Il Cloud Act e l'impatto sulla sicurezza della Pubblica Amministrazione
L'8 aprile 2026, la Direction Interministérielle du Numérique (DINUM) ha annunciato un piano per migrare 2,5 milioni di postazioni della pubblica amministrazione francese da Microsoft Windows a Linux. L'annuncio è arrivato al termine di un seminario interministeriale convocato dal Primo Ministro, con i ministri Amiel e Le Hénanff. «Sovranità digitale: lo Stato accelera la riduzione delle dipendenze extra-europee», recita il comunicato ufficiale.
A prima vista, sembra una scelta tecnica. Non lo è. Dietro la migrazione c'è una legge americana del 2018 che la maggior parte dei cittadini europei non conosce, ma che riguarda ogni email inviata da un dipendente pubblico, ogni documento archiviato su un cloud, ogni videoconferenza tra ministeri.
Sala server in stile Hugo Pratt
L'articolo ricostruisce il meccanismo del Cloud Act, la sua applicazione a tutte le aziende americane che gestiscono dati europei, il ruolo di Windows 11 come caso emblematico, la reazione francese e i paradossi di un'Europa che costruisce datacenter per aziende americane mentre cerca di emanciparsi.
Il Cloud Act: i tuoi dati, le loro regole
Il Clarifying Lawful Overseas Use of Data Act, firmato da Trump il 23 marzo 2018, è un meccanismo a due binari.
Il primo obbliga i provider americani a consegnare i dati delle loro infrastrutture indipendentemente da dove siano conservati. Il test non è geografico: è «possesso, custodia o controllo» (18 U.S.C. §2713). Se un'azienda americana gestisce il server, i dati sono a portata di mandato.
Il secondo binario (18 U.S.C. §2523) crea accordi esecutivi con «governi stranieri qualificati» — Regno Unito dal 3 ottobre 2022, Australia dal gennaio 2024 — che permettono alle polizie partner di ordinare dati direttamente ai provider americani, scavalcando i trattati di mutua assistenza giudiziaria (MLAT).
La conseguenza è netta: la residenza dei dati in Europa non protegge da accessi americani. Lo ha ammesso Microsoft France il 10 giugno 2025, in audizione davanti alla commissione d'inchiesta del Sénat: i dati ospitati in Francia non sono al riparo dalla giustizia statunitense. L'8 marzo 2024, il Garante europeo della protezione dei dati (EDPS) aveva già sanzionato la Commissione Europea per l'uso di Microsoft 365, ordinando la sospensione dei flussi di dati verso gli Stati Uniti.
Non è solo Microsoft
La reazione istintiva al problema è cambiare fornitore. Ma il Cloud Act non riguarda Microsoft: riguarda qualsiasi azienda americana che offra servizi di comunicazione elettronica o remote computing (18 U.S.C. §2711). Non esiste un elenco ufficiale del Dipartimento di Giustizia. Il criterio è la sede legale.
I numeri danno la scala del problema. Circa l'80% della spesa europea in software e cloud va a fornitori statunitensi (Cigref/Asterès 2025). Il 70% del mercato cloud dell'Unione è in mano a tre aziende: Amazon Web Services, Microsoft Azure e Google Cloud (Synergy Research). I provider europei sono fermi al 15% complessivo.
Per una pubblica amministrazione europea, questo significa che cambiare fornitore all'interno dell'ecosistema americano non risolve nulla. Passare da Exchange a Google Workspace sposta i dati da un'azienda soggetta al Cloud Act a un'altra azienda soggetta al Cloud Act. Sostituire Azure con AWS cambia l'interlocutore ma non la giurisdizione. Usare Zoom invece di Teams, Salesforce invece di Dynamics, Slack invece di Teams: il problema legale resta identico.
Il caso italiano è emblematico. Il Polo Strategico Nazionale — il cloud della pubblica amministrazione — ha tra i suoi partner qualificati tutti e quattro i grandi hyperscaler americani: AWS, Microsoft Azure, Google Cloud e Oracle. Dal gennaio 2025, AWS è operativo come fornitore del PSN.
Il mercato delle VPN offre un'illusione simile. NordVPN si presenta come «con sede a Panama», ma è un'azienda americana controllata da Nord Security Inc. Una VPN usata da funzionari pubblici per «proteggere» le comunicazioni è soggetta al Cloud Act come qualsiasi altro servizio americano. Il Parlamento Europeo, in un briefing del dicembre 2025, ha usato il termine «sovereignty-washing» per descrivere queste strategie di marketing. Andy Yen, CEO di Proton (azienda svizzera, una delle poche non americane nel settore), ha sintetizzato: «La realtà giuridica non scompare con una bella campagna di marketing».
Nel 2025, un'indagine di Proton ha rilevato che il 69% delle società italiane quotate in borsa usa provider americani per la posta elettronica. Altri 45 atenei pubblici italiani risultavano su Gmail o Google Drive già nel 2023 (Monitora PA).
Windows 11: il caso emblematico
Windows 11 non è l'unico vettore del Cloud Act, ma è il più pervasivo perché opera al livello del sistema operativo.
La telemetria raccoglie quattro livelli di dati diagnostici. Il livello minimo — Required, non disattivabile — include hardware, rete, applicazioni installate, driver, crash e aggiornamenti, associati a identificatori univoci di dispositivo e utente. A questi si aggiungono: cronologia di navigazione (Optional), screenshot periodici dell'attività (Recall), Copilot integrato, pubblicità nel menu Start, e la telemetria separata di Microsoft 365.
L'intelligenza artificiale amplifica il problema. Copilot, Recall, i servizi AI integrati nel sistema operativo non si limitano a elaborare dati: li inviano a server remoti. Un documento riservato analizzato da Copilot in Azure transita su infrastruttura americana. Il controllo non è più solo sui dati archiviati: è sui dati in uso.
Con la fine del supporto di Windows 10 il 14 ottobre 2025, il passaggio a Windows 11 non è una scelta. Per una PA è un binario obbligato — e con esso, l'accettazione implicita di un flusso di dati verso un'azienda soggetta al Cloud Act.
Il paradosso dei datacenter
C'è un'ironia strutturale nella risposta europea. Mentre i governi annunciano piani di emancipazione digitale, le stesse aziende da cui cercano di rendersi indipendenti costruiscono datacenter in Europa a ritmo accelerato.
Nel 2025-2026, Microsoft, Amazon e Google hanno annunciato investimenti per decine di miliardi di euro in nuovi datacenter europei. Un datacenter AWS a Milano è soggetto al Cloud Act esattamente come uno in Virginia. La sovranità del dato non dipende dal luogo fisico del server ma dalla nazionalità dell'azienda che lo controlla.
La Francia come laboratorio
La reazione francese non è improvvisata. La Gendarmerie Nationale usa una distribuzione Linux personalizzata dal 2008: GendBuntu, basata su Ubuntu. Al giugno 2024, 103.164 postazioni — il 97% del parco — erano migrate. Il Generale Marc Boget, direttore dell'ANFSI, ha dichiarato in audizione parlamentare il 7 maggio 2026: circa 500 milioni di euro risparmiati in vent'anni.
Il progetto DINUM è più ambizioso e più sperimentale. Per i suoi 250 dipendenti, l'agenzia sta testando due sistemi basati su NixOS: Securix (per amministratori di sistema, indurito secondo le raccomandazioni ANSSI) e Bureautix (per utenti generali, con interfaccia KDE Plasma). Il test attuale coinvolge circa 40 postazioni Securix e 30 Bureautix. Il codice è open source.
La differenza tra i due progetti è istruttiva. GendBuntu ha impiegato sedici anni per coprire 100.000 postazioni con una distribuzione matura. Securix/Bureautix è un esperimento su scala ridotta con una tecnologia di nicchia. La strada è lunga, ma la direzione è chiara.
Perché ora
Tre fattori hanno accelerato la percezione del problema.
Primo: gli Stati Uniti non sono più percepiti come un alleato affidabile. Le minacce di dazi, l'ambiguità sulla NATO, la volatilità dell'amministrazione Trump hanno rotto un presupposto implicito: che Washington non avrebbe mai usato la propria infrastruttura tecnologica come leva contro i partner europei. Quel presupposto non esiste più.
Secondo: l'intelligenza artificiale rende il controllo più pervasivo e meno visibile. Non si tratta solo di accedere a dati archiviati, ma di processare flussi continui di informazioni attraverso servizi AI integrati in ogni livello dello stack — dal sistema operativo alle suite di produttività.
Terzo: la finestra per decisioni strutturali si sta chiudendo. Ogni anno di inerzia consolida la dipendenza e rende la migrazione più costosa.
Il ritardo non è solo italiano
Il problema non riguarda solo la pubblica amministrazione. Riguarda le aziende, le infrastrutture critiche, i singoli cittadini.
La Germania mostra segnali contrastanti: lo Schleswig-Holstein ha completato la migrazione di 40.000 caselle email governative da Exchange a soluzioni open source, con LibreOffice obbligatorio su 60.000 postazioni. Ma a livello federale Microsoft resta dominante.
I Paesi Bassi hanno condotto una DPIA nel 2018 trovando 8 violazioni GDPR in Office, ma nel 2025 l'Agenzia delle Entrate è comunque passata a Microsoft 365.
L'Austria, con due decisioni del 2025-2026, ha ordinato a Microsoft di smettere di tracciare minori nelle scuole, dichiarando l'azienda contitolare del trattamento.
L'Italia non ha ancora avviato un'iniziativa strutturale. Il precedente più significativo resta la migrazione di 8.300 PC del Comune di Torino a Linux, nel 2014. Il Garante Privacy è attivo su scuola e intelligenza artificiale, ma non sulla sorveglianza integrata nei sistemi operativi e nei servizi cloud. Nel frattempo, il PSN ha qualificato tutti e quattro i grandi hyperscaler americani.
Posizione ADA
Il Cloud Act non è un incidente diplomatico né un problema tecnico. È la traduzione giuridica di un principio: i dati appartengono alla giurisdizione dell'azienda che li gestisce, non del paese che li produce.
La Francia non sta facendo una scelta ideologica. Sta applicando una constatazione giuridica. Se ogni fornitore americano — dall'email al cloud, dal CRM alla VPN — è soggetto a una legge che obbliga a consegnare i dati al governo degli Stati Uniti, cambiare fornitore all'interno dello stesso ecosistema non serve. L'unica via d'uscita è costruire un ecosistema alternativo, strato per strato.
La scala del problema non va sottovalutata. Il progetto DINUM riguarda oggi 250 persone, in test. La Gendarmerie ha impiegato sedici anni per coprire 100.000 postazioni. Portare 2,5 milioni di dipendenti pubblici francesi — e potenzialmente decine di milioni in tutta Europa — fuori dall'orbita delle aziende americane richiederà formazione, compatibilità applicativa, contratti e competenze interne. Non è questione di mesi. Ma non è nemmeno rinviabile.
L'inerzia ha un costo. Ogni anno in cui una PA europea rinnova contratti con fornitori americani è un anno in cui i dati dei cittadini restano accessibili a una giurisdizione straniera. La Francia ha cominciato a muoversi. Il resto d'Europa sta ancora decidendo se il problema esista.
(Trieste — 2 agosto 2026 — ~2.500 parole)
🟢 Firma: ADA L. Agnesi
Fatti
Dati verificati
Elemento
|
Fonte
|
Risultato
|
Cloud Act: provider USA devono consegnare dati ovunque conservati
| 18 U.S.C. §2713
| ✅
|
Accordi esecutivi Cloud Act: UK (2022), Australia (2024)
| DOJ Cloud Act
| ✅
|
EDPS sanziona Commissione UE per M365 (8/3/2024)
| EDPS
| ✅
|
Microsoft France: dati in Francia non protetti da giustizia USA (10/6/2025)
| Next.ink
| ✅
|
~80% spesa software+cloud UE va a vendor USA (Cigref/Asterès 2025)
| Briefing Parlamento UE/ITRE
| ✅
|
70% mercato cloud UE = AWS+Azure+Google (Synergy)
| EPRS briefing
| ✅
|
PSN Italia: AWS, Azure, Google Cloud, Oracle qualificati
| ACN/PSN
| ✅
|
69% quotate italiane usa provider USA per posta (Proton 2025)
| Il Fatto Quotidiano 21/1/2026
| ✅
|
Gendarmerie: 103.164 postazioni GendBuntu, 97% parco (giugno 2024)
| Wikipedia EN
| ✅
|
Gen. Boget: ~500M€ risparmiati in 20 anni (7/5/2026)
| LesNumériques + Next.ink
| ✅
|
DINUM annuncia migrazione 2,5M postazioni (8/4/2026)
| numerique.gouv.fr
| ✅
|
Test Securix/Bureautix: 40+30 workstation
| thestack.technology + april.org
| ✅
|
Schleswig-Holstein: 40.000 caselle migrate, LibreOffice obbligatorio
| The Register + heise.de
| ✅
|
Austria DSB: Microsoft contitolare, stop tracciamento minori (2025-2026)
| noyb.eu
| ✅
|
Proton CEO su sovereignty-washing
| Il Fatto Quotidiano 21/1/2026
| ✅
|
Fonti