Appalti cloud e IA, stretta Ue per l'indipendenza dalle big tech Usa

La Commissione europea adesso fa sul serio nella missione di costruire una propria indipendenza tecnologica dagli Usa. Porta infatti la sovranità digitale nel punto in cui può incidere davvero sul mercato: gli appalti pubblici cloud e AI. Con il Cloud and AI Development Act (Cada), presentato oggi insieme al Chips Act 2, che punta a rafforzare l'autonomia strategica dell'Unione nel settore dei semiconduttori, puntando soprattutto a sostenere la domanda di chip prodotti in Europa, Bruxelles propone un quadro comune per classificare il grado di controllo europeo su infrastrutture, dati e servizi digitali usati dalla pubblica amministrazione e dai settori considerati sensibili.

Il problema di fondo: dal cloud e dall'AI (intelligenza artificiale) passa gran parte dell'innovazione, adesso; ma le piattaforme cloud USA reggono gran parte dei servizi digitali di aziende e istituzioni UE. Il messaggio riguarda direttamente le big tech USA, in particolare i leader del cloud: Amazon, Microsoft e Google.

Attenzione: a dispetto di quanto emerso da indiscrezioni di stampa nei giorni scorsi, l’Europa ha scelto una posizione di mediazione. Non fa una chiusura generalizzata alle big tech Usa, ma introduce una griglia di requisiti che può rendere più difficile l’accesso alle gare pubbliche più delicate.

La Commissione precisa che la maggior parte del mercato resterà aperta ai partner internazionali. La novità è che non tutti i dati pubblici saranno trattati allo stesso modo e non tutti i fornitori potranno essere considerati equivalenti quando entrano in gioco sicurezza, giurisdizione, supply chain e controllo societario.

Nel contempo, a conferma dell'importanza di questa partita, la Commissione europea ha nominato un inviato speciale per l'intelligenza artificiale industriale. La figura avrà il compito di favorire l'adozione dell'AI nel sistema produttivo europeo, rafforzare il dialogo con imprese e Stati membri e sostenere gli obiettivi dell'AI Continent Action Plan (la strategia UE sull'intelligenza artificiale).

Il Cada, acronimo inglese della proposta, è parte appunto dell’AI Continent Action Plan e del pacchetto europeo sulla sovranità tecnologica. La Commissione indica tre direttrici: ricerca e innovazione, capacità infrastrutturale, autonomia. Sul piano industriale l’obiettivo è almeno triplicare la capacità dei data center nell’Unione nei prossimi cinque-sette anni, semplificando autorizzazioni, accesso a energia, terra, acqua e finanziamenti.

Il capitolo più politico è però quello degli appalti. La pagina ufficiale della Commissione spiega che il nuovo atto lavorerà insieme a una politica cloud comune per le pubbliche amministrazioni e il public procurement, con l’obiettivo di sostenere fornitori europei e destinare capacità cloud altamente sicura agli usi più critici. È qui che la sovranità smette di essere una formula generale e diventa criterio di gara.

Secondo Reuters, che il primo giugno aveva visionato una bozza, i criteri per alcuni appalti strategici avrebbero potuto penalizzare Amazon, Microsoft e Google, anche attraverso requisiti non legati al prezzo, come lo sviluppo di software e hardware nell’Unione. Il testo ufficiale pubblicato dalla Commissione conferma l’impianto a livelli, ma lo presenta come un sistema graduato: più alto è il rischio, più forti diventano le garanzie richieste.

La proposta introduce quattro livelli di garanzia. Saranno usati dagli enti pubblici in base alla valutazione del rischio. I fornitori potranno essere riconosciuti dagli Stati membri dopo un audit.

Questa architettura è pensata per evitare una scelta binaria tra apertura e chiusura. Un servizio cloud potrà essere adeguato per funzioni ordinarie della pubblica amministrazione e non esserlo per dati sanitari, energia, sicurezza o funzioni istituzionali ad alta sensibilità.

L’effetto sugli appalti cloud UE sarà quindi progressivo: non un bando generalizzato contro le big tech, ma un filtro più severo nelle aree dove il controllo giuridico e tecnico conta quanto il prezzo.

La questione nasce da un dato di mercato. Nel primo trimestre 2026, Synergy Research Group stima che la spesa globale per servizi di infrastruttura cloud abbia raggiunto 128,6 miliardi di dollari. Amazon, Microsoft e Google avevano rispettivamente il 28%, 21% e 14% del mercato mondiale; nel public cloud, i primi tre operatori concentravano il 67%.

In Europa la dipendenza è ancora più forte. Dati Synergy ripresi da Data Center Dynamics indicano che i fornitori europei detengono circa il 15% del mercato locale, mentre Amazon, Microsoft e Google arrivano complessivamente al 70%. I provider europei sono cresciuti in valore, ma il mercato è cresciuto più rapidamente di loro.

Per Bruxelles il problema non è soltanto economico. Le infrastrutture cloud sono diventate il luogo in cui passano dati pubblici, modelli di AI, servizi essenziali, archivi sanitari, processi industriali e funzioni amministrative. Chi controlla il cloud controlla una parte crescente della capacità operativa degli Stati.

Le big tech Usa hanno risposto alla domanda europea di sovranità con offerte dedicate, regioni cloud europee, partnership locali e joint venture. Promettono inoltre di opporsi in giudizio a eventuali richieste del Governo USA di staccare i servizi digitali ad aziende europee (il timore più estremo che sta dietro la questione sovranità tecnologica).

Sono mosse che riducono alcuni rischi operativi e rispondono a una domanda reale del mercato. Non cancellano però la questione della giurisdizione.

Il punto più delicato riguarda l’eventuale accesso di autorità di Paesi terzi a dati gestiti da società sottoposte a quelle giurisdizioni. Per un’amministrazione pubblica europea, la localizzazione fisica del data center è una condizione importante, ma non esaurisce il problema se il controllo ultimo del fornitore resta fuori dall’Unione.

I quattro livelli del Cada servono anche a rendere questa distinzione misurabile. Il livello 1 guarda alla localizzazione. I livelli successivi entrano nel controllo societario, nella trasparenza della supply chain, nell’indipendenza da Paesi terzi e nella possibilità di interferenze esterne. È un passaggio rilevante perché trasforma una disputa geopolitica in criteri tecnici e amministrativi da usare nelle gare.

Il pacchetto arriva in una fase in cui l’Europa prova a recuperare capacità industriale nel cloud e nell’AI. La Commissione collega il Cada alla costruzione di infrastrutture per l’intelligenza artificiale, alle AI factories, ai data center e alla disponibilità di potenza di calcolo per imprese e pubbliche amministrazioni. Secondo i dati Eurostat citati dalla Commissione, nel 2023 il 45,2% delle imprese europee usava servizi cloud, con differenze forti tra grandi aziende, medie imprese e piccole realtà.

Il public procurement diventa quindi leva industriale. Se la domanda pubblica europea premia sicurezza, controllo, interoperabilità, trasparenza e resilienza della supply chain, può creare spazio per fornitori europei o per consorzi in cui il controllo sia più vicino all’Unione. Il rischio opposto è rallentare progetti pubblici che oggi dipendono da piattaforme globali con capacità, servizi e competenze difficili da sostituire rapidamente.

La Commissione prova a tenere insieme i due obiettivi: ridurre le dipendenze più esposte e conservare accesso a un mercato globale dell’innovazione. È una linea complessa, perché tocca rapporti commerciali con gli Stati Uniti, competitività delle imprese europee e capacità effettiva dei provider locali di reggere appalti di grandi dimensioni.

Il Cloud and AI Development Act dovrà attraversare il negoziato legislativo europeo. Parlamento e Consiglio potranno modificare criteri, definizioni e ambito di applicazione. Sarà lì che si misurerà il livello reale di ambizione: quante gare saranno considerate critiche, quali requisiti diventeranno obbligatori, quanto spazio avranno i fornitori extra-Ue riconosciuti dalla Commissione, quali standard saranno davvero verificabili negli audit.

Per le big tech, la sfida sarà dimostrare che le offerte sovrane non sono solo localizzazione dei dati, ma garanzie robuste su controllo, accessi, supply chain e indipendenza operativa. Per l’Europa, la prova sarà costruire alternative credibili senza ridurre la qualità dei servizi pubblici digitali.

Gli appalti cloud Ue diventano così il laboratorio più concreto della sovranità digitale europea. La scelta non riguarda solo dove vengono conservati i dati, ma chi può gestirli, con quali vincoli e sotto quale controllo quando quei dati appartengono a cittadini, amministrazioni e settori essenziali.