Il 3 giugno 2026 la Commissione europea ha presentato la proposta di regolamento sullo sviluppo del cloud e dell’intelligenza artificiale, nota con l’acronimo CADA (Cloud and AI Development Act).
Si tratta del tassello centrale del più ampio Tech Sovereignty Package, con cui l’Unione europea intende affrontare due criticità strutturali del sistema digitale europeo: un deficit di capacità nei data center e una dipendenza eccessiva da un numero ristretto di fornitori extra-UE. Il dato di partenza è emblematico e non può non far riflettere: la quota di mercato dei provider cloud europei è scesa dal 29% del 2017 a circa il 15% nel 2022, mentre la domanda di potenza di calcolo, trainata dai modelli di IA sempre più energivori, è cresciuta in modo esponenziale.
Indice degli argomenti
I tre assi della proposta
Sul piano strutturale, il CADA si articola, essenzialmente, lungo tre direttrici diverse.
La prima riguarda ricerca, sviluppo e innovazione, con particolare attenzione a frontier AI, industrial AI e physical AI, nell’ottica di sostenere la prossima generazione di tecnologie cloud e IA.
La seconda direttrice concerne il potenziamento della capacità infrastrutturale: l’obiettivo dichiarato è triplicare, nei prossimi cinque-sette anni, il mercato europeo dei data center, anche attraverso l’istituzione delle Data Centre Acceleration Zones. Il Titolo III della proposta impone a ciascuno Stato membro di designare, entro sei mesi dall’entrata in vigore, almeno una zona dedicata, tenendo conto di disponibilità energetica, connettività e sostenibilità ambientale, con procedure autorizzative semplificate e un tetto massimo di dodici mesi dalla domanda completa.
Il nodo più delicato — e giuridicamente più innovativo — è però il terzo pilastro: l’Union cloud computing sovereignty framework, articolato in quattro livelli crescenti di garanzia secondo i criteri dell’Allegato II, destinato a orientare gli appalti pubblici e le scelte dei fornitori per le funzioni della pubblica amministrazione.
Un punto di svolta nella governance dell’IA
Il profilo di maggiore interesse, almeno da un punto di vista giuridico, è il seguente: il CADA segna il momento in cui la governance dell’intelligenza artificiale smette di essere soltanto regolazione dei modelli e dei relativi rischi — come nell’impostazione dell’AI Act — per estendersi alle condizioni infrastrutturali, organizzative e istituzionali che ne rendono possibile l’impiego.
Titolarità e controllo delle infrastrutture, localizzazione del trattamento dei dati, selezione dei fornitori a supporto delle funzioni pubbliche, ruolo degli appalti come leva di politica industriale. Aspetti che entrano, per la prima volta in modo organico, nel perimetro normativo europeo sull’IA e che potrebbero determinare una svolta significativa, da un punto di vista giuridico, ma anche geopolitico.
È qui che il CADA rivela la sua vera natura. Il cloud non viene trattato come un mero asset tecnologico o un servizio di mercato tra i tanti, ma come un’infrastruttura critica che incide direttamente sugli equilibri geopolitici.
La concentrazione dei servizi cloud in capo a un numero ristretto di hyperscaler extra-UE espone l’Unione a rischi di dipendenza strategica — dall’accesso ai dati alla continuità dei servizi, fino alla possibilità di applicazione extraterritoriale di normative di Paesi terzi. Non a caso, tra gli Stati membri e gli stakeholder si registrano posizioni divergenti: alcune associazioni di settore, come CCIA Europe, hanno definito il quadro sulla sovranità potenzialmente discriminatorio verso i fornitori non europei, mentre altre voci istituzionali insistono sulla necessità di rafforzare, soprattutto nelle applicazioni sensibili per la sicurezza nazionale, i requisiti di autonomia digitale.
Prospettive
Ovviamente, per un quadro completo, occorrerà attendere del tempo, nella consapevolezza, però, che le tre direttrici accennate è improbabile che siano ripensate dalla Commissione.
Difatti, l’iter legislativo ordinario richiederà verosimilmente due o tre anni, per cui le prime obbligazioni concrete per pubbliche amministrazioni e fornitori dovrebbero divenire efficaci non prima del 2028-2029.
Resta però fin d’ora un dato acquisito: il CADA colloca il diritto del cloud e dell’IA al crocevia tra concorrenza, appalti pubblici, protezione dei dati e politica industriale, imponendo agli operatori, sia pubblici che privati, di ripensare per tempo le proprie strategie di approvvigionamento tecnologico alla luce di una sovranità digitale che l’Unione considera, ormai esplicitamente, questione di sicurezza e non solo di mercato.
Partecipa alla community