Conservare i dati aziendali in un data center europeo non significa necessariamente mantenerne il controllo. Un’infrastruttura localizzata nell’Unione Europea può continuare a dipendere da fornitori, sistemi di amministrazione e servizi tecnologici sottoposti a giurisdizioni straniere. Per le imprese italiane, la sovranità del dato diventa quindi una questione strategica: non riguarda soltanto il rispetto delle normative, ma anche la capacità di proteggere informazioni sensibili, governare le infrastrutture digitali e garantire la continuità del business.
Indice degli argomenti
Il contesto normativo europeo sulla protezione e riservatezza del dato
La protezione dei dati in Europa si fonda su un quadro normativo che intreccia privacy, sicurezza informatica e autonomia tecnologica. Il riferimento principale rimane il Regolamento generale sulla protezione dei dati (GDPR), che disciplina il trattamento delle informazioni personali e, attraverso il Capo V, stabilisce le condizioni per il loro trasferimento verso Paesi terzi.
Il GDPR non impone indiscriminatamente che tutti i dati personali rimangano nell’Unione Europea. Richiede invece che gli eventuali trasferimenti internazionali rispettino specifiche condizioni, come l’esistenza di una decisione di adeguatezza o l’adozione di garanzie appropriate.
A questo impianto si affianca il Data Act, applicabile dal 12 settembre 2025, che introduce disposizioni per agevolare il passaggio tra fornitori di servizi cloud e protezioni contro determinate richieste illecite di accesso ai dati non personali conservati nell’Unione. Per le organizzazioni interessate intervengono inoltre la direttiva NIS2, dedicata alla cybersicurezza dei settori critici, e il regolamento DORA, che disciplina la resilienza operativa digitale nel settore finanziario.
Secondo Gartner (Gartner, Digital Sovereignty Across Data, Operations, and Technology), la sovranità digitale non può più essere considerata una semplice questione di conformità normativa. Richiede una strategia che comprenda il controllo delle informazioni, delle operazioni e delle tecnologie utilizzate dall’organizzazione.
Un ulteriore riferimento è il Cloud Sovereignty Framework presentato dalla Commissione Europea nel 2025, che propone otto obiettivi per valutare la sovranità dei servizi cloud, considerando anche autonomia operativa, trasparenza delle filiere e apertura tecnologica. Si tratta di uno strumento di valutazione sviluppato nell’ambito degli acquisti cloud delle istituzioni europee, non di un obbligo normativo generale per tutte le imprese.
Il rischio di accesso ai dati da parte di giurisdizioni estere
Uno degli aspetti più delicati della sovranità del dato riguarda la possibile applicazione di leggi straniere ai fornitori che gestiscono le infrastrutture aziendali.
Il caso più significativo è rappresentato dal CLOUD Act statunitense, introdotto nel 2018. La normativa prevede che i fornitori di determinati servizi elettronici e di elaborazione remota soggetti alla legislazione statunitense rispettino gli obblighi legali di conservazione e comunicazione delle informazioni nella loro disponibilità, custodia o controllo, indipendentemente dal luogo in cui queste sono fisicamente conservate.
Questo significa che la presenza dei server in Europa non esclude, di per sé, l’applicabilità della legislazione americana. Non equivale, tuttavia, a un’autorizzazione indiscriminata ad accedere ai dati: le richieste devono rispettare i presupposti e le procedure previste dall’ordinamento applicabile.
Sul versante europeo, l’articolo 48 del GDPR disciplina le richieste di comunicazione dei dati personali provenienti da autorità di Paesi terzi. Nelle linee guida definitive pubblicate nel giugno 2025, lo European Data Protection Board (EDPB) chiarisce che tali richieste non possono essere automaticamente riconosciute o eseguite nell’Unione e che gli eventuali trasferimenti devono rispettare le condizioni previste dal GDPR.
Per una tech company italiana, il rischio deve quindi essere valutato considerando chi possiede il controllo effettivo delle informazioni e quali soggetti possono tecnicamente accedervi.
La verifica riguarda la struttura societaria del provider, i rapporti con eventuali società controllanti estere, le autorizzazioni degli amministratori e i meccanismi di assistenza tecnica da remoto. Anche i fornitori secondari coinvolti nell’erogazione del servizio meritano attenzione.
L’obiettivo non è escludere automaticamente i provider internazionali, ma comprendere quali dipendenze giuridiche e operative persistano e quali misure possano ridurre concretamente l’esposizione dell’impresa.
Architetture e provider qualificati per la Cloud Sovereignty
La scelta dell’infrastruttura rappresenta uno dei passaggi più importanti per costruire una strategia di sovranità del dato. Tuttavia, il mercato offre soluzioni differenti, che non garantiscono necessariamente lo stesso livello di autonomia giuridica, tecnica e operativa.
Secondo Gartner (Gartner, The Future of Digital Sovereignty Is Not Data Alone), la sovranità digitale si articola in tre dimensioni complementari: sovranità dei dati, relativa alla loro localizzazione e accessibilità; sovranità operativa, legata al controllo delle attività del provider; e sovranità tecnologica, intesa come capacità di mantenere autonomia e continuità senza dipendere completamente da un unico fornitore.
Questa distinzione permette di valutare le principali alternative infrastrutturali. Un cloud provider europeo può offrire un maggiore controllo giurisdizionale, mentre un hyperscaler internazionale può mettere a disposizione ambienti specificamente progettati per soddisfare requisiti di sovranità. Esistono inoltre configurazioni private, infrastrutture aziendali e architetture ibride, che combinano risorse interne e servizi esterni.
La definizione commerciale di sovereign cloud non costituisce però una garanzia sufficiente. Occorre verificare quali funzionalità siano effettivamente disponibili, chi amministri l’ambiente e quali dipendenze tecnologiche rimangano.
Nel contesto italiano, un riferimento specifico è rappresentato dalla qualificazione dei servizi cloud dell’Agenzia per la Cybersicurezza Nazionale (ACN), prevista per i servizi destinati alla Pubblica Amministrazione. Tale qualificazione non deve essere confusa con un requisito generale imposto a tutte le imprese private, né considerata automaticamente una garanzia di assenza di interferenze extraterritoriali.
Per il management, la selezione del provider richiede quindi una valutazione congiunta di sicurezza, giurisdizione, affidabilità, funzionalità disponibili e possibilità di migrazione, rapportata alla criticità dei sistemi aziendali.
Localizzazione geografica delle sale server e crittografia riservata
La localizzazione fisica dell’infrastruttura rimane un requisito fondamentale della sovranità del dato. Tuttavia, conoscere il Paese in cui si trovano i server principali non permette di ricostruire completamente il percorso delle informazioni.
La verifica deve comprendere anche i sistemi di backup, gli ambienti di elaborazione, gli eventuali servizi di disaster recovery e i dati tecnici generati durante il funzionamento della piattaforma.
Un’infrastruttura può infatti conservare i database aziendali in Italia, ma utilizzare servizi di supporto o gestione collocati altrove. Per questo è necessario distinguere la localizzazione dei dati dalla posizione dei sistemi e delle persone che possono interagire con essi.
La seconda componente riguarda la gestione delle chiavi crittografiche, ossia gli strumenti che consentono di rendere nuovamente leggibili le informazioni cifrate.
L’analisi di Gartner (Gartner, How CIOs Can Address Sovereignty Without Sacrificing Innovation and Value) distingue, tra le altre, due modalità particolarmente rilevanti. Con il modello Bring Your Own Key (BYOK), l’impresa genera e gestisce le proprie chiavi, caricandole tuttavia nel sistema di gestione del provider. Con Hold Your Own Key (HYOK), le chiavi rimangono invece sotto il controllo del cliente, senza essere consegnate al fornitore.
La seconda configurazione offre maggiori garanzie rispetto all’accesso autonomo del provider ai dati cifrati, ma comporta una gestione più complessa. Inoltre, la crittografia non elimina automaticamente tutti i rischi connessi alle fasi in cui le informazioni devono essere elaborate.
Per i dati più sensibili è quindi importante valutare non soltanto dove siano conservate le informazioni, ma chi possa decifrarle e in quali circostanze.
Il controllo operativo dell’infrastruttura e degli accessi privilegiati
Anche un’infrastruttura correttamente localizzata e protetta mediante crittografia può presentare dipendenze operative significative.
La sovranità operativa riguarda soprattutto la possibilità di controllare le attività di chi gestisce i sistemi: amministratori, tecnici di assistenza, fornitori esterni e personale incaricato di effettuare aggiornamenti o interventi straordinari.
Il primo elemento da verificare è la gestione degli accessi privilegiati, cioè le autorizzazioni che permettono di modificare configurazioni, intervenire sui sistemi o accedere a risorse particolarmente sensibili.
In una configurazione pienamente governata, tali accessi devono essere limitati alle funzioni necessarie, autorizzati secondo procedure definite e registrati in modo da consentire verifiche successive.
Occorre inoltre stabilire quali operazioni possano essere eseguite autonomamente dal provider e quali richiedano un’approvazione dell’organizzazione cliente. La distinzione assume particolare rilevanza in caso di incidenti informatici, manutenzioni straordinarie o richieste provenienti da autorità pubbliche.
Un ulteriore aspetto riguarda la localizzazione del personale di supporto. La presenza di un servizio cloud europeo non implica necessariamente che tutti gli operatori autorizzati ad amministrarlo lavorino nell’Unione o siano sottoposti esclusivamente alla sua giurisdizione.
La verifica deve estendersi anche ai log e ai dati di telemetria, le informazioni tecniche utilizzate per monitorare il funzionamento dell’infrastruttura, che possono contenere elementi rilevanti sotto il profilo della riservatezza.
In fase contrattuale, questi controlli devono tradursi in responsabilità esplicite, procedure verificabili e obblighi di trasparenza.
La differenza sostanziale è tra affidarsi alle dichiarazioni del provider e disporre di strumenti che permettano all’impresa di verificare concretamente come viene esercitato il controllo sulla propria infrastruttura.
Il rischio di lock-in cloud e la dipendenza dai fornitori tecnologici
La sovranità del dato dipende anche dalla possibilità di cambiare fornitore senza compromettere l’operatività aziendale.
Il fenomeno del vendor lock-in si verifica quando un’organizzazione sviluppa una dipendenza tecnologica, economica o contrattuale tale da rendere particolarmente difficile il passaggio a un’altra piattaforma.
Nel cloud, questa condizione può derivare dall’utilizzo di servizi proprietari per database, applicazioni, analisi dei dati e intelligenza artificiale. Più questi componenti diventano centrali nei processi aziendali, maggiori possono essere i costi e le difficoltà della loro sostituzione.
La dipendenza non riguarda necessariamente la proprietà delle informazioni. Un’impresa può mantenere formalmente tutti i diritti sui propri dati e, contemporaneamente, non disporre degli strumenti necessari per trasferirli rapidamente insieme alle applicazioni che li utilizzano.
Il problema assume una dimensione ulteriore quando il provider è soggetto a restrizioni normative o geopolitiche potenzialmente incompatibili con le esigenze aziendali.
Gartner, nel report How CIOs Can Address Sovereignty Without Sacrificing Innovation and Value già citato, raccomanda di integrare le strategie di uscita e le clausole di portabilità nelle valutazioni iniziali dei fornitori, anziché affrontarle soltanto quando emerge la necessità di migrare.
Il quadro normativo europeo interviene direttamente su questo problema. Il Data Act introduce obblighi per facilitare il passaggio tra servizi di elaborazione dei dati e prevede l’eliminazione delle commissioni specifiche di switching dal 12 gennaio 2027, pur lasciando rilevanti altre possibili voci di costo, comprese quelle connesse alla trasformazione e ricostruzione dei sistemi.
Per il management, l’obiettivo è preservare la libertà di scelta tecnologica, evitando che la continuità dei processi aziendali dipenda dall’impossibilità pratica di abbandonare una piattaforma.
Portabilità dei dati e architetture indipendenti dal cloud provider
Ridurre il lock-in richiede interventi che iniziano dalla progettazione dell’architettura, prima ancora della negoziazione dei contratti.
Un primo principio consiste nel privilegiare, dove possibile, tecnologie e modalità di gestione che permettano di utilizzare gli stessi dati su infrastrutture differenti.
L’analisi di Gartner (Gartner, Enterprise Data and AI Sovereignty Require Cloud-Neutral Lakehouses) individua nelle piattaforme di gestione dei dati indipendenti dal singolo cloud provider una possibile risposta alle esigenze di sovranità delle organizzazioni distribuite su più mercati.
Tra queste figurano le architetture cloud-neutral lakehouse, che combinano conservazione, elaborazione e analisi dei dati attraverso strumenti utilizzabili in ambienti cloud differenti.
Un elemento particolarmente importante è la gestione federata dei metadati. In termini semplici, consente di mantenere una visione coordinata delle informazioni presenti in sistemi diversi, definendo regole comuni di accesso e utilizzo senza dover necessariamente trasferire tutti i dati in un unico archivio.
Questa impostazione può facilitare la collaborazione tra sedi, business unit e partner che operano in territori soggetti a normative differenti.
L’indipendenza tecnologica, tuttavia, non si ottiene semplicemente adottando una piattaforma dichiarata compatibile con più cloud. È necessario verificare che le funzionalità fondamentali siano effettivamente disponibili negli ambienti prescelti e che le dipendenze applicative non impediscano la migrazione.
La portabilità deve comprendere dati, configurazioni, procedure operative e componenti necessari a ripristinare i servizi.
Per le applicazioni strategiche, una prova concreta di esportazione e ripristino può quindi offrire indicazioni più significative della sola disponibilità contrattuale di una funzione di esportazione.
Sovranità del dato e intelligenza artificiale: nuovi rischi per le imprese
L’adozione dell’intelligenza artificiale amplia il perimetro della sovranità del dato, introducendo problemi che non possono essere affrontati esclusivamente attraverso le tradizionali politiche di localizzazione.
I sistemi di AI possono accedere a informazioni distribuite tra diversi archivi, combinarle e utilizzarle per produrre risultati, classificazioni o decisioni automatizzate. In questi processi, il dato può rimanere fisicamente nella sua posizione originaria, mentre il suo utilizzo avviene attraverso servizi esterni.
Secondo Gartner (Gartner, AI Data Sovereignty Requires More Than Residency), la sovranità dei dati destinati all’intelligenza artificiale dipende sempre più dalla capacità di governarne accesso, interpretazione, trasformazione e utilizzo, non soltanto dalla posizione delle infrastrutture che li ospitano.
Questa distinzione diventa particolarmente importante per le tech company che integrano modelli AI nei propri prodotti oppure impiegano servizi esterni per elaborare documentazione, dati dei clienti e informazioni proprietarie.
Un aspetto da verificare è il luogo in cui viene eseguita l’inferenza, ossia l’elaborazione attraverso cui un modello produce una risposta. Un’applicazione ospitata in Europa può utilizzare un modello eseguito altrove, determinando flussi di dati che richiedono una valutazione giuridica e tecnica specifica.
Altrettanto rilevanti sono le condizioni contrattuali che regolano l’eventuale utilizzo delle informazioni aziendali per addestrare o migliorare modelli esterni.
Per il management, la questione riguarda quindi anche la protezione del patrimonio informativo e della proprietà intellettuale, soprattutto quando conoscenze e documenti riservati diventano parte dei processi di elaborazione AI.
Governance dei dati, metadati e controllo delle informazioni utilizzate dall’AI
Una gestione efficace della sovranità del dato richiede che le regole definite dall’organizzazione possano essere applicate anche quando le informazioni vengono utilizzate da sistemi automatizzati.
L’analisi di Gartner (Gartner, How CIOs Can Establish AI Sovereignty Through Data Management) propone un modello fondato sull’identificazione degli asset informativi, sulla standardizzazione dei metadati e sull’applicazione di politiche di utilizzo verificabili.
I metadati sono informazioni che descrivono altri dati: ne indicano, per esempio, l’origine, il proprietario, il livello di riservatezza e le condizioni di utilizzo.
In un ambiente aziendale governato, permettono di distinguere le informazioni liberamente utilizzabili da quelle soggette a restrizioni contrattuali, normative o commerciali.
Queste caratteristiche diventano particolarmente importanti quando un sistema AI può interrogare automaticamente più archivi, recuperare documenti e utilizzare informazioni provenienti da fonti differenti.
L’approccio indicato da Gartner prevede di tradurre le regole aziendali in istruzioni interpretabili dai sistemi informatici. È il principio delle policy as code, attraverso cui determinate autorizzazioni e limitazioni vengono applicate automaticamente durante l’utilizzo dei dati.
Una piattaforma può così verificare se uno specifico sistema sia autorizzato a consultare un insieme di informazioni e se l’operazione rispetti le condizioni definite dall’organizzazione.
A questa capacità devono affiancarsi strumenti di tracciabilità, necessari per ricostruire quali dati siano stati utilizzati, da quali sistemi e per quali finalità.
La governance diventa quindi un processo continuativo. Non basta approvare preventivamente una nuova applicazione AI: è necessario mantenere visibilità sulle sue interazioni con il patrimonio informativo aziendale, anche quando cambiano modelli, fornitori o modalità operative.
Sovranità del dato e continuità operativa: il rischio della concentrazione geografica
La ricerca di maggiore autonomia può introdurre vulnerabilità quando determina una concentrazione eccessiva delle infrastrutture in un unico territorio.
Un’organizzazione che decide di trasferire tutti i sistemi presso un provider nazionale può ridurre determinate esposizioni giuridiche, ma contemporaneamente aumentare la dipendenza da infrastrutture fisiche localizzate nella stessa area geografica.
Il problema emerge soprattutto in presenza di eventi estremi: conflitti, indisponibilità delle reti di comunicazione, interruzioni energetiche o incidenti che coinvolgono contemporaneamente più data center.
Secondo Gartner (Gartner, Beyond Sovereignty: When Geopatriation Clashes With Data Survivability), le strategie di geopatriation, ossia il trasferimento di dati e carichi di lavoro verso infrastrutture considerate più vicine e controllabili sotto il profilo geopolitico, devono essere bilanciate con le esigenze di sopravvivenza dei dati e continuità dei servizi.
Il rapporto richiama l’esperienza dell’Ucraina nel 2022, quando il trasferimento di dati governativi verso infrastrutture cloud estere contribuì a preservare servizi e informazioni minacciati dal conflitto.
Per le imprese, questa prospettiva impone di distinguere tra localizzazione ordinaria e capacità di recupero in condizioni straordinarie.
La presenza di più sale server nello stesso territorio può proteggere da guasti circoscritti, ma non necessariamente da una crisi che coinvolga un’intera regione.
Di conseguenza, una strategia di sovranità del dato deve valutare congiuntamente residenza delle informazioni, distribuzione delle infrastrutture e possibilità di ripristino.
L’obiettivo è evitare che una misura introdotta per ridurre il rischio giuridico produca, indirettamente, un’esposizione operativa superiore.
Disaster recovery e piani di emergenza per i carichi di lavoro critici
La continuità operativa richiede di stabilire anticipatamente quali processi aziendali debbano essere preservati anche in condizioni di forte indisponibilità tecnologica.
L’analisi di Gartner (Gartner, How to Prepare Data and Analytics for Sovereignty Risks Before You Lose Control) suggerisce di partire dalle operazioni minime indispensabili al funzionamento dell’impresa, identificando successivamente i dati, le applicazioni e le infrastrutture necessari a sostenerle.
Questa impostazione permette di superare una pianificazione basata esclusivamente sui singoli sistemi informatici.
Per una tech company, l’indisponibilità di un archivio documentale interno può avere conseguenze molto differenti rispetto all’interruzione di una piattaforma che eroga servizi continuativi ai clienti.
La classificazione dei carichi di lavoro deve quindi considerare l’impatto economico e operativo delle interruzioni, il tempo massimo tollerabile prima del ripristino e la quantità di informazioni che l’organizzazione può permettersi di perdere.
Sulla base di queste esigenze è possibile definire strategie differenziate di backup, replica e recupero.
Nei contesti soggetti a particolari vincoli territoriali, occorre inoltre verificare anticipatamente se le copie di emergenza possano essere collocate in altri Paesi e a quali condizioni. Eventuali procedure eccezionali di trasferimento devono essere valutate con le funzioni legali e di compliance, senza presumere che un’emergenza autorizzi automaticamente deroghe alle regole applicabili.
Il piano deve considerare anche l’eventualità che il provider principale diventi temporaneamente inaccessibile.
La disponibilità delle copie di sicurezza, da sola, non è sufficiente: occorre verificare che esistano le competenze, le autorizzazioni e le risorse tecniche necessarie a ripristinare realmente le applicazioni.
Le simulazioni periodiche di interruzione e ripristino rappresentano quindi un passaggio fondamentale per trasformare la continuità operativa da previsione contrattuale a capacità effettiva.
Come costruire una strategia aziendale di sovranità del dato
La sovranità del dato non richiede necessariamente una trasformazione completa e immediata dell’infrastruttura aziendale. L’approccio più efficace consiste nell’individuare le aree di maggiore esposizione e concentrare gli investimenti sulle risorse che presentano rischi significativi.
Il punto di partenza è un inventario dei dati, delle applicazioni e dei fornitori. Per ciascun sistema occorre identificare la tipologia delle informazioni trattate, i luoghi di conservazione ed elaborazione, i soggetti autorizzati ad accedervi e le dipendenze tecnologiche rilevanti.
A questa ricognizione deve seguire una classificazione basata sulla sensibilità delle informazioni, sugli obblighi normativi applicabili e sulla criticità dei processi aziendali.
I sistemi che gestiscono dati particolarmente riservati o servizi essenziali possono richiedere soluzioni infrastrutturali con maggiori garanzie di controllo. Altri carichi di lavoro possono continuare a utilizzare piattaforme cloud condivise, purché siano accompagnati da misure di protezione proporzionate.
La valutazione dei fornitori deve inoltre superare il semplice esame delle certificazioni di sicurezza. Sono necessarie evidenze sulle architetture utilizzate, sulla localizzazione dei trattamenti, sulla gestione degli accessi e sulle possibilità concrete di trasferimento verso altri ambienti.
Anche i contratti assumono un ruolo strategico. Le condizioni negoziate dovrebbero disciplinare le autorizzazioni di accesso, gli eventuali subfornitori, i diritti di verifica, la gestione degli incidenti, le modifiche rilevanti al servizio e le procedure di uscita.
Infine, la governance richiede responsabilità organizzative definite. IT, sicurezza, funzioni legali, procurement e direzione aziendale devono condividere i criteri con cui valutare le scelte infrastrutturali e riesaminare periodicamente i rischi.
Per il management, il risultato da perseguire non è l’isolamento tecnologico, ma una condizione di autonomia verificabile, nella quale l’impresa conserva la capacità di decidere come utilizzare i propri dati, controllare i fornitori e mantenere operativi i servizi essenziali.
La sovranità del dato diventa così una componente strutturale della gestione del rischio aziendale, capace di sostenere conformità normativa, resilienza e innovazione senza trasformarsi in un vincolo indiscriminato alla crescita.
Partecipa alla community