A cura di Paola Furiosi e Francesca Caliri

Lo scorso 3 giugno 2026 la Commissione europea ha presentato, nell’ambito di un più ampio pacchetto sulla sovranità digitale, la proposta di Regolamento Cloud and AI Development Act (“CADA”), volto ad istituire un quadro di misure per il rafforzamento dell’ecosistema cloud e dell’intelligenza artificiale a livello europeo.

La proposta si inserisce nell’ambito del Piano d’Azione per il Continente dell’IA e della Strategia Apply AI, al fine di rispondere alle preoccupazioni evidenziate dal Rapporto Draghi sulla competitività europea.

Perché il CADA: il contesto e le criticità

L’esigenza di provvedere ad una nuova regolamentazione in materia di cloud ed intelligenza artificiale nasce dalla posizione di crescente dipendenza che l’Unione Europea ha assunto nei confronti di un numero limitato di fornitori di servizi cloud di Paesi terzi. Si pensi, infatti, che la quota di mercato dei fornitori europei si attesta attualmente intorno al 15%, mentre tre hyperscaler stranieri controllano oltre il 70% del sistema cloud europeo.

La situazione attuale espone l’UE a rischi significativi, quali l’applicazione extraterritoriale di normative di Paesi terzi che possono confliggere con i diritti fondamentali e il quadro europeo di protezione dei dati, i rischi di discontinuità operativa derivanti da decisioni unilaterali di attori extra-europei, nonché una capacità insufficiente di data center nell’UE,che costringe le imprese europee a veicolare enormi quantità di dati critici verso infrastrutture straniere.

I quattro pilastri della proposta

Per fronteggiare i suddetti rischi, la proposta CADA è stata articolata attorno a quattro obiettivi principali:

1. aumentare la capacità di calcolo e lo sviluppo dell’AI nell’UE attraverso le Cloud and AI Leadership Initiatives, che comprendono: lo sviluppo di tecnologie di data center efficienti dal punto di vista energetico; il rafforzamento dell’autonomia nello stack cloud; lo sviluppo di capacità avanzate in materia di AI di frontiera, AI fisica ed AI industriale; e l’adozione diffusa di cloud e AI nel settore pubblico e privato. Si prevede, in particolare, la creazione di una rete di Experience and Acceleration Centres for AI e la designazione di “frontier AI priority projects” per lo sviluppo di tecnologie strategiche;
2. accelerare il dispiegamento di data center sostenibili attraverso la designazione – da parte degli Stati membri – di “data centre acceleration zones”, con procedure autorizzative semplificate, requisiti di sostenibilità e condizioni agevolate per il collegamento alla rete energetica. L’obiettivo è quello di triplicare la capacità dell’UE entro 5/7 anni e raggiungere la capacità necessaria entro il 2035. La Commissione potrà designare “data centre strategic projects” meritevoli di sostegno;
3. istituire un quadro di sovranità cloud armonizzato a livello UE con 4 livelli di garanzia che definiscono requisiti crescenti in materia di riservatezza dei dati, autonomia operativa e protezione dell’ordine pubblico, e rispetto ai quali i fornitori cloud dovranno richiedere il relativo riconoscimento all’autorità nazionale competente. In particolare, il livello 1 prevede un’autovalutazione di conformità, mentre i livelli da 2 a 4 richiedono audit indipendenti. Gli Stati membri e le entità dell’Unione Europea dovranno condurre valutazioni del rischio per determinare il livello di garanzia appropriato per le diverse attività del settore pubblico;
4. riformare gli appalti pubblici per i servizi cloud introducendo criteri di valore aggiunto dell’Unione nelle procedure di approvvigionamento, creando la EuroCloud Federation per la condivisione di servizi cloud tra enti pubblici ed istituendo un quadro di procurement congiunto gestito dalla Commissione. La proposta promuove, inoltre, l’uso di soluzioni open source nel settore pubblico.

Il rapporto con la normativa esistente ed il quadro regolatorio nazionale attualmente applicabile al cloud

Il CADA si inserisce in un ecosistema normativo europeo complesso e complementare. Esso, infatti, necessita di essere coordinato con il Data Act per quanto concerne la portabilità e lo switching dei servizi cloud, con il Digital Markets Act circa la contestabilità del mercato e con l’AI Act per la disciplina dei sistemi di AI; completa, inoltre, la revisione del Cybersecurity Act, affrontando rischi di sovranità che vanno oltre la sicurezza tecnica.

Sul piano nazionale, in attesa dell’eventuale adozione del CADA, il quadro regolatorio italiano in materia di servizi cloud risulta già articolato su più livelli. La base normativa è rappresentata dall’art. 33-septies del D.L. 179/2012 (cd. “Decreto Crescita 2.0”), che attribuisce alla strategia di sviluppo delle infrastrutture digitali e di adozione del modello cloud per la pubblica amministrazione una funzione di indirizzo cui le amministrazioni sono tenute ad attenersi. In attuazione del comma 4 di tale disposizione, l’Agenzia per la Cybersicurezza Nazionale (“ACN”) ha adottato – d’intesa con il Dipartimento per la trasformazione digitale – il Regolamento unico per le infrastrutture e i servizi cloud per la PA, che disciplina i livelli minimi di sicurezza, capacità elaborativa, risparmio energetico ed affidabilità delle infrastrutture digitali della Pubblica Amministrazione, nonché le caratteristiche di qualità, sicurezza, performance, scalabilità, portabilità dei servizi cloud e le modalità di qualificazione e migrazione.

Tale Regolamento costituisce il fondamento tecnico-regolatorio della Strategia Cloud Italia, che si articola su tre assi portanti. Il primo riguarda la creazione del Polo Strategico Nazionale (“PSN”), un’infrastruttura ad alta affidabilità localizzata sul territorio nazionale, destinata a ospitare i dati e i servizi classificati come strategici, ossia quelli la cui compromissione potrebbe avere un impatto sulla sicurezza nazionale. Il secondo asse è rappresentato dal sistema di qualificazione dei fornitori e dei servizi cloud, gestito dall’ACN, che definisce i criteri per l’ammissione dei servizi cloud all’utilizzo da parte delle Pubbliche Amministrazioni, in funzione della classe di dati trattati (strategici, critici o ordinari). Infine, il terzo asse consiste nella classificazione dei dati e dei servizi delle PA, finalizzata a determinare la destinazione appropriata (PSN, infrastrutture proprie adeguate o cloud pubblico qualificato), in coerenza con il profilo di rischio e con i requisiti regolamentari.

Al riguardo, il Piano Triennale per l’informatica nella PA 2024-2026 richiama espressamente la Strategia Cloud Italia, il Regolamento cloud per la PA e le determinazioni attuative dell’ACN, confermando l’obbligo per le amministrazioni di migrare i propri servizi verso soluzioni conformi.

Il cloud sovrano

Il quadro normativo sin qui descritto – tanto a livello europeo quanto sul piano nazionale – converge su un tema trasversale che merita un approfondimento specifico: quello del cloud sovrano.

Con l’espressione cloud sovrano si intende un modello di erogazione di servizi cloud in cui l’infrastruttura, i dati e le operazioni sono soggetti alla piena giurisdizione ed al controllo effettivo di uno Stato o di un’organizzazione sovranazionale, senza che soggetti terzi (in particolare, entità stabilite in Paesi stranieri) possano esercitare un’influenza giuridica, tecnica od operativa sul trattamento dei dati o sulla continuità del servizio.

In concreto, un servizio cloud può definirsi “sovrano” quando garantisce che i dati siano conservati ed elaborati all’interno di un determinato territorio, che il fornitore operi sotto la giurisdizione esclusiva del singolo Stato membro o dell’Unione Europea, che non sussistano obblighi di comunicazione o trasferimento di dati verso autorità di Paesi terzi in forza di normative ad applicazione extraterritoriale e che il controllo operativo sull’infrastruttura – inclusa la gestione delle chiavi crittografiche, degli accessi e degli aggiornamenti – sia esercitato da soggetti non sottoposti al controllo di entità extra-europee.

Il tema della sovranità cloud rappresenta uno dei fili conduttori tanto della Strategia Cloud Italia quanto della proposta CADA. Sul piano nazionale, il PSN è stato concepito proprio come risposta all’esigenza di garantire che i dati e i servizi più sensibili della PA restino sotto il controllo di soggetti operanti nel perimetro giuridico italiano ed europeo, al riparo dall’applicazione extraterritoriale di normative di Paesi terzi. Parimenti, a livello europeo, il CADA sistematizza questa esigenza attraverso il suddetto framework di sovranità cloud a quattro livelli, introducendo per la prima volta criteri armonizzati per valutare il grado di autonomia e controllo che un servizio cloud garantisce rispetto a influenze esterne.

L’approccio del CADA supera, dunque, la dimensione meramente tecnica della cybersicurezza – già coperta dalla Direttiva NIS2 e dal Cybersecurity Act – per abbracciare una nozione più ampia di sovranità, che include la localizzazione dei dati, il controllo operativo, la trasparenza della catena di fornitura e la protezione dall’applicazione extraterritoriale di leggi di Paesi terzi. Per le imprese e le pubbliche amministrazioni, ciò comporta la necessità di ripensare le proprie strategie di sourcing cloud, valutando non soltanto i profili di sicurezza e conformità, ma anche il grado di sovranità effettiva delle soluzioni adottate.

Conclusioni

La proposta CADA rappresenta un passaggio fondamentale nella strategia europea per la sovranità digitale, segnando il tentativo più ambizioso dell’Unione di dotarsi di un quadro organico per il rafforzamento dell’ecosistema cloud e dell’intelligenza artificiale. L’approccio adottato dalla Commissione non si limita a disciplinare i profili di sicurezza e certificazione dei servizi cloud, ma interviene strutturalmente sulla capacità computazionale del continente, sulla governance degli appalti pubblici e sulla promozione dell’innovazione tecnologica europea.

In questo contesto, il quadro normativo italiano potrà trovare nel CADA un punto di raccordo e di armonizzazione a livello europeo. I soggetti operanti nel settore del cloud computing e dell’intelligenza artificiale dovranno, pertanto, confrontarsi con un ambiente regolatorio in rapida evoluzione, in cui la conformità ai requisiti di sovranità, sicurezza e interoperabilità costituirà un fattore competitivo sempre più determinante.