Mentre il dibattito pubblico sulla sovranità digitale si concentra su cloud e intelligenza artificiale, un fronte meno visibile ma altrettanto critico riguarda il calcolo quantistico.
I pochi accessi reali a hardware quantistico oggi disponibili sono concentrati prevalentemente presso hyperscaler extra-europei, ponendo aziende e istituzioni di fronte a un dilemma: affidare dati sensibili — algoritmi proprietari, dataset di ricerca, proprietà intellettuale — a infrastrutture fuori dal proprio perimetro normativo, oppure rinunciare a esplorare il paradigma quantistico.
L’emulazione quantistica su hardware classico (GPU) apre una terza via: permette di sviluppare, testare e validare algoritmi quantistici on-premise, mantenendo dati e know-how entro i confini fisici e giuridici dell’organizzazione. L’articolo esamina questo scenario alla luce del GDPR, del quadro normativo emergente sui dati sanitari, e del più ampio dibattito europeo su autonomia tecnologica e dipendenza da infrastrutture straniere.
Indice degli argomenti
Il problema: dove vivono i dati quando si fa calcolo quantistico
Un’organizzazione che oggi voglia sperimentare algoritmi quantistici su un problema reale — ottimizzazione di portafoglio, screening molecolare, crittografia post-quantistica — ha in pratica due strade: accedere a un servizio cloud quantistico di un hyperscaler, oppure costruire capacità di calcolo proprie. La prima strada è quella percorsa dalla maggior parte degli utenti oggi; la seconda è meno battuta perché l’hardware quantistico fisico resta costoso, fragile e di fatto inaccessibile fuori da un numero ristretto di laboratori. Il nodo di questo articolo è cosa succede, nella prima strada, ai dati che vengono elaborati.
Il quadro GDPR sui trasferimenti extra-SEE
Il Regolamento (UE) 2016/679 (GDPR) disciplina il trasferimento di dati personali verso paesi terzi al Capo V, articoli 44-50. L’articolo 44 stabilisce il principio generale: qualunque trasferimento verso un paese terzo o un’organizzazione internazionale è ammesso solo nel rispetto delle condizioni del Capo V, e tutte le disposizioni sono applicate per assicurare che il livello di protezione garantito dal Regolamento non sia pregiudicato.
In assenza di una decisione di adeguatezza della Commissione (art. 45), il trasferimento richiede garanzie adeguate ai sensi dell’art. 46 — tipicamente le clausole contrattuali standard (SCC), adottate dalla Commissione europea il 4 giugno 2021, che vincolano esportatore e importatore dei dati. Per i trasferimenti verso gli Stati Uniti, la Corte di giustizia UE ha confermato la validità del Data Privacy Framework con sentenza del 3 settembre 2025, a condizione che il fornitore statunitense abbia aderito al framework.
Un punto tecnico rilevante per il calcolo quantistico su cloud: secondo la dottrina prevalente in materia di protezione dati, anche il semplice accesso remoto da parte di un’entità di un paese terzo a dati situati nel SEE costituisce un trasferimento ai sensi del GDPR. Questo significa che l’elaborazione di un dataset europeo su un backend quantistico o un simulatore ospitato fuori dal SEE ricade nel perimetro del Capo V, indipendentemente da dove l’utente finale si trovi fisicamente.
Il caso dei dati sanitari: lo European Health Data Space
Per il settore sanitario, il quadro si è arricchito con il Regolamento (UE) 2025/327, che istituisce lo European Health Data Space (EHDS), pubblicato il 5 marzo 2025. L’EHDS integra i diritti già previsti dal GDPR per l’uso primario e secondario dei dati sanitari elettronici, e si allinea con Data Governance Act, Data Act e direttiva NIS2. L’impianto normativo prevede un’applicazione graduale: la maggior parte degli obblighi decorre a quattro anni dall’entrata in vigore, con un’apertura a paesi extra-UE per l’uso secondario tramite la rete HealthData@EU prevista solo a partire dal 2035.
Per un’azienda che lavori su applicazioni quantistiche in ambito farmaceutico o biomedico — ad esempio simulazioni di interazione proteina-ligando — l’EHDS aggiunge un ulteriore livello di attenzione alla localizzazione del trattamento, che si somma e non sostituisce gli obblighi generali del GDPR.
Si fa notare che per il settore finanziario esistono analoghi regimi di localizzazione e resilienza operativa digitale (es. i requisiti UE su terze parti ICT critiche).
Il dibattito europeo su autonomia tecnologica e infrastrutture quantistiche
A livello di policy, la Commissione europea ha inquadrato la dipendenza da fornitori extra-UE come un rischio strutturale per le tecnologie quantistiche, alla pari di quanto avvenuto per i semiconduttori. Nei materiali di consultazione sull’atto legislativo europeo sul quantum (“EU Quantum Act”), la Commissione osserva che le startup quantistiche europee dipendono fortemente da investitori di paesi terzi per i cicli di finanziamento più ingenti, e che parti critiche della catena di approvvigionamento — criogenia, laser, elettronica di controllo — dipendono in larga misura da fornitori extra-UE.
La Quantum Europe Strategy della Commissione (luglio 2025) individua esplicitamente il “dual-use” e il rafforzamento della sovranità tecnologica tra i cinque assi prioritari della strategia, accanto a ricerca e innovazione, infrastrutture quantistiche, ecosistema industriale e competenze.
La geografia reale del cloud quantistico
Va osservato che non tutta l’offerta cloud di calcolo quantistico è ospitata fuori dall’Unione Europea. Amazon Braket, ad esempio, mette a disposizione tramite la propria infrastruttura anche hardware quantistico europeo — il processore superconduttivo di IQM è accessibile come risorsa ospitata nella regione AWS eu-north-1 — e player europei come AQT (Alpine Quantum Technologies, Austria) rendono disponibili propri sistemi cloud-accessibili basati su ioni intrappolati. Il quadro reale è quindi più articolato di una contrapposizione netta “hardware quantistico = extra-UE”: esiste una offerta europea, ma resta minoritaria rispetto ai tre grandi hyperscaler (IBM, AWS, Microsoft Azure), che restano soggetti giuridici extra-UE anche quando instradano il carico di lavoro su un data center europeo.
Questa distinzione è rilevante dal punto di vista giuridico: la localizzazione fisica del server non esclude di per sé che il trattamento sia soggetto alla giurisdizione extra-UE del fornitore (si pensi al dibattito, distinto ma collegato, sul CLOUD Act statunitense) — un tema che eccede lo scopo di questo articolo ma che chi valuta un fornitore cloud quantistico dovrebbe considerare accanto alla mera localizzazione dei dati.
L’emulazione quantistica come terza via
È in questo quadro che si colloca la proposta di posizionamento dell’emulazione quantistica su hardware classico (cluster GPU) come alternativa che permette di sviluppare e validare algoritmi quantistici mantenendo dati e infrastruttura entro il perimetro fisico e giuridico dell’organizzazione, evitando per costruzione la questione del trasferimento extra-SEE perché non vi è alcun trasferimento verso terzi.
I limiti dell’emulazione quantistica
Coerenza intellettuale impone di riportare anche i limiti tecnici dell’emulatore:
- la famiglia Q (State Vector, GPU) ha un muro pratico attorno ai 60-70 qubit, perché la memoria richiesta raddoppia a ogni qubit aggiuntivo;
- la famiglia R/X (Tensor Network, cluster CPU) supera questo limite e può simulare oltre 5.000 qubit logici, ma richiede un’analisi ingegneristica del problema specifico, non è un sostituto generico;
- in nessun caso l’emulazione su hardware classico riproduce un vantaggio computazionale quantistico reale (“quantum speedup”): resta calcolo classico, utile per sviluppo e validazione di algoritmi, non per ottenere le prestazioni asintotiche che solo un computer quantistico fisico maturo potrebbe garantire.
Va inoltre ricordato che il confronto energetico spesso citato tra emulazione GPU e hardware criogenico misura l’overhead costante di raffreddamento dell’hardware quantistico fisico, non l’energia necessaria a completare lo stesso task: sono grandezze diverse e non vanno confuse in un confronto diretto.
Conclusioni
La sovranità del dato nel calcolo quantistico non è, allo stato, un problema distinto dalla sovranità del dato nel cloud computing in generale: si applicano lo stesso Capo V del GDPR, gli stessi strumenti (decisioni di adeguatezza, SCC, DPF) e — per la sanità — lo stesso EHDS. Ciò che cambia è la scarsità dell’offerta: mentre per il cloud generico esistono alternative europee mature, per l’hardware quantistico fisico l’offerta europea (AQT, IQM) resta minoritaria rispetto ai tre hyperscaler extra-UE. In questo contesto, l’emulazione quantistica su infrastruttura propria rappresenta — per chi la propone — una via per esplorare il paradigma senza affrontare il problema del trasferimento dati, al prezzo però di limiti computazionali che vanno dichiarati con la stessa chiarezza con cui si dichiara il vantaggio di sovranità.
Partecipa alla community