La PA digitale italiana ha compiuto passi importanti nella migrazione verso il cloud e nell’adozione di nuovi servizi digitali. Tuttavia, la maturità tecnologica non coincide sempre con una reale capacità di governare infrastrutture, dati e applicazioni nel lungo periodo. È questo il messaggio che emerge dall’Osservatorio sulla sovranità digitale realizzato da Liferay durante ForumPa 2026, attraverso un’autovalutazione che ha coinvolto 36 amministrazioni centrali e locali.
L’indagine restituisce l’immagine di una Pubblica amministrazione “a due velocità”. Da un lato quasi la metà degli enti mostra un livello avanzato di maturità rispetto ai principi della sovranità digitale. Dall’altro permangono debolezze strutturali che rischiano di limitare la libertà di scelta delle amministrazioni e di aumentare la dipendenza dai fornitori tecnologici. Il risultato assume un peso ancora maggiore in una fase in cui la modernizzazione della PA digitale procede parallelamente all’attuazione delle politiche europee sul cloud, sulla sicurezza e sulla governance dell’intelligenza artificiale.
Secondo l’Osservatorio, il 47% degli enti rientra nella fascia di “Sovranità avanzata”, mentre il 50% presenta un livello intermedio di maturità. Solo un’amministrazione evidenzia criticità diffuse su quasi tutte le dimensioni analizzate. Il punteggio medio complessivo raggiunge 69,3 punti su 100, segnale di un percorso già avviato ma ancora lontano da una piena omogeneità.
Indice degli argomenti
Il rischio del vendor lock-in resta il principale punto debole
Il dato più significativo riguarda la capacità degli enti di cambiare fornitore cloud senza compromettere la continuità operativa. La cosiddetta exit strategy, elemento essenziale per garantire autonomia tecnologica e concorrenza nel mercato dei servizi digitali, rappresenta infatti la lacuna più diffusa emersa dall’indagine.
Il 75% delle amministrazioni dispone infatti di controlli soltanto parziali oppure non ha ancora definito una strategia strutturata che consenta di migrare dati, applicazioni e servizi verso un altro operatore. Per un ulteriore 11% degli enti la situazione viene classificata come una vera e propria criticità aperta.
Il dato colpisce soprattutto perché interessa anche le amministrazioni considerate più mature. Secondo l’Osservatorio, la pianificazione della portabilità continua infatti a essere percepita come un aspetto secondario rispetto ai temi della sicurezza informatica o della conformità normativa. In realtà rappresenta uno degli strumenti più efficaci per evitare fenomeni di vendor lock-in, cioè quella condizione nella quale un’organizzazione diventa progressivamente dipendente da un unico fornitore, riducendo la propria capacità di scelta e aumentando costi e complessità di eventuali migrazioni future.
Chiavi di cifratura: il vero banco di prova della sovranità
Se la mancanza di una exit strategy rappresenta la criticità più diffusa, il controllo delle chiavi di cifratura emerge come il punto più delicato sotto il profilo della sicurezza e della sovranità digitale. L’Osservatorio rileva infatti che il 19% degli enti, quasi uno su cinque, considera questo aspetto una criticità aperta, il valore più elevato tra le dieci dimensioni analizzate.
Il dato evidenzia un aspetto spesso trascurato nel dibattito sulla PA digitale. La localizzazione dei dati all’interno del territorio nazionale o europeo rappresenta soltanto uno dei requisiti della sovranità. Un’infrastruttura cloud può infatti rispettare i criteri di residenza dei dati, ma lasciare comunque il controllo effettivo delle informazioni a soggetti terzi se l’amministrazione non gestisce direttamente le chiavi crittografiche.
In altre parole, la disponibilità fisica dei dati non coincide necessariamente con la possibilità di esercitare un controllo pieno sul patrimonio informativo. È proprio questa distinzione che, secondo l’Osservatorio, dovrebbe guidare le future scelte tecnologiche delle amministrazioni, soprattutto mentre cresce il ricorso a piattaforme cloud sempre più integrate e distribuite.
Le due debolezze, inoltre, risultano strettamente collegate. Nel 58% dei casi gli enti mostrano contemporaneamente lacune sia nella pianificazione dell’exit strategy sia nella gestione delle chiavi di cifratura. Una coincidenza che, secondo Liferay, non è casuale, ma riflette la stessa impostazione architetturale adottata nella progettazione dei servizi digitali.
PA digitale: l’intelligenza artificiale amplia i divari
L’analisi dedica uno spazio rilevante anche alla governance dell’intelligenza artificiale, destinata a diventare uno degli elementi centrali dell’evoluzione della PA digitale nei prossimi anni. L’entrata in vigore progressiva dell’EU AI Act imporrà infatti nuove responsabilità agli enti pubblici chiamati a utilizzare sistemi di AI nei processi amministrativi e nei servizi rivolti a cittadini e imprese.
Anche su questo fronte emerge una forte polarizzazione. Il 56% degli enti ritiene di essere già conforme ai requisiti di governance, mentre il 17% individua ancora una criticità aperta, il secondo valore più elevato registrato dall’Osservatorio dopo quello relativo alle chiavi di cifratura.
La fotografia suggerisce che la trasformazione digitale della Pubblica amministrazione non procede con la stessa velocità su tutti i fronti. Alcuni enti hanno già iniziato a costruire modelli organizzativi capaci di garantire supervisione umana, trasparenza e controllo degli algoritmi. Altri, invece, rischiano di affrontare gli obblighi normativi soltanto quando diventeranno pienamente operativi, con tempi di adeguamento inevitabilmente più stretti.
A completare il quadro emergono due aree che l’Osservatorio definisce “silenti”, ma non per questo meno rilevanti. La prima riguarda la classificazione dei dati, dove il 58% degli enti presenta controlli ancora incompleti. La seconda interessa l’interoperabilità con la Piattaforma Digitale Nazionale Dati, che registra controlli parziali o assenti nel 56% del campione. Si tratta di ambiti nei quali molte amministrazioni hanno già avviato iniziative concrete, senza però arrivare a una piena integrazione dei processi. Secondo l’analisi, proprio questi interventi potrebbero garantire il miglior rapporto tra investimenti e benefici nel breve periodo.
Dalla compliance alla governance: verso un cambio di prospettiva
L’Osservatorio suggerisce una riflessione che va oltre gli aspetti tecnologici. La PA digitale non può limitarsi ad adottare infrastrutture cloud conformi ai requisiti normativi, ma deve sviluppare una capacità di governo che permetta alle amministrazioni di mantenere il controllo sulle proprie scelte anche nel lungo periodo. La sovranità digitale, in questa prospettiva, non coincide con la semplice localizzazione dei dati, bensì con la possibilità di decidere in autonomia come gestire informazioni, servizi e tecnologie.
È questa la chiave di lettura proposta da Matteo Mangiacavalli, Sales Manager di Liferay Italy: “I dati dell’Osservatorio ci dicono che la sovranità digitale non si misura da dove sono fisicamente i dati oggi, ma da quanto un ente è davvero libero di decidere quando cambiare fornitore, come controllare le proprie chiavi di cifratura e governare l’AI che adotta. È significativo che queste lacune emergano anche tra gli enti che si considerano già maturi: significa che la consapevolezza c’è, ma va tradotta in scelte architetturali concrete prima che diventino obblighi normativi da rincorrere in emergenza”.
Le considerazioni emerse dall’indagine assumono particolare rilevanza in una fase in cui la digitalizzazione della Pubblica amministrazione entra in una nuova stagione. Dopo gli investimenti per la migrazione al cloud e la diffusione dei servizi digitali, l’attenzione si sposta infatti sulla qualità della governance. La capacità di evitare situazioni di dipendenza tecnologica, garantire la portabilità dei dati e mantenere il controllo degli asset strategici diventa un elemento essenziale per assicurare resilienza e continuità operativa.
Verso la PA digitale: le priorità
Sulla base delle evidenze raccolte, l’Osservatorio individua alcune direttrici di intervento considerate prioritarie. La prima riguarda la formalizzazione dell’exit strategy prima del rinnovo o dell’estensione dei contratti cloud, introducendo clausole che disciplinino in modo esplicito la portabilità dei dati e dei formati. La seconda punta a verificare, attraverso specifici audit, chi detenga realmente il controllo tecnico e operativo delle chiavi di cifratura. La terza invita ad anticipare gli adempimenti previsti dall’EU Ai Act, definendo modelli di governance dell’intelligenza artificiale con supervisione umana e tracciabilità delle decisioni.
Più che indicazioni operative isolate, queste raccomandazioni delineano un percorso di maturazione della PA digitale. L’obiettivo non consiste soltanto nel rispettare nuovi obblighi regolatori, ma nel rafforzare la capacità delle amministrazioni di governare tecnologie sempre più strategiche, riducendo i rischi di dipendenza dai fornitori e aumentando la flessibilità dell’intero ecosistema pubblico.
L’indagine rappresenta inoltre il primo tassello di un osservatorio destinato ad ampliarsi nel tempo. Liferay ha annunciato che la rilevazione continuerà nei prossimi mesi attraverso nuove iniziative dedicate alla Pubblica amministrazione. Obiettivo è monitorare l’evoluzione del livello di sovranità digitale degli enti italiani durante una fase che sarà segnata dall’attuazione dell’EU Ai Act, dal consolidamento del Cloud nazionale e dall’evoluzione del Polo Strategico Nazionale.
Partecipa alla community