Scegliere la regione è residenza, non sovranità

L'impostazione sembra sovranità. Apri la console, scegli una regione europea e i tuoi dati ora risiedono in Europa. Ciò che quell'impostazione governa è dove riposano i byte. Ciò che non governa è chi può ricevere l'ordine di consegnarli, e solo la seconda domanda riguarda la sovranità.

Il CLOUD Act statunitense consente alle autorità americane di obbligare un fornitore con sede negli USA a consegnare i dati che detiene, ovunque essi si trovino nel mondo. Una regione europea non pone i tuoi file fuori dalla giurisdizione statunitense se l'azienda che gestisce la regione risponde a un tribunale americano. Il lucchetto è sul fornitore, non sul codice postale.

Quest'anno ha smesso di essere teorico. Washington ha tagliato a un cliente estero l'accesso a un fornitore di IA statunitense, e l'astrazione è diventata un'interruzione. Per un titolare la lezione è stretta e pratica: una casella di residenza è un documento di conformità, non una garanzia che l'operatività prosegua se cambia il rapporto tra due governi. In Italia, nemmeno un servizio dentro il perimetro dell'ACN e del Polo Strategico Nazionale sfugge a questa distinzione.

Cosa fa davvero uno strato di controllo

Valarian, un'azienda di Londra, ha raccolto questa settimana 50 milioni di dollari in una Series A guidata da NEA, arrivando a un totale di 70 milioni. Il prodotto non è un'altra nuvola. È uno strato di controllo, chiamato ACRA, che si posa sopra la nuvola che già usi e applica le regole che la console non può.

Tecnicamente gira sopra Kubernetes e si comporta allo stesso modo sia che il carico stia in una nuvola pubblica, nel tuo data center o in una rete isolata. Ogni carico gira in un proprio enclave sigillato, con rete a negazione predefinita, segreti di breve durata e registrazione completa. Il cliente tiene le chiavi di cifratura, così il fornitore non ha accesso dopo il rilascio, e un carico compromesso si può isolare, sigillare o revocare a runtime senza far cadere ciò che lo circonda.

Proprio quest'ultima capacità è ciò che un'impostazione di residenza non ti dà mai: un interruttore di spegnimento che controlli tu. L'azienda vende due linee, una per le imprese regolate e una per la difesa e il settore pubblico, ma l'architettura è la stessa. L'affermazione è semplice: la sovranità non è una funzione da aggiungere dopo, è il luogo in cui vivono le chiavi e l'interruttore.

Perché il denaro USA finanzia la via d'uscita

Il dettaglio sull'investitore è rivelatore. È il primo investimento europeo di difesa e dual-use di NEA, il che significa che un grande fondo americano ora scommette che i compratori europei pagheranno per dipendere meno dall'infrastruttura americana. Quando il capitale che finanzia la via d'uscita viene dallo stesso paese che i compratori cercano di aggirare, la domanda è reale.

Lo sfondo è denaro e sfiducia. La spesa europea per la difesa ha raggiunto l'anno scorso circa 447 miliardi di dollari, e i compratori pubblici si ritirano dalle piattaforme dati statunitensi: il Regno Unito sta sciogliendo un contratto statale con Palantir, e il cofondatore di Valarian è uscito da Palantir per vendere middleware anziché una piattaforma. La scommessa è che il margine duraturo stia nello strato di controllo tra il cliente e l'hyperscaler, non nelle applicazioni sopra.

Per un operatore europeo questo riformula una domanda di acquisto familiare. La scelta non è più solo quale nuvola, e nemmeno quale regione, ma se lo strato che governa accesso, movimento e spegnimento è tuo o affittato. I fornitori vendono regioni; la sovranità si decide uno strato più in basso.

Le domande prima del prossimo rinnovo

Tratta il prossimo rinnovo di nuvola o di IA come il momento per verificare la differenza tra residenza e controllo. Parti dalle chiavi: tieni tu le tue chiavi di cifratura, o le tiene il fornitore per te? Se le tiene il fornitore, il fornitore può essere obbligato a usarle.

Poi prova l'interruttore e l'uscita. Esiste un interruttore di spegnimento che puoi azionare senza la collaborazione del fornitore? Portare fuori i dati richiede la tua approvazione o quella del fornitore? Lo stesso carico può girare invariato nel tuo data center o in un sito isolato se il rapporto ospitato finisce? Ogni risposta che dipende dal fornitore è un punto in cui la sovranità è una promessa, non un'architettura.

Niente di tutto questo impone di abbandonare AWS o Azure domani, e lo stesso progetto di Valarian presume che continuerai a usarli. Impone di sapere quali garanzie hai messo per iscritto e quali hai soltanto dato per scontate. L'impostazione della regione non è mai stata il controllo di sovranità; le chiavi e l'interruttore lo sono sempre stati.

Da leggere ora: La rete, non i chip, ora limita l'espansione dell'IA britannica  |  Amazon ha preso in prestito 25 miliardi per l'IA