L’Unione Europea sta ridefinendo il proprio approccio ai dati: da oggetto di tutela della privacy a risorsa strategica legata alla sicurezza, alla competitività e all’autonomia. La crescente dipendenza da infrastrutture e tecnologie straniere rende sempre più importante capire chi può accedere ai dati e, soprattutto, chi controlla gli strumenti attraverso cui vengono trasferiti, conservati ed elaborati.
INTRODUZIONE
L’8 luglio 2026 la Commissione europea ha avviato una consultazione sulla sovranità dei dati, aperta fino all’8 settembre. L’obiettivo è comprendere meglio quanto le organizzazioni europee dipendano dalle tecnologie e dai servizi esterni, quali ostacoli incontrino nei flussi internazionali di dati e quali rischi derivino dall’accesso di Paesi terzi alle informazioni sensibili.
L’iniziativa si inserisce nel percorso tracciato dalla Data Union Strategy e si collega al European Technological Sovereignty Package, presentato dalla Commissione nel giugno 2026 per rafforzare le capacità europee nei semiconduttori, nell’intelligenza artificiale, nel cloud e nell’open source. Le due iniziative affrontano una questione comune: ridurre le vulnerabilità tecnologiche che possono compromettere la capacità dell’Unione di proteggere dati, infrastrutture e asset strategici.
In gioco non c’è solo la tutela legale delle informazioni, ma anche la capacità dell’Europa di mantenere il controllo sui sistemi attraverso cui i dati vengono archiviati e veicolati. La presenza di fornitori e infrastrutture soggetti a giurisdizioni esterne all’Unione può, infatti, incidere sul margine di autonomia decisionale e sulla sicurezza europea.
La sovranità dei dati assume così un rilievo strategico. Non si tratta di eliminare ogni dipendenza esterna, ma di individuare quelle che, nei settori più sensibili, possono trasformarsi in vulnerabilità o strumenti di pressione. È proprio questo passaggio, dalla protezione del dato alla capacità di controllare le condizioni che ne garantiscono sicurezza e disponibilità, a rendere strategica la consultazione avviata dalla Commissione.
DAL GDPR ALLA SOVRANITÀ: QUANDO LA COMPLIANCE NON BASTA
Le più recenti linee guida dell’European Data Protection Board (EDPB) confermano il ruolo centrale del General Data Protection Regulation (GDPR) nella protezione dei dati personali, ma mostrano anche i limiti della sola conformità normativa di fronte alle vulnerabilità legate ai trasferimenti internazionali e alle dipendenze tecnologiche. La sentenza Schrems II della Corte di giustizia dell’UE ha reso evidente questa difficoltà. Nel 2020 la Corte ha invalidato il Privacy Shield, mantenendo valide le Standard Contractual Clauses, il cui utilizzo richiede una valutazione del livello di protezione garantito nel Paese terzo e, quando necessario, l’adozione di misure supplementari.
Il principio rilevante, ai fini della sovranità dei dati, è che la localizzazione fisica di un server non coincide necessariamente con il controllo giuridico esercitabile sulle informazioni. L’articolo 48 del GDPR stabilisce infatti che una decisione di un’autorità di un Paese terzo che imponga il trasferimento o la comunicazione di dati personali può essere riconosciuta o resa esecutiva nell’Unione solo se trova fondamento in un accordo internazionale vigente, fatti salvi gli altri presupposti previsti dal Regolamento.
La criticità emerge soprattutto nel confronto con il quadro normativo degli Stati Uniti. Il CLOUD Act consente, nell’ambito degli strumenti processuali previsti dalla legge statunitense, di imporre ai provider soggetti alla propria giurisdizione la produzione di dati in loro possesso o sotto il loro controllo, a prescindere da dove le informazioni siano fisicamente archiviate.
La presenza di un server sul suolo europeo rappresenta quindi solo una delle variabili rilevanti. La giurisdizione cui è soggetto il fornitore, la catena societaria di controllo e le dinamiche di accesso extraterritoriale diventano fattori decisivi per misurare il reale grado di autonomia strategica dell’Unione.
LA DIPENDENZA TECNOLOGICA COME VULNERABILITÀ STRATEGICA
La dipendenza dell’Unione Europea da infrastrutture digitali e piattaforme cloud sviluppate da provider extra-UE rappresenta una vulnerabilità strutturale con implicazioni dirette sulla sicurezza e sull’autonomia decisionale del continente. La forte presenza di Amazon Web Services (AWS) e Microsoft Azure nel mercato cloud europeo ne è l’esempio più evidente. La concentrazione del mercato attorno a questi grandi provider produce infatti effetti di lock-in, cioè una forte dipendenza dal fornitore, e costi di switching elevati, che rendono più difficile per organizzazioni pubbliche e private modificare rapidamente le proprie infrastrutture digitali.
Tale asimmetria limita i margini di manovra strategica dell’UE in scenari di crisi internazionale, esposizione a normative extraterritoriali o interruzione della supply chain digitale. La questione travalica quindi la protezione dei dati e riguarda la continuità operativa delle infrastrutture critiche e dei servizi essenziali. Il tema assume rilievo anche nel quadro della sicurezza transatlantica, dove la NATO collega resilienza, interoperabilità e riduzione del vendor lock-in al rafforzamento delle proprie capacità digitali.
Il rapporto con la Cina risponde a una dinamica differente, ma complementare. La Commissione europea considera Pechino al tempo stesso un partner economico e un rivale sistemico. In questo scenario, il controllo delle infrastrutture e delle tecnologie critiche acquisisce un peso crescente per la sicurezza delle catene di approvvigionamento europee.
La risposta di Bruxelles non punta quindi alla disconnessione dai mercati globali, ma alla riduzione delle dipendenze più rischiose e alla diversificazione delle forniture, così da preservare margini di scelta nei settori tecnologici maggiormente sensibili.
IL DATO COME ASSET STRATEGICO NELLA DIFESA
In questo scenario il valore del dato nel settore della difesa assume un ruolo centrale. Le capacità militari contemporanee dipendono, infatti, dalla possibilità di raccogliere, integrare e condividere informazioni provenienti da sensori, satelliti, piattaforme militari, reti di comunicazione e infrastrutture logistiche. La disponibilità e la qualità di questi dati incidono direttamente sulla comprensione del contesto operativo e sulla rapidità delle decisioni. Il dato diventa così una componente concreta della capacità militare, non soltanto una risorsa da proteggere.
La NATO ha già incorporato questa trasformazione nella propria Data Strategy for the Alliance, adottata dagli Alleati nel febbraio 2025, che riconosce il dato come un asset strategico e ne promuove una gestione più efficace attraverso standard comuni e meccanismi di condivisione. L’obiettivo è rafforzare la capacità degli Alleati di scambiare e utilizzare dati provenienti da fonti diverse, per migliorare l’integrazione e l’interoperabilità delle forze.
La successiva Alliance Digital Strategy, adottata nel gennaio 2026, sviluppa ulteriormente questa impostazione: delinea un modello di operazioni data-centriche in cui il dato assume un ruolo centrale nei processi operativi e decisionali e non rappresenta più un semplice output dei sistemi. Dal punto di vista della difesa, diventa essenziale riuscire a trasformare il dato in una risorsa condivisa, pur mantenendone affidabilità, disponibilità e protezione.
Per l’Europa questo assetto genera una tensione strutturale. La necessità di mantenere il controllo sovrano sulle informazioni sensibili deve conciliarsi con le esigenze della NATO, che richiedono la possibilità di condividere rapidamente i dati tra Alleati e sistemi eterogenei.
IPOTESI E SCENARI
La consultazione avviata dalla Commissione l’8 luglio non costituisce ancora una decisione politica, ma può rappresentare il punto di partenza per un approccio europeo più selettivo nella gestione delle dipendenze tecnologiche. L’ipotesi più plausibile è che Bruxelles non persegua una localizzazione generalizzata dei dati, ma individui i settori nei quali la dipendenza da fornitori esterni espone l’Europa a rischi strategicamente rilevanti. La traiettoria europea dipenderà soprattutto dalla capacità di sviluppare alternative tecnologiche credibili, diversificare i fornitori senza compromettere la competitività e mantenere l’interoperabilità con gli Alleati, in particolare nel settore della difesa.
Nello scenario più favorevole, l’Europa punterebbe su una sovranità tecnologica aperta e selettiva. L’Unione concentrerebbe l’azione sulle dipendenze più critiche nei settori della difesa, delle infrastrutture strategiche, del cloud e dell’intelligenza artificiale, e interverrebbe attraverso la diversificazione dei fornitori, requisiti di sicurezza più stringenti e il rafforzamento delle capacità industriali europee. L’obiettivo sarebbe ridurre le vulnerabilità senza interrompere la cooperazione con i partner internazionali. Un segnale coerente con questo scenario sarebbe la traduzione dell’esito della consultazione in misure settoriali mirate, anziché in un obbligo generalizzato di localizzazione. Un ulteriore indicatore sarebbe un aumento misurabile degli investimenti europei nelle capacità cloud e IA considerate strategiche. L’Europa aumenterebbe così la propria resilienza e manterrebbe i legami con l’ecosistema tecnologico transatlantico e, nel settore della difesa, il livello di interoperabilità necessario con gli Alleati.
Nello scenario più critico, la ricerca di una maggiore autonomia scivolerebbe verso una forma di chiusura del mercato digitale europeo. L’Europa introdurrebbe requisiti di localizzazione più rigidi, limiterebbe l’uso di alcune tecnologie straniere ed estenderebbe i controlli sui fornitori. Un indicatore da monitorare in questa direzione sarebbe l’introduzione di obblighi di localizzazione dei dati estesi oltre gli ambiti in cui già esistono requisiti specifici di sicurezza e protezione, come nel caso della difesa e delle infrastrutture critiche, verso il mercato digitale in generale. Un ulteriore segnale sarebbe l’introduzione di restrizioni esplicite all’uso di provider cloud extra-UE nella pubblica amministrazione. Un maggiore controllo formale sui dati sarebbe accompagnato da costi più elevati, minore accesso alle tecnologie avanzate e una possibile frammentazione del mercato digitale europeo. Nel settore della difesa, una separazione eccessiva dall’ecosistema tecnologico statunitense entrerebbe in tensione con le esigenze di interoperabilità della NATO, e l’autonomia rischierebbe di crescere sul piano normativo senza essere sostenuta da capacità industriali equivalenti.
CONCLUSIONE
La trasformazione in corso non consiste nel passaggio dal GDPR a un sistema destinato a sostituirlo, bensì nel riconoscere che la protezione giuridica dei dati non coincide necessariamente con il controllo strategico sulle infrastrutture che ne consentono la gestione. Il CLOUD Act rende evidente la dimensione giurisdizionale della dipendenza, mentre le strategie della NATO mostrano come dati, interoperabilità e infrastrutture digitali siano ormai integrati nella capacità militare.
Nei prossimi mesi, i segnali da osservare saranno soprattutto l’esito della consultazione della Commissione, le eventuali misure adottate nei confronti dei fornitori e delle infrastrutture cloud, l’evoluzione dei requisiti di sicurezza nei settori strategici e il modo in cui Bruxelles cercherà di conciliare autonomia tecnologica e interoperabilità con la NATO. Sarà inoltre rilevante verificare se il European Technological Sovereignty Package e la Data Union Strategy si tradurranno in interventi concreti sulle dipendenze tecnologiche europee.
La domanda di fondo, però, non è soltanto dove verranno conservati i dati, ma chi avrà la capacità effettiva di controllare infrastrutture, tecnologie e giurisdizioni attraverso cui quei dati vengono gestiti. Per l’Europa, la vera sfida sarà trasformare la sovranità dei dati da principio normativo a capacità strategica, senza compromettere la cooperazione tecnologica e l’interoperabilità con gli Alleati.
