La sovranità dei dati ha cessato di essere un dibattito infrastrutturale ed è diventata una questione di consulenza: dove risiedono i dati dell'azienda, quale legislazione si applica, chi può accedervi e cosa succede a livello operativo se le condizioni del fornitore cambiano domani.
Non si tratta di una questione ideologica, né di una preferenza per i fornitori locali. Si tratta di una valutazione del rischio di continuità, proprio come quella condotta con qualsiasi fornitore critico nella catena di approvvigionamento.
Tre fattori sono confluiti in un breve lasso di tempo.
Il quadro normativo europeo è diventato più complesso. Il GDPR, il Regolamento sull'IA, la Legge sulla protezione dei dati e le normative specifiche di settore richiedono una conoscenza precisa di dove vengono archiviati i dati e chi li elabora. Risposte vaghe non supereranno più un audit.
Le condizioni dei fornitori cambiano rapidamente. Prezzi dei modelli, politiche di utilizzo, ritiro delle versioni, modifiche alle condizioni di trattamento dei dati. Ciò che è stato concordato diciotto mesi fa potrebbe non essere più in vigore oggi.
Il mercato ha reagito. Nell'agosto del 2026, Reuters ha analizzato come aziende europee consolidate – SAP, Capgemini, Sopra Steria e OVHcloud – siano diventate vincitrici nel ciclo dell'IA proprio perché le imprese necessitano di tecnologie che si integrino con i loro dati e processi esistenti. Secondo la stessa analisi, SAP sta investendo oltre 20 miliardi di euro in cloud sovrano e IA.
Quando il mercato investe su tale scala in una determinata categoria, è perché la domanda è reale.
Chiedere | Perché è importante | Risposta insufficiente |
|---|---|---|
Dove risiedono fisicamente i dati? | Determinare la legge applicabile | «"Nel cloud"» |
Quale entità giuridica li gestisce e sotto quale giurisdizione? | Potrebbe differire dalla posizione fisica | «"Un fornitore europeo"» |
I nostri dati vengono utilizzati per addestrare i modelli? | Ciò incide sulla riservatezza e sulla proprietà intellettuale. | «"Sono protetti"» |
Cosa succede se il fornitore cambia le condizioni o fallisce? | continuità operativa | «"Non succederà"» |
Possiamo portare con noi i dati? E in quale formato? | Costo di uscita effettivo | «"L'esportazione è disponibile"» |
La seconda riga è quella che riserva più sorprese. La posizione fisica di un server e la giurisdizione dell'entità che lo gestisce potrebbero non coincidere, e ciò che determina gli obblighi di accesso da parte di terzi è solitamente quest'ultima.
Il quinto problema è quello che si scopre tardi. "L'esportazione è disponibile" può significare un dump senza struttura né relazioni, inutilizzabile senza mesi di lavoro. La domanda utile è: in quale formato, con quale modello di dati e quanto tempo ci vorrebbe al team per poterlo riutilizzare.
È importante sfatare un equivoco comune. Rivendicare la sovranità sui dati non significa abbandonare i fornitori internazionali o sviluppare tutto internamente. Implica tre cose concrete e del tutto ragionevoli:
Sapere dove si trova ogni cosa. Una mappa che indica quali dati risiedono in quale sistema, in base a quale contratto e con quale giurisdizione.
Mantenere la capacità di muoversi. L'architettura dovrebbe consentire il cambio di fornitore senza dover riorganizzare l'attività. Questa è una caratteristica di progettazione, non contrattuale.
Mantieni in casa ciò che definisce l'azienda. Dati dei clienti, regole aziendali, set di valutazione e logica di differenziazione. Il resto può risiedere dove è più efficiente.
La terza è la decisione strategica. Un'azienda la cui logica aziendale risiede nella configurazione di un fornitore esterno non ha un problema di sovranità: ha un problema di proprietà. Abbiamo affrontato questo in Dipendenza tecnologica e rischi aziendali
La sovranità non si ottiene con una clausola, ma con un insieme di elementi. Quattro elementi:
Astrazione del fornitore del modello. Modificare il modello dovrebbe essere una questione di configurazione, non di progetto. Prezzi e capacità fluttuano più volte all'anno; un'architettura che non consente di sfruttare questi cambiamenti comporta un costo eccessivo permanente.
Dati in sistemi proprietari. Il sistema originale è vostro; i servizi esterni lo consultano, ma non lo proteggono.
Set di valutazione proprietari. Il repertorio di casi con la risposta corretta in base alla tua attività è a tua disposizione ed è ciò che ti permette di confrontare i fornitori in modo obiettivo.
Contratti e integrazioni documentati. In modo che un altro team possa subentrare senza dipendere da chi l'ha costruito.
Grazie a questi quattro elementi, la scelta del fornitore diventa ciò che dovrebbe essere: un confronto tra prezzo e qualità, da rivedere annualmente.
L'errore più comune è quello di presentarlo come un rischio geopolitico, trasformando così la discussione in speculazione. L'approccio efficace è operativo e si può riassumere in una domanda:
Se domani questo fornitore raddoppiasse il prezzo, modificasse le condizioni di trattamento dei dati o interrompesse l'offerta del servizio, quanto tempo ci servirebbe per essere operativi con un altro fornitore e quanto ci costerebbe?
Se la risposta è "settimane e un costo limitato", il rischio è gestito. Se la risposta è "non lo sappiamo", allora esiste un rischio non quantificabile con un fornitore critico, ed è proprio questo il tipo di informazione che un consiglio di amministrazione deve conoscere.
E se la risposta è "non possiamo", allora la discussione non riguarda più la sovranità dei dati. Riguarda chi controlla realmente le operazioni dell'azienda.
Si tratta di esercitare un controllo efficace su dove risiedono i dati, quale legislazione si applica ad essi, chi può accedervi e cosa succede se cambiano le condizioni del fornitore. È importante perché determina la conformità normativa e la continuità operativa, non per ragioni ideologiche.
Cinque: dove risiedono fisicamente i dati, quale entità giuridica li elabora e sotto quale giurisdizione, se vengono utilizzati per addestrare modelli, cosa succede se il fornitore cambia le condizioni o interrompe il servizio e in quale formato e a quale costo potrebbero essere recuperati.
No. Significa sapere dove si trova ogni singolo dato e sotto quale contratto, mantenere un'architettura che consenta di cambiare fornitore senza dover riorganizzare l'attività e conservare nei propri sistemi ciò che distingue l'azienda: dati dei clienti, regole aziendali e set di valutazione.
Un modello con quattro elementi: astrazione del fornitore del modello, in modo che la sua sostituzione sia una configurazione e non un progetto, dati conservati in sistemi proprietari, set di valutazione proprietari che consentano di confrontare le alternative in modo obiettivo e contratti e integrazioni documentati.
Poiché la giurisdizione dell'entità che gestisce il servizio può differire dalla sede fisica dei server e gli obblighi di accesso di terzi derivano in genere dalla prima, è fondamentale informarsi sull'entità giuridica che gestisce i dati, e non solo sul data center.
Con una domanda pratica: se domani questo fornitore raddoppiasse i prezzi, modificasse le condizioni o cessasse l'attività, quanto tempo ci vorrebbe per passare a un altro fornitore e quale sarebbe il costo? Una risposta quantificata indica un rischio gestito; l'assenza di risposta indica un'esposizione sconosciuta a un fornitore critico.
Quanto tempo impiegheresti a cambiare fornitore se le condizioni cambiassero domani? Analizziamo le dipendenze, la residenza dei dati e il costo reale dell'uscita, e progettiamo il livello che ti restituisce la libertà di movimento. Parliamone →
Español Español 
English
Français
العربية
Português
Deutsch
Italiano
