La proposta CADA della Commissione europea mira a rafforzare la capacità dei data center, ridurre la dipendenza dai provider extra-UE e introdurre nuovi criteri di sovranità digitale, con impatti su appalti pubblici, sicurezza e governance dell'IA.
Il 3 giugno 2026 la Commissione europea ha presentato il Cloud and AI Development Act (CADA), un regolamento che rappresenta il fulcro del Tech Sovereignty Package. L'obiettivo è affrontare due criticità strutturali del digitale europeo: la carenza di capacità nei data center e la forte dipendenza da pochi fornitori extra-UE. Un dato significativo: la quota di mercato dei provider cloud europei è scesa dal 29% nel 2017 al 15% nel 2022, mentre la domanda di potenza di calcolo, spinta dall'intelligenza artificiale, è cresciuta rapidamente.
Il CADA si sviluppa su tre assi principali. Il primo riguarda la promozione di ricerca e innovazione, con attenzione a frontier AI, industrial AI e physical AI, per sostenere la prossima generazione di tecnologie cloud e IA. Il secondo pilastro punta a triplicare il mercato europeo dei data center entro 5-7 anni, anche tramite la creazione delle Data Centre Acceleration Zones: ogni Stato membro dovrà designarne almeno una, valutando energia, connettività e sostenibilità, con iter autorizzativi semplificati e tempi massimi di 12 mesi.
Nuovo quadro per la sovranità cloud e gli appalti pubblici
Il terzo pilastro introduce l'Union cloud computing sovereignty framework, articolato su quattro livelli di garanzia secondo l'Allegato II. Questo schema guiderà le scelte nei bandi pubblici e nella selezione dei fornitori per la pubblica amministrazione, rafforzando la titolarità e il controllo delle infrastrutture, la localizzazione dei dati e la sicurezza delle funzioni pubbliche. Si tratta di un cambio di paradigma: la governance dell'IA non si limita più alla regolazione dei modelli, ma si estende alle condizioni infrastrutturali e organizzative che ne permettono l'uso.
La concentrazione dei servizi cloud in pochi hyperscaler extra-UE espone l'Unione a rischi di dipendenza strategica, dalla continuità dei servizi all'applicazione extraterritoriale di normative straniere. Non sorprende che tra Stati membri e stakeholder emergano posizioni divergenti: alcune associazioni di settore, come CCIA Europe, giudicano il nuovo quadro potenzialmente discriminatorio verso i fornitori non europei, mentre altre istituzioni sottolineano la necessità di rafforzare l'autonomia digitale, specie nelle applicazioni sensibili per la sicurezza nazionale.
Implicazioni per industria, sicurezza e governance
Il CADA segna un punto di svolta: il cloud viene riconosciuto come infrastruttura critica, centrale per gli equilibri geopolitici e la sicurezza europea. Gli appalti pubblici diventano leva di politica industriale, imponendo a operatori pubblici e privati di ripensare le strategie di approvvigionamento tecnologico. Il percorso legislativo richiederà almeno due o tre anni, quindi le prime obbligazioni concrete entreranno in vigore non prima del 2028-2029.
Il nuovo regolamento si inserisce in un contesto europeo di crescente attenzione alle infrastrutture digitali, come dimostra anche l'espansione delle reti di cavi sottomarini per l'AI, di cui si è parlato nell'analisi sulle strategie di nuovi collegamenti tra Europa e America Latina. In questo scenario, il CADA impone una riflessione strategica su concorrenza, protezione dei dati e sicurezza, rendendo la sovranità digitale una questione di interesse pubblico e non solo di mercato.
