Portare via dati, applicazioni e continuità operativa non è un gesto finale: è una capacità da progettare prima di firmare il contratto cloud.
Il vero costo di una piattaforma cloud non si misura soltanto nel canone mensile. Si vede quando l’organizzazione deve cambiare fornitore o spostare un servizio e scopre che dati, applicazioni e procedure sono legati a interfacce proprietarie. Il Data Act europeo interviene su questo squilibrio, ma il diritto di migrazione non sostituisce una exit strategy: ne rende più concreto il perimetro.
Indice degli argomenti
Diritto di migrazione cloud e vendor lock-in
Una dipendenza cloud raramente nasce da una sola decisione. Si accumula quando il database gestito viene collegato a code proprietarie, identità, sistemi di osservabilità, servizi di intelligenza artificiale, backup e regole di sicurezza che vivono nello stesso ambiente. In una fabbrica il problema può estendersi dalla telemetria di linea al sistema di manutenzione, dal gemello digitale al portale del fornitore: l’azienda continua a possedere i propri dati, ma non necessariamente dispone di un percorso semplice per ricostruire il servizio altrove.
Per questo l’exit strategy non dovrebbe comparire soltanto nel piano di continuità o nella clausola di recesso. È una decisione di architettura e di procurement. Prima di firmare bisogna sapere quali dati saranno esportabili, in quali formati, con quali metadati e per quanto tempo; quali applicazioni e configurazioni potranno essere portate; quali componenti dovranno essere riscritti; quali attività resteranno a carico del cliente, del provider di origine e del nuovo provider. Senza questa mappa, il diritto di uscita resta una promessa difficile da eseguire proprio nel momento meno favorevole.
Data Act e diritto di migrazione: obblighi e tempi
Il Data Act si applica dal 12 settembre 2025 e il suo capitolo VI riguarda i fornitori di servizi di trattamento dei dati, compresi i servizi cloud ed edge. La logica è semplice: il cliente deve poter passare a un altro provider dello stesso tipo, portare i dati e gli asset digitali su un’infrastruttura ICT on-premise oppure, quando serve, usare più servizi in parallelo. Le obbligazioni si traducono in un contratto scritto che descriva diritti, responsabilità, procedure e limiti prima della firma.
Il contratto deve prevedere un periodo massimo di preavviso non superiore a due mesi e, come regola, una fase di transizione non oltre trenta giorni. Se il provider dimostra un’impossibilità tecnica, deve informare il cliente entro quattordici giorni lavorativi, motivarla e proporre un periodo alternativo che non superi sette mesi; la continuità del servizio deve essere mantenuta. Alla fine della transizione il cliente deve avere almeno trenta giorni per recuperare i dati, mentre la cancellazione completa dei dati esportabili e degli asset del cliente deve essere garantita dopo il recupero, se la migrazione si è conclusa correttamente.
Dati esportabili e asset digitali
Il perimetro è più preciso di un generico diritto al download. I dati esportabili comprendono almeno dati di input, output e metadati generati o co-generati dall’uso del servizio. Gli asset digitali possono includere applicazioni, metadati di configurazione, impostazioni di sicurezza e controllo degli accessi, macchine virtuali e container, quando il cliente ha un diritto d’uso indipendente dal contratto che sta abbandonando. Restano esclusi gli elementi protetti da proprietà intellettuale o segreto commerciale del provider o di terzi, e alcuni dati necessari all’integrità e alla sicurezza del servizio.
Portabilità cloud: formati, API e costi di switching
La migrazione comincia da formati e interfacce, non dalla disdetta. Il Data Act impone al provider di informare su procedure, metodi, formati, restrizioni e limiti noti e di tenere aggiornato un registro di strutture dati, formati e standard o specifiche pertinenti. Per i servizi diversi dall’infrastruttura pura, le interfacce aperte devono essere disponibili in modo paritario e gratuito; senza specifiche comuni, i dati esportabili devono arrivare strutturati, comunemente usati e leggibili da una macchina.
Per l’azienda questo si traduce in alcune scelte concrete. I dati di business vanno separati dai servizi proprietari del control plane; gli schemi devono essere documentati e versionati; le API devono poter essere sostituite senza cambiare ogni applicazione; identità, chiavi, segreti, log, policy e configurazioni devono avere un percorso di recupero indipendente. Container e infrastruttura come codice possono aiutare, ma non rendono portabile una piattaforma se la logica applicativa dipende da un database, da un servizio di messaggistica o da una funzione AI che esiste soltanto nel catalogo del provider.
La fine degli switching charges
Il Data Act rende anche più trasparente il costo del cambio. Fino al 12 gennaio 2027 i provider possono applicare soltanto costi di switching ridotti e direttamente collegati alla migrazione; dal 12 gennaio 2027 non potranno più imporre switching charges, comprese quelle per l’uscita dei dati. Il risparmio economico, però, non elimina il costo interno di trasformare schemi, riscrivere integrazioni, validare le prestazioni e mantenere la sicurezza durante il trasferimento.
Exit strategy cloud: governance, ruoli e contratti
Una exit strategy efficace ha un proprietario, un budget e criteri di attivazione. Non serve soltanto quando il provider fallisce: può essere attivata da un incidente grave, da un cambiamento contrattuale, da un aumento dei costi, da un requisito di sovranità, da una scelta di concentrazione del rischio o dall’acquisizione del fornitore da parte di un altro gruppo. Per ciascuno scenario bisogna stabilire chi decide, chi autorizza l’accesso ai dati, chi gestisce il nuovo ambiente e quale livello di servizio deve restare disponibile durante il passaggio.
Il contratto dovrebbe allegare categorie esportabili e asset digitali, formati, interfacce, ruoli, assistenza, esclusioni, preavviso, durata della transizione, cancellazione e prove richieste al destinatario. Il Data Act aggiunge trasparenza sulla giurisdizione dell’infrastruttura e sulle misure contro accessi governativi internazionali ai dati non personali quando sarebbero incompatibili con il diritto dell’Unione o nazionale.
La responsabilità è condivisa. Il provider di origine deve cooperare e mantenere la continuità; il cliente deve conoscere il proprio patrimonio digitale e fornire indicazioni operative; il provider di destinazione deve essere coinvolto abbastanza presto da verificare compatibilità e capacità. La norma richiede alle parti, compreso il destinatario, di agire in buona fede. È una formula giuridica che diventa utile soltanto se tradotta in runbook, contatti, finestre di cambiamento, criteri di accettazione e registri delle decisioni.
Clausole standard e continuità operativa
Nel novembre 2025 la Commissione europea ha pubblicato clausole contrattuali standard non vincolanti per i contratti cloud, con moduli su switching ed exit, terminazione, sicurezza e continuità operativa. Non sostituiscono la negoziazione, ma aiutano a rendere leggibili responsabilità spesso disperse fra contratto, SLA e catalogo tecnico. Il punto non è scappare dal cloud: è impedire che diventi una prigione tecnologica, dimostrando prima della crisi che cosa si può portare, dove e in quanto tempo.
Partecipa alla community