Se hai seguito i titoli dei giornali da quando l'Unione Europea ha annunciato la propria intenzione di introdurre il Cloud and AI Development Act (CADA), potresti essere perdonato per aver pensato una di queste due cose: o l'Europa ha finalmente risolto tutte le sue sfide in materia di sovranità, oppure è la catastrofe e i grandi fornitori cloud globali stanno per scomparire dal panorama europeo.
La realtà, come spesso accade, si colloca da qualche parte nel mezzo.
Nelle mie conversazioni con i clienti in tutta Europa, vedo entrambe le reazioni. Alcuni temono che il CADA generi maggiore complessità senza risolvere i loro problemi reali. Altri temono che segni la fine degli hyperscaler in Europa. Nessuna delle due interpretazioni è corretta.
Il mio punto di vista è semplice: il CADA non è né la fine del mondo né la risposta a tutto. È un importante passo avanti perché fornisce un quadro per gestire i rischi di sovranità in modo più deliberato — ma non elimina del tutto quei rischi. E questa distinzione è importante.
La sovranità digitale riguarda davvero il rischio aziendale
Quando parliamo di sovranità digitale, la discussione spesso diventa molto tecnica molto rapidamente. Ma nella sua essenza, la sovranità è una questione aziendale. Anzi, direi che la sovranità riguarda fondamentalmente la gestione del rischio — il che conta ancora di più nell'era dell'IA.
Le organizzazioni valutano già ogni giorno una serie di rischi — dalla cybersecurity alle operazioni, dalle catene di approvvigionamento fino alle catastrofi naturali. La sovranità digitale appartiene alla stessa categoria.
A differenza delle applicazioni tradizionali, i sistemi di IA non si limitano a memorizzare dati. Li utilizzano, li trasformano, apprendono da essi e generano insight e decisioni a partire da essi. Questo estende la sovranità oltre il luogo in cui i dati vengono archiviati, per includere il luogo in cui l'intelligenza viene creata, il modo in cui è governata e se le decisioni possono essere comprese, spiegate e verificate.
La sovranità digitale si concentra su tre dimensioni specifiche:
- Sovranità dei dati
- Sovranità operativa
- Sovranità tecnica
In termini pratici, questi rischi riguardano domande quali:
- Un governo straniero potrebbe accedere a dati sensibili?
- Le tensioni geopolitiche potrebbero interrompere l'accesso continuato a tecnologie critiche?
- La giurisdizione di un fornitore potrebbe creare esposizione legale per l'azienda?
Sono conversazioni da board of directors, ed è per questo che il CADA dovrebbe essere visto come un quadro strategico piuttosto che come una mera normativa tecnica.
Il CADA riguarda una sovranità più forte, non una sovranità totale
Uno dei più grandi equivoci sul CADA è che in qualche modo vieti gli hyperscaler o costringa le organizzazioni ad ambienti altamente isolati. Non fa né l'uno né l'altro.
Il CADA dovrebbe stabilire aspettative più chiare per i controlli di sovranità, pur consentendo alle organizzazioni di beneficiare degli ecosistemi cloud globali.
Il mercato ha già iniziato a muoversi in questa direzione. La sovranità sta diventando una parte centrale delle strategie cloud degli hyperscaler. Stanno investendo in regioni cloud sovrane, modelli operativi locali, ambienti ad accesso limitato, cifratura gestita dal cliente, opzioni disconnesse o air-gapped e modelli di delivery guidati da partner progettati per i workload europei altamente regolamentati. Ciò significa che la conversazione sul CADA non dovrebbe essere impostata come una scelta tra hyperscaler ed Europa. Piuttosto, dovrebbe concentrarsi su come combinare responsabilmente le capacità cloud globali, le aspettative normative europee e i modelli operativi sovrani.
Per molte organizzazioni, la scelta non sarà quindi tra cloud pubblico e infrastruttura privata. Si tratterà di selezionare il giusto mix: servizi cloud sovrani dove soddisfano i requisiti normativi e operativi, combinati con ambienti privati dove il profilo di rischio lo richiede.
L'approccio blended basato sul rischio nella pratica
Il settore bancario offre un esempio utile perché applica questa logica da tempo. I sistemi bancari core e i dati sensibili dei clienti sono strettamente controllati, mentre molte banche hanno migrato i workload circostanti — come analytics, customer engagement, piattaforme per sviluppatori o servizi digitali a valore aggiunto — nel cloud pubblico, dove i benefici superano i rischi.
Il CADA fornisce un quadro normativo e di garanzia più chiaro per questo approccio basato sul rischio e amplia la gamma di opzioni commercialmente praticabili tra il cloud pubblico standard e l'infrastruttura privata su misura. Per le banche, la domanda diventa più precisa: quali workload possono rimanere su servizi cloud standard, quali richiedono controlli di cloud sovrano e quali necessitano di ambienti privati?
Il risultato è una versione più esplicita, basata sull'evidenza e pronta per gli appalti di ciò che le organizzazioni regolamentate fanno da anni.
L'obiettivo è il controllo appropriato, non l'isolamento assoluto
Un altro equivoco comune è che l'Europa possa raggiungere la completa indipendenza tecnologica dai fornitori di tecnologia non europei. Oggi, questo non è semplicemente realistico.Attualmente non esiste uno stack tecnologico europeo completo, end-to-end, in grado di sostituire ogni componente su cui le organizzazioni fanno affidamento.
Alcune organizzazioni aspirano a rimuovere dai propri ambienti ogni componente tecnologico straniero. Per quanto comprensibile, questo approccio spesso confonde possibilità e probabilità, e i compromessi sono spesso sottovalutati.
Sì, esistono scenari ipotetici in cui le tensioni geopolitiche potrebbero creare restrizioni tecnologiche. Ma le organizzazioni dovrebbero prendere decisioni basate su valutazioni realistiche del rischio piuttosto che su ipotesi peggiori. In definitiva, l'obiettivo è il controllo appropriato, non l'isolamento assoluto.
Le critiche comuni al CADA sono fondate?
Molte delle critiche al CADA rientrano in categorie familiari. Esaminiamone alcune.
“Il CADA è protezionistico e potrebbe rallentare l’Europa.”
Ne comprendo la preoccupazione. Tuttavia, non credo che le organizzazioni debbano scegliere tra innovazione e sovranità. Le strategie di successo combineranno gli hyperscaler dove opportuno, ambienti sovrani dove necessario e architetture ibride dove ha senso. Si tratta di creare opzioni.
“Il CADA aumenterà i costi e la complessità.”
La domanda è: rispetto a cosa? Valutato rispetto a un approccio puramente cloud pubblico, alcuni controlli sovrani possono effettivamente introdurre costi aggiuntivi. Ma se un'organizzazione stesse costruendo e gestendo la propria infrastruttura privata, esistono soluzioni sovrane che potrebbero in realtà rappresentare un percorso più efficiente. Cosa più importante, il CADA incoraggia le organizzazioni a classificare i workload in base al rischio e alla criticità. Non ogni workload richiede il massimo livello di sovranità. Un'azienda farmaceutica che conduce una R&S sensibile può applicare controlli rigidi ai dati di ricerca utilizzando allo stesso tempo ambienti più flessibili per le applicazioni aziendali ordinarie. Un approccio così mirato può prevenire spese inutili.
“L’Europa non ha sufficiente capacità domestica.”
C'è del vero in questa preoccupazione. L'ecosistema europeo di cloud sovrano e IA è ancora in evoluzione, con lacune di capacità in alcune aree. Tuttavia, il progresso non richiede la perfezione.
Le organizzazioni possono adottare approcci graduali che utilizzano i servizi cloud esistenti dove opportuno, sviluppando progressivamente capacità sovrane attorno ai loro asset più critici. Dal 2019, l'UE e il Giappone — dove ha sede NTT Group, di cui NTT DATA è una filiale centrale — operano nell'ambito di un accordo di adeguatezza reciproca che riconosce i rispettivi quadri di protezione dei dati come garanzie equivalenti per i trasferimenti di dati personali. Nel 2023, entrambe le parti hanno completato la prima revisione dell'accordo e ne hanno confermato la continua efficacia. Di conseguenza, le organizzazioni possono trasferire dati personali tra l'UE e il Giappone senza molti dei meccanismi di trasferimento aggiuntivi richiesti per altre giurisdizioni non UE, aprendo la strada a partnership strategiche semplificate. Questo è importante perché la sovranità non riguarda solo la localizzazione; riguarda anche le giurisdizioni fidate, la governance e le partnership a lungo termine.
“Le definizioni sono troppo vaghe.”
Questa critica è fondata. Molti quadri normativi lasciano intenzionalmente spazio all'interpretazione perché la tecnologia evolve più velocemente della legislazione. La sfida per le organizzazioni è tradurre il linguaggio delle politiche in architettura pratica, modelli di governance e procedure operative. È qui che l'esperienza conta. La domanda non è se una definizione sia perfettamente precisa, ma come si applica alla tua azienda, ai tuoi dati e al tuo profilo di rischio.
Quali settori sentiranno per primi l'impatto?
Sebbene il CADA finirà per influenzare quasi ogni settore, alcuni probabilmente ne sentiranno gli effetti prima di altri. Energia e utilities si distinguono immediatamente perché gestiscono infrastrutture nazionali critiche affrontando al tempo stesso significative pressioni di modernizzazione. Anche il settore bancario, la ricerca farmaceutica, la difesa e le organizzazioni del settore pubblico saranno soggetti a un esame più attento.
Perché questa è una preziosa opportunità per l'Europa
Il CADA dovrebbe spingere le organizzazioni non verso il panico o la paralisi, ma verso decisioni migliori. La risposta non è cercare di rendere tutto sovrano in una volta sola. Prima di tutto è necessario comprendere la propria esposizione al rischio, classificare i workload, scegliere il giusto modello di controllo e costruire una roadmap pratica che includa cloud pubblico, cloud privato, cloud sovrano e infrastruttura AI.
In NTT DATA, ti aiutiamo a trovare quell'equilibrio tra autonomia e apertura, tra protezione e innovazione, e tra controllo locale e opportunità globale. Il nostro approccio combina valutazione della sovranità, classificazione dei workload, architettura graduale ed esecuzione gestita — aiutandoti a utilizzare il cloud esistente dove opportuno, costruendo al contempo capacità private o sovrane dove conta di più.
Per saperne di più sui servizi Private and Sovereign AI di NTT DATA, contattaci per scoprire come possiamo aiutarti a orchestrare il controllo dell'IA su scala, per l'autonomia, la resilienza e il vantaggio competitivo.