara della Commissione | Soggetta esclusivamente al diritto dell’UE e dei suoi Stati membri |
| Personale con accesso privilegiato composto da cittadini dell’UE (livello 3) | Solo nelle offerte con trustee, entro un perimetro limitato | Team interamente nell’UE |
| Dati dei clienti non utilizzati per addestrare IA di paesi terzi | Dipende dalle clausole contrattuali; i modelli di IA sono gestiti dagli USA | Nessun addestramento di modelli sui dati dei clienti |
| Apertura tecnologica e piano di uscita di 12 mesi | Formati e API proprietari; migrazione complessa | Sooma Business è open source; formati aperti e portabilità |
Il limite degli hyperscaler non è tecnico, è giuridico: per quanto investano in regioni e partner europei, il controllo ultimo e l’esposizione al diritto statunitense non cambiano. È esattamente il criterio che il livello 3 del CADA e SEAL-3 mettono al centro.
Per gli enti pubblici e le aziende dei settori critici in tutta Europa il messaggio è semplice: i fornitori che saranno idonei nel 2028 esistono già oggi, e i criteri per distinguerli sono già pubblicati.