Luca Frabboni – Maat Srl
La sovranità digitale europea non è più soltanto una formula politica o un principio programmatico. Sta diventando una condizione strutturale della competitività economica, della sicurezza pubblica, della resilienza dei servizi essenziali e della tutela effettiva dei diritti fondamentali.
Per molti anni il dibattito europeo sul digitale si è concentrato soprattutto sulla regolazione: protezione dei dati personali, responsabilità delle piattaforme, accesso equo ai dati, sicurezza informatica, intelligenza artificiale affidabile. Questa impostazione ha prodotto provvedimenti fondamentali, dal GDPR all’AI Act, dal Data Governance Act al Data Act, fino al Cyber Resilience Act.
Oggi, tuttavia, emerge con maggiore chiarezza un problema ulteriore: l’Europa può anche imporre regole avanzate, ma resta vulnerabile se le infrastrutture, i servizi cloud, la capacità di calcolo, i semiconduttori, il software di base e le catene di fornitura tecnologica dipendono in misura eccessiva da operatori, standard e giurisdizioni extraeuropee.
In questo contesto si inserisce il European Technological Sovereignty Package, presentato dalla Commissione europea il 3 giugno 2026. Il pacchetto segna un passaggio rilevante: dalla sovranità digitale intesa prevalentemente come regolazione alla sovranità digitale intesa anche come capacità industriale, infrastrutturale e tecnologica.
La logica è chiara: non basta disciplinare l’uso dell’intelligenza artificiale, del cloud o dei dati. Occorre anche disporre, in Europa, di infrastrutture, competenze, fornitori e capacità di calcolo sufficienti per sviluppare, addestrare, distribuire e governare tecnologie critiche senza dipendenze strutturali non controllabili.
Il Tech Sovereignty Package del 3 giugno 2026
Il pacchetto presentato dalla Commissione europea comprende quattro componenti principali:
- la proposta di Chips Act 2.0, diretta a rafforzare l’ecosistema europeo dei semiconduttori;
- la proposta di Cloud and AI Development Act, destinata a incidere sul cloud, sui data center e sulla capacità computazionale per l’intelligenza artificiale;
- la EU Open Source Strategy, orientata a ridurre le dipendenze lungo l’intero stack tecnologico;
- la Strategic Roadmap for Digitalisation and AI in Energy, volta a collegare digitalizzazione, AI e infrastrutture energetiche.
È importante precisare che, al momento della presentazione, Chips Act 2.0 e Cloud and AI Development Act sono proposte legislative della Commissione. Dovranno quindi seguire il procedimento legislativo europeo prima di diventare atti definitivamente vincolanti. Diversa è la natura della Open Source Strategy, che opera come atto di indirizzo strategico e politico, non come regolamento immediatamente applicabile.
Questa distinzione è essenziale anche per gli operatori giuridici: una cosa è commentare una norma vigente, altra cosa è valutare l’impatto potenziale di una proposta legislativa o di una strategia della Commissione. Nel caso del Tech Sovereignty Package, il valore è soprattutto prospettico, ma la direzione di marcia è molto chiara.
Il Cloud and AI Development Act: perché è centrale
Il cuore del pacchetto è rappresentato dalla proposta di Cloud and AI Development Act, indicata dalla Commissione come strumento per rafforzare la sovranità e la competitività europea nell’ecosistema cloud e AI.
La proposta muove da un dato pratico: l’intelligenza artificiale richiede enormi capacità di calcolo, infrastrutture cloud affidabili, data center sostenibili, accesso all’energia, sistemi di raffreddamento, connettività avanzata, sicurezza fisica e logica, risorse finanziarie e procedure autorizzative più rapide.
La questione non è meramente tecnica. Senza potenza computazionale disponibile, sicura e governabile, l’AI europea rischia di dipendere stabilmente da piattaforme esterne per attività decisive: addestramento dei modelli, elaborazione di grandi quantità di dati, servizi pubblici digitali, sanità, giustizia, energia, difesa, ricerca scientifica e servizi professionali ad alto valore aggiunto.
Secondo l’impostazione della Commissione, il Cloud and AI Development Act interviene su tre direttrici principali.
La prima riguarda ricerca, sviluppo e innovazione. L’Unione intende sostenere tecnologie cloud e AI di nuova generazione, con attenzione all’AI industriale, all’AI fisica, ai modelli avanzati e alle soluzioni sostenibili.
La seconda riguarda la capacità infrastrutturale. L’obiettivo è incrementare in modo significativo la disponibilità di data center e risorse di calcolo nell’Unione, semplificando e accelerando le procedure per la realizzazione degli impianti e coordinando l’accesso a energia, suolo, acqua e finanziamenti.
La terza riguarda l’autonomia tecnologica. La proposta prevede un quadro europeo comune per valutare la sovranità dei servizi cloud e AI, con diversi livelli di garanzia, particolarmente rilevanti per il settore pubblico e per gli usi critici.
La sovranità cloud non coincide con la semplice localizzazione del dato
Per avvocati, giuristi, DPO, responsabili ICT e consulenti compliance, il punto più rilevante è questo: la sovranità digitale non coincide soltanto con la localizzazione fisica del dato.
La mera conservazione dei dati in un data center situato nell’Unione europea può non essere sufficiente se il fornitore, la catena del software, le chiavi di cifratura, il controllo societario, il personale operativo, i subfornitori o gli obblighi giuridici applicabili restano esposti a poteri di autorità terze.
Il pacchetto europeo recepisce quindi una nozione multilivello di sovranità, che può essere letta almeno su cinque piani:
- sovranità infrastrutturale, relativa alla disponibilità di data center, reti, capacità di calcolo e risorse energetiche;
- sovranità giuridica, relativa alla legge applicabile, agli obblighi di accesso ai dati e ai poteri delle autorità pubbliche;
- sovranità operativa, relativa al controllo tecnico effettivo del servizio, delle chiavi, degli accessi e della gestione;
- sovranità industriale, relativa alla presenza di fornitori europei competitivi;
- sovranità di filiera, relativa alla trasparenza della supply chain software, hardware e cloud.
Questa impostazione è destinata ad avere un impatto rilevante nei contratti cloud, negli appalti ICT, nei servizi AI, nelle valutazioni di impatto, nelle policy di sicurezza e nelle scelte tecnologiche delle pubbliche amministrazioni e dei soggetti privati che trattano dati sensibili o strategici.
CLOUD Act statunitense e valutazione del rischio
In tale prospettiva assumono rilievo anche i riferimenti al CLOUD Act statunitense e, più in generale, alle normative extraeuropee che possono incidere sui fornitori di servizi digitali.
Il tema non deve essere semplificato con affermazioni assolute. Le richieste di accesso ai dati da parte di autorità straniere sono soggette a condizioni, garanzie procedurali e possibilità di contestazione. Tuttavia, per pubbliche amministrazioni, studi professionali, imprese regolamentate, operatori sanitari, soggetti finanziari e realtà che trattano dati altamente sensibili, la questione resta centrale.
Il giurista deve valutare non solo dove si trovano i dati, ma anche:
- quale legge può incidere sul provider;
- quali autorità possono rivolgere richieste di accesso;
- quali società del gruppo possono intervenire sul servizio;
- quali soggetti possono tecnicamente accedere ai contenuti;
- dove sono gestite le chiavi di cifratura;
- quali subfornitori partecipano alla prestazione;
- quali strumenti di segregazione, audit e controllo sono previsti;
- quale livello di indipendenza organizzativa è realmente garantito.
In altri termini, la sovranità digitale diventa un criterio di due diligence contrattuale e organizzativa.
La sovranità digitale come criterio di due diligence
Nella scelta di un servizio cloud o AI, il professionista non può più limitarsi a verificare la presenza di una clausola GDPR, di un data processing agreement o di una generica dichiarazione di conformità.
Occorre esaminare la resilienza del fornitore, la portabilità dei dati, l’interoperabilità, la reversibilità del servizio, la trasparenza della supply chain software, la gestione delle vulnerabilità, la dipendenza da tecnologie proprietarie non sostituibili e la possibilità di migrare verso soluzioni alternative senza costi o vincoli eccessivi.
Questa impostazione è particolarmente rilevante per gli studi legali e per i soggetti che operano nella giustizia digitale. Fascicoli telematici, documenti informatici, comunicazioni riservate, banche dati, sistemi di intelligenza artificiale, archivi cloud, strumenti collaborativi e piattaforme di gestione documentale non sono semplici strumenti informatici: sono componenti dell’organizzazione professionale e incidono sulla riservatezza, sulla continuità operativa e sulla tutela dei diritti dei clienti.
Il ruolo dell’open source nella strategia europea
Uno degli elementi qualificanti del Tech Sovereignty Package è la EU Open Source Strategy. L’open source non viene valorizzato come scelta ideologica, ma come leva concreta di autonomia, verificabilità, interoperabilità, riuso e controllo.
Il software open source può contribuire a ridurre le dipendenze lungo l’intero stack tecnologico, consentire audit indipendenti, rafforzare la sicurezza tramite ispezionabilità del codice e favorire la condivisione di soluzioni tra pubbliche amministrazioni.
Per il settore pubblico e per la giustizia digitale, il tema è particolarmente rilevante. Piattaforme processuali, servizi documentali, strumenti di identità digitale, sistemi di interoperabilità, servizi cloud e applicazioni AI non dovrebbero essere valutati soltanto in termini di costo o funzionalità, ma anche in termini di controllo, trasparenza, sostenibilità e capacità di evoluzione nel tempo.
Naturalmente open source non significa automaticamente sicuro, gratuito o privo di costi organizzativi. Significa, piuttosto, che il codice può essere ispezionato, riutilizzato, adattato e sottoposto a forme di controllo più ampie rispetto a molte soluzioni chiuse. Anche l’open source richiede governance, manutenzione, responsabilità, sicurezza, gestione delle vulnerabilità e competenze adeguate.
Il collegamento con AI Act, Data Act, Data Governance Act e Cyber Resilience Act
Il Tech Sovereignty Package non nasce isolato. Si inserisce in una traiettoria normativa e strategica più ampia.
Il Regolamento (UE) 2024/1689 sull’intelligenza artificiale, noto come AI Act, firmato il 13 giugno 2024 e pubblicato nella Gazzetta ufficiale dell’Unione europea il 12 luglio 2024, rappresenta il principale quadro regolatorio europeo per sistemi di intelligenza artificiale, modelli di uso generale e obblighi proporzionati al rischio.
Il Regolamento (UE) 2023/2854, Data Act, firmato il 13 dicembre 2023, disciplina l’accesso equo ai dati e il loro utilizzo, con implicazioni importanti anche per cloud, portabilità e switching tra servizi.
Il Regolamento (UE) 2022/868, Data Governance Act, firmato il 30 maggio 2022, ha introdotto un quadro europeo per la governance dei dati, i servizi di intermediazione dei dati e l’altruismo dei dati.
Il Regolamento (UE) 2024/2847, Cyber Resilience Act, firmato il 23 ottobre 2024, introduce requisiti orizzontali di cybersicurezza per i prodotti con elementi digitali.
A questi si aggiungono il Regolamento (UE) 2023/1781, Chips Act, firmato il 13 settembre 2023, il Digital Decade Policy Programme 2030, istituito con decisione del 14 dicembre 2022, e il Regolamento (UE) 2024/903, Interoperable Europe Act, firmato il 13 marzo 2024.
La novità del Tech Sovereignty Package è il tentativo di collegare regolazione, investimenti e politica industriale. Dopo anni in cui l’Europa è stata percepita soprattutto come regolatore globale del digitale, la Commissione prova a rafforzare anche la base materiale della sovranità: semiconduttori, capacità computazionale, data center, cloud, software, open source, AI e competenze.
Impatti pratici per avvocati, studi professionali e consulenti
Per il mondo giuridico, la conseguenza è chiara: la sovranità digitale diventerà sempre più un parametro di valutazione nei contratti pubblici, nei contratti cloud, negli appalti ICT, nelle valutazioni d’impatto, nelle policy di sicurezza, nei modelli organizzativi e nella consulenza alle imprese.
L’avvocato dovrà essere in grado di leggere una clausola di data residency, ma anche di comprendere la differenza tra residenza del dato, controllo del dato, accessibilità tecnica, cifratura, gestione delle chiavi, interoperabilità, lock-in contrattuale e dipendenza tecnologica.
La compliance digitale richiederà una visione integrata: protezione dei dati personali, cybersicurezza, procurement, governance dell’AI, proprietà intellettuale, segreti commerciali, continuità operativa e gestione dei fornitori.
Per gli studi legali questo significa introdurre, almeno nei rapporti più rilevanti, una verifica strutturata dei fornitori digitali. Non basta chiedere “il servizio è conforme al GDPR?”. Occorre domandare: chi controlla l’infrastruttura? dove sono i dati? chi può accedervi? quali subfornitori sono coinvolti? come si esce dal servizio? quali garanzie esistono in caso di incidente? quali alternative sono disponibili?
Il rischio di una sovranità solo dichiarativa
Il rischio, naturalmente, è che la sovranità digitale venga interpretata in modo protezionistico o meramente dichiarativo.
Una sovranità efficace non consiste nel chiudere il mercato europeo, ma nel garantire che cittadini, imprese e pubbliche amministrazioni dispongano di alternative credibili, sicure, interoperabili e controllabili.
Autonomia strategica non significa isolamento. Significa capacità negoziale. E tale capacità esiste solo quando l’Europa dispone di infrastrutture, competenze, fornitori e tecnologie in grado di sostenere realmente le esigenze dei settori critici.
Perché la sovranità digitale diventa un criterio di governance e compliance
Il Tech Sovereignty Package del 3 giugno 2026 rappresenta un passaggio politico e giuridico di grande rilievo. Non risolve da solo il problema delle dipendenze tecnologiche europee, ma indica una direzione precisa: la sovranità digitale deve essere costruita lungo tutta la catena del valore, dal chip al cloud, dal dato all’algoritmo, dal software open source alla capacità energetica dei data center.
Per i giuristi, questo significa che il diritto delle tecnologie non potrà più essere trattato come materia accessoria o meramente contrattuale. Diventerà uno snodo essenziale della governance pubblica e privata, della sicurezza nazionale, della competitività economica e della tutela dei diritti nel mercato digitale europeo.
La sfida non sarà solo rispettare nuove regole, ma saper valutare correttamente le dipendenze tecnologiche, contrattuali e giuridiche che si nascondono dietro ogni scelta digitale.
