Il cloud sovrano europeo è solo un’illusione?

Alcuni mesi fa un fornitore francese di cloud per le aziende, OVH, si è trovato in una posizione impossibile: rispettare l’ordine di un giudice canadese e consegnare i dati di alcuni suoi clienti, oppure rispettare la legge francese che vieta di consegnarli? È solo l’ultimo inghippo di una situazione che si è venuta creando negli ultimi anni in Europa: il desiderio del Vecchio continente di avere un proprio cloud, cioè una rete di server remoti accessibili via Internet che permette di archiviare dati, eseguire applicazioni e usufruire di servizi di calcolo, indipendente dai colossi americani del settore come Amazon, Microsoft e Google..

Il cloud sovrano europeo nasce infatti da un’esigenza chiara: riportare sotto controllo continentale i dati che attraversano quotidianamente server e infrastrutture digitali. Il progetto, lanciato nel 2019 dall’asse franco-tedesco attraverso il framework Gaia-X, non prevede la costruzione di un datacenter unico paneuropeo. Invece, propone un ecosistema federato di provider che aderiscono a standard comuni, garantendo che dati e metadati rimangano fisicamente sul suolo europeo, gestiti da personale residente e protetti da crittografia controllata dal cliente. L’architettura promette segregazione fisica, logica e crittografica completa dei dati, con meccanismi di monitoraggio degli accessi remoti e certificazioni di affidabilità verificabili.

Le ragioni che hanno spinto Francia e Germania a investire in questa direzione affondano nelle preoccupazioni legate al Cloud Act statunitense. La normativa americana del 2018 consente infatti alle autorità federali di richiedere dati archiviati da aziende statunitensi ovunque si trovino nel mondo, compresi i datacenter europei di Amazon, Microsoft o Google (i tre più grandi fornitori di cloud al mondo). Questa giurisdizione extraterritoriale crea un cortocircuito normativo: anche quando i dati risiedono fisicamente in Europa, restano potenzialmente accessibili alle autorità statunitensi. Il cloud sovrano europeo nasce per spezzare questa dipendenza, offrendo alternative conformi al regolamento europeo per il trattamento dei dati, il GDPR, e immune da pressioni geopolitiche esterne.

I principali campioni nazionali incarnano strategie diverse. In Francia, la joint venture Bleu tra Capgemini e Orange serve il settore pubblico con certificazione SecNumCloud. In Germania, Delos Cloud offre servizi Azure e Microsoft 365 operati da SAP su suolo tedesco. Ancora, l’americana Oracle ha attivato delle regioni sovrane tra Francoforte e Madrid completamente segregate, mentre Amazon sta lanciando l’AWS European Sovereign Cloud con operazioni limitate a residenti europei. Ogni soluzione riflette un diverso compromesso tra autonomia tecnologica e interoperabilità con i grandi ecosistemi globali.

Il confronto con i servizi cloud tradizionali

Concorrenza tecnologica

Rispetto ai cloud pubblici commerciali come AWS, Azure o Google Cloud, le piattaforme sovrane offrono garanzie normative ferree e protezione dalle legislazioni extraterritoriali. Si tratta di una strategia di cui i cittadini europei beneficiano indirettamente: non tanto servizi rivolti ai consumatori quanto rivolti alle aziende, che poi li adoperano per fornire a loro volta servizi ai cittadini.

Per questo le soluzioni risultano particolarmente adatte ai settori regolamentati come sanità, finanza e pubblica amministrazione, dove il rispetto delle normative rappresenta un requisito non negoziabile. Il prezzo di questa conformità si paga però in termini di scala globale: le economie di volume dei giganti americani (i cosiddetti hyperscaler) permettono prezzi più competitivi e una gamma di servizi di intelligenza artificiale e machine learning decisamente più ampia. I cloud sovrani europei faticano ancora a replicare la profondità funzionale degli hyperscaler, limitando l’innovazione immediata.

Sul fronte operativo, la differenza è netta: da un lato ci sono i campioni europei che aderiscono compeltamente alle normative e dall’altro ci sono i gli hyperscaler mondiali che localizzano parte dei loro servizi in Europa.

Quindi, da un lato i provider europei sovrani impiegano esclusivamente personale europeo sottoposto a screening di sicurezza, con governance locale e assenza di accessi remoti da parte di case madri extraeuropee. Dall’altro, i servizi pubblici commerciali, pur offrendo opzioni di residenza dati in regioni europee, mantengono strutture di controllo globali con personale internazionale. Oppure, anche se sono aziende europee, sono presenti in altri paesi nel mondo, come Usa e Canada.

Questa asimmetria operativa rappresenta il cuore della questione: non basta che i server si trovino in Europa se le chiavi di accesso rimangono altrove.

Funzionalità e performance

Infine, la scalabilità rappresenta un ulteriore punto critico. Mentre i cloud pubblici garantiscono elasticità globale con disponibilità multi-regione e SLA (l’accordo tecnico per il livello di operatività del servizio cloud) del 99,99%, le piattaforme sovrane mantengono un focus regionale con capacità di scalare limitate.

I servizi di intelligenza artificiale mostrano gap significativi: Oracle EU Sovereign Cloud, ad esempio, non offre ancora l’intera gamma di funzionalità disponibili nelle regioni globali. Se da un lato la connettività sovrana beneficia di latenze ridotte all’interno dell’Unione, dall’altro perde la capillarità delle reti di distribuzione contenuti planetarie.

Il caso OVHcloud e la fragilità del modello

La recente vicenda giudiziaria che vede coinvolta OVHcloud, la divisione della francese OVH dedicata ai servizi cloud, espone le contraddizioni strutturali del cloud sovrano. Nell’aprile 2024 un tribunale dell’Ontario, in Canada, ha ordinato al provider francese di consegnare dati clienti archiviati in Francia, Regno Unito e Australia per un’indagine della polizia federale canadese. Il giudice ha respinto l’opposizione di OVH basandosi sulla “presenza virtuale” dell’azienda attraverso la sussidiaria canadese, aggirando i canali ufficiali dei trattati di mutua assistenza legale tra Canada e Francia. OVH adesso si trova intrappolata: la legge francese vieta infatti la divulgazione diretta di dati ad autorità straniere senza passare per i canali diplomatici ufficiali, pena sanzioni economiche pesanti. Il procedimento è ancora in corso.

Il dilemma evidenzia come la sovranità digitale proclamata rischi di trasformarsi in illusione quando i provider mantengono presenze commerciali globali. Le autorità straniere possono aggirare le protezioni normative europee sfruttando filiali e sussidiarie, minando alla base il concetto di residenza dati. La Francia ha protestato ufficialmente, ribadendo la disponibilità dei dati attraverso i canali previsti dai trattati, ma il precedente giudiziario canadese potrebbe aprire la strada a richieste simili da parte di altre giurisdizioni. Gli esperti del settore notano come questo caso potrebbe ridefinire il significato stesso di sovranità, spingendo verso architetture legali completamente separate e infrastrutture proprietarie europee prive di qualsiasi collegamento societario extraeuropeo.

Costi e prospettive di adozione

Sul fronte economico, i cloud sovrani richiedono investimenti maggiori giustificati dalle garanzie di compliance. Oracle EU Sovereign Cloud mantiene prezzi allineati alle regioni standard ma con costi di configurazione iniziale superiori. I provider pubblici commerciali, sfruttando economie di scala planetarie, possono offrire tariffe più aggressive pur prevedendo supplementi per funzionalità sovrane aggiuntive. L’adozione rimane concentrata nei settori altamente regolamentati dove i costi di non conformità superano i differenziali di prezzo.

L’interoperabilità costituisce un terreno di scontro tra visioni diverse. Gaia-X (che non è un cloud, bensì un framework di standard e governance) promuove standard aperti e federazione per garantire portabilità e reversibilità dei dati, evitando il lock-in tecnologico. Invece, i cloud pubblici degli hyperscaler eccellono negli scenari ibridi e multi-cloud ma mantengono ecosistemi proprietari che rendono complesse le migrazioni. La sfida per il cloud sovrano europeo rimane quella di bilanciare autonomia strategica e competitività globale, costruendo alternative credibili senza rinunciare all’innovazione che i grandi attori soprattutto americani del mercato continuano a produrre.