La risposta breve
Il 3 giugno 2026 la Commissione europea ha proposto il Cloud and AI Development Act (CADA), l'ammiraglia del suo Pacchetto per la sovranità tecnologica. La proposta accelererebbe la costruzione di data center nell'UE — con l'obiettivo di triplicare la capacità in cinque-sette anni — e introdurrebbe un quadro unico a livello UE che valuta i servizi cloud e IA su quattro livelli di garanzia della sovranità. Accanto figurano un Chips Act 2.0 e una strategia open source dell'UE.
CADA è una proposta, non ancora legge: deve ancora passare il Parlamento europeo e il Consiglio. Ma la direzione è inequivocabile. Per i team di software che vendono in Italia e in Europa, la sovranità del cloud — dove risiedono i dati, chi gestisce l'infrastruttura e quale legge vi accede — passa da un optional a un criterio d'acquisto formale. Il lavoro comincia ora, finché è a basso costo.
Cosa contiene davvero il Pacchetto sovranità
La Commissione presenta il pacchetto come risposta alla dipendenza dell'Europa da cloud, chip e IA extra-UE. La CNBC ha colto il tono politico con una citazione da Bruxelles: i responsabili vogliono assicurarsi che «nessuno abbia un interruttore di spegnimento» sull'infrastruttura digitale critica dell'Europa. Al di là della retorica, per i team tecnici contano tre filoni concreti:
- Cloud and AI Development Act (CADA). Un quadro per finanziare la capacità cloud e IA europea e definire come il settore pubblico debba valutare la sovranità dei servizi che acquista.
- Chips Act 2.0. Un programma sui semiconduttori di seconda generazione volto a ridurre la dipendenza da Paesi terzi per progettazione e produzione di chip, con l'intento dichiarato di dare priorità a una fonderia avanzata all'interno del blocco.
- Strategia open source dell'UE. Una strategia per promuovere soluzioni e sviluppatori open source europei e integrare le comunità open source nella normazione UE.
Il filo conduttore è il controllo: l'Europa vuole poter gestire una parte maggiore dello stack — silicio, data center, modelli e il software sopra — indipendentemente da un singolo fornitore estero. È un'ambizione di politica industriale, ma per i team tecnici si traduce in domande concrete su dove girano i carichi di lavoro e chi può metterci mano.
Che cos'è CADA e cosa cambierebbe?
CADA (formalmente COM(2026) 502) fissa tre obiettivi. Primo: sostenere ricerca, sviluppo e innovazione nelle tecnologie cloud e IA avanzate e sostenibili. Secondo: accelerare la realizzazione di data center nell'UE, con l'obiettivo esplicito di triplicare la capacità in cinque-sette anni. Terzo — ed è la parte che ridisegna le decisioni d'acquisto — introdurre un quadro di valutazione unico a livello UE per la sovranità di cloud e IA.
Oggi «cloud sovrano» significa cose diverse in Francia, Germania e Paesi Bassi, ciascuno con etichette e criteri propri. L'ambizione di CADA è un metro comune sul mercato unico. Per un fornitore è in realtà una buona notizia: un solo quadro da soddisfare invece di un mosaico. Il punto è che il metro misura cose che molti prodotti SaaS di origine statunitense non hanno mai dovuto esporre — la giurisdizione che si applica ai loro dati e la nazionalità dell'entità che gestisce la loro infrastruttura.
CADA si applica ai fornitori statunitensi?
Non come divieto, né come obbligo diretto alla maniera dell'AI Act. CADA è politica degli appalti e industriale. Cambia i criteri con cui gli enti pubblici dell'UE — e, per attrazione, gli acquirenti privati regolati nella FinTech, nella sanità e nel settore pubblico — scelgono i servizi cloud e IA. La sovranità si aggiunge a prezzo e funzionalità come dimensione valutata.
L'effetto pratico su un fornitore statunitense è quindi competitivo, non proibitivo. Se una rete ospedaliera europea o una banca deve raggiungere un dato livello di garanzia, un fornitore che dimostra residenza dei dati nell'UE, operazioni basate nell'UE e resistenza alla portata giuridica extraterritoriale supera l'asticella; chi non può viene escluso prima della demo. Il sottotesto scomodo per i fornitori statunitensi è la portata di leggi come il CLOUD Act: gli acquirenti UE chiedono sempre più spesso se un governo estero possa imporre l'accesso ai loro dati — e una risposta convincente ha ormai valore commerciale.
Cosa significa per il mercato italiano
Per gli acquirenti italiani la sovranità dei dati non è un'idea nuova, ma un irrigidimento di aspettative già presenti. La PA, le banche vigilate da Banca d'Italia e le aziende sanitarie interrogano già oggi luogo di trattamento, gestore e giurisdizione. CADA sposta queste domande dal piano nazionale a quello europeo e rende la risposta comparabile. Per i fornitori la lezione è chiara: agganciare in modo pulito la propria postura di sovranità a GDPR e classificazione AgID/ACN evita di doverla rispiegare Paese per Paese.
I quattro livelli di garanzia della sovranità
CADA definisce la sovranità di cloud e IA attraverso quattro livelli di garanzia, che gli enti pubblici applicano in base alla propria analisi del rischio. La proposta li descrive come una scala: i livelli più alti richiedono garanzie più forti su dove i dati sono archiviati e trattati, su chi gestisce e controlla l'infrastruttura e su quanto il servizio è isolato da giurisdizioni extra-UE. I livelli bassi si adattano ai carichi a basso rischio; il livello più alto punta ai dati governativi sensibili e delle infrastrutture critiche.
I criteri tecnici precisi saranno affinati man mano che la proposta avanza nell'iter legislativo: tratta quindi i livelli come una direzione, non come una checklist definitiva. L'intento progettuale è però chiaro e vale la pena interiorizzarlo: consente a un acquirente di dire «questo carico richiede il livello 3» e a un fornitore di rispondere «ecco come raggiungiamo il livello 3» in modo comparabile tra tutti i 27 Stati membri.
| Dimensione esaminata dai livelli | Cosa chiede davvero un acquirente |
|---|---|
| Localizzazione dei dati | I dati sono archiviati e trattati nell'UE, backup e log inclusi? |
| Controllo operativo | Chi gestisce l'infrastruttura ogni giorno, e sotto quale controllo societario? |
| Isolamento giurisdizionale | Un governo extra-UE può imporre l'accesso a questi dati o al servizio? |
| Autonomia tecnica | Il servizio continua a funzionare se un fornitore estero si ritira? |
Chips Act 2.0 e la strategia open source
Due elementi di contorno completano il pacchetto. Il Chips Act 2.0 è un programma sui semiconduttori rinnovato, rivolto allo strato sotto tutto il resto: affronta la dipendenza dell'Europa da Paesi terzi per progettazione e produzione di chip, e la Commissione ha segnalato di voler dare priorità alla costruzione di una fonderia avanzata nel blocco. Per la maggior parte dei team di software è più un clima di sfondo che un compito — ma un promemoria che la potenza di calcolo, e quindi la disponibilità e il prezzo delle GPU per i carichi IA dell'UE, si gioca ormai a livello politico.
La strategia open source dell'UE è più vicina al terreno degli sviluppatori. Promuove soluzioni e sviluppatori open source europei e integra le comunità open source nella normazione UE. Se il tuo prodotto poggia su componenti open source o contribuisci a monte, aspettati che l'open source sia trattato come un asset di sovranità — una dipendenza che l'Europa può ispezionare e controllare — anziché un rischio. Questa impostazione gioca a tuo favore se posizioni uno stack trasparente e portabile invece che vincolato a un unico fornitore proprietario.
Cosa comporta per i team di software
Tolta la geopolitica, CADA è una forcing function per l'architettura. La domanda che spinge ogni acquirente UE a porsi — «dove risiedono i miei dati e chi può raggiungerli?» — molti prodotti SaaS statunitensi la risolvono oggi con un implicito «da qualche parte in us-east-1». Quella risposta comincerà a costare contratti.
I team che se la caveranno sono quelli che trattano la residenza dei dati come capacità di prodotto di primo livello, non come eccezione da ticket di supporto. In concreto: un'opzione di deployment in regioni UE con archiviazione e trattamento nell'UE, operazioni descrivibili con onestà e flussi transfrontalieri minimi. Spostare o allestire carichi in regioni UE è il grosso del lavoro, ed è esattamente il tipo di attività che il nostro team di migrazione cloud definisce per i prodotti USA/UE. I settori regolati lo sentono per primi: un acquirente FinTech o HealthTech renderà il livello di garanzia un requisito vincolante molto prima di un'app consumer a basso rischio.
C'è anche un vantaggio da nominare. Un quadro di sovranità comune a livello UE è più facile da affrontare di un insieme frammentato di schemi nazionali. Costruire una volta — in modo pulito e secondo l'impostazione CADA — il proprio racconto di residenza e documentazione permette di riutilizzarlo su tutto il mercato unico, invece di ri-negoziare «cloud sovrano» Paese per Paese. Chi si muove per primo trasforma un costo di conformità in un fattore di differenziazione.
La checklist tecnica e go-to-market
Ecco la versione operativa. Eseguila come esercizio di scoping ora, finché CADA è ancora una proposta e non sei sotto pressione contrattuale.
- Mappa residenza dei dati e giurisdizione. Per ogni set di dati annota dove è archiviato e trattato (backup, log e analytics inclusi), quale entità gestisce quell'infrastruttura e sotto quale legge ricade. Questa singola mappa risponde alla maggior parte delle domande sulla sovranità.
- Predisponi un percorso di deployment in regione UE. Anche se non lo offri ancora, sappi cosa richiede: archiviazione e trattamento nell'UE, chiavi di cifratura residenti nell'UE e un diagramma dei flussi di dati senza deviazioni statunitensi a sorpresa.
- Separa control plane e data plane. Gli acquirenti accettano una certa orchestrazione globale; rifiutano che i dati dei clienti lascino la regione. Progetta in modo che i dati personali e sensibili possano restare nell'UE anche quando gli strumenti di gestione non lo fanno.
- Metti per iscritto la tua postura di sovranità. Produci un documento breve e onesto che un ufficio acquisti europeo possa collocare in un livello di garanzia: residenza, gestore, giurisdizione, sub-responsabili e continuità in caso di ritiro di un fornitore.
- Verifica sub-responsabili e fornitori. La tua sovranità vale quanto la tua dipendenza più debole. Elenca ogni terza parte che tocca i dati dei clienti e dove si trova.
- Tratta l'open source come un asset. Dove ti appoggi all'open source o vi contribuisci, dillo — si legge come portabilità e ispezionabilità, in linea con la strategia UE.
- Assegna un responsabile e rivedi all'adozione. CADA cambierà durante l'iter legislativo. Nomina qualcuno che lo segua e consolidi i criteri di livello di garanzia prima che diventino contrattuali.
Nulla di tutto questo è consulenza legale, e i tuoi obblighi precisi dipenderanno dal testo finale di CADA e dagli acquirenti a cui vendi. Ma il segnale strategico è già chiaro: l'Europa sta rendendo la sovranità del cloud un criterio d'acquisto valutato, e le parti che toccano i normali team di software — residenza dei dati, operazioni in regione UE e un racconto giurisdizionale onesto — sono realizzabili già oggi. Costruiscile.
Domande frequenti
Che cos'è l'EU Cloud and AI Development Act (CADA)?
CADA è una proposta legislativa presentata dalla Commissione europea il 3 giugno 2026 nell'ambito del suo Pacchetto per la sovranità tecnologica. Mira a sostenere la R&S cloud e IA, ad accelerare la realizzazione di data center nell'UE (obiettivo: triplicare la capacità in cinque-sette anni) e a introdurre un quadro unico a livello UE per valutare la sovranità dei servizi cloud e IA su quattro livelli di garanzia. A luglio 2026 è una proposta, non ancora legge.
CADA si applica ai fornitori cloud e software statunitensi?
Indirettamente ma in modo concreto. CADA non vieta i fornitori statunitensi. Cambia il modo in cui gli enti pubblici dell'UE e, nel tempo, gli acquirenti regolati valutano i servizi cloud e IA, aggiungendo una valutazione di sovranità a prezzo e funzionalità. Un fornitore statunitense che dimostra residenza dei dati nell'UE, operazioni basate nell'UE e resistenza alla portata giuridica estera ottiene un punteggio migliore e resta idoneo a più appalti europei.
Quali sono i quattro livelli di garanzia della sovranità?
CADA definisce un quadro unico a livello UE con quattro livelli di garanzia che gli enti pubblici applicano in base alla propria analisi del rischio. I livelli più alti corrispondono a garanzie più forti su dove i dati sono archiviati e trattati, su chi gestisce l'infrastruttura e su quanto è isolata da giurisdizioni extra-UE. I criteri esatti saranno definiti durante l'iter legislativo.
Quando entrerà in vigore CADA?
Non c'è ancora una data. CADA è stato proposto il 3 giugno 2026 e deve ancora essere negoziato e adottato dal Parlamento europeo e dal Consiglio prima di applicarsi. L'obiettivo di capacità è un obiettivo politico, non una scadenza di conformità. Considera il 2026 come finestra di pianificazione, non come data di scadenza.
Qual è la differenza tra CADA e l'AI Act?
Risolvono problemi diversi. L'AI Act regola come i sistemi di IA possono essere costruiti e usati, ed è già in parte applicabile. CADA è politica industriale e degli appalti: finanzia l'infrastruttura cloud e IA europea e fissa criteri di sovranità per l'acquisto di questi servizi. Un prodotto può essere pienamente conforme all'AI Act e comunque ottenere un punteggio basso sulla scala di sovranità di CADA, o viceversa.
Cosa deve fare un'azienda SaaS per restare competitiva in Italia?
Parti da una mappa della residenza dei dati e della giurisdizione del tuo stack: dove risiede ogni set di dati, chi può accedervi e sotto quale legge. Offri un deployment in regioni UE con operazioni basate nell'UE, riduci i flussi transfrontalieri e documenta la tua postura di sovranità in linea con la classificazione dati AgID/ACN e il GDPR, così che gli acquirenti europei possano collocarti in un livello di garanzia. Farlo ora costa molto meno di un adeguamento sotto pressione contrattuale.
Fonti
Commissione europea — Pacchetto per la sovranità tecnologica (comunicato IP/26/1187), 3 giugno 2026
Commissione europea — Cloud and AI Development Act (Shaping Europe's digital future)
CNBC — Europe unveils tech sovereignty package amid U.S. tech reliance concerns, 3 giugno 2026