“Si parla di cloud sovrano da diverso tempo: tra white paper e convegni, si è discusso cavillosamente della definizione ‘vera’ di cloud sovrano per le organizzazioni dell’Ue. È il momento però di dire basta alla teoria”. Andrea Sinopoli, Vice President – Technology & Cloud Country Leader di Oracle Italia, non usa mezzi termini: le preoccupazioni europee sulla sovranità dei dati, dell’AI e delle soluzioni che abilitano restano spesso chiacchiere da panel di esperti senza badare alle esigenze vere delle organizzazioni che di cloud sovrano hanno bisogno.
Secondo l’Osservatorio Cloud Transformation della School of Management del Politecnico di Milano, la domanda di sovranità è uno dei driver maggiori del mercato, che spinge da una parte la crescita del private cloud e dall’altra fa emergere le diverse offerte dei vendor per rispondere ai requisiti di sovranità digitale richiesti a molte organizzazioni.
Con l’entrata in vigore del Data Act, la sovranità digitale è diventata un diritto degli utenti e un obbligo per le imprese.
Ma pensare al cloud giusto per ogni azienda, secondo Sinopoli, significa entrare nei dettagli: capire quali sono le esigenze di ogni singola organizzazione, ad esempio valutando quali carichi di lavoro devono stare in quale ambiente.
Secondo Sinopoli è necessario anche “valutare i fornitori per la loro capacità di offrire soluzioni sovrane, oltre che per funzionalità e costi” e “rendere la strategia AI parte centrale di ogni discussione sul cloud sovrano”.
Il tema della sovranità è stato affrontato anche a inizio aprile in occasione della tappa milanese dell’evento Oracle AI World Tour. A parlarne è stato Cormac Watters, Executive Vice President e General Manager EMEA di Oracle: “L’intelligenza artificiale è il fattore di cambiamento, ma le fondamenta di questa rivoluzione sono i dati dell’impresa: nei database, on premise o nel cloud. Operare su quei dati e gestirli nel rispetto dell’esigenza di sovranità e conciliare questa richiesta con l’evoluzione AI è un tema che praticamente tutti i nostri clienti sollevano”.
La corsa del cloud
D’altronde, insieme alla sovranità, è l’intelligenza artificiale a guidare la crescita del Cloud in Italia, che nel 2025 ha raggiunto un valore di 8,13 miliardi di euro, in aumento del +20% rispetto al 2024.
“I moderni cloud sovrani si basano su una filosofia ‘sovereign-by-design’, ossia la sovranità è integrata direttamente nell’architettura sottostante e non aggiunta in un secondo momento per esigenze di compliance”. Questo approccio poggia su tre pilastri, spiega Sinopoli:
-
La sovranità dei dati, che garantisce che questi siano fisicamente confinati nella giurisdizione nazionale e protetti. Non solo dai contratti ma anche da chiavi di cifratura in mano allo stesso cliente.
-
La sovranità operativa, ovvero una gestione che rispetti quadri legali e giurisdizionali.
-
La sovranità tecnologica, ovvero la competitività delle soluzioni sovrane con quelle di public cloud. “Vale la pena verificare con attenzione se un provider soddisfa questo standard, perché oggi molti non lo fanno”.
Il punto su cui si concentra Sinopoli è che dietro la generica definizione di cloud sovrano – su cui spesso non c’è accordo – non esiste effettivamente un’unica soluzione adatta a tutti. “C’è un pericolo emergente in alcune discussioni sul cloud sovrano nell’UE: la semplificazione eccessiva. Troppe voci parlano del cloud sovrano in modo generico, come se una volta implementati i controlli corretti le organizzazioni potessero sentirsi tranquille. Questo modo di pensare crea dei punti ciechi”.
Ogni carico di lavoro, dice Sinopoli, richiede una sensibilità diversa. I dati finanziari di un’organizzazione non sono uguali alle informazioni contenute in un portale governativo. “Se si agisce troppo indiscriminatamente, i costi di engineering aumentano mentre velocità e capacità di innovazione crollano. Se, al contrario, si adottano misure insufficienti, si rischiano conseguenze normative e reputazionali”.
Come ha spiegato Watters durante l’evento Oracle, alle esigenze europee la società ha risposto con un EU Sovereign Cloud che prevede di “fornire il cloud in infrastrutture fisicamente e logicamente separate dalle altre cloud region di Oracle, gestite da entità giuridicamente europee, su suolo europeo, con personale europeo, sicurezza e policy specifiche”. In alcuni casi Oracle passa attraverso i partner locali, attraverso la piattaforma Alloy: avviene anche in Italia con TIM Enterprise per il Polo strategico nazionale.
La strategia per costruire un cloud sovrano non può essere sempre perfetta, dice Sinopoli, ma deve essere sempre flessibile, in grado di adattarsi anche all’evoluzione normativa. Per questo il Vp di Oracle evidenzia che l’azienda propone tecnologie per creare architetture di cloud distribuito tra data center diversi, tra soluzioni di cloud ‘public’ e sovrano, o anche strutture delle aziende stesse.
“Le specifiche sedi fisiche in cui i dati sono trattati contano, ma contano ancora di più la progettazione, i principi organizzativi e i flussi di lavoro. La sovranità dell’AI riguarda ben più del “dove” i dati sono archiviati. Impone anche vincoli su chi controlla l’infrastruttura di calcolo sottostante per elaborare carichi di lavoro AI. Conta chi possiede e governa i modelli usati per addestrare l’AI. Infine, l’AI spesso comporta lo spostamento di enormi flussi di dati; è fondamentale che questo avvenga in conformità ai requisiti di sovranità”, dice Sinopoli.
In un Paese dove il 46% delle grandi organizzazioni segnala inoltre difficoltà nel rispetto degli obblighi di tracciabilità e documentazione dei dati previsti dall’AI Act, il consiglio sembra ancora più centrato. Soprattutto considerando che gli Agenti Ai che piano piano si fanno strada tra i database aziendali avranno bisogno di requisiti di sicurezza sempre più stringenti per maneggiare le informazioni più sensibili.
