Per oltre un decennio il dibattito sulla stabilità del sistema finanziario si è concentrato sulle banche, sugli hedge fund e sui mercati dei capitali. Oggi il Regno Unito ha spostato il baricentro della vigilanza verso un soggetto che fino a pochi anni fa sarebbe sembrato estraneo alla finanza: il cloud computing. Non è corretto affermare che Amazon sia diventata una banca, ma è corretto sostenere che Amazon Web Services, insieme a Microsoft, Google Cloud e Oracle, sia stata ufficialmente riconosciuta come parte dell’infrastruttura critica sulla quale poggia il sistema finanziario britannico. È un cambiamento concettuale prima ancora che regolatorio, perché certifica una realtà ormai evidente: senza cloud non funzionano più le banche.

Dal 13 luglio 2026 il Tesoro britannico ha designato Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations e Oracle UK come prime “Critical Third Parties”, inaugurando un nuovo regime di supervisione congiunta affidato alla Bank of England, alla Prudential Regulation Authority e alla Financial Conduct Authority. Non si tratta di una licenza bancaria, né di una trasformazione delle Big Tech in istituti finanziari. La novità consiste nel fatto che questi fornitori vengono considerati così essenziali per la continuità operativa del settore finanziario da meritare una vigilanza diretta da parte delle autorità che tradizionalmente controllano banche, assicurazioni e infrastrutture di mercato.

Le nuove regole introducono obblighi concreti. I provider dovranno dimostrare la resilienza dei servizi critici, sottoporsi a test operativi, notificare tempestivamente incidenti rilevanti e presentare alle autorità una valutazione della propria capacità di garantire continuità operativa. Parallelamente, le istituzioni finanziarie continueranno a essere pienamente responsabili della gestione del rischio derivante dai propri fornitori. Il regolatore, in altre parole, controlla anche il cloud, ma non solleva le banche dalle proprie responsabilità.

Questa decisione nasce da una trasformazione silenziosa che negli ultimi quindici anni ha cambiato l’architettura dell’intero sistema finanziario. Oggi una quota molto elevata delle principali banche britanniche utilizza gli stessi quattro grandi operatori cloud. La concentrazione tecnologica ha raggiunto livelli tali che un problema infrastrutturale presso uno solo di questi fornitori può propagarsi simultaneamente a centinaia di istituzioni finanziarie. Il rischio non riguarda più il software sviluppato dalla banca, bensì l’infrastruttura invisibile sulla quale quel software viene eseguito.

Negli ultimi anni diversi episodi hanno rafforzato queste preoccupazioni. Interruzioni dei servizi cloud hanno provocato disservizi in numerosi settori economici, evidenziando come anche modifiche tecniche apparentemente ordinarie possano generare effetti sistemici. Nel 2025 e nel 2026 vari incidenti che hanno coinvolto grandi piattaforme cloud hanno alimentato il dibattito sulla resilienza delle infrastrutture digitali. Sebbene le stime economiche dei danni varino sensibilmente tra gli analisti e non esista una cifra ufficiale condivisa per ogni singolo evento, il principio è ormai acquisito: un guasto nel cloud non è più un semplice problema informatico, ma può trasformarsi rapidamente in un rischio per la stabilità finanziaria.

Il percorso regolatorio non nasce improvvisamente. Già nel 2017 il Financial Policy Committee della Bank of England aveva iniziato a discutere il rischio derivante dalla concentrazione del cloud, mentre nel 2021 tale dipendenza era stata formalmente identificata come una potenziale minaccia alla stabilità finanziaria. Servivano però eventi sufficientemente visibili per trasformare una preoccupazione teorica in una decisione politica. Come spesso accade nella regolazione tecnologica, la normativa arriva soltanto quando il mercato ha già completato la propria trasformazione.

Esiste poi una dimensione geopolitica che va ben oltre la resilienza tecnica. Tutti e quattro i fornitori designati appartengono a gruppi statunitensi e operano quindi all’interno di un quadro normativo che comprende anche il Cloud Act americano. Questo elemento alimenta da anni il dibattito europeo sulla sovranità digitale e sulla possibilità che dati strategici, pur conservati fisicamente in Europa, possano ricadere sotto specifiche giurisdizioni statunitensi. La questione non riguarda esclusivamente la privacy, ma investe temi di autonomia economica, sicurezza nazionale e continuità operativa.

Il confronto con l’Unione Europea è particolarmente interessante. Londra ha scelto un approccio chirurgico, identificando inizialmente soltanto quattro fornitori ritenuti sistemici. Bruxelles, attraverso il regolamento DORA, ha invece costruito un meccanismo più ampio che consente la supervisione dei fornitori ICT critici per il settore finanziario, con un perimetro potenzialmente molto più esteso e con poteri sanzionatori significativamente superiori, inclusa la possibilità di imporre sanzioni economiche rilevanti in caso di mancato rispetto degli obblighi regolatori. In sostanza, il Regno Unito ha individuato i pilastri principali dell’infrastruttura digitale, mentre l’Unione Europea punta a governare l’intero ecosistema tecnologico.

Il tema assume una rilevanza ancora maggiore con la diffusione dell’intelligenza artificiale generativa. Gli stessi operatori che dominano il cloud stanno diventando i principali fornitori di modelli linguistici, piattaforme AI e capacità computazionale. La concentrazione non riguarda più soltanto i server, ma anche l’intelligenza che prenderà decisioni su credito, trading, gestione dei rischi e assistenza ai clienti. Se migliaia di banche utilizzeranno gli stessi modelli, addestrati sulle stesse architetture e distribuiti dagli stessi provider, il rischio sistemico potrebbe crescere ancora più rapidamente rispetto a quanto accaduto con il cloud.

La stessa Bank of England ha già indicato che l’intelligenza artificiale rappresenta una possibile futura area di attenzione nell’ambito dei fornitori critici. Il problema non consiste soltanto nell’eventualità che un modello possa sbagliare, ma nella possibilità che migliaia di organizzazioni commettano contemporaneamente lo stesso errore perché dipendono dalla medesima infrastruttura algoritmica. È un rischio qualitativamente diverso rispetto ai tradizionali errori umani: non si distribuisce, si replica.

Per i consigli di amministrazione la domanda non è più se utilizzare il cloud o l’intelligenza artificiale. Quella decisione è stata presa anni fa. Le vere domande riguardano il costo di un’interruzione del principale provider, l’esistenza di un piano alternativo realmente operativo e la capacità di migrare rapidamente servizi critici verso infrastrutture differenti o sovrane. La resilienza non coincide con il backup dei dati; significa poter continuare a operare quando l’infrastruttura sulla quale si è costruito il proprio business smette improvvisamente di funzionare.

La storia offre infine una lezione curiosa. Il sistema finanziario ha impiegato decenni per costruire regole sofisticate sulla solidità patrimoniale delle banche, ma è bastato poco più di un decennio perché una manciata di aziende tecnologiche diventasse indispensabile quanto gli stessi istituti di credito. Nessuno aveva pianificato che quattro fornitori cloud sostenessero buona parte della finanza occidentale. È semplicemente successo. Oggi il Regno Unito ha deciso di riconoscere questa realtà attraverso la regolazione. La prossima sfida sarà capire se il medesimo fenomeno si sta già ripetendo, con una velocità ancora maggiore, nel mercato dell’intelligenza artificiale.