Omdia: la politica UE sulla sovranità del cloud va oltre la residenza dei dati

Il rapporto Digital Sovereignty: AI & cloud policies and regulatory frameworks sostiene che i legislatori accettano sempre più l'idea che l'autosufficienza tecnologica completa sia impossibile, perché le catene di fornitura sono globali. L'obiettivo, secondo Omdia, è invece l'autonomia strategica e decisioni informate. Il proposto Cloud and AI Development Act, annunciato a giugno 2026, punta a dare all'UE la capacità, le infrastrutture e i meccanismi di governance necessari per mantenere l'autonomia tecnologica.

Cosa cambierebbe il CADA

Il CADA istituirebbe un quadro di sovranità a quattro livelli per i servizi cloud usati dalle istituzioni UE e dalle organizzazioni del settore pubblico, ha riferito InfoWorld. I carichi di lavoro più sensibili, tra cui giustizia e forze dell'ordine, dovrebbero girare su servizi con livelli di garanzia più alti. La proposta non è un divieto generale: prevede eccezioni dove non esistono servizi conformi, ha riferito InfoWorld.

Google Cloud ha affermato che i criteri di ciascuno dei quattro Union Assurance Levels "limiterebbero o escluderebbero i fornitori globali, indipendentemente dalle mitigazioni di sicurezza che offrono". In un post sul blog, l'azienda ha sostenuto che le normative dovrebbero lasciare spazio a controlli tecnici invece che a criteri geografici rigidi.

Il modello di valutazione già in uso

Il Cloud Sovereignty Framework della Commissione europea offre già ai team di acquisto un modello di valutazione, ha riferito Startup Fortune. Valuta i fornitori su categorie che includono sovranità legale e giurisdizionale, sovranità di dati e AI, sovranità operativa, catene di fornitura, tecnologia, sicurezza e conformità, e considerazioni strategiche, secondo Cloud Computing News. Il quadro separa il luogo in cui sono conservati i dati dalla capacità degli operatori con sede nell'UE di gestire, mantenere e supportare un servizio senza il coinvolgimento di fornitori extra-UE.

Il quadro usa i Sovereignty Effectiveness Assurance Levels, o SEAL. Il SEAL-2 è considerato un livello minimo di sovranità dei dati e il SEAL-3 indica una resilienza digitale più solida, ha riferito Startup Fortune. Nella gara dell'aprile 2026 della Commissione per il cloud sovrano, la maggior parte dei fornitori vincitori ha raggiunto il SEAL-3, mentre il consorzio Proximus ha raggiunto il SEAL-2 attraverso una struttura che usa la tecnologia di Google Cloud in un ambiente gestito da aziende europee, ha riferito Startup Fortune.

Ad aprile 2026 la Commissione ha assegnato contratti per il cloud sovrano del valore massimo di 180.000.000 EUR su sei anni a fornitori tra cui una partnership di Post Telecom con OVHcloud e CleverCloud, la tedesca STACKIT, Scaleway e un consorzio guidato da Proximus, ha riferito Startup Fortune. Proximus ha detto di essere stata scelta insieme ad altri tre fornitori per un accordo quadro di sei anni che copre Commissione, Parlamento, Consiglio, Servizio europeo per l'azione esterna e 70 agenzie europee. La sua offerta elenca S3NS, Clarence, Mistral e Thales.

Google Cloud ha citato questa combinazione di partner nel suo post sul blog. Ha affermato che l'offerta S3NS in Francia è stata qualificata per SecNumCloud 3.2, e che Clarence e S3NS, insieme a Mistral, sono stati approvati dalla Direzione generale per i servizi digitali della Commissione per le istituzioni UE con esigenze di cloud sovrano.

AWS, Microsoft e Google controllano circa il 70% del mercato europeo delle infrastrutture cloud, lasciando il settore pubblico esposto a leggi straniere, in gran parte americane, ha riferito InfoWorld.

Cosa succede ora

Omdia ha dichiarato che indicazioni chiare sui requisiti di sovranità di AI e cloud mancano in gran parte, anche se la sovranità compare in più agende governative. Google Cloud ha chiesto alla Commissione di modificare alcuni elementi del CADA per evitare quello che ha definito "un isolamento involontario del mercato".