Sovranità del cloud in Europa: ECIPE critica il Cloud and AI Development Act

• Studio ECIPE critica il Cloud and AI Development Act (CADA) dell'UE
• Su 9 Stati analizzati, gli appalti 'sovrani' sono andati a fornitori nazionali
• Analizzati 8.725 contratti cloud 2018-2025: concorrenza transfrontaliera trascurabile
• ECIPE chiede neutralità tecnologica, portabilità e multi-cloud

La spinta europea verso la sovranità del cloud sta portando gli Stati membri a premiare fornitori del proprio Paese, invece di costruire un mercato continentale dei servizi cloud. È la conclusione di uno studio dell’European Centre for International Political Economy (ECIPE), critico verso il Cloud and AI Development Act (CADA) proposto dall’Unione europea.

Che cosa emerge dai dati

I ricercatori hanno analizzato i contratti pubblici di cloud in nove Stati membri. In tutti i casi in cui è stato usato il nuovo lessico della “sovranità”, l’appalto è andato a un fornitore nazionale e non a uno di un altro Paese UE.

Il quadro precedeva però la svolta politica. L’analisi su 8.725 contratti di appalto legati al cloud, tra il 2018 e il 2025, mostra un mercato già molto concentrato a livello nazionale. Quasi tutti i contratti sono andati a fornitori dello stesso Paese, con una concorrenza transfrontaliera intra-UE trascurabile.

Secondo il rapporto, inoltre, molte di queste aggiudicazioni a operatori nazionali dipendono da contraenti principali che si appoggiano all’infrastruttura degli hyperscaler. In questi casi la sovranità riguarda la nazionalità dell’operatore, non lo strato infrastrutturale da cui il servizio dipende.

Due obiettivi sovrapposti

Per ECIPE il problema è una confusione concettuale. Il termine “sovranità” indica due cose diverse:

• un obiettivo di sicurezza e resilienza: proteggere i dati, gestire i rischi e poter scegliere fornitore e architettura;
• un obiettivo di politica industriale: favorire le aziende con sede in Europa, riparandole dalla concorrenza di fornitori extra-UE.

Il CADA, secondo lo studio, mescola le due logiche. I quattro livelli di garanzia europei sono presentati come criteri di sicurezza, resilienza e affidabilità. In pratica puntano però a imporre la sovranità con requisiti su infrastrutture situate nell’UE, limiti al controllo da parte di Paesi terzi e controllo sulle supply chain software.

Il rischio, avverte ECIPE, è che il quadro favorisca fornitori selezionati, limiti la concorrenza e frammenti i mercati digitali. Potrebbe quindi ostacolare la crescita di alternative paneuropee ai grandi provider statunitensi.

Le raccomandazioni

Gli autori propongono di mantenere gli obiettivi di resilienza, ma di affiancarli a requisiti di neutralità tecnologica che tutelino interoperabilità, portabilità e opzioni multi-cloud. Tra le raccomandazioni c’è anche quella di definire la sovranità come risultato dimostrabile e non come status di proprietà.

"Real sovereignty means a public buyer can show its data is secure and that it can switch provider if it has to. A provider's passport does not tell you that"

Lo ha dichiarato Fredrik Erixon, direttore di ECIPE e coautore dello studio, che aggiunge: “Europe’s cloud market is already national in practice. CADA risks locking that in”.

Un fronte non unanime

Non tutti concordano. All’inizio dell’anno l’associazione di settore CISPE (Cloud Infrastructure Service Providers in Europe) aveva chiesto alla Commissione europea di legiferare per una sovranità reale e non illusoria. Secondo CISPE la sovranità va definita in base al controllo, cioè alla proprietà effettiva della tecnologia sottostante e alla protezione da leggi extraterritoriali come il CLOUD Act statunitense. Quest’ultimo consente a Washington di imporre alle aziende tech americane di consegnare i dati che detengono, anche se conservati all’estero.

Lo stesso gruppo aveva già avvertito che i criteri della Commissione erano formulati in modo così vago da avvantaggiare gli operatori già dominanti, cioè i grandi provider americani.

Fonte: theregister · Foto: theregister