La provenienza geografica della tecnologia è diventata uno dei criteri attraverso cui aziende e istituzioni cercano di interpretare la sovranità digitale. È comprensibile: in uno scenario nel quale cloud, intelligenza artificiale, semiconduttori, infrastrutture e dati sono entrati pienamente nella competizione economica e geopolitica, sapere dove nasce una tecnologia, quale soggetto la controlla e a quale ordinamento giuridico risponde non è affatto secondario. Il problema nasce quando questa informazione, da elemento di valutazione, diventa una definizione: europeo equivale a sovrano, extraeuropeo equivale a dipendente.

La realtà tecnologica delle imprese è molto più complessa, perché la sovranità non si misura osservando soltanto la sede legale di un provider o la posizione geografica di un data center. Si misura cercando di capire quanto controllo rimane all’organizzazione dopo che una determinata tecnologia è entrata nei suoi processi, quanto sia possibile modificarne l’utilizzo, trasferire dati e workload, sostituire un fornitore, comprendere ciò che accade nell’infrastruttura e, soprattutto, continuare a prendere decisioni senza essere condizionati da dipendenze diventate nel frattempo troppo costose da sciogliere.

È su questo terreno che la sovranità digitale smette di essere un tema prevalentemente politico e diventa una questione di strategia aziendale.

Essere europei non è una garanzia sufficiente

Il dibattito europeo sta evolvendo proprio in questa direzione. Il Cloud Sovereignty Framework utilizzato dalla Commissione europea non riduce infatti la sovranità a un criterio geografico, ma la valuta attraverso 48 criteri organizzati in otto aree che comprendono dimensione strategica, aspetti legali e giurisdizionali, dati e intelligenza artificiale, operatività, supply chain, tecnologia, sicurezza e compliance, fino alla sostenibilità ambientale. È un approccio significativo perché riconosce implicitamente che la sovranità è una proprietà complessa dell’ecosistema tecnologico e non un semplice attributo del fornitore.

Un servizio sviluppato e gestito da un’impresa europea può quindi rispondere positivamente ad alcuni requisiti importanti, a cominciare dalla maggiore prossimità normativa e giurisdizionale, senza per questo eliminare automaticamente ogni forma di dipendenza. Se utilizza formati proprietari difficili da trasferire, se rende estremamente onerosa una migrazione, se costruisce un ecosistema nel quale applicazioni e processi funzionano soltanto all’interno della propria piattaforma oppure se concentra presso il fornitore competenze che l’impresa cliente non possiede più internamente, quella relazione può produrre un livello di lock-in molto elevato.

Allo stesso modo, l’utilizzo di una tecnologia sviluppata fuori dall’Europa non determina necessariamente la perdita totale del controllo, perché molto dipende da come quella tecnologia viene inserita nell’architettura aziendale, dalle condizioni contrattuali negoziate, dalla portabilità dei dati, dagli standard utilizzati e dalla capacità dell’organizzazione di sostituirla qualora le condizioni economiche, normative o strategiche dovessero cambiare.

La distinzione è fondamentale perché consente di uscire da una lettura quasi identitaria della sovranità digitale e di riportare il problema nel luogo in cui le imprese possono realmente governarlo: la progettazione delle proprie dipendenze tecnologiche.

Il vero rischio è perdere la possibilità di scegliere

Ogni organizzazione tecnologicamente evoluta dipende da qualcuno. Dipende dai produttori di hardware, dai provider cloud, dagli sviluppatori di software, dalle piattaforme di cybersecurity, dalle infrastrutture di telecomunicazione e, sempre più spesso, dai fornitori di modelli e servizi di intelligenza artificiale. Immaginare un’impresa completamente indipendente da tecnologie esterne non sarebbe soltanto irrealistico, ma probabilmente anche inefficiente.

La sovranità digitale non consiste quindi nell’eliminazione delle dipendenze, bensì nella capacità di conoscerle, valutarle e impedire che diventino irreversibili.

È qui che il tradizionale concetto di vendor lock-in assume una dimensione strategica più ampia. Il problema non si manifesta soltanto quando un’impresa è tecnicamente impossibilitata a cambiare fornitore; molto più frequentemente emerge quando quella possibilità continua formalmente a esistere, ma il costo economico, organizzativo e operativo della migrazione è diventato talmente elevato da renderla impraticabile.

Un’organizzazione può possedere i propri dati e tuttavia non riuscire a trasferirli facilmente in un altro ambiente. Può avere contrattualmente il diritto di cambiare provider, ma scoprire che anni di integrazioni proprietarie rendono l’operazione estremamente complessa. Può disporre di documentazione tecnica completa e contemporaneamente aver perso le competenze interne necessarie per interpretarla. In tutti questi casi non esiste necessariamente un vincolo formale, ma esiste una progressiva riduzione dello spazio decisionale dell’impresa.

Ed è precisamente quello spazio decisionale che dovrebbe diventare una delle nuove unità di misura della sovranità digitale.

Il controllo dei dati non coincide con la loro localizzazione

La questione diventa ancora più delicata quando al centro dell’architettura ci sono i dati. Per molto tempo il dibattito ha privilegiato la domanda sulla loro localizzazione fisica, e certamente sapere dove vengono conservati continua ad avere rilevanza normativa, operativa e strategica. Tuttavia, limitarsi alla localizzazione significa osservare soltanto una parte del problema.

La vera governance del dato richiede di comprendere chi possa accedervi, quali soggetti partecipino al trattamento, quali subfornitori intervengano nella catena tecnologica, quali ordinamenti possano esercitare la propria giurisdizione sui soggetti coinvolti, quali procedure regolino eventuali trasferimenti e quali garanzie siano previste nel caso in cui la relazione con il provider venga interrotta.

Il quadro europeo sui trasferimenti internazionali dimostra quanto questa materia sia articolata. L’European Data Protection Board continua a intervenire sul tema e nel gennaio 2026 ha pubblicato la versione aggiornata delle FAQ dedicate alle imprese sul Data Privacy Framework tra Unione europea e Stati Uniti, confermando quanto la valutazione dei flussi di dati non possa essere ridotta alla semplice collocazione dell’infrastruttura.

Per questo motivo anche un’affermazione apparentemente rassicurante come “i dati rimangono in Europa” dovrebbe rappresentare l’inizio dell’analisi, non la sua conclusione. La residenza del dato è importante, ma la sovranità riguarda l’intera catena attraverso cui quel dato viene conservato, elaborato, trasferito, utilizzato e infine restituito o cancellato.

La possibilità di uscire deve diventare un requisito progettuale

Uno degli aspetti più interessanti della nuova fase normativa europea riguarda proprio la portabilità e il passaggio tra fornitori. Il Data Act ha rafforzato il principio secondo cui la capacità di cambiare servizio cloud non dovrebbe essere considerata un’eventualità eccezionale da affrontare quando il rapporto con il provider entra in crisi, ma una condizione da prendere in considerazione fin dall’inizio della relazione.

Per le imprese questo implica un cambio di prospettiva significativo. La qualità di una scelta tecnologica non dovrebbe più essere misurata esclusivamente attraverso ciò che quella soluzione permette di ottenere nel presente, ma anche considerando quanto lascia aperto il futuro.

Una piattaforma può essere estremamente performante e conveniente oggi, ma diventare strategicamente problematica se ogni nuova integrazione aumenta il costo di una futura uscita. Una soluzione può offrire un vantaggio competitivo immediato e contemporaneamente generare una dipendenza che, nel medio periodo, riduce la capacità negoziale dell’impresa. Il punto non è evitare tecnologie proprietarie o piattaforme globali per principio, ma comprendere quale prezzo, oltre a quello indicato nel contratto, si stia accettando di pagare in termini di autonomia futura.

In questa prospettiva, persino una strategia multicloud può essere sovrana oppure non esserlo. Distribuire workload tra diversi provider non produce automaticamente indipendenza se l’architettura continua a dipendere da componenti proprietarie difficilmente trasferibili; viceversa, una scelta tecnologica più concentrata può mantenere un buon livello di controllo quando dati, applicazioni, competenze e condizioni contrattuali sono stati progettati pensando anche alla reversibilità.

Sovranità significa anche conservare competenze

Nel dibattito sulla sovranità digitale esiste inoltre una dimensione meno visibile rispetto a cloud, dati e giurisdizione, ma altrettanto importante: quella delle competenze.

Un’impresa può controllare contrattualmente la propria infrastruttura e perdere comunque sovranità se non possiede più internamente le conoscenze necessarie per comprenderla. L’outsourcing è una componente normale e spesso indispensabile delle strategie tecnologiche contemporanee, ma delegare l’operatività non dovrebbe significare delegare completamente la capacità di valutazione.

Quando soltanto il fornitore conosce realmente l’architettura, quando le decisioni tecniche non possono più essere valutate internamente o quando la sostituzione di un partner comporterebbe anche la perdita della conoscenza accumulata negli anni, la dipendenza non riguarda più soltanto la tecnologia. Riguarda la capacità dell’organizzazione di esercitare consapevolmente il proprio ruolo di committente.

La sovranità, da questo punto di vista, è anche competenza sufficiente per poter scegliere, perché non esiste reale potere negoziale senza la capacità di comprendere ciò che si sta negoziando.

Dalla sovranità tecnologica alla sovranità delle decisioni

La posizione di Enablit parte quindi da una distinzione essenziale: sovranità digitale e autarchia tecnologica non sono sinonimi. Costruire sovranità non significa rinunciare alle tecnologie globali, replicare internamente ogni servizio o selezionare un provider esclusivamente sulla base del suo passaporto societario. Significa piuttosto progettare un sistema nel quale provenienza, giurisdizione, dati, contratti, interoperabilità, competenze e possibilità di uscita vengano valutati insieme.

È una prospettiva che rende la sovranità meno ideologica e, allo stesso tempo, molto più esigente, perché obbliga le organizzazioni a interrogarsi non soltanto sui fornitori che utilizzano, ma sull’architettura di dipendenze che stanno costruendo intorno ai propri processi.

Il vero patrimonio da proteggere, infatti, non è soltanto il dato e non è neppure soltanto l’infrastruttura. È la capacità dell’impresa di continuare a decidere anche quando cambiano il mercato, le tecnologie, le condizioni contrattuali, gli equilibri geopolitici o il quadro normativo.

Nei prossimi anni potremmo scoprire che la maturità digitale delle organizzazioni non verrà misurata soltanto dalla velocità con cui adottano nuove piattaforme, cloud e intelligenza artificiale, ma dalla qualità delle dipendenze che sono state capaci di costruire. Perché innovare significa inevitabilmente affidarsi a tecnologie sviluppate anche da altri; essere sovrani significa fare in modo che quell’affidamento non diventi una rinuncia permanente alla propria libertà strategica.

La domanda, a quel punto, cambia radicalmente: la tua strategia digitale misura la provenienza della tecnologia o il controllo che conservi su di essa?