{"id":3916,"date":"2026-10-19T01:29:14","date_gmt":"2026-10-19T00:29:14","guid":{"rendered":"http:\/\/sooma.com\/pt-pt\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/"},"modified":"2026-10-19T01:29:14","modified_gmt":"2026-10-19T00:29:14","slug":"bruxelles-ora-esige-il-cloud-europeo-cosa-cambia-per-chi-compra-e-chi-fornisce","status":"publish","type":"post","link":"https:\/\/sooma.com\/it\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/","title":{"rendered":"Bruxelles inizia a esigere il cloud europeo: cosa cambia per acquirenti e fornitori"},"content":{"rendered":"

Mentre il Cloud and AI Development Act segue il suo iter in Parlamento e in Consiglio, la Commissione europea non ha aspettato: nella propria gara per il cloud sovrano ha applicato una griglia di livelli di sovranit\u00e0, ha escluso chi non raggiungeva il minimo e ha aggiudicato tutto a fornitori europei. Il risultato mostra fin dove arrivano le offerte \u201csovrane\u201d degli hyperscaler e cosa un ente pubblico europeo pu\u00f2 esigere gi\u00e0 oggi.<\/strong><\/em><\/p>\n

Cosa \u00e8 gi\u00e0 successo<\/h2>\n

Nell\u2019aprile 2026 la Commissione ha suddiviso un contratto quadro di sei anni da 180 milioni di euro, aperto a tutte le istituzioni e agenzie dell\u2019UE, tra quattro consorzi: Post Telecom con OVHcloud e Clever Cloud, STACKIT (Gruppo Schwarz), Scaleway (Gruppo Iliad) e Proximus con S3NS, Clarence e Mistral. Li ha valutati con il suo Cloud Sovereignty Framework, che traduce la sovranit\u00e0 in otto obiettivi misurabili e assegna un livello SEAL da 0 a 4: controllo societario, localizzazione dei dati, catena di fornitura, apertura tecnologica, sicurezza e conformit\u00e0 al diritto dell\u2019UE. Erano ammissibili solo gli offerenti che raggiungevano il livello SEAL-2 (sovranit\u00e0 dei dati). OVHcloud, STACKIT e Scaleway hanno raggiunto il SEAL-3 (resilienza digitale). Il consorzio basato su S3NS, la joint venture tra Thales e Google, si \u00e8 fermato al SEAL-2, il minimo. La Commissione applicher\u00e0 gli stessi criteri ai propri servizi digitali e pubblicher\u00e0 una versione aggiornata del framework.<\/p>\n

Cosa sta per arrivare<\/h2>\n

Il Cloud and AI Development Act (CADA) render\u00e0 obbligatorio questo tipo di griglia per il settore pubblico in ogni Stato membro, con quattro livelli di garanzia e l\u2019obbligo del livello 2 o superiore nei settori critici, estendibile alle aziende soggette alla NIS2. Abbiamo spiegato i quattro livelli in Bruxelles propone quattro livelli di sovranit\u00e0 digitale negli appalti pubblici<\/a>.<\/p>\n

Il Public Procurement Act, adottato il 9 settembre, sostituisce le direttive sugli appalti pubblici con un regolamento unico che introduce una preferenza europea in tutti i settori: almeno il 30% della valutazione su criteri diversi dal prezzo, in cui l\u2019origine europea pu\u00f2 contare, e il potere per la Commissione di chiudere le gare ai paesi senza reciprocit\u00e0. Le piattaforme di e-procurement dovranno essere stabilite nel SEE, conservare l\u00ec i propri dati ed essere libere da controllo esterno.<\/p>\n

Nessuna delle due \u00e8 ancora in vigore. Il CADA non avr\u00e0 un testo definitivo prima del 2027 e non si applicher\u00e0 prima del 2028; il Public Procurement Act non si applicher\u00e0 prima del 2029. Ma un contratto cloud quadriennale firmato oggi terminer\u00e0 sotto queste regole.<\/p>\n

Dove si collocano Microsoft, Google e Amazon<\/h2>\n

I tre hyperscaler possono soddisfare il livello 1: hanno filiali europee e regioni dati nell\u2019UE. Ma non \u00e8 ci\u00f2 che viene offerto per impostazione predefinita. La residenza dei dati nell\u2019UE \u00e8 un\u2019opzione da configurare e contrattare separatamente, a un prezzo aggiuntivo e con esclusioni, come la telemetria, l\u2019assistenza e alcuni servizi di IA, che continuano a uscire dall\u2019Europa. Persino per garantire il livello 1 il cliente deve sapere cosa chiedere e pagarlo. Il problema inizia al livello 2. Finch\u00e9 la societ\u00e0 madre \u00e8 soggetta al CLOUD Act e alla FISA 702, un fornitore controllato dagli Stati Uniti non pu\u00f2 garantire che nessun attore straniero acceda ai dati o sospenda il servizio. Il caso del 2025, in cui l\u2019account e-mail di un procuratore della Corte penale internazionale \u00e8 stato sospeso a seguito di sanzioni statunitensi, \u00e8 citato nei lavori preparatori come lo scenario esatto che il livello 2 intende prevenire.<\/p>\n

La loro risposta \u00e8 il modello del trustee: tecnologia americana gestita da un\u2019entit\u00e0 europea che detiene le chiavi e impiega il personale. S3NS (Thales con Google), Bleu (Orange e Capgemini con Microsoft) e l\u2019European Sovereign Cloud di AWS seguono tutti questa strada. La gara della Commissione ne ha mostrato il limite: il consorzio che si appoggiava a S3NS si \u00e8 fermato a SEAL-2, il minimo, mentre i fornitori europei nativi hanno raggiunto SEAL-3. Il livello 3 del CADA ammette fornitori controllati da paesi terzi solo se la Commissione riconosce formalmente la giurisdizione e le garanzie sono dimostrate; il livello 4 non ammette eccezioni.<\/p>\n

Dove si colloca Sooma<\/h2>\n

Sooma \u00e8 un\u2019azienda europea, con capitale, direzione e team nell\u2019UE, che gestisce la propria infrastruttura dal 2018: server esclusivamente in Europa, fuori dalla portata delle leggi di paesi terzi. I criteri strutturali dei livelli 2 e 3 del CADA, stabilimento e dati nell\u2019UE, catena di subappalto europea, assenza di controllo da paesi terzi e team europeo, sono semplicemente il modo in cui Sooma ha sempre operato. Sooma Business, con e-mail, drive e chat basati su software open source, soddisfa il criterio di apertura tecnologica che il quadro SEAL valorizza e che previene il vendor lock-in.<\/p>\n

La tabella seguente confronta i criteri del CADA e del quadro SEAL con ci\u00f2 che ogni tipo di fornitore \u00e8 in grado di dimostrare oggi.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
Cosa richieder\u00e0 l\u2019acquirente<\/th>\nMicrosoft, Google, Amazon<\/th>\nSooma<\/th>\n<\/tr>\n<\/thead>\n
Stabilimento e controllo nell\u2019UE<\/td>\nFiliale europea, ma controllo ultimo negli USA; affrontato solo tramite un modello di trustee (S3NS, Bleu, AWS European Sovereign Cloud)<\/td>\nAzienda europea, capitale e direzione nell\u2019UE<\/td>\n<\/tr>\n
Dati, backup e log nell\u2019UE<\/td>\nRegioni europee disponibili; telemetria e assistenza non sempre confinate nell\u2019UE<\/td>\nServer esclusivamente in Europa<\/td>\n<\/tr>\n
Subappaltatori europei<\/td>\nCatena globale di hardware, software e assistenza<\/td>\nData center, connettivit\u00e0 e fornitori nell\u2019UE<\/td>\n<\/tr>\n
Immunit\u00e0 da ordini e sanzioni di paesi terzi<\/td>\nNon pu\u00f2 essere garantita finch\u00e9 la societ\u00e0 madre \u00e8 soggetta al CLOUD Act e alla FISA 702; il modello del trustee si \u00e8 fermato a SEAL-2 nella gara della Commissione<\/td>\nSoggetta esclusivamente al diritto dell\u2019UE e dei suoi Stati membri<\/td>\n<\/tr>\n
Personale con accesso privilegiato composto da cittadini dell\u2019UE (livello 3)<\/td>\nSolo nelle offerte con trustee, entro un perimetro limitato<\/td>\nTeam interamente nell\u2019UE<\/td>\n<\/tr>\n
Dati dei clienti non utilizzati per addestrare IA di paesi terzi<\/td>\nDipende dalle clausole contrattuali; i modelli di IA sono gestiti dagli USA<\/td>\nNessun addestramento di modelli sui dati dei clienti<\/td>\n<\/tr>\n
Apertura tecnologica e piano di uscita di 12 mesi<\/td>\nFormati e API proprietari; migrazione complessa<\/td>\nSooma Business \u00e8 open source; formati aperti e portabilit\u00e0<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Il limite degli hyperscaler non \u00e8 tecnico, \u00e8 giuridico: per quanto investano in regioni e partner europei, il controllo ultimo e l\u2019esposizione al diritto statunitense non cambiano. \u00c8 esattamente il criterio che il livello 3 del CADA e SEAL-3 mettono al centro.<\/p>\n

Per gli enti pubblici e le aziende dei settori critici in tutta Europa il messaggio \u00e8 semplice: i fornitori che saranno idonei nel 2028 esistono gi\u00e0 oggi, e i criteri per distinguerli sono gi\u00e0 pubblicati.<\/strong><\/em><\/p>\n

Fonti<\/h2>\n