AI e sovranità dei dati: quanto costa alle imprese non avere una strategia

La sovranità dei dati sta passando da tema prevalentemente normativo a questione di governance aziendale. La crescita dell’AI, la frammentazione geopolitica e framework normativi emergenti stanno infatti rendendo sempre più complesso stabilire non soltanto dove risiedano i dati, ma soprattutto chi possa accedervi, controllarli e gestirli.

Una recente ricerca condotta da Everpure con Vanson Bourne su 2.100 responsabili tecnici e dirigenti C-level in otto mercati tra Europa e Asia evidenzia come, a fronte di una crescente attenzione al tema, molte organizzazioni non abbiano ancora tradotto questa consapevolezza in azione. Il 64% non dispone di una strategia formale per la sovranità e il 62% non ha piena visibilità su chi possa accedere ai propri dati, controllarli e gestirli.

E il 93% dei leader intervistati afferma che la gestione dei dati è fondamentale per la sovranità. Le organizzazioni sanno quindi dove devono essere poste le fondamenta. La maggior parte, però, non le ha ancora poste.

Il punto, quindi, non è più soltanto garantire la residenza dei dati entro determinati confini geografici. La sfida è costruire un modello di governance che permetta alle organizzazioni di mantenere visibilità, proprietà e controllo sul proprio patrimonio informativo, applicando livelli di protezione e policy differenti in funzione del rischio, dei requisiti normativi e delle esigenze di business.

AI e sovranità dei dati: acquisire il controllo

Ben prima dell’AI, i clienti segnalavano con continuità una preoccupazione comune: l’aumento dei rischi e dei costi legati alla gestione di patrimoni di dati frammentati e distribuiti. L’AI non ha creato questo problema, ma ha reso questi rischi insostenibili.

Come l’AI, una strategia concreta di sovranità poggia su una verità fondamentale: tutto inizia dalla capacità delle organizzazioni di acquisire il controllo dei propri dati. E questo significa molto più che decidere dove collocare i server o quale bandiera nazionale sventoli sopra di essi.

Sebbene le region cloud e i confini nazionali possano influire sull’accesso, la sola residenza dei dati è un indicatore passivo della sovranità. La vera sovranità significa disporre di visibilità, governance e proprietà complete sul proprio patrimonio di dati, così da poter controllare, spostare e proteggere i dati in qualsiasi momento, indipendentemente da dove risiedano.

Sovranità dei dati e requisiti normativi: serve una mappa

La maggior parte delle organizzazioni affronta la sovranità partendo da un singolo ambito, come la sicurezza o la compliance, applicando controlli puntuali a patrimoni di dati che non sono stati adeguatamente mappati: controlli che difficilmente si adattano alla molteplicità dei requisiti normativi.

I framework regionali sui dati continuano ad ampliarsi. Oltre al GDPR, l’UE sta sviluppando una più ampia strategia sui dati, il pacchetto sulla sovranità tecnologica europea e il recente Digital Operational Resilience Act (DORA); nel frattempo, il Digital Personal Data Protection Act indiano entrerà progressivamente in vigore fino al 2027 e il Digital Economy Framework Agreement (DEFA) dell’ASEAN si avvia verso la firma a novembre. Non sorprende che il 55% dei leader affermi di non riuscire a tenere il passo.

Il focus di queste normative sta cambiando. I framework normativi precedenti ponevano domande sulla privacy: consenso, trattamento, notifica delle violazioni. Quelli più recenti approfondiscono controllo e resilienza: chi può essere obbligato a consegnare i dati, se un servizio può essere revocato, quanto le organizzazioni dipendano da provider stranieri.

Si tratta di domande che richiedono un inventario, a cui un patrimonio di dati non mappato non può rispondere. Nessuna organizzazione può sostenere tre programmi di compliance paralleli, tanto meno otto; una mappa accurata dei dati, invece, può rispondere a ogni autorità di regolamentazione attraverso un’unica fonte attendibile.

Le organizzazioni possono rispondere solo ponendosi domande fondamentali per stabilire visibilità e controllo: quali dati esistono, dove risiedono le loro copie e chi può accedervi in un determinato momento.

I risultati della nostra indagine lo confermano. Alla richiesta di classificare gli aspetti più importanti nella valutazione della sovranità del cloud, i leader hanno indicato al primo posto visibilità e controllo sull’accesso ai dati, insieme a crittografia, compliance e governance dell’AI. Le priorità sono corrette, ma l’esecuzione non è ancora all’altezza.

Cloud e AI: la sovranità oltre la residenza dei dati

Lo scorso anno abbiamo sostenuto che la sovranità va oltre la collocazione fisica. Abbiamo proposto un approccio flessibile, capace di bilanciare gli obiettivi di business di un’organizzazione con normative in continua evoluzione.

Questo equilibrio emerge chiaramente dai risultati di quest’anno. Ben l’85% degli intervistati rinuncerebbe a funzionalità avanzate pur di utilizzare un provider locale o sovrano, mentre l’87% dà priorità ad ambienti locali o sovrani per i workload AI ad alto rischio. Eppure solo il 20% cita il rischio di concentrazione presso provider esteri, mentre il 39% afferma che l’AI sovrana aggiunge complessità operativa.

Il pragmatismo opera in entrambe le direzioni.

Con l’AI come catalizzatore, osserviamo una maggiore selettività: i dati e i workload più sensibili vengono trasferiti in ambienti sovrani, mentre gli altri rimangono dove possono offrire le migliori prestazioni. Lo sviluppo dell’AI porterà a un equilibrio tra infrastrutture sovrane e pubbliche, non a un ripiegamento esclusivo sull’una o sull’altra.

Un cliente globale del settore design esemplifica questo approccio: sta realizzando versioni sovrane dei propri strumenti SaaS, segmentando i clienti tramite crittografia e un perimetro di elaborazione dedicato.

Anche in questo caso, la base è la gestione dei dati. La sovranità richiede che il cliente mantenga un controllo continuo sui dati. La localizzazione è una variabile; la capacità di classificare il rischio, applicare policy e mantenere la proprietà dei propri dati è la costante. Le policy che li governano dipendono dalla comprensione del significato dei dati nelle diverse applicazioni, non semplicemente dal luogo in cui risiedono.

Sovranità dei dati by design: rischio e continuità operativa

Come possono quindi le organizzazioni passare dalla preparazione all’implementazione? Acquisendo il controllo dei propri dati e spostando il focus dalla sovranità nazionale alla sovranità aziendale, con un approccio basato sulla specifica propensione al rischio dell’organizzazione e sulla sua interpretazione del quadro normativo. Noi lo chiamiamo “sovereignty by design”.

L’obiettivo è fare in modo che siano le esigenze e i rischi di business, e non soltanto le normative, a guidare le decisioni sulla sovranità. Alcuni dati e workload necessitano realmente di ambienti sovrani. Molti altri no e possono rimanere presso partner globali cloud e SaaS, dove velocità e scalabilità continuano a offrire vantaggi. In questo modo le organizzazioni possono adottare livelli di controllo graduati in base ai profili di rischio, anziché dover reagire ogni volta a un nuovo requisito regionale.

Allo stesso modo, un concetto importante è quello di “Minimum Viable Company” (MVC), espressione utilizzata nel settore per indicare il più piccolo insieme di servizi critici, dati, applicazioni e personale qualificato necessario per continuare a operare durante un’interruzione del servizio o un altro evento di disruption. Molte organizzazioni non hanno ancora identificato la propria MVC. Definirla trasforma rischi potenzialmente illimitati in qualcosa che il consiglio di amministrazione può circoscrivere e finanziare.

Cinque passi per diventare sovereign by design

• Ottenere visibilità e controllo. La sovranità inizia dal controllo del proprio patrimonio di dati: sapere quali dati si possiedono, dove risiedono e chi può accedervi. Soprattutto, significa mantenere la proprietà ultima e la capacità di concedere o revocare tale accesso, comprendendo al contempo vulnerabilità quali l’esposizione giurisdizionale e la potenziale esfiltrazione dei dati. Tutto questo poggia su solide capacità di gestione dei dati.
• Definire i livelli in base al rischio, non alla categoria. Definire la propria MVC, quindi classificare dati e applicazioni in base al valore strategico e all’esposizione legale. Applicare controlli di sovranità laddove l’esposizione lo giustifica, non come policy generalizzata.
• Costruire una base per l’AI sovrana. Dare priorità agli ambienti sovrani per dati e workload AI sensibili e ad alto rischio.
• Affidarne la responsabilità al board. Solo il 19% delle organizzazioni afferma che la propria strategia di sovranità è guidata dal consiglio di amministrazione. Un ulteriore 36% fatica ancora a ottenere il sostegno dell’executive management, mentre il 56% non dispone delle competenze necessarie per l’esecuzione, anche quando una strategia esiste. Elevare la sovranità da responsabilità dipartimentale a mandato del board è il modo più rapido per mobilitare le risorse.
• Integrare procurement e sovranità in un’unica conversazione. Valutare i provider in base al controllo giurisdizionale e alle opzioni di deployment sovrano, non soltanto alle funzionalità. Pianificare in anticipo strategie di uscita, portabilità dei dati e condizioni relative alla custodia delle chiavi.

Con questo approccio, il punto di controllo diventa il dato, non l’applicazione, e i dati vengono ospitati e gestiti in funzione della necessità di soddisfare o meno requisiti di sovranità.

In assenza di una strategia, la sovranità viene troppo spesso gestita in modo tattico. Con una strategia, invece, le organizzazioni possono rispondere rapidamente all’evoluzione dei requisiti normativi e accelerare le iniziative di AI, perché i dati sono compresi, la proprietà è chiara e il controllo è definito.

In definitiva, la gestione dei dati pone le basi per una strategia duratura di sovranità aziendale. Con una solida base dati, le organizzazioni possono rimanere competitive, ottenere controllo e sovranità sui propri dati e mantenere la conformità in qualsiasi giurisdizione o area geografica.