Finalmente l’Europa capisce che il cloud non è una nuvola

Finalmente l’Europa capisce che il cloud non è una nuvola.

È infrastruttura, giurisdizione, potere, sovranità.

Per anni abbiamo chiamato il cloud con la sua traduzione letterale e apparentemente innocua ed innocente: nuvola. Una parola leggera, bianca, atmosferica; una sorta di zucchero a velo sui dati, divenuti “eterei”, della nostra vita. Una parola che suggeriva distanza dalla materia, assenza di confini, neutralità tecnica. Il cloud, tuttavia, non è mai stato solo un nembo. È terra, anche quando non la vediamo. È, ed è sempre stato, territorio giuridico, infrastruttura industriale, energia, acqua, cavi sottomarini, data center, contratti, fornitori, subfornitori, amministratori di sistema, chiavi crittografiche, log di accesso, clausole di audit, obblighi legali e poteri pubblici che possono chiedere dati, bloccare servizi, imporre cooperazione.

Una delle grandi illusioni del digitale è stata proprio questa: credere che ciò che diventa immateriale smetta di avere un luogo. In realtà accade l’opposto. Più i servizi diventano invisibili all’utente, più diventano dipendenti da luoghi tecnici, giurisdizionali e industriali molto concreti. Il cloud era ed è l’abitazione nascosta di pezzi essenziali della vita personale e collettiva: sanità, finanza, scuola, pubbliche amministrazioni, identità digitale, giustizia, sicurezza, comunicazioni, ricerca scientifica, sistemi di intelligenza artificiale.

Per questo la proposta europea di un Cloud and AI Development Act segna un passaggio politico e giuridico importante. Non perché risolva da sola il problema della sovranità tecnologica europea, ma perché finalmente chiama le cose con il loro nome. La Commissione europea colloca finalmente il cloud e l’intelligenza artificiale dentro la stessa architettura strategica stabilendo (ancorché con notevole ritardo) che senza capacità computazionale, senza data center, senza infrastrutture resilienti, senza regole sugli approvvigionamenti pubblici e senza criteri di autonomia, non esiste una vera politica europea dell’IA. Esiste, al massimo, un’Europa che regola tecnologie costruite, ospitate e governate altrove.

La proposta punta su tre assi: ricerca e innovazione, capacità infrastrutturale, autonomia. Il punto più rilevante, sul piano giuridico, è proprio l’autonomia. L’Europa non si limita più a chiedere dove siano localizzati i dati. Prova a chiedere chi controlla il servizio, chi governa la catena di fornitura, quale legge può interferire, quale grado di indipendenza abbia il fornitore, quale continuità operativa sia garantita in caso di crisi, quali dipendenze tecnologiche siano accettabili per servizi pubblici e settori critici.

È un salto culturale notevole. Per troppo tempo la sovranità cloud è stata ridotta alla geografia del server. Server in Europa, problema risolto. Non è mai stato così. La localizzazione è importante, ma non basta. Un dato può essere conservato in territorio europeo da un server detenuto da una società extra UE, rimanendo così esposto a poteri, comandi, aggiornamenti software, amministrazioni privilegiate o catene di controllo che rispondono ad altre giurisdizioni. Non dobbiamo, quindi, chiederci: “dove sono i dati” ma “chi può disporne, direttamente o indirettamente, e a quali condizioni?”.

Qui il tema incrocia il GDPR, anche se parlandone, come peraltro sarebbe necessario per gli altri Regolamenti europei, dovremmo usare il passato…ab origine! La protezione dei dati personali, come ben sappiamo o dovremmo consapevolmente interiorizzare, non è una liturgia di informative e consensi, né un santino burocratico da esibire a fondo pagina. È un sistema di garanzie che impone liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione. Tali principi, scolpiti nell’articolo 5 del Regolamento, non galleggiano nel vuoto ma necessitano di architetture coerenti. L’articolo 25 chiede protezione dei dati fin dalla progettazione e per impostazione predefinita. L’articolo 28 impone un rapporto serio tra titolare e responsabile del trattamento. L’articolo 32 pretende misure tecniche e organizzative adeguate al rischio.

Gli articoli sul trasferimento dei dati verso Paesi terzi ricordano che la protezione, come le nuvole, non deve evaporare appena il dato entra in una filiera globale.

Ecco perché si dovrebbe concepire il cloud come privacy allo stato infrastrutturale. Un dato sanitario protetto dal GDPR, ma trattato dentro un ecosistema non pienamente governabile dal Medesimo, è un diritto con fondamenta fragili. Una pubblica amministrazione che digitalizza tutto, ma affida funzioni essenziali ad una filiera opaca, rischia di diventare efficiente in superficie e vulnerabile in profondità. Un servizio pubblico che non può garantire continuità, reversibilità, auditabilità e controllo effettivo non è solo un cattivo servizio informatico ma un problema democratico.

La questione non riguarda, tuttavia, solo i dati personali. Il Data Act ha già posto un tema centrale per il mercato europeo: accesso ai dati, portabilità, interoperabilità e possibilità di cambiare fornitore di servizi di trattamento dei dati. Anche in questo caso la parola chiave è libertà e non come slogan, ma come capacità concreta di non restare prigionieri di un ecosistema tecnico. Il lock-in non è solo un fastidio contrattuale. Può diventare dipendenza sistemica. Se un’amministrazione o un’impresa critica non riesce a migrare dati, applicazioni e processi senza costi proibitivi o rischi ingestibili, la sovranità diventa una decorazione da convegno.

Il medesimo ragionamento attraversa DORA e NIS2. Nel settore finanziario, DORA affronta la resilienza operativa digitale e il rischio legato ai fornitori ICT terzi, compresi quelli critici. NIS2 amplia e rafforza gli obblighi di cybersicurezza per soggetti essenziali e importanti. Non sono mondi separati. Sono tessere dello stesso mosaico: il diritto europeo sta cercando di passare dalla protezione del singolo trattamento alla protezione dell’ecosistema digitale nel suo complesso. Non è più sufficiente chiedersi se un dato sia stato lecitamente raccolto; occorre domandarsi se l’intera infrastruttura che lo ospita, lo elabora e lo rende disponibile sia sicura, resiliente, verificabile e governabile.

L’AI Act aggiunge un ulteriore tassello. L’intelligenza artificiale europea non può essere valutata solo guardando al modello, all’algoritmo o al dataset ma anche guardando alla sua base materiale. I sistemi ad alto rischio richiedono governance dei dati, documentazione, tracciabilità, supervisione umana, accuratezza, robustezza e cybersicurezza. Tutti questi obblighi, però, diventano più difficili se l’infrastruttura sottostante è poco trasparente o integralmente dipendente da soggetti non controllabili.

L’IA non abita nell’etere. Abita in data center, chip, cloud, energia, acqua, software di base, strumenti di monitoraggio, contratti e catene di fornitura. La sua etica è anche architettura come la sua sicurezza è anche logistica e la sua affidabilità è anche giurisdizione.

La sovranità digitale, tuttavia, non va confusa con l’autarchia. Questo è il punto da chiarire per evitare le caricature. Sovranità non significa chiudersi, alzare muri o immaginare un’Europa tecnologica autosufficiente (e questo sarebbe un bene) e impaurita, con le nuvolette trasformate in cavalli di Frisia. Significa poter scegliere, evitando che il mercato si trasformi nell’unica costituzione materiale del digitale. Significa costruire capacità europee sufficienti per non dipendere, nei settori strategici, da infrastrutture che altri possono condizionare. Significa mantenere apertura, cooperazione e concorrenza, ma senza consegnare sanità, giustizia, sicurezza e pubblica amministrazione alla benevolenza tecnica di pochi giganti globali.

Se così non è, oggi come ieri, la realtà sarà una sovranità digitale trasformata in un termine da brochure o in magniloquio da convegno. Una vernice elegante stesa sopra le vecchie dipendenze. Per questo sono importanti criteri verificabili: livelli di garanzia, audit, trasparenza della supply chain, controllo delle chiavi, localizzazione e governance degli accessi, protezione contro interferenze esterne, continuità operativa, sostenibilità ambientale. La sovranità non può essere un’etichetta commerciale bensì una qualità dimostrabile, misurabile e contestabile.

Il cloud, dunque, ci mette di fronte ad una verità evidente e scomoda: i diritti non vivono solo nei codici; vivono anche nei server. Non basta proclamare la dignità della persona, la protezione dei dati, la sicurezza dei servizi essenziali e l’autonomia dell’intelligenza artificiale europea, bisogna costruire gli spazi tecnici in cui quei diritti possano respirare.

L’Europa ha scritto molto. GDPR, AI Act, Data Act, DORA, NIS2: una grammatica normativa poderosa, sicuramente ipertrofica e talvolta complessa, non sempre agile ma animata da un’intuizione corretta: Il digitale non è un settore. È l’ambiente in cui si esercitano libertà, poteri, diritti e doveri. Ora quella grammatica deve trovare il proprio corpo infrastrutturale. Senza cloud governabile, la sovranità resta retorica. Senza capacità computazionale, l’IA europea resta dipendenza con accento comunitario e senza resilienza, la digitalizzazione pubblica resta una cattedrale di vetro.

Finalmente l’Europa sembra voler usare nuove goccioline d’acqua e cristalli di ghiaccio autoctoni per le su nuvole che sono, come sopra detto, forme di territorio e su questo, tramite i confini, da sempre si misura la sovranità.

Chi controlla il cloud non custodisce soltanto dati ma pezzi di Stato, di economia, di libertà e forse anche una parte decisiva della democrazia che verrà. Lo so, è stato così fin dall’inizio ma, evviva, qualcosa si sta muovendo.