Sovranità tecnologica: perché non è solo geopolitica, ma controllo dello stack digitale

Dott. Domenico Moretta
Criminalista forense – Digital & Audio Forensics Expert
Studioso di diritto delle nuove tecnologie e prova digitale

La sovranità tecnologica è diventata una delle espressioni più ricorrenti nel dibattito europeo su cloud, intelligenza artificiale, cybersicurezza, semiconduttori e infrastrutture digitali. Spesso, però, viene interpretata in modo riduttivo: come se significasse semplicemente “usare tecnologie europee” o sostituire fornitori statunitensi e cinesi con fornitori nazionali o comunitari.

In realtà il concetto è più complesso. La sovranità tecnologica non coincide con l’autarchia digitale. Non significa chiudere il mercato, rinunciare all’innovazione globale o pretendere che ogni componente venga prodotto entro i confini nazionali. Significa, piuttosto, avere la capacità di conoscere, controllare e governare le dipendenze tecnologiche che sorreggono servizi pubblici, imprese, infrastrutture critiche e, più in generale, la vita digitale di cittadini e organizzazioni.

La Commissione europea definisce la tech sovereignty come la capacità dell’Europa di agire autonomamente nel mondo digitale, sviluppando e controllando tecnologie, dati e infrastrutture chiave, riducendo al tempo stesso la dipendenza da fornitori extra-UE.

Dalla sovranità dei dati alla sovranità dello stack

Per anni il dibattito si è concentrato quasi esclusivamente sulla “sovranità del dato”: dove sono conservati i dati, chi può accedervi, quale normativa si applica, quali rischi derivano da trasferimenti internazionali o da accessi da parte di autorità straniere.

Oggi questo approccio non basta più. Il dato è solo uno degli strati dello stack digitale. Sopra e sotto il dato esistono infrastrutture fisiche, piattaforme cloud, data center, semiconduttori, sistemi operativi, librerie software, componenti open source, modelli di intelligenza artificiale, API, reti, sistemi di autenticazione, strumenti di cifratura e servizi gestiti.

La vera domanda, quindi, non è soltanto: “dove sono i dati?”. È anche: chi controlla l’infrastruttura su cui quei dati transitano? Chi amministra il cloud? Chi può sospendere il servizio? Chi sviluppa o aggiorna il software? Chi controlla le dipendenze open source? Chi può modificare un modello AI? Chi gestisce i log? Chi garantisce continuità operativa in caso di crisi geopolitica, attacco informatico o insolvenza di un fornitore?

In questa prospettiva, la sovranità tecnologica diventa un criterio di resilienza. È la capacità di evitare che funzioni essenziali dipendano da componenti non conosciute, non verificabili o non sostituibili.

Perché è importante

La sovranità tecnologica è importante per almeno cinque ragioni.

La prima è la sicurezza nazionale. Sanità, giustizia, energia, telecomunicazioni, finanza, trasporti e pubblica amministrazione dipendono da sistemi digitali. Se questi sistemi sono fondati su infrastrutture opache o non governabili, il rischio non è solo tecnico: diventa istituzionale.

La seconda è la continuità operativa. Un servizio cloud, un sistema di pagamento, una piattaforma di intelligenza artificiale o un ambiente documentale possono essere formalmente efficienti, ma fragili se dipendono da subfornitori non censiti, da data center concentrati in aree vulnerabili, da software non mantenuto o da licenze non più disponibili.

La terza è il controllo giuridico. Quando dati, log, contenuti e metadati sono trattati da fornitori soggetti a ordinamenti stranieri, possono sorgere problemi di accesso, segretezza, trasferimento, conservazione e opponibilità. Questo vale per le imprese, ma anche per attività investigative, consulenze tecniche, acquisizioni forensi e gestione della prova digitale.

La quarta è il potere contrattuale. Chi non conosce la propria catena tecnologica negozia male. Senza una mappatura dei fornitori, dei subfornitori, delle localizzazioni, delle chiavi di cifratura, degli accessi amministrativi e delle exit strategy, la dipendenza tecnologica resta nascosta fino al momento della crisi.

La quinta è la competitività industriale. L’Europa non può limitarsi a regolare tecnologie sviluppate altrove. Deve anche produrre capacità: calcolo, cloud, AI, cybersecurity, semiconduttori, open source, competenze e infrastrutture energetiche adeguate.

Il pacchetto europeo del 3 giugno 2026

Il 3 giugno 2026 la Commissione europea ha presentato il nuovo pacchetto sulla sovranità tecnologica. È un passaggio rilevante perché porta il tema dal piano politico al piano industriale e operativo. Il pacchetto include due proposte legislative, il Cloud and AI Development Act e il Chips Act 2.0, e due iniziative di policy: la EU Open Source Strategy e la Strategic Roadmap for Digitalisation and AI in Energy.

La comunicazione europea è chiara: la sovranità tecnologica non riguarda un singolo settore, ma l’intera catena del valore digitale, dai chip alle infrastrutture, dal software al cloud, dall’intelligenza artificiale all’energia.

Cloud and AI Development Act

Il Cloud and AI Development Act mira a rafforzare l’ecosistema europeo di cloud e intelligenza artificiale, con tre obiettivi principali: ricerca e innovazione, capacità infrastrutturale e autonomia. La Commissione punta, tra l’altro, a triplicare la capacità dei data center europei nei prossimi cinque-sette anni, semplificando autorizzazioni e accesso a risorse essenziali come energia, territorio, acqua e finanziamenti.

Il punto più interessante è l’introduzione di un quadro europeo per valutare la sovranità dei servizi cloud e AI. Nel contributo che ha stimolato questo approfondimento, il framework viene descritto come articolato in quattro livelli: dal trattamento e conservazione dei dati nell’Unione europea fino alla piena trasparenza e al controllo della supply chain software, con assenza di interferenze da Paesi terzi.

Il messaggio è pratico: il cloud non va più valutato solo per prezzo, prestazioni e scalabilità, ma anche per localizzazione, controllo, subfornitura, accessi privilegiati, resilienza, auditabilità e sostituibilità.

Chips Act 2.0

Il Chips Act 2.0 interviene sul lato hardware. La sovranità tecnologica, infatti, non può poggiare solo su software e cloud se l’Europa rimane strutturalmente dipendente da altri attori per semiconduttori, progettazione, produzione avanzata e componentistica critica.

Il Digital Decade Report 2026 fotografa bene il problema: l’Unione europea rappresenta circa il 9% del mercato globale dei semiconduttori, a fronte dell’obiettivo del 20% entro il 2030. Lo stesso report segnala dipendenze ancora significative anche in cloud, cybersecurity e altre tecnologie strategiche.

Open source come leva di autonomia

Un altro tassello importante è la EU Open Source Strategy. L’open source viene collocato al centro della sovranità tecnologica europea, non come scelta “ideologica”, ma come strumento di interoperabilità, riuso, trasparenza, riduzione del lock-in e controllo sulle dipendenze software.

Questo aspetto è decisivo. Molte infrastrutture pubbliche e private si reggono su librerie open source. Il problema non è usare open source, ma usarlo senza governance: senza inventario, senza Software Bill of Materials, senza monitoraggio delle vulnerabilità, senza policy di aggiornamento, senza presidio contrattuale e senza responsabilità chiare.

In questa direzione si inserisce anche il Cyber Resilience Act, che introduce requisiti di cybersicurezza obbligatori per prodotti hardware e software con elementi digitali, lungo l’intero ciclo di vita del prodotto. Le principali obbligazioni si applicheranno dall’11 dicembre 2027, mentre gli obblighi di reporting scatteranno dall’11 settembre 2026.

Energia e data center

La sovranità tecnologica ha anche una dimensione fisica. Cloud e AI richiedono data center, capacità di calcolo, raffreddamento, acqua, energia, reti e connettività. Per questo la roadmap europea su digitalizzazione e AI nel settore energetico affronta l’aumento della domanda energetica delle infrastrutture digitali e il ruolo dell’AI nel rendere il sistema energetico più pulito, sicuro e competitivo.

Il tema è evidente: non esiste sovranità dell’AI senza sovranità infrastrutturale. E non esiste sovranità infrastrutturale senza una strategia energetica coerente.

Lo stato dell’arte in Europa

L’Europa ha ormai costruito un quadro regolatorio molto ampio: GDPR, Data Governance Act, Data Act, Digital Services Act, Digital Markets Act, AI Act, NIS2, DORA, Cyber Resilience Act, Digital Decade, iniziative su cloud, semiconduttori, open source e data center.

Il problema non è più l’assenza di norme. Il problema è l’esecuzione.

Il Digital Decade Report 2026 riconosce progressi in connettività, servizi pubblici digitali, competenze e adozione di tecnologie avanzate, ma segnala che la sfida principale è ora realizzare risultati su scala, con velocità e coerenza. Gli Stati membri hanno dichiarato 1.934 misure nelle roadmap nazionali, per un valore di 289,3 miliardi di euro, ma restano gap strutturali su semiconduttori, cloud, competenze ICT, capacità di calcolo e adozione delle tecnologie da parte delle imprese.

Il dato più significativo, a mio avviso, è questo: la sovranità tecnologica europea non può essere ottenuta solo con regolamenti. Richiede capacità industriale, capacità contrattuale, capacità tecnica e competenze diffuse.

Lo stato dell’arte in Italia

In Italia il tema della sovranità tecnologica passa soprattutto da quattro direttrici: cloud pubblico, infrastrutture digitali, intelligenza artificiale e data center.

La Strategia Cloud Italia, elaborata dal Dipartimento per la trasformazione digitale e dall’Agenzia per la cybersicurezza nazionale, individua tre sfide principali: assicurare l’autonomia tecnologica del Paese, garantire il controllo sui dati e aumentare la resilienza dei servizi digitali. La strategia si fonda su classificazione di dati e servizi, qualificazione dei servizi cloud e Polo Strategico Nazionale.

La classificazione dei dati pubblici distingue dati strategici, critici e ordinari, secondo il danno che una loro compromissione potrebbe provocare al Paese. I dati strategici sono quelli la cui compromissione può incidere sulla sicurezza nazionale; quelli critici possono compromettere funzioni rilevanti per società, salute, sicurezza e benessere economico-sociale; quelli ordinari non determinano l’interruzione di servizi essenziali.

Il Polo Strategico Nazionale è l’infrastruttura ad alta affidabilità pensata per ospitare in sicurezza dati e servizi critici e strategici delle amministrazioni italiane. Le sedi indicate per i data center sono Acilia e Pomezia nel Lazio, Rozzano e Santo Stefano Ticino in Lombardia, con l’obiettivo di garantire continuità operativa e tolleranza ai guasti.

Il Piano Triennale per l’informatica nella PA 2024-2026 conferma questa impostazione: efficienza, razionalizzazione e migrazione al cloud non possono essere separate da sicurezza, affidabilità, sostenibilità, continuità operativa e tutela dell’autonomia tecnologica del Paese.

Sul versante dell’intelligenza artificiale, l’Italia ha adottato la Strategia italiana per l’IA 2024-2026, articolata su ricerca, pubblica amministrazione, imprese e formazione. Nel 2025 è stata inoltre approvata la legge n. 132/2025 sull’intelligenza artificiale, pubblicata in Gazzetta Ufficiale il 25 settembre 2025, che introduce principi nazionali in materia di ricerca, sviluppo, adozione e applicazione dei sistemi e modelli di AI.

Un ulteriore tassello è la strategia MIMIT per l’attrazione degli investimenti esteri nei data center. Il Ministero la presenta come un’iniziativa per rafforzare il ruolo dell’Italia come hub digitale europeo e mediterraneo, con attenzione a data storage, cloud, sostenibilità, aree industriali dismesse, reti energetiche, rinnovabili, connettività in fibra e cavi sottomarini.

Il dato italiano è quindi ambivalente. Da un lato il Paese mostra progressi rilevanti: secondo il report europeo Digital Decade 2026, l’Italia supera la media UE in FTTP, 5G, digitalizzazione delle PMI, uso di cloud e data analytics; la copertura 5G è indicata al 99,82% e la copertura FTTP delle famiglie al 77,56% nel 2025. Dall’altro lato resta un nodo importante sulle competenze: gli specialisti ICT rappresentano il 3,8% dell’occupazione, contro un target europeo del 10%.

È significativo anche il recente riassetto del Polo Strategico Nazionale: Reuters ha riferito il 6 luglio 2026 di una possibile riorganizzazione della compagine societaria, con Leonardo intenzionata ad aumentare la propria partecipazione e Poste Italiane interessata a un ruolo più rilevante. Il dato conferma che il cloud pubblico nazionale non è solo una questione tecnica, ma anche industriale e strategica.

Le ricadute per imprese, PA e professionisti

Per le pubbliche amministrazioni, sovranità tecnologica significa classificare correttamente dati e servizi, scegliere infrastrutture coerenti con il livello di rischio, pretendere qualificazioni, verificare subfornitori, monitorare continuità operativa e assicurare portabilità.

Per le imprese, significa introdurre la sovranità digitale nella due diligence tecnica e contrattuale. Non basta chiedere dove sono i server. Occorre verificare almeno: titolarità e controllo del fornitore, localizzazione dei dati, localizzazione dei backup, accessi amministrativi, cifratura e gestione delle chiavi, subfornitura, audit, vulnerability management, business continuity, disaster recovery, exit strategy, interoperabilità e conservazione dei log.

Per i settori regolati, il tema è ancora più forte. NIS2 richiede agli Stati membri strategie nazionali di cybersicurezza che includano sicurezza della supply chain, gestione delle vulnerabilità, formazione e consapevolezza; estende inoltre gli obblighi a numerosi settori critici e importanti. In ambito finanziario, DORA rafforza la gestione del rischio ICT di terza parte: concentrazione, subfornitura, audit, continuità, accesso alle informazioni ed exit strategy diventano elementi centrali della resilienza operativa.

Sovranità tecnologica e prova digitale

C’è infine un profilo spesso trascurato: la sovranità tecnologica riguarda anche la prova digitale.

Nelle attività di digital forensics, audio forensics, acquisizione di chat, cloud evidence, log, contenuti social, e-mail, file condivisi e ambienti collaborativi, il problema non è soltanto “recuperare il dato”. Il problema è sapere dove si trova, chi lo controlla, come viene conservato, quali metadati sono disponibili, quali log possono essere prodotti, con quali tempi, con quali garanzie di integrità e secondo quale giurisdizione.

Una prova digitale conservata in un’infrastruttura non governabile è una prova più difficile da acquisire, verificare e difendere. Una piattaforma che non garantisce audit log adeguati, esportazioni complete, tracciabilità degli accessi, conservazione coerente dei metadati o canali di cooperazione affidabili può creare criticità non solo tecniche, ma processuali.

Da questo punto di vista, la sovranità tecnologica può essere letta anche come sovranità probatoria: capacità di mantenere controllo, verificabilità e documentabilità sulle evidenze digitali rilevanti.

Conclusioni

La sovranità tecnologica non è uno slogan. È una disciplina di governo del rischio.

Non significa scegliere sempre e comunque fornitori europei. Significa sapere da chi si dipende, su quali componenti, con quali vincoli, con quali rischi e con quali alternative. Significa trasformare cloud, AI, software, semiconduttori, open source, data center ed energia in oggetto di governance, procurement, compliance e resilienza.

L’Unione europea ha avviato un percorso ambizioso. L’Italia, con Strategia Cloud, PSN, Piano Triennale, AI Strategy, legge nazionale sull’AI e strategia data center, dispone di alcuni tasselli rilevanti. Ma la partita non si vincerà solo nei documenti strategici. Si vincerà nella capacità di realizzare infrastrutture, formare competenze, scrivere contratti migliori, controllare le supply chain, evitare lock-in e rendere verificabili le scelte tecnologiche.

Per imprese, pubbliche amministrazioni e professionisti della prova digitale, il punto è chiaro: la tecnologia non è neutra quando diventa infrastruttura critica. E chi non governa la propria infrastruttura digitale finisce, inevitabilmente, per subirla.

✒️ Nota sull’autore

Domenico Moretta, laureato in Diritto della Società Digitale, è criminalista forense e consulente tecnico specializzato in digital forensics, audio forense e trascrizioni giuridiche. Autore di volumi divulgativi e professionali, affianca all’attività peritale un costante percorso di approfondimento nelle discipline giuridiche e nelle tecnologie applicate alla prova digitale.
Con il progetto www.acquisizioneprovedigitali.it promuove una cultura integrata tra scienze forensi, innovazione tecnologica e tutela dei diritti nell’ambiente digitale.

CLICCA QUI PER RICHIEDERE MAGGIORI INFORMAZIONI