La sovranità digitale europea assomiglia sempre più a una partita a scacchi giocata usando pezzi americani. L’ultima mossa arriva da Thales, che ha annunciato una partnership strategica con Google Cloud per realizzare una nuova infrastruttura di cloud sovrano in Germania. Un progetto che punta a proteggere dati sensibili tedeschi dalle leggi extraterritoriali straniere utilizzando, contemporaneamente, una delle tecnologie cloud più americane disponibili sul mercato. Sì, il paradosso è esattamente questo.

L’accordo prevede la creazione di una nuova entità tedesca controllata da Thales, legalmente e operativamente indipendente da Google Cloud, gestita da personale locale e progettata per garantire che nessuna entità non europea possa accedere ai dati elaborati all’interno dell’infrastruttura. Il modello ricalca quanto già fatto in Francia con S3NS, la controllata di Thales nata per offrire servizi cloud “sovrani” basati sulle tecnologie di Google.

Dietro il linguaggio istituzionale, però, si muove una delle questioni più delicate dell’intera strategia digitale europea: come costruire autonomia tecnologica senza rinunciare alle piattaforme cloud americane che, realisticamente, oggi restano anni avanti rispetto a quasi tutti i competitor europei.

Perché il vero tema non è soltanto dove si trovano fisicamente i server. Il problema è chi controlla la tecnologia, il software, gli aggiornamenti, i layer di gestione e soprattutto quale legislazione possa teoricamente applicarsi ai dati.

Ed è qui che entra in scena il convitato di pietra di ogni discussione europea sul cloud: il CLOUD Act americano.

Il Clarifying Lawful Overseas Use of Data Act, approvato negli Stati Uniti nel 2018, consente alle autorità americane di richiedere accesso a dati detenuti da aziende statunitensi anche se archiviati all’estero. È esattamente questo il motivo per cui molte amministrazioni pubbliche europee, aziende strategiche e operatori critici guardano con sospetto a servizi come Amazon Web Services, Microsoft Azure o Google Cloud.

La domanda che circola da anni nei corridoi di Bruxelles è brutale nella sua semplicità: un dato custodito in Europa è davvero europeo se la tecnologia che lo gestisce appartiene a una corporation americana?

La risposta, almeno sulla carta, è quella che Thales e Google stanno cercando di costruire con questo modello operativo. L’idea è separare controllo tecnologico e controllo operativo. Google fornisce la piattaforma cloud e la capacità tecnologica, mentre Thales gestisce l’infrastruttura attraverso una società indipendente europea che dovrebbe impedire qualsiasi accesso diretto da parte della casa madre americana.

Tecnicamente il modello si basa su diversi layer: governance locale, personale europeo autorizzato, gestione autonoma delle chiavi crittografiche, isolamento operativo e controllo nazionale dell’infrastruttura. In teoria, tutto questo dovrebbe rendere estremamente difficile, se non impossibile, un accesso extraterritoriale ai dati sensibili.

Il punto, però, è che il dibattito giuridico resta apertissimo.

Molti esperti di diritto digitale e cybersecurity continuano infatti a interrogarsi su quanto queste architetture siano realmente impermeabili alle normative americane. Perché anche se il dato è custodito in Germania, anche se la società è tedesca e anche se la governance è europea, il software cloud continua comunque a essere sviluppato da un’azienda soggetta alla giurisdizione statunitense.

Ed è proprio questa ambiguità a raccontare meglio di qualsiasi slogan il momento che sta vivendo l’Europa.

Da una parte Bruxelles e i governi nazionali parlano sempre più spesso di autonomia strategica, AI sovrana e indipendenza digitale. Dall’altra, quando si tratta di implementare infrastrutture avanzate realmente competitive, quasi tutte le strade finiscono inevitabilmente per passare da tecnologia americana.

Il motivo è molto concreto. Addestrare modelli AI avanzati, gestire workload ad alta intensità computazionale e costruire ecosistemi cloud hyperscale richiede investimenti giganteschi, supply chain hardware sofisticate e competenze industriali che oggi l’Europa fatica ancora a concentrare in player realmente comparabili ai colossi statunitensi.

Così nasce una nuova categoria ibrida: la sovranità digitale assistita.

Non più il vecchio sogno di un cloud interamente europeo costruito da zero, ma un modello dove l’infrastruttura tecnologica americana viene “incapsulata” dentro governance, compliance e controllo operativo europei. Una soluzione pragmatica, certamente. Ma anche una soluzione che continua a sollevare interrogativi strategici enormi.

Perché la vera domanda non è se questi sistemi siano sufficientemente sicuri oggi. La domanda è quanto possa essere sostenibile nel lungo periodo una sovranità digitale costruita su stack tecnologici che restano comunque dipendenti da aziende extraeuropee.

Nel frattempo, però, Germania e Francia stanno mandando un messaggio chiarissimo al mercato. L’intelligenza artificiale generativa, il cloud e la gestione dei dati sensibili non sono più soltanto questioni tecnologiche. Sono infrastrutture geopolitiche.

E nell’era dell’AI, controllare il cloud significa controllare molto più dei server. Significa controllare dove vivono i dati, chi può analizzarli, quali algoritmi li elaborano e, soprattutto, chi detiene realmente il potere digitale.

Il fatto che l’Europa stia cercando di conquistare questa autonomia usando tecnologia americana racconta perfettamente quanto la partita sia complessa. E anche quanto sia ancora lontana dall’essere davvero indipendente.