Gli ufficiali della difesa resistono alla spinta di Bruxelles verso un cloud solo nazionale
Funzionari della difesa europei e appaltatori dell'industria degli armamenti si oppongono pubblicamente al Cloud and AI Development Act della Commissione europea, una legge presentata a giugno 2026 che classificherebbe i servizi pubblici in base alla sensibilità. L'obiettivo dichiarato della legge è ridurre la dipendenza strutturale dell'Unione europea dai grandi fornitori americani, ma funzionari di diversi Stati membri sostengono che i tempi previsti superino la velocità con cui possono maturare le alternative nazionali.
Solo il livello di sensibilità più alto richiederebbe tecnologia "interamente nazionale", e la stessa Commissione stima che questo livello riguardi appena l'uno per cento dei servizi pubblici. Funzionari e appaltatori della difesa avvertono che un addio rapido ad Amazon Web Services, Microsoft Azure e Google Cloud, che insieme controllano circa il 70 per cento del mercato cloud dell'UE, rischia di lasciare le forze armate con sistemi inferiori, maggiori lacune informatiche e più difficoltà di coordinamento con gli alleati NATO. Il caccia F-35 è l'esempio a cui i funzionari tornano di continuo: la sua infrastruttura digitale funziona integrata nei servizi cloud americani invece che acquistata come abbonamento sostituibile, esattamente il tipo di dipendenza che il livello massimo vuole eliminare.
Due alti funzionari della difesa UE e diverse aziende europee della difesa stimano il vantaggio americano nelle piattaforme cloud e IA per la difesa tra otto e dieci anni, un divario che, a loro dire, non può essere colmato nei tempi previsti dalla legge stessa. Non tutti gli appaltatori aspettano di scoprirlo: Airbus ha annunciato a luglio 2026 che avrebbe spostato alcune applicazioni critiche da AWS al fornitore francese Scaleway, ancora prima di qualsiasi obbligo legale in tal senso.
Quattro fasi, un livello massimo: cosa richiede davvero essere 'interamente nazionali'
Il Cloud and AI Development Act definisce quattro fasi crescenti di sovranità, e solo l'ultima richiede uno stack interamente nazionale. La fase uno richiede l'ubicazione fisica dei dati all'interno dell'UE, una soglia che la maggior parte dei contratti esistenti con i grandi fornitori già supera. La fase due aggiunge l'indipendenza dalle leggi di paesi terzi e catene di fornitura trasparenti, escludendo situazioni in cui un governo straniero potrebbe imporre l'accesso ai dati. La fase tre richiede proprietà e controllo europei del fornitore stesso, non solo dei suoi data center. La fase quattro, riservata a circa l'uno per cento dei servizi giudicati più sensibili, richiede piena trasparenza del software e nessuna influenza di paesi terzi.
| Fase | Requisito | Ambito |
|---|---|---|
| Fase 1 | Ubicazione fisica dei dati all'interno dell'UE | Ampio, la maggior parte dei carichi pubblici |
| Fase 2 | Indipendenza da leggi di paesi terzi, catene trasparenti | Servizi sensibili ma non di livello massimo |
| Fase 3 | Proprietà e controllo europei del fornitore | Servizi ad alta sensibilità |
| Fase 4 | Piena trasparenza del software, nessuna influenza estera ("interamente nazionale") | Circa l'1 per cento dei servizi pubblici |
La ministra degli Esteri finlandese Elina Valtonen ha espresso senza mezzi termini la preoccupazione di fondo, dicendo che Helsinki si prepara al rischio che un fornitore straniero attivi un "kill switch" contro il paese. James Appathurai, vicesegretario generale aggiunto della NATO, ha risposto dal lato dell'interoperabilità, sottolineando che gli eserciti alleati devono scambiarsi dati del campo di battaglia in modo fluido e veloce, un'esigenza che diventa più difficile ogni volta che lo stack cloud di uno Stato membro si allontana da quello dei vicini.
Oltre lo scontro: un problema di conformità a due velocità
Lo scontro che fa notizia riguarda la velocità con cui l'Unione europea dovrebbe ridurre la propria dipendenza dal cloud, ma la domanda più utile per un imprenditore è cosa succede una volta che la fase quattro si applica davvero solo all'uno per cento dei servizi. Nel dibattito la sovranità come obiettivo politico e la sovranità come rischio operativo vengono trattate come lo stesso problema; non lo sono. L'obiettivo politico è ridurre la leva strutturale che un governo straniero potrebbe esercitare sui servizi pubblici europei in una crisi. Il rischio operativo è che forzare il passaggio secondo un calendario fisso, prima che le alternative nazionali abbiano colmato un divario di otto o dieci anni, possa creare proprio quei fallimenti informatici e di interoperabilità che la legge vuole prevenire.
Questa divisione genera un problema di conformità a due velocità che ha ricevuto pochissima attenzione accanto ai titoli sulla sovranità. Il novantanove per cento dei servizi coperti resta su accordi con i grandi fornitori in gran parte invariati secondo le fasi uno e due, che soprattutto formalizzano pratiche già supportate da AWS, Azure e Google Cloud. Il restante uno per cento richiede una catena di fornitura del tutto separata e molto più piccola di fornitori nazionali, e non è affatto scontato che questa catena esista già alla scala o alla maturità che la legge presuppone. Gli appaltatori che servono quel livello massimo, dalle aziende come Scaleway ai fornitori cloud specifici per la difesa che oggi esistono a malapena, devono crescere rispetto a una scadenza fissata dalla politica e non dalla propria capacità. Gli appaltatori che servono tutti gli altri affrontano un onere di conformità molto più leggero, vestito con lo stesso linguaggio di "sovranità", il che rende facile per entrambi i gruppi, e per i loro clienti pubblici, valutare male quali regole si applichino davvero a loro.
Cosa dovrebbe osservare un imprenditore vicino alla difesa nell'UE
Un imprenditore che vende a enti pubblici dell'UE o a clienti vicini alla difesa dovrebbe innanzitutto capire a quale delle quattro fasi ricadranno i propri contratti, poiché gli obblighi delle fasi uno e due sono vicini alla pratica attuale, mentre la fase quattro è un'attività completamente diversa. Chieda se i suoi attuali fornitori di cloud o software abbiano un percorso credibile verso la certificazione di fase tre o quattro, oppure se questo lavoro non sia ancora iniziato, perché un fornitore impreparato su un contratto di livello massimo diventa anche un problema dell'acquirente.
Osservi come i singoli Stati membri recepiranno la legge, poiché proprio i paesi dell'est e nordici, più concentrati sull'interoperabilità con la NATO, sono anche quelli più propensi a chiedere eccezioni o tempi più lenti per i servizi legati alla difesa, il che potrebbe aprire un secondo schema a due velocità a livello nazionale, oltre a quello già esistente a livello UE. Infine, verifichi se nei prossimi due o tre anni si formerà davvero una catena di fornitura cloud e IA interamente nazionale; se ciò non accadrà, il livello dell'uno per cento rischia di diventare una categoria di conformità senza fornitori in grado di occuparla, il che è di per sé un rischio operativo.
Da leggere ora: La UE Lega i Data Center IA alla Rete Elettrica | La Commissione ha usato IA USA per il personale
