Cloud, la sfida europea agli Usa: quattro livelli per la sovranità

La vera posta in gioco del nuovo piano europeo non è soltanto costruire più centri dati, ma decidere chi potrà controllare le infrastrutture utilizzate da amministrazioni, aziende e settori strategici. Con il Cloud and AI Development Act, presentato dalla Commissione europea il 3 giugno, Bruxelles prova a ridurre l’esposizione verso i grandi operatori statunitensi senza chiudere automaticamente il mercato alle loro tecnologie.

Quattro gradi per misurare l’autonomia

Il Cada propone una scala articolata su quattro livelli per classificare la sovranità dei servizi cloud. Le aziende potranno sottoporsi alla valutazione presso le autorità nazionali: basterà un’autodichiarazione per il primo gradino, mentre dal secondo in poi sarà necessaria una verifica indipendente.

Il livello iniziale impone che dati e trattamento delle informazioni restino all’interno dell’Unione. Il secondo aggiunge l’indipendenza da Paesi esterni all’Ue e maggiore chiarezza sulla catena del software. Per arrivare al terzo serviranno proprietà e controllo europei, insieme a ulteriori vincoli anche sulla cittadinanza del personale. Il quarto richiederà invece il controllo completo e trasparente della filiera informatica, senza condizionamenti provenienti da Paesi terzi.

La classificazione dovrà essere collegata al rischio dell’attività svolta. Per gli appalti pubblici riguardanti ordine pubblico, difesa, sicurezza nazionale e forze dell’ordine, oltre agli altri ambiti considerati critici dalla normativa europea, saranno richiesti servizi appartenenti ai livelli 2, 3 o 4. Negli altri acquisti della pubblica amministrazione il riferimento sarà il livello 1; valutazioni simili potranno riguardare anche alcune imprese private attive in settori sensibili.

La capacità di calcolo deve crescere

La proposta nasce dalla necessità di sostenere l’espansione dell’intelligenza artificiale, che richiede una quantità sempre maggiore di potenza di calcolo. Per questo la Commissione vuole almeno triplicare entro i prossimi cinque-sette anni la capacità dei centri dati presenti nell’Unione.

L’obiettivo sarà accompagnato da autorizzazioni più veloci e da un accesso semplificato a energia, aree disponibili, acqua e finanziamenti. Ogni Stato membro dovrà individuare almeno una zona adatta ad accelerare la costruzione delle infrastrutture e istituire un punto di contatto nazionale per ridurre gli ostacoli amministrativi.

Bruxelles potrà inoltre attribuire a determinati progetti una qualifica strategica, rendendoli eleggibili per il sostegno dei programmi e degli strumenti finanziari europei. I nuovi impianti dovranno rispondere sia all’addestramento dei modelli di intelligenza artificiale sia al loro impiego e allo sviluppo di applicazioni industriali complesse.

Più server installati sul territorio, tuttavia, non significano automaticamente maggiore autonomia. Un centro dati fisicamente situato in Europa può continuare a dipendere da programmi, componenti e decisioni societarie gestiti fuori dall’Unione. Per questo il regolamento affianca agli investimenti infrastrutturali un secondo asse dedicato alla ricerca e all’innovazione.

Ricerca e alleanze restano decisive

Gli Stati dovranno elaborare strategie nazionali per cloud e intelligenza artificiale. Il piano europeo prevede inoltre otto grandi sfide di ricerca, pensate per coordinare gli investimenti su tecnologie avanzate, applicazioni industriali e sistemi destinati a interagire con il mondo fisico.

Sul fronte commerciale, il Cada non determina un’esclusione automatica dei fornitori americani. Secondo la valutazione della Commissione, un operatore statunitense associato a un’impresa europea potrebbe raggiungere il livello 2. Il terzo gradino, invece, sarebbe più facilmente alla portata di aziende europee, perché richiede un controllo societario e operativo più radicato nell’Unione.

Un esempio è S3NS, società nata dall’accordo tra Thales e Google Cloud in Francia. Il progetto combina tecnologia americana e una struttura europea pensata per offrire servizi cloud sottoposti a requisiti di sovranità più severi. Resta però da definire con precisione quali caratteristiche dell’assetto societario, delle attività e della tecnologia saranno sufficienti per ottenere ciascun riconoscimento.

La disputa ha già assunto una dimensione politica. Andrew Puzder, ambasciatore statunitense presso l’Unione europea, ha avvertito che eventuali restrizioni contro le imprese americane potrebbero provocare conseguenze «devastanti». Le sue parole riguardavano soprattutto un altro dossier, relativo alla possibile riserva di frequenze per i collegamenti diretti tra telefoni e satelliti a favore di operatori europei, con possibili ripercussioni per SpaceX e Starlink.

Il limite imposto dalla sicurezza

Il confronto si intreccia anche con la cooperazione militare. Ventitré dei ventisette Paesi dell’Unione fanno parte della Nato, che continua a utilizzare tecnologie sviluppate negli Stati Uniti. A fine settembre Amazon Web Services ha ottenuto l’autorizzazione a gestire informazioni classificate come «Nato Restricted» in tutti gli Stati dell’Alleanza; a febbraio Apple ha comunicato che iPhone e iPad aggiornati erano stati approvati per trattare dati dello stesso livello dopo le verifiche del Bsi tedesco.

La questione delle dipendenze riguarda anche i sistemi militari basati sull’intelligenza artificiale. Palantir ha sostenuto che né la società né il governo americano possono spegnere a distanza Maven, adottato dalla Nato. Louis Mosley, vicepresidente esecutivo dell’azienda per Regno Unito ed Europa, ha ribadito a Reuters che la gestione operativa rimane ai clienti. Germania e Francia hanno comunque scelto di non impiegare Maven nelle rispettive forze armate, mentre il caso Starlink in Ucraina ha alimentato le preoccupazioni europee sulla continuità del controllo tecnologico.

Le autorizzazioni di sicurezza ottenute da prodotti e servizi non coincidono con i quattro livelli immaginati dal Cada. Una certificazione può attestare la capacità di proteggere determinate informazioni, ma non stabilisce necessariamente chi controlli la società, il software o la filiera tecnologica. Di conseguenza, i due sistemi non sono automaticamente incompatibili, anche se il nuovo regolamento potrebbe spingere i fornitori stranieri a localizzare più attività e a condividere una parte maggiore del controllo in Europa.