Dal Cloud Act alla capacità di mantenere attivi i servizi critici, il perimetro del cloud sovrano si è progressivamente allargato. La collocazione geografica delle informazioni resta un requisito rilevante, ma la valutazione oggi coinvolge l’intera architettura del servizio: soggetti autorizzati all’accesso, gestione delle chiavi, dipendenze tecnologiche, competenze e continuità operativa. Antonio Morabito, Head of Business Development e Marketing di TIM Enterprise, ricostruisce questa evoluzione e indica come tradurla nelle scelte di imprese e pubbliche amministrazioni.
«La disciplina della sovranità digitale è molto più matura di quanto lo fosse anni fa», spiega Morabito. L’attenzione, ricorda, è salita soprattutto a causa del Cloud Act statunitense, una norma extraterritoriale che ha posto con forza il tema dell’accesso ai dati da parte di autorità extraeuropee, anche quando le informazioni sono conservate fuori dagli Stati Uniti.
È da questa prospettiva che emerge il limite della sola data residency. «La localizzazione del dato può essere un primo requisito, indubbiamente, ma non è assolutamente sufficiente», sottolinea il manager. Per valutare la protezione effettiva occorre quindi ricostruire la catena delle responsabilità: accessi autorizzati, custodia delle chiavi, amministrazione delle piattaforme, regime giuridico e poteri sulla disponibilità del servizio.
La discussione esce così dal solo perimetro della compliance e investe progettazione, procurement e gestione del rischio. Per TIM Enterprise, la configurazione va definita sulla base della criticità dei processi e degli scenari di esposizione, scegliendo garanzie tecniche e operative proporzionate.
Indice degli argomenti
Cifratura e confidential computing
La prima risposta tecnica al rischio di accesso extraterritoriale è la cifratura. Rendere il contenuto illeggibile senza la relativa chiave riduce l’esposizione anche quando l’infrastruttura è fornita da soggetti globali.
Per i dataset più sensibili, la custodia deve rimanere presso il cliente oppure essere assegnata a un operatore europeo sottratto all’applicazione di norme extraterritoriali.
«Una soluzione ormai largamente utilizzata, anche nei contesti più delicati. Nel Polo Strategico Nazionale, di cui TIM è capofila, ad esempio, le chiavi possono essere detenute dal Polo stesso quando si utilizzano servizi cloud degli hyperscaler».
«I dati possono essere cifrati quando sono archiviati, ma nel momento in cui vengono elaborati da un’applicazione devono essere necessariamente decifrati, tornando ad essere vulnerabili. E’ in questa fase che è necessario utilizzare per le chiavi tecnologie come il ‘confidential computing”, pensate per proteggere le informazioni anche durante l’elaborazione. Le nostre soluzioni già le contemplano”.
Un esempio di come un problema nato dal diritto, dalla geopolitica e dalla regolazione possa trovare risposte concrete nell’architettura tecnologica.
La protezione, quindi, non dipende da un solo accorgimento. «La sovranità nasce dalla combinazione di strumenti, responsabilità e competenze, da calibrare in base alla natura del servizio e alla sensibilità dei dati trattati».
Dal dato all’operatività: il cloud come tema di filiera
Accanto alla dimensione del dato c’è poi quella operativa. Qui la questione non è più solo l’accesso alle informazioni, ma la possibilità che un servizio digitale venga interrotto o condizionato da decisioni prese fuori dal perimetro europeo. Morabito richiama un’espressione diventata centrale nel dibattito: «kill switch».
«Se un fornitore può incidere sulla disponibilità di una piattaforma critica, il cloud deve essere trattato come un elemento della resilienza aziendale e nazionale. E oggi anche le aziende del settore privato si stanno rendendo conto che al cloud e agli altri servizi digitali occorre applicare logiche che sono quelle normalmente utilizzate per le filiere».
Se, infatti, un’impresa manifatturiera valuta i rischi legati ai fornitori di componenti o materie prime, allo stesso modo un’organizzazione deve valutare la dipendenza dai propri fornitori digitali. Se un servizio cloud sostiene produzione, logistica, customer care o funzioni amministrative, non può essere considerato una commodity neutra.
Questo impone piani di emergenza, alternative praticabili e strumenti di risk management: il cloud diventa parte della supply chain critica.
Il pacchetto sovranità digitale della Ue
Su questo fronte cruciale è l’evoluzione del quadro normativo europeo: la Commissione ha di recente presentato il pacchetto sulla sovranità tecnologica e iniziative legate a cloud e intelligenza artificiale (Cloud & AI Act). L’obiettivo è arrivare a un framework più chiaro su un terreno che finora si è mosso spesso tra best practice e indicazioni di mercato.
Le regole Ue servono anche a distinguere le garanzie verificabili dalle offerte che si limitano a richiamare la sovranità nel posizionamento commerciale. Morabito riconduce a questo rischio il cosiddetto «sovereign washing». «Creare una filiale in Europa, metterci personale europeo e dire “ho risolto” non basta – chiarisce Morabito – Bisogna andare fino all’ultimo livello della catena di controllo e guardare a chi è il decisore finale». La verifica, osserva, deve risalire fino al soggetto che conserva i poteri effettivi sulla gestione: da lì possono dipendere sostituzioni del personale, procedure operative e condizioni di erogazione. «La normativa europea fa un buon lavoro di demistificazione: non conta solo dove si trova l’organizzazione operativa, ma chi ha davvero il potere di decidere».
Tecnologia e autonomia: un binomio possibile
In questo scenario, la dimensione più complessa da affrontare è quella tecnologica. Qui Morabito fa un’operazione verità: l’Europa dipende ancora in modo molto significativo da fornitori extraeuropei per chip, apparati hardware, reti, storage e molte componenti software.
«La nostra dipendenza tecnologica dall’estero e dall’extra Europa è estremamente elevata. Se un fornitore di hardware smette di consegnare, il problema può emergere nel ciclo di rinnovo delle infrastrutture. Sul software, invece, gli effetti possono essere più rapidi, perché i cicli di aggiornamento e obsolescenza sono più brevi».
È qui l’open source diventa una leva strategica. «Non come etichetta, ma come strumento per ridurre dipendenze, aumentare trasparenza e rafforzare competenze. In Tim Enterprise abbiamo già avviato un percorso verso l’open source».
La prospettiva, però, non è quella dell’autarchia. «Esistono livelli diversi di sovranità, da scegliere in base alla criticità dei processi e alla rilevanza dei dati. La sovranità diventa quindi una scala di valutazione, non un’etichetta unica».
Dove i provider globali mantengono un vantaggio
Il ricorso ai grandi cloud pubblici resta coerente con i workload a minore criticità, soprattutto quando ampiezza del catalogo e rapidità di innovazione pesano più del livello massimo di presidio. «Per i processi più critici, invece, servono garanzie aggiuntive su chiavi, gestione, operation e controllo finale della tecnologia – sottolinea -Gli stessi hyperscaler stanno rilasciando funzionalità orientate alla sovranità, dalla gestione delle chiavi a soluzioni di cifratura e protezione più avanzate, spinti anche dalla rilevanza del mercato europeo. In altre parole, la domanda dei clienti e la pressione regolatoria stanno inducendo anche i player globali a restituire attraverso la tecnologia una parte del controllo che alcune normative extraeuropee rischiano di sottrarre».
L’AI sposta il confronto sui modelli e sul calcolo
Con l’AI, la valutazione si estende oltre l’infrastruttura cloud: entrano in gioco la provenienza dei dati, il governo dei modelli e la disponibilità della potenza elaborativa. «L’intelligenza artificiale complica un pochino il quadro – ammette -. L’AI vive di tre elementi: algoritmi, dati e capacità di calcolo. Sul primo fronte, l’Europa non parte da zero. Esistono competenze, realtà emergenti e alcuni campioni che si stanno ritagliando uno spazio, anche se Stati Uniti e Cina restano avanti nella corsa ai grandi modelli generalisti».
Ma per il mondo enterprise la sfida potrebbe giocarsi su un terreno diverso: quello dei domain specific language model, modelli più piccoli e addestrati su conoscenze, processi e dataset aziendali. «Se devo trattare fatture e fare riconciliazioni bancarie, non mi serve un modello che conosca il taiwanese o sappia fare la cucina coreana- evidenzia – In molti casi, quindi, un modello più focalizzato, meno costoso da eseguire e costruito intorno a uno specifico processo può essere più utile di un sistema generalista». Per le imprese, l’intelligenza artificiale più efficace potrebbe essere quella addestrata sui propri dati e sui propri flussi operativi, a patto che quelle informazioni restino governabili.
Resta da sciogliere il nodo della capacità di calcolo. Il mondo sta investendo in grandi infrastrutture per sostenere la crescita dell’AI, con data center ad altissimo consumo energetico. L’Europa si sta muovendo con iniziative come AI Factory e AI Gigafactory, ma il ritardo resta. Anche gli hyperscaler stanno portando capacità computazionale in Europa, ma la localizzazione delle infrastrutture non coincide automaticamente con il controllo europeo.
Morabito invita però a leggere questa corsa anche con cautela. «L’attuale domanda di calcolo è legata ad architetture molto esigenti in termini di memoria, energia e potenza elaborativa. Un cambio di paradigma negli algoritmi potrebbe ridurre drasticamente il fabbisogno computazionale e modificare gli equilibri degli investimenti in corso».
Il costo non è sempre il vero ostacolo
La corsa alla capacità di calcolo porta con sé anche un’altra domanda, più concreta, per imprese e pubbliche amministrazioni: quanta sovranità è economicamente sostenibile senza perdere efficienza, funzionalità e convenienza? Aumentare il livello di controllo su dati, chiavi, personale, operation e diritto applicabile può incidere sul modello economico e sulla ricchezza del catalogo rispetto al cloud pubblico globale. Ma il rapporto non è automatico.
«Gli hyperscaler sono macchine globali estremamente efficienti. La loro forza nasce dalla scala, dalla standardizzazione e dalla capacità di distribuire operation e assistenza su più fusi orari. Ma proprio questa organizzazione può diventare un vincolo quando devono offrire servizi pienamente sovrani».
Un esempio è l’assistenza h24. Un grande provider globale può distribuirla nel mondo, facendo lavorare le persone sempre di giorno. «Se però deve garantire che i team operino tutti in un determinato Paese, con specifiche garanzie giuridiche e operative, il modello cambia – avverte Morabito- Secondo benchmark di mercato, i servizi sovrani degli hyperscaler possono avere un extra costo tra il 20% e il 30% rispetto ai servizi non sovrani dello stesso fornitore».
Per un operatore locale la dinamica può essere diversa. «Nel momento in cui l’hyperscaler è costretto a venire a giocare in un campo che non è il suo, i suoi costi lievitano mentre i miei sostanzialmente rimangono uguali», sintetizza.
La vera distanza riguarda piuttosto le funzionalità. «Le funzionalità di un cloud di un hyperscaler sono assolutamente state of the art: cataloghi, strumenti, facilità d’uso e velocità di innovazione restano difficili da eguagliare. Ma non tutti i workload hanno bisogno dello stesso livello di sofisticazione, così come non tutti i dati hanno lo stesso grado di sensibilità».
Il modello va costruito con il cliente
Per imprese e pubbliche amministrazioni la decisione si traduce in un lavoro di classificazione dei workload. Ogni applicazione va collocata in base all’impatto di un’interruzione, alla sensibilità delle informazioni e al numero di funzionalità necessarie; da questa matrice deriva l’ambiente più adatto.
«L’approccio di TIM è pragmatico, puntiamo a costruire con il cliente l’opzione più adeguata per lui. Se un’organizzazione ha bisogno di molte feature ma gestisce dati a bassa o media criticità, l’hyperscaler può essere la scelta più razionale. Se invece la priorità è un alto livello di sovranità e le funzionalità richieste sono più circoscritte, operatori come TIM possono rispondere in modo competitivo».
Il punto di sviluppo individuato da TIM Enterprise è l’ampliamento delle funzionalità disponibili negli ambienti con maggiori garanzie, mantenendo allo stesso tempo partnership e architetture multicloud.
Ne deriva un’architettura distribuita per criticità: piattaforme globali per i servizi che beneficiano della loro scala, garanzie rafforzate sui workload esposti a rischi maggiori, infrastrutture e competenze nazionali per le funzioni sulle quali il presidio diretto è determinante.
TIM Cloud nei report di Gartner
In questo scenario si inserisce anche la citazione di TIM Cloud in due report Gartner del 2026: “Market Guide for Specialty Cloud Providers”, pubblicato nel 2026, e “Market Guide for Cloud Infrastructure Sovereign Solutions”, anch’esso pubblicato nel 2026. Nel primo caso TIM Cloud viene indicata tra i provider specializzati con piattaforma cloud basata in Italia; nel secondo, TIM Cloud compare con Italian Cloud nel perimetro delle soluzioni cloud sovrane locali o regionali, basate su tecnologie non hyperscale, tra cui VMware e open source, e su tecnologie hyperscale.
«Non è come un semplice riconoscimento reputazionale, ma come un segnale di mercato – dice – Il fatto che esistano questi report è già significativo perché significa che i clienti cercano informazioni su alternative agli hyperscaler e su strumenti concreti per affrontare il tema della sovranità».
La presenza nei report Gartner conferma l’emergere di un segmento composto da provider nazionali e regionali, valorizzati per prossimità, gestione locale e adattabilità ai requisiti di specifici settori. TIM Enterprise colloca la propria offerta nei workload in cui data governance, operation e collocazione infrastrutturale devono essere configurate con maggiore precisione, senza escludere l’integrazione con servizi hyperscale.
L’intervista disegna così una tassonomia operativa più che una contrapposizione geografica. Cloud Act, kill switch, dipendenze hardware e software, modelli AI e costi formano un unico quadro di rischio. Il valore dei provider nazionali dipenderà dalla capacità di tradurre quel quadro in architetture differenziate, verificabili e sostenibili per ciascun workload.
Partecipa alla community