Una scadenza sostituisce una roadmap

Il 10 febbraio 2026, tre ministri francesi, la ministra della Sanità Stéphanie Rist, la ministra delegata per l'Intelligenza Artificiale e il Digitale Anne Le Hénanff, e il ministro delegato per la Funzione Pubblica e la Riforma dello Stato David Amiel, hanno annunciato che l'Health Data Hub avrebbe abbandonato la migrazione in due fasi prevista per passare direttamente a un cloud sovrano qualificato SecNumCloud. L'obiettivo è una copia completa del database principale SNDS, il sistema nazionale francese dei dati sanitari, fuori da Microsoft Azure entro la fine del 2026. Una revisione tecnica aveva confermato che il passaggio diretto era fattibile, quindi il governo ha saltato la tappa intermedia inizialmente prevista.

La motivazione è giurisdizionale, non tecnica. Un fornitore cloud di proprietà statunitense può, in linea di principio, essere obbligato da leggi extra-UE a consegnare dati indipendentemente da dove si trovino fisicamente i server, e l'SNDS è tra i set di dati pubblici più sensibili che esistano: ha sostenuto oltre 233 progetti di ricerca e contribuito a 29 bandi. I fornitori per il nuovo hosting vengono selezionati tramite il mercato Public Cloud, gestito congiuntamente da DINUM, l'agenzia digitale dello Stato, e la centrale acquisti statale, con un'aggiudicazione originariamente prevista per fine marzo 2026.

Un decreto trasforma la raccomandazione in obbligo

Un decreto attuativo della legge SREN, pubblicato ad aprile 2026, ha esteso formalmente l'obbligo SecNumCloud a tre ulteriori operatori della sanità digitale. I loro nomi non compaiono ancora in un elenco completo nella Gazzetta Ufficiale, e il calendario di conformità per ciascuno resta poco chiaro, ma la direzione non è in dubbio: una certificazione che prima funzionava come elemento distintivo competitivo è ora, secondo una testata di settore francese che segue il comparto, più vicina a una condizione di accesso al mercato sanitario pubblico che a un marchio di qualità.

Questo spostamento colpisce soprattutto i fornitori sanitari digitali più piccoli che hanno costruito la propria infrastruttura su cloud non certificati SecNumCloud. Un'azienda fuori dalla lista qualificata non ha bisogno di una nuova legge che la nomini individualmente per sentirne l'effetto: basta un acquirente pubblico, o un decreto, che inizi a trattare la qualificazione come requisito minimo. I costi di migrazione sono reali, e i commenti del settore hanno segnalato che meritano di essere pianificati con largo anticipo, anche senza ancora una cifra pubblica in euro.

Cinque aziende chiedono a Parigi di non scegliere un solo vincitore

Il 30 giugno 2026, cinque aziende al centro della sanità digitale francese, Alan, Doctolib, Implicity, Lifen e Resilience, hanno scritto al gabinetto di Anne Le Hénanff e alla Direction générale des entreprises. Il loro messaggio non era un rifiuto dell'obiettivo di sovranità. Era un avvertimento che un'unica etichetta accettata, applicata come via esclusiva di conformità, concentra il rischio invece di eliminarlo: un'interruzione da parte di un fornitore, un collo di bottiglia nella certificazione o una coda lenta di qualificazione colpirebbero contemporaneamente tutte le aziende che dipendono da quell'unica lista.

La loro richiesta principale era sostituire la logica dell'etichetta unica con un approccio basato su audit e punteggio di rischio, che permetta a un'azienda di dimostrare una sicurezza equivalente senza essere legata a un solo percorso di certificazione. È lo stesso argomento che i regolatori usano contro il lock-in del fornitore quando il fornitore è americano; queste cinque aziende lo applicano al rischio di lock-in verso un'etichetta nazionale con un elenco corto e a crescita lenta. Per il lettore italiano il parallelo è diretto con il dibattito sul Polo Strategico Nazionale e sul ruolo dell'ACN come riferimento di fatto per il cloud sovrano.

Sovranità concentrata su undici fornitori

Ad aprile 2026, solo 11 offerte cloud avevano la qualificazione SecNumCloud, tra cui OVHcloud, Orange Business, Outscale, S3NS, Worldline, Cegedim, Cloud Temple, Oodrive e Whaller, con altre 18 domande segnalate in corso. SecNumCloud è nato per sottrarre i dati sanitari francesi alla portata delle richieste legali extra-UE, che è la definizione da manuale di sovranità digitale. Ma un elenco qualificato così corto crea un proprio punto singolo di fallimento: potere di determinazione dei prezzi, limiti di capacità e una coda di candidati che non possono ancora concorrere per contratti pubblici che sempre più danno l'etichetta per scontata come base.

La distinzione che i funzionari tracciano tra raccomandato e obbligatorio è reale sulla carta, ma dipende da quale documento si stia leggendo. Un decreto che aggiunge silenziosamente altri tre operatori obbligati, e una piattaforma sanitaria statale che migra il proprio database di punta sulla stessa qualificazione, sommano allo stesso risultato pratico di un obbligo, costruito però attraverso la meccanica ordinaria degli appalti anziché una legge da prima pagina. Se l'alternativa basata su audit chiesta dalle cinque aziende venga adottata prima che compaiano i prossimi nomi nella Gazzetta Ufficiale è il dettaglio da tenere d'occhio per il resto del 2026.

Da leggere ora: EuroHPC apre quattro macchine quantistiche ai piloti gratuiti  |  L'IA sovrana d'Europa ora gira con soldi americani