Bruxelles ammette la dipendenza critica da cloud e infrastrutture gestite da operatori extra-UE. Tre hyperscaler statunitensi controllano il 70% del mercato europeo, mentre la Commissione UE prova a reagire con nuove regole e investimenti.
La strategia digitale europea è sotto pressione. La Commissione UE riconosce apertamente che la dipendenza da cloud e infrastrutture gestite da operatori extra-UE è ormai un rischio sistemico. Microsoft, Amazon e Google, i tre hyperscaler statunitensi, controllano circa il 70% del mercato cloud europeo. Gli operatori locali si fermano a una quota marginale, intorno al 15%. La sovranità digitale, per anni solo uno slogan, oggi è una questione di sopravvivenza industriale e politica. Lo confermano anche le analisi di mercato sulla concentrazione del settore.
Non è una minaccia improvvisa. L'Europa ha passato dieci anni a costruire il più grande apparato regolatorio digitale del mondo, dal GDPR al Digital Markets Act. Ma ha trascurato la proprietà e il controllo delle infrastrutture che rendono possibili queste stesse regole. Mentre Bruxelles scriveva le norme, i giganti americani investivano in data center, servizi gestiti, piattaforme collaborative e intelligenza artificiale. Il cloud è passato da servizio opzionale a spina dorsale invisibile dell'economia europea.
Regole senza infrastruttura: il paradosso europeo
Con il Cloud and AI Development Act (CADA), proposto a giugno 2026, la Commissione europea prova a distinguere tra cloud solo localizzato nell'Unione e cloud davvero controllabile dall'Europa. Il CADA introduce quattro livelli di "sovranità" per i servizi cloud. Al livello più alto, si potranno usare solo tecnologie europee. Il rapporto Draghi aveva già mostrato il divario: il maggiore operatore europeo ha appena il 2% del mercato, mentre gli Stati Uniti sviluppano circa il 70% dei foundation model dal 2017. La Commissione parla apertamente di "over reliance on non-EU cloud service providers", una dipendenza che mette a rischio autonomia e resilienza.
La dipendenza dell'UE da fornitori non europei di servizi cloud e AI supera l'80% per prodotti digitali, servizi, infrastrutture e proprietà intellettuale. Questa vulnerabilità è stata riconosciuta ufficialmente nella risoluzione del Parlamento europeo sul tema della sovranità tecnologica del gennaio 2026.
Il modello industriale è ormai chiaro. Le aziende europee sviluppano applicazioni, ma una parte sempre più grande dell'infrastruttura si appoggia a piattaforme globali. Il caso TeamSystem, con il data breach di Contabilità in Cloud documentato da Matrice Digitale nell'agosto 2026, mostra quanto il software italiano sia ormai inserito in catene tecnologiche che vanno oltre il marchio nazionale. La sovranità non si misura sulla partita IVA o sulla posizione del data center, ma su chi controlla hardware, orchestrazione, software, identità e aggiornamenti. Il rischio giuridico legato all'extraterritorialità delle leggi statunitensi, come il CLOUD Act, resta alto anche per dati ospitati fisicamente in Europa, come spiegano le analisi di settore.
Lock-in tecnologico: uscire è quasi impossibile
Il vero problema non è la presenza di provider stranieri, ma l'impossibilità pratica di sostituirli senza riscrivere da zero le infrastrutture aziendali. La Commissione, designando AWS e Azure come gatekeeper secondo il Digital Markets Act, mette nero su bianco che la concorrenza nel cloud non si misura contando i provider, ma valutando la reale portabilità dei servizi. Più un'organizzazione integra servizi gestiti, API proprietarie e piattaforme collaborative, più aumentano i costi di uscita. Il lock-in cresce in modo progressivo e spesso invisibile. Ogni migrazione al cloud rafforza la dipendenza dal fornitore.
Eurostat fotografa la velocità del cambiamento: nel 2025 il 52,7% delle imprese europee acquistava servizi cloud a pagamento. L'Italia era seconda nell'Unione con il 75,6%. Ma ogni punto percentuale in più di adozione rafforza la domanda: su quale infrastruttura girano questi servizi e quanto costa davvero sostituirli?
Il cloud è materia: infrastrutture e risorse
Il cloud non è solo software. Servono edifici, fibra, energia, acqua, server, acceleratori. La strategia europea punta a triplicare la capacità dei data center entro il 2035. Ma chi ha davvero la forza di costruirli sono proprio gli hyperscaler globali da cui si vuole ridurre la dipendenza. Ogni nuovo data center compete per risorse fisiche e trasforma la politica digitale in politica energetica e ambientale. La Commissione ha aperto una consultazione sugli standard minimi di prestazione dei data center, riconoscendo che la loro espansione impatta su reti, emissioni e risorse naturali. Secondo il quadro CADA, l'UE dovrà affrontare limiti stringenti su energia, terreni, finanziamenti e autorizzazioni per triplicare la potenza installata nei prossimi 5-7 anni.
L'Italia, per posizione geografica e aree industriali disponibili, è particolarmente esposta. Il rischio è che territorio, energia e autorizzazioni vengano usati per data center fisicamente italiani ma industrialmente parte di ecosistemi stranieri. La domanda resta: quanta parte della catena del valore - infrastruttura, competenze, fiscalità, controllo delle funzioni critiche - resta davvero sul territorio?
Open source: un'occasione mancata
Nel giugno 2026 la Commissione ha inserito l'open source nel pacchetto sulla sovranità tecnologica, per ridurre le dipendenze lungo tutto lo stack. Ma una parte del valore economico dei progetti open source europei viene catturata fuori dall'Europa. Il codice resta aperto, ma il margine economico si concentra nei servizi gestiti e nell'infrastruttura. Il progetto tra Mozilla e Mila per un layer AI open source locale indica una strada diversa, ma la domanda resta: perché il patrimonio open source europeo non è diventato prima infrastruttura industriale?
La Banca d'Italia dà una definizione concreta: sovranità non vuol dire produrre ogni componente in Europa, ma assicurare accesso stabile e diversificato alle tecnologie critiche e mantenere la possibilità reale di cambiare fornitore. La vera sovranità è poter dire no senza spegnere l'azienda o il ministero. Ed è proprio questa possibilità che il lock-in tecnologico riduce.
Dipendenze e ritardi: il conto da pagare
Il censimento ICT della Pubblica Amministrazione, condotto da AgID con scadenza al 30 settembre 2026, è un passaggio chiave. Non basta sapere quanti server si possiedono, ma da quali fornitori dipendono i servizi critici e quanto tempo e risorse servirebbero per cambiare provider. La sovranità non si misura sui loghi italiani nelle slide, ma sulla reale autonomia operativa.
La Commissione europea ha stanziato fino a 180 milioni di euro in sei anni per acquistare servizi cloud sovrani da quattro raggruppamenti europei, usando un framework di 48 criteri che vanno dalla supply chain alla sostenibilità ambientale. Ma anche nei progetti selezionati, come quello guidato da Proximus con S3NS (joint venture Thales-Google Cloud), una parte della tecnologia resta legata agli ecosistemi globali. L'autarchia tecnologica totale non è realistica né auspicabile, ma la difficoltà di separare le filiere è evidente.
Il paradosso finale è chiaro. L'Europa ora deve ricostruire ciò che ha lasciato crescere altrove. Per anni ha scritto le regole del digitale mentre altri costruivano le infrastrutture su cui quelle regole si sarebbero applicate. Oggi, per recuperare sovranità, servono investimenti in chip, data center, open source, energia e competenze. E soprattutto servono molto più tempo e denaro di quanto sarebbe bastato per non perdere il controllo.
Come già emerso nell'analisi precedente, la dipendenza europea non è solo una questione di rapporti con gli Stati Uniti, ma di modello tecnologico. Innovazione, capitale, cloud e AI vengono prodotti altrove, mentre in Europa restano domanda e regolazione. Sovranità digitale non vuol dire cacciare Microsoft, Amazon o Google, ma garantire che l'Europa possa funzionare anche senza di loro. Finché questa possibilità resterà solo teorica, il cloud sovrano sarà solo un aggettivo su infrastrutture costruite da altri. La responsabilità di questo ritardo è collettiva. La convenienza economica di breve periodo ha vinto sull'autonomia strategica di lungo termine. Ora il conto è arrivato. L'Europa dovrà pagarlo con investimenti, energia, competenze e una nuova contabilità delle dipendenze, se vuole davvero tornare padrona del proprio destino digitale.
