C’è un momento preciso in cui ti rendi conto che il problema non è tecnologico.
Stavamo lavorando a EduStorage, una federazione di storage cloud per il sistema universitario e della ricerca italiano. È un’idea semplice: mettere insieme infrastrutture distribuite, farle dialogare, costruire un’alternativa europea ai grandi provider nordamericani per conservare e condividere dati scientifici. L’idea funziona. La tecnologia c’è. I soggetti interessati ci sono. Eppure ad ogni passo ti scontri con qualcosa che non ha niente a che fare con i bit: procedure di gara scritte per chi già esiste, qualificazioni cloud che fotografano un mercato di ieri, responsabilità amministrative che scoraggiano chiunque voglia provare qualcosa di nuovo.
È lì che ho capito che il vero problema dell’innovazione in Europa non è la mancanza di idee. È l’architettura delle regole.
Indice degli argomenti
Cloud e PA: se i soldi pubblici italiani finanziano infrastrutture americane
Quando si parla di cloud nella Pubblica Amministrazione italiana, si parla quasi sempre degli stessi nomi. Microsoft, Google, Amazon. Talvolta con etichette locali che ne attenuano la visibilità, ma non la sostanza.
Noovle, la società di Telecom Italia (TIM) che gestisce servizi cloud per la PA, opera come partner certificato Google Cloud. Fastweb, pur disponendo di infrastrutture proprie di tutto rispetto, eroga soluzioni basate su AWS nell’ambito del contratto-quadro SPC Cloud di Consip, ossia il meccanismo attraverso cui le amministrazioni pubbliche italiane acquistano servizi ICT. Il risultato è paradossale: i soldi pubblici italiani finanziano infrastrutture americane, passando per aziende italiane che ne sono di fatto i rivenditori.
Non è un’anomalia di mercato. È la struttura del mercato.
SPC Cloud Lotto 1 e Lotto 2, le gare Consip per i servizi cloud della PA, hanno costruito un ecosistema in cui la qualificazione tecnica (necessaria per partecipare) è di fatto accessibile solo a chi può contare su economie di scala e certificazioni già consolidate. Le piccole e medie imprese italiane del settore, anche quando tecnicamente all’altezza, faticano a sostenere i costi di compliance e certificazione richiesti. Chi vince le gare sono soggetti capaci di “portare” i cloud provider nordamericani all’interno dei perimetri formali richiesti dalla normativa italiana.
L’Europa e il paradosso delle regole che arrivano sempre dopo un mercato creato da altri
Il fenomeno non è solo italiano. A livello europeo, il framework OCRE — Open Clouds for Research Environments, gestito nell’ambito dell’ecosistema GÉANT, la rete europea per la ricerca e l’istruzione — nasce con l’obiettivo dichiarato di semplificare l’accesso delle università e degli enti di ricerca ai servizi cloud, aggregando la domanda europea per ottenere condizioni migliori.
Il risultato pratico è che OCRE funziona prevalentemente come aggregatore di offerte AWS, Microsoft Azure e Google Cloud, con qualche presenza di provider europei (come OVHcloud) che rimane però minoritaria nel volume complessivo. L’Europa della ricerca, che include alcune delle menti più brillanti del continente, finanziata con fondi pubblici europei, acquista prevalentemente storage, calcolo e piattaforme da aziende che non pagano le tasse dove opera chi le usa, che applicano le leggi del paese in cui risiedono i loro server, e che possono modificare prezzi e condizioni con preavvisi che una gara pubblica europea non riesce nemmeno ad assorbire.
Non è un caso. È la conseguenza naturale di un sistema in cui la regolamentazione arriva sempre dopo il mercato, e il mercato lo hanno costruito altri.
Le regole come fotografia del passato
C’è un principio implicito nel modo in cui vengono scritte le norme europee che riguardano il digitale: si regola ciò che già esiste. GDPR, NIS2, Cloud Act, AI Act, Cyber Resilience Act… ogni framework normativo parte dall’osservazione di un mercato già formato, di tecnologie già diffuse, di modelli di business già consolidati.
Le regole del digitale europeo favoriscono chi ha già vinto
Il problema è che questo approccio premia chi quel mercato lo ha già disegnato.
Quando l’ACN (l’Agenzia per la Cybersicurezza Nazionale) definisce i criteri per la qualificazione dei servizi cloud per la PA italiana (ordinari, critici, strategici), lo fa necessariamente riferendosi alle caratteristiche dei servizi esistenti. Le categorie di certificazione, i requisiti tecnici, i livelli di resilienza richiesti: tutto questo è scritto guardando ciò che c’è, non ciò che potrebbe esserci. Chi ha già un’offerta matura può adattarla ai requisiti con costi marginali. Chi sta costruendo qualcosa di nuovo deve partire dai requisiti che qualcun altro ha contribuito a definire, e costruire sopra.
È una partita di carte in cui le regole del gioco le ha scritte chi aveva già la mano migliore.
Il caso della sovranità digitale è emblematico. Il principio è giusto: i dati dei cittadini europei, le infrastrutture critiche, le comunicazioni delle istituzioni pubbliche non dovrebbero dipendere da giurisdizioni straniere. Ma la traduzione pratica, quella che si chiama “autonomia digitale”, rimane quasi sempre lettera morta. Un ente pubblico che volesse oggi costruire un’infrastruttura genuinamente autonoma si troverebbe a farlo con regole scritte da chi ha interesse a mantenere lo status quo, esponendosi a rischi amministrativi reali in caso di scelta “non di mercato”, in un mercato che è di fatto un oligopolio.
Cloud europeo, l’innovazione bloccata da un’asimmetria invisibile
C’è un’asimmetria che raramente viene nominata con chiarezza quando si discute di mercato digitale europeo.
Le grandi piattaforme tecnologiche nordamericane come Amazon, Microsoft, Google, Salesforce o Oracle non operano in Europa alle stesse condizioni delle aziende europee. Il modello fiscale irlandese, che ha consentito per anni di dichiarare ricavi europei in una giurisdizione a tassazione quasi nulla, ha prodotto un vantaggio competitivo strutturale che nessuna politica industriale europea ha mai compensato davvero. Un’azienda italiana che vende servizi cloud paga tasse italiane. Amazon Web Services ha versato per anni imposte irlandesi su ricavi generati in tutta Europa.
A questo si aggiunge l’asimmetria regolamentare. Il CLOUD Act americano, in vigore dal 2018, consente alle autorità statunitensi di accedere ai dati conservati da aziende americane ovunque nel mondo, indipendentemente dal paese in cui i server si trovano fisicamente. Un’organizzazione europea che conserva i propri dati su infrastruttura americana è quindi soggetta, de facto, alla giurisdizione americana. Il GDPR afferma il contrario cioè che i dati dei cittadini europei devono essere protetti dalla legge europea, ma quando le due norme entrano in conflitto, è l’infrastruttura fisica a decidere chi vince.
E poi c’è la pressione politica. Il confronto commerciale tra Stati Uniti e Unione europea sul digitale, culminato nell’estate 2025 con le minacce americane di dazi ritorsivi contro le Digital Services Tax europee, ha reso evidente che la politica industriale americana tutela esplicitamente i propri campioni tecnologici. L’Europa risponde con regolamentazione. Ma regolamentare non è la stessa cosa che costruire.
Chi scrive le regole?
C’è una domanda che andrebbe posta più spesso: chi partecipa alla scrittura delle norme europee sul digitale?
La risposta è, almeno in parte, i soggetti che quelle norme devono poi rispettare. Il lobbying delle grandi piattaforme tecnologiche a Bruxelles è tra i più consistenti e strutturati d’Europa. Microsoft, Google, Amazon, Meta hanno uffici di relazioni istituzionali con decine di persone dedicate, budget considerevoli, e la capacità di fornire (cosa che non va sottovalutata) competenze tecniche genuine che le istituzioni europee spesso non hanno internamente.
Il risultato non è necessariamente corruzione. È qualcosa di più sottile: le norme vengono scritte usando il vocabolario di chi ha le risorse per partecipare al processo. I criteri tecnici riflettono architetture già esistenti. Le scadenze di compliance si adattano a tempi di sviluppo che solo i grandi possono sostenere. La complessità stessa della normativa, testi di centinaia di articoli, applicabili su scala continentale, aggiornati in tempi che il mercato non aspetta, è una barriera all’ingresso per chi non può permettersi un ufficio legale dedicato.
In questo contesto, un’azienda europea che voglia competere con i grandi player nordamericani si trova a dover rispettare norme complesse che quei player hanno contribuito a plasmare, pagando tasse più alte di loro, con accesso al capitale molto più limitato, in un mercato in cui i clienti pubblici, che sono vincolati dalle stesse norme, preferiscono la sicurezza percepita del “fornitore affermato” al rischio amministrativo dell’“alternativa europea”.
Cosa si costruisce davvero
EduStorage è un esempio di quello che potrebbe esistere: una federazione di storage distribuito, basata su standard de facto ampiamente adottati (il protocollo S3) e costruita attorno a Cubbit, un’azienda italiana la cui tecnologia di storage distribuito geograficamente è considerata strategica a livello europeo nel quadro delle iniziative per la sovranità del dato e la resilienza delle infrastrutture digitali. C’è una versione in produzione, c’è un’università aderente, ci sono altri soggetti interessati.
Sta richiedendo di navigare un quadro normativo che non la prevede. Non nel senso che sia illegale, ma nel senso che ogni passo richiede interpretazione, negoziazione, adattamento di regole pensate per altro. La qualificazione ACN richiesta per offrire servizi cloud alla PA prevede percorsi (QC1, QC2, QC3) che hanno senso per un provider commerciale consolidato, molto meno per una federazione no-profit di enti pubblici di ricerca. Le responsabilità contrattuali del trattamento dati sono pensate per un modello cliente-fornitore, non per una cooperazione tra pari.
Non è impossibile. Ma è enormemente più difficile di quanto dovrebbe essere per chi non parte avvantaggiato.
Una domanda scomoda
Chiudo con la domanda che mi ha spinto a scrivere queste righe.
Siamo sicuri che il modo in cui l’Europa regola il digitale, ex post, reattivo, basato sull’esistente, non stia sistematicamente favorendo chi ha già vinto la partita?
Non si tratta di avversità ai grandi player tecnologici. Si tratta di riconoscere che un mercato sano ha bisogno di condizioni di accesso effettivamente paritarie. Che la sovranità digitale non è uno slogan ma una scelta infrastrutturale che richiede investimenti, regole che la rendano perseguibile, e la volontà politica di accettare che qualcuno, nell’interesse collettivo, prenda il rischio di costruire qualcosa che ancora non c’è.
Finché le regole vengono scritte come fotografie del passato, da chi quel passato lo ha disegnato, il futuro rimarrà altrove.
Partecipa alla community