Nei primi mesi del 2025, si è verificato un episodio che illustra con chiarezza come la dipendenza europea dalle piattaforme digitali statunitensi possa trasformarsi in vulnerabilità geopolitica.
Ecco cos’è successo e cosa implica l’accaduto per la sovranità digitale europea.
Indice degli argomenti
L’episodio
A metà febbraio Microsoft ha disattivato l’account di posta istituzionale del procuratore capo della Corte penale internazionale, Karim Ahmad Khan, in esecuzione dell’Ordine Esecutivo 14203 “Imposing Sanctions on the International Criminal Court”, firmato il 6 febbraio 2025 dalla Casa Bianca.
L’atto presidenziale, fondato sull’International Emergency Economic Powers Act, introduce sanzioni personali al magistrato in relazione ai procedimenti per crimini di guerra, comprensivi di indagini su Gaza.
L’interruzione del servizio ha così privato temporaneamente la CPI di un canale di comunicazione critico, segnalando a governi e imprese del continente che un singolo provvedimento amministrativo statunitense può ripercuotersi su infrastrutture essenziali per la tenuta dello Stato di diritto.
La sovranità digitale europea
Si è riacceso il dibattito sulla sovranità digitale, intesa non come autarchia tecnologica bensì come capacità di mantenere continuità operativa e protezione dei dati in scenari di tensione internazionale.
Dati di mercato pubblicati da Synergy Research Group nel secondo trimestre 2022, mostrano che circa il 72% della spesa europea in servizi cloud infrastrutturali confluisce ancora presso Amazon Web Services, Microsoft Azure e Google Cloud, una concentrazione che – pur generando economie di scala – espone l’Europa al rischio di subire effetti riflessi di politiche extraterritoriali decise oltreoceano.
Due pilastri permettono a Washington di incidere su enti extra-USA
La cornice giuridica che consente a Washington di incidere indirettamente su enti extra-USA poggia su due pilastri.
Il primo è l’IEEPA, che attribuisce al Presidente ampi poteri di blocco delle transazioni con persone o entità considerate minaccia straordinaria per la sicurezza nazionale.
Il secondo è il sistema di sanzioni dell’Office of Foreign Assets Control (OFAC), capace di infliggere multe miliardarie a chi eluda i divieti. Per un’azienda quotata a Wall Street, la mancata conformità equivale a un rischio esistenziale, ragione per cui la sospensione dell’account CPI è avvenuta senza contestazioni pubbliche.
Il caso dimostra come vincoli di compliance finanziaria possano prevalere su obblighi contrattuali assunti verso organizzazioni internazionali indipendenti.
Sul piano politico, l’accaduto ha accelerato iniziative di autonomia tecnologica in diversi Stati membri.
In Danimarca, la Digitaliseringsstyrelsen ha avviato un progetto pilota per valutare soluzioni open-source (LibreOffice e Collabora Online) per la collaborazione e la posta elettronica, in linea con le best practice europee di sicurezza.
In Germania, il Land Schleswig-Holstein ha confermato che entro il 2026 migrerà circa 25 000 postazioni desktop a LibreOffice e valuterà il passaggio a server on-premise basati su software libero.
Queste scelte sono motivate non solo da esigenze di privacy, ma anche dall’esigenza di garantire la disponibilità dei servizi in caso di conflitto normativo transatlantico.
Proposta di “sovranità cooperativa” da parte delle piattaforme
Le grandi piattaforme statunitensi hanno risposto presentando offerte di “sovranità cooperativa”.
Il 16 giugno Microsoft ha annunciato le European Sovereign Cloud Solutions, con opzioni di residenza dei dati in territori UE e gestione delle chiavi da parte di partner locali certificati. Amazon ha invece parlato di nuovi investimenti in regioni “sovereign” e data center in Francia e Spagna. Google Cloud ha consolidato le partnership con T-Systems e con Noovle (gruppo TIM) per offrire servizi cloud localizzati attraverso provider europei.
Sebbene queste iniziative migliorino la protezione dei metadati e la governance contrattuale, permane il dubbio che ordini esecutivi statunitensi possano influire su supporto tecnico o rilascio di patch.
Il progetto Gaia-X in Europa
Accanto alle iniziative commerciali dei grandi hyperscaler, sta prendendo corpo in Europa il progetto Gaia-X, una federazione di provider e utilizzatori finali che punta a creare un ecosistema cloud interoperabile e trasparente.
Basato su specifiche aperte e su un modello di governance distribuito, Gaia-X vuole garantire all’utente il controllo sui propri dati (data sovereignty), sul trattamento e sulla localizzazione delle informazioni.
Con oltre 300 membri fra aziende, università e PA, Gaia-X sta già sperimentando casi d’uso in sanità, manifattura e finanza, e potrebbe diventare un pilastro per un’infrastruttura digitale europea realmente autosufficiente.
L’ipotesi del Regolamento sui servizi digitali resilienti
A livello comunitario, la Commissione europea sta esplorando l’idea di un Regolamento sui servizi digitali resilienti, volto a classificare i servizi cloud strategici e ad introdurre requisiti di data residency ed “extraterritorial trust” per le amministrazioni centrali.
Al momento non esiste ancora un testo ufficiale pubblicato, ma tra le ipotesi in discussione figurano clausole di scissione legale, registri europei dei data center critici e audit tecnico-giuridici gestiti da Enisa insieme alle autorità nazionali di cyber security.
Cloud sovereign: un mercato a tassi elevati in Ue
Dal punto di vista economico, analisti di settore stimano che la domanda di cloud “sovereign” sul mercato pubblico europeo potrebbe crescere con tassi elevati nei prossimi cinque anni, aprendo opportunità per startup specializzate in crittografia, orchestrazione della sicurezza e intelligenza artificiale su dataset europei, e stimolando la formazione di professionisti in crittografia, gestione delle identità e verifica formale del software.
Non va trascurata la dimensione culturale. Il Centro di Eccellenza NATO per la Cyber-difesa (CCDCOE) sottolinea da tempo l’importanza di filiere diversificate, competenze interne diffuse e audit continuo del codice sorgente.
L’episodio CPI ha agito da catalizzatore per le iniziative di capacity building lanciate da Enisa, che prevedono percorsi di certificazione interoperabili a livello UE, e per una maggiore collaborazione pubblico-privato nella sperimentazione di architetture zero-trust e nel collaudo di chipset resistenti a possibili backdoor hardware.
L’importanza di filiere diversificate
La sospensione dell’account del procuratore della Corte penale internazionale dimostra come la supremazia tecnologica statunitense possa essere utilizzata come leva di pressione indiretta persino nei confronti di alleati tradizionali.
L’episodio evidenzia la necessità di accelerare la costruzione di un ecosistema digitale europeo fondato su infrastrutture resilienti, competenze specialistiche e un quadro regolatorio chiaro, in grado di garantire continuità operativa e protezione dei dati senza compromettere la cooperazione transatlantica.
La sovranità digitale, lungi dall’essere un concetto astratto, rappresenta una precondizione per l’autonomia strategica europea in un contesto internazionale sempre più caratterizzato dall’uso del potere tecnologico quale strumento di politica estera.
