Il conto da 115 miliardi

Il 13 ottobre, a Dublino, i ministri digitali dell'Unione si incontrano per un consiglio informale. A margine, una tavola rotonda con funzionari di alto livello. Sul tavolo un numero solo: 115 miliardi di euro in dieci anni. Sarebbe quello che costerebbe all'Europa la legge sul cloud e sull'intelligenza artificiale, la Cloud and AI Development Act, che la Commissione ha proposto il 3 giugno. Il giorno dopo il numero è sui giornali di settore. La pagina che conta, l'ultima, resta fuori dal racconto.

L'ultima pagina dice chi ha pagato lo studio.

Mano di un tecnico che inserisce un connettore verde in un pannello di rete, tra file di cavi ottici gialli

Il quadro

Una legge europea che vorrebbe dare alle amministrazioni pubbliche un criterio per comprare cloud senza dipendere da leggi straniere. Uno studio che le mette un prezzo addosso e che è finanziato dall'associazione di categoria dei venditori di cloud. Una valutazione d'impatto della Commissione che quel prezzo non lo conferma, ma che ammette il problema di fondo: cambiare fornitore costa. Un Parlamento europeo che non ha ancora una bozza di relazione né un voto. Un'Italia che discute la proposta in commissione senza che nessuno abbia spiegato quanto costa, e a chi.

La firma in fondo al documento

Lo studio si chiama The Real-World Economic Impact of the Cloud and AI Development Act, occasional paper numero 08 del 2026, Centro europeo per l'economia politica internazionale. Autore Matthias Bauer, direttore del centro. Data di uscita 13 ottobre. Nell'allegato tecnico, la frase che regge tutto il resto: «The assessment is an independent ECIPE study funded by the Computer and Communications Industry Association (CCIA Europe)». Lo studio è indipendente, e lo ha pagato l'associazione dell'industria informatica e delle comunicazioni.

Di quella associazione fanno parte Amazon, Apple, Google e Meta: i primi tre fornitori di cloud in Europa, che insieme controllano più del 70 per cento del mercato, più il primo motore pubblicitario e il produttore del sistema operativo più diffuso. Nella stessa frase si dice che le opinioni espresse sono dell'autore.

Il comunicato che accompagna lo studio è meno prudente del documento. Il titolo annuncia che la sovranità sul cloud porta un conto nascosto di 115 miliardi, «sei volte la stima della Commissione». Mitchell Rutledge, responsabile delle politiche pubbliche dell'associazione, dichiara che i costi per le imprese private «non sono ipotetici ma inevitabili». Nello studio, 80 dei 115 miliardi ricadono sulle imprese private, e dipendono da un atto che non esiste.

C'è un secondo documento, sul tavolo da un mese. Occasional paper numero 09 del 2026, stesso centro, stesso direttore, titolo Cloud Sovereignty and the Single Market. Nella prima pagina: «This study was made possible with support from Microsoft». Misura 8.725 appalti cloud banditi tra il 2018 e il 2025 in nove paesi dell'Unione, presi dalla banca dati degli appalti europei. Tre risultati. Il 97 per cento dei contratti è andato a fornitori registrati nello stesso paese del committente, già prima che la sovranità diventasse un obiettivo dichiarato. Dove compare il vocabolario della sovranità, la quota di aggiudicatari nazionali arriva al 100 per cento e la percentuale di gare con un solo offerente passa dal 28 al 46 per cento. E i vincitori nazionali spesso girano su infrastruttura di un grande fornitore americano, subito sotto il contraente principale.

Due studi in due mesi, lo stesso autore, pagati dai due maggiori venditori di cloud del mondo, entrambi contro la stessa legge. Non è un illecito: il finanziatore è dichiarato nell'allegato tecnico. È un fatto che chiunque legga quei numeri dovrebbe sapere, e che nessun titolo riporta.

Dove il conto non torna

Lo studio dà tre numeri, non uno. 35,6 miliardi in uno scenario ristretto, 115 in uno centrale, 233 in uno largo. Il comunicato sceglie il centrale e lo presenta come il prezzo.

Il centrale poggia su due ipotesi. La prima: il 20 per cento dei carichi pubblici finirebbe nei due livelli di sovranità più alti. La valutazione d'impatto della Commissione, nello stesso documento che descrive i quattro livelli, distribuisce i carichi così: 70 per cento al livello 1, 20 per cento al livello 2, 9 per cento al livello 3, 1 per cento al livello 4. Nei due livelli alti, quindi, il 10 per cento. Lo studio ne mette il doppio.

La seconda ipotesi: le regole si estenderebbero al 25 per cento dei carichi cloud delle imprese private in settori essenziali. Da lì arrivano circa 80 dei 115 miliardi. La base giuridica è l'articolo 31 della proposta, che vale la pena leggere. Il primo comma dice che le imprese dei settori critici elencati nella direttiva sulla cybersicurezza NIS2 «possono» fare le stesse valutazioni di rischio degli enti pubblici: è facoltativo. Il terzo comma dice che la Commissione, in circostanze specifiche e dopo aver consultato gli Stati, può adottare un atto delegato per rendere quella valutazione obbligatoria. La porta esiste. La chiave non è stata girata, e la legge che la dovrebbe contenere non è stata votata.

Il resto del conto: 79,1 miliardi di riscrittura e migrazione di software, il 69 per cento del totale, e circa 30 per cento di aumento dei prezzi dei servizi cloud. La parte che ricade sui bilanci pubblici è stimata in 33,3 miliardi.

Contro quale cifra della Commissione si mette il numero? Nella valutazione d'impatto, la frase è questa: «These measures would result in total costs for public authorities amounting to a range of EUR 4 to 18 bn for this option». Da 4 a 18 miliardi, in valore attuale su dieci anni, per le amministrazioni pubbliche. Il tetto di 18 copre solo il settore pubblico. I 115 comprendono 80 miliardi di imprese private che nessuna norma adottata obbliga a spostarsi. Se si applica la ripartizione della Commissione allo scenario ristretto dello studio, la parte pubblica esce a 17,4 miliardi: lo stesso ordine di grandezza.

C'è poi quello che lo studio non conta, e lo scrive. Non attribuisce un valore alla sicurezza, alla resilienza, all'autonomia strategica che la legge dovrebbe portare. In una nota definisce i suoi scenari «esercizi di modellizzazione, non previsioni» del testo finale. Nella sintesi aggiunge che non va letto come un'analisi costi-benefici completa.

Un conto con una colonna sola, presentato come se ne avesse due.

Restano i numeri per persona in età da lavoro, che sono la parte più onesta del documento, perché non si possono gonfiare senza che si veda: 548 euro di media nell'Unione in dieci anni, 1.711 in Lussemburgo, 905 in Danimarca, 900 in Austria, 856 in Irlanda, 396 in Germania. In Francia 534, dei quali 128 a carico dei bilanci pubblici.

Il punto in cui la lobby ha ragione

Sui costi di migrazione l'associazione non inventa niente, e la prova sta nella valutazione d'impatto.

La Commissione ha calcolato il costo di spostare le applicazioni su un servizio cloud sovrano. Il valore centrale è 86,3 miliardi. Lo ha definito «maximalist» e lo ha messo da parte, perché presupponeva che il 30 per cento delle soluzioni già in cloud delle 6.400 entità essenziali sotto la direttiva sulla cybersicurezza passasse a un fornitore sovrano tutto nel primo anno. Ha tenuto uno scenario «più plausibile» — tutte le applicazioni di livello 4, l'1 per cento del totale, e metà di quelle di livello 3, spostate in tre anni a partire dal 2030 — e ne ha ricavato da 2,5 a 14,8 miliardi.

Il comitato interno che controlla le valutazioni d'impatto della Commissione, il Regulatory Scrutiny Board, ha dato parere positivo con commenti l'8 maggio 2026. Fra i commenti, nero su bianco: «I costi legati alla migrazione e al trasferimento e le relative incertezze dovrebbero essere riflessi in modo sufficiente nella valutazione dei costi totali». La discussione sul conto della migrazione è cominciata dentro la Commissione, non in un comunicato.

E c'è di più, perché la stessa valutazione d'impatto documenta il motivo per cui spostarsi costa. Cita le autorità antitrust francese e olandese, l'agenzia britannica delle comunicazioni: aliquote di uscita, formati e interfacce proprietarie, licenze restrittive, contratti lunghi, competenze certificate solo su una piattaforma. Cita il caso in cui la scelta si fa «per il mercato» e non «sul mercato», cioè un cliente che compra un ecosistema intero invece di un servizio. Il 25 giugno 2026 la Commissione ha comunicato ad Amazon e Microsoft la sua posizione preliminare: i loro servizi cloud, AWS e Azure, dovrebbero essere designati come gatekeeper del regolamento sui mercati digitali, per gli effetti di lock-in e i costi di cambio elevati.

Il costo di uscita che l'associazione ha quantificato in 79 miliardi è, nei fatti, la bolletta della dipendenza che la legge vorrebbe ridurre. Il paradosso è che a scriverla sia chi quella dipendenza l'ha costruita.

Tecnico in camicia a quadri inginocchiato davanti a un armadio di rete aperto, mentre sistema i cavi in un corridoio di sala server

E c'è un secondo conto, ancora più concreto. Dal novembre 2023, quando Broadcom ha comprato VMware, i clienti europei della virtualizzazione hanno visto aumenti di listino che le associazioni di categoria documentano fino a 1.500 per cento, la chiusura del programma per i fornitori di servizi cloud in Europa segnalata a gennaio 2026, e la fine dei diritti di licenza trasferita. A marzo l'associazione dei fornitori europei di servizi cloud ha depositato un'esposto antitrust alla Commissione; a luglio, con altre quattro associazioni di utilizzatori, ha chiesto misure provvisorie. Migrare via da VMware «implica sempre rischi alti, costi alti e manodopera specializzata», scrivono nella lettera. Sono loro, non la lobby americana, a chiedere all'Europa di intervenire sui costi di uscita.

Una legge che non esiste ancora

La proposta è la COM(2026) 502, procedura 2026/0138, base giuridica gli articoli 114 e 173 del trattato. Quattro livelli di garanzia. Il primo richiede che i dati siano trattati e conservati in infrastrutture dell'Unione. Il secondo, indipendenza da paesi terzi e trasparenza sulla catena del software. Il terzo, proprietà e controllo europei, con criteri come la cittadinanza del personale, e la possibilità per la Commissione di riconoscere fornitori di paesi terzi. Il quarto, controllo e trasparenza pieni sulla catena del software e nessuna interferenza esterna.

Al Parlamento europeo il testo è alla fase iniziale. Due commissioni con responsabilità congiunta, industria e mercato interno, che devono firmare insieme la relazione. I due relatori, nominati il 24 giugno: Diego Solier, conservatori e riformisti, spagnolo, per l'industria; Reinier van Lanschot, verdi, olandese, per il mercato interno. L'assegnazione formale è stata annunciata il 17 settembre. Nessuna bozza di relazione, nessun voto in commissione, nessuna posizione del Consiglio. La commissione bilancio ha rinunciato a dare un parere su una legge che mobilita investimenti. La tabella di marcia concordata a Cipro il 24 aprile fra Parlamento, Consiglio e Commissione pone l'adozione entro la fine del 2027.

Intanto la sovranità è già stata comprata, e si vede cosa significa. Il 17 aprile la Commissione ha aggiudicato una gara da 180 milioni in sei anni per servizi cloud sovrani a quattro fornitori: Post Telecom con CleverCloud e OVHcloud, STACKIT, Scaleway, e Proximus con S3NS, Clarence e Mistral. S3NS è la joint venture fra Thales e Google Cloud. Nella tecnologia di un contratto sovrano europeo c'è Google, dentro un perimetro di regole strette. Lo scrive la Commissione stessa nel comunicato: le tecnologie non europee, «quando operate dentro un quadro rigoroso e appropriato», possono soddisfare il livello minimo di sovranità richiesto.

Il Parlamento, dal canto suo, aveva chiesto di più. Il 22 gennaio 2026 ha approvato una risoluzione sulla sovranità tecnologica europea che reclama un'azione industriale comune su cloud e infrastrutture digitali. Poi la Commissione ha scritto la proposta, e la proposta è finita in due commissioni che devono mettersi d'accordo prima di arrivare al negoziato con gli Stati.

C'è anche una porta di servizio, all'articolo 18: un paese terzo può essere riconosciuto «associato» e far entrare i propri fornitori nel quadro europeo, se rispetta sei criteri cumulativi. Serve un accordo con l'Unione, un livello di protezione dei dati adeguato, garanzie sull'accesso governativo. Secondo la stampa di settore che segue la procedura, il Canada sta lavorando a questa via. Il Regno Unito, che pure ha le decisioni di adeguatezza del periodo sulla protezione dei dati, non ha mostrato segnali pubblici di volerla chiedere.

Le soluzioni possibili

Il primo strumento esiste già e non c'entra con la legge in discussione. Il regolamento sui dati, articolo 29, vieta le spese di cambio a partire dal 12 gennaio 2027: i fornitori non potranno più far pagare l'uscita. È la leva che aggredisce direttamente i 79 miliardi, e sta entrando in vigore mentre i ministri guardano un numero su un tavolo.

Il secondo: mettere la portabilità dentro i criteri di aggiudicazione, non nei considerando. La proposta ha un criterio di valore aggiunto unionale all'articolo 32 e un obiettivo del 25 per cento di appalti alle piccole e medie imprese all'articolo 33. Il comitato economico e sociale, nel parere adottato il 23 settembre, chiede che il primo pesi negli appalti e che il secondo diventi un requisito, non un auspicio. Chiede anche che le zone di accelerazione per i data center siano condizionate a una valutazione d'impatto sociale e ambientale su energia, acqua, occupazione.

Il terzo: pubblicare gli esiti degli audit. Oggi il testo non dice se a essere certificata sia l'azienda o il servizio, e non impone di rendere pubblici i risultati. Una sovranità verificabile serve solo se il documento che la certifica è leggibile da chi compra.

Il quarto: contare anche l'altra colonna. La Commissione, nella sua valutazione, cita una stima per cui un'Europa digitale con fornitori europei in posizione forte varrebbe fino a 480 miliardi l'anno al 2030, contro 375 in uno scenario di dipendenza esterna. Se è vera, il confronto non è fra 115 e zero.

Posizione ADA

Il numero che sta girando è costruito per non essere confrontabile, e questo è il difetto che conta. Mette sullo stesso tavolo il costo per le amministrazioni e quello per le banche, e chiama «inevitabile» una cifra che dipende da un atto delegato che nessuno ha scritto. Chi lo ripete senza leggere l'ultima pagina del documento sta ripetendo un comunicato.

La sostanza, però, resta in piedi e non è della lobby: la bolletta esiste, è alta, e nessuno a Bruxelles l'ha messa a bilancio. La Commissione ha calcolato 86,3 miliardi, li ha trovati scomodi e ha scelto uno scenario più basso senza finanziare la differenza. Il comitato di controllo le ha detto di contarli meglio. Se la migrazione costa, la legge deve dire chi la paga: un fondo, una gradualità, un piano di uscita obbligatorio nei contratti. Senza questo, la sovranità resta un requisito che si scarica sugli enti che hanno meno personale informatico, cioè quelli che ne hanno più bisogno.

Il punto politico è chi definisce il criterio. Oggi la proposta lascia che a certificare la sovranità siano ventisette autorità nazionali, con la sola garanzia che il paese che ospita la sede europea di un fornitore è quello che può sanzionarlo. Con ventisette test diversi, la parola sovranità diventa un'etichetta commerciale, e la legge che doveva aprire il mercato finisce per consolidare i campioni nazionali di sempre: lo dicono i dati dello studio pagato da Microsoft, il 97 per cento di aggiudicazioni domestiche già prima della legge.

E c'è il rovescio della medaglia che nessuno dei due schieramenti racconta. Se la dipendenza è il problema, il costo di uscita è il sintomo, e la cura è rendere l'uscita economica: dati portabili, formati aperti, spese di cambio a zero, contratti che scadono. La parte di questa agenda che serve è quella che conviene anche a chi oggi paga il conto, e non ha bisogno del permesso di nessuna lobby.

Il rischio, alla fine, è pagare la bolletta due volte: una al fornitore che ti tiene, l'altra a chi ti fa uscire.

(Trieste — 21 ottobre 2026 — ~2.950 parole)

🟢 Firma: ADA L. Agnesi

Articoli correlati:

• Il Cloud Act e l'impatto sulla sicurezza della Pubblica Amministrazione — La legge americana che arriva sui dati europei, e la risposta francese
• I modelli AI sotto export control — La stessa partita sulla sovranità, giocata sui pesi dei modelli
• Il bando americano non ferma l'AI cinese — Chi decide quali tecnologie possono circolare in Europa

Il caso italiano

In Italia la proposta è all'esame della commissione Politiche dell'Unione europea della Camera, che ha aperto le audizioni in ottobre. Fra le memorie depositate, quella di IBM Italia, datata 14 ottobre. La tesi è che la sovranità digitale non coincida «con la nazionalità del fornitore o con l'origine geografica della tecnologia», e che un approccio fondato su criteri geografici «rischierebbe di ridurre la concorrenza e la capacità di innovazione senza garantire automaticamente maggiori livelli di sicurezza». Nella parte finale, l'avvertimento sui costi: requisiti molto stringenti potrebbero ridurre il numero dei fornitori in grado di soddisfarli e pesare sulle amministrazioni «chiamate a sostenere oneri aggiuntivi».

L'argomento è lo stesso dello studio: la sovranità misurata sull'origine è un filtro, non una garanzia. È un'osservazione giusta, e arriva dalla filiale italiana di un'azienda americana che vende cloud ibrido. Le due cose possono essere vere insieme.

Intanto l'Italia ha già speso. Il Polo strategico nazionale, l'infrastruttura cloud per la pubblica amministrazione, ha superato le 280 amministrazioni migrate a luglio, e ad agosto ha chiuso un finanziamento da 231 milioni con cinque banche per sostenere la propria infrastruttura. Quattro data center, tutti in Italia, certificati al livello più alto.

La domanda che la commissione non ha ancora posto è la sola che conti per il bilancio pubblico: quanto costa, per un comune o un'agenzia, portare le proprie applicazioni su un fornitore che rispetti i livelli alti. La valutazione d'impatto europea risponde 2,5-14,8 miliardi per le amministrazioni dell'Unione in dieci anni, con il tetto alto se si migra in fretta. Nessun documento italiano traduce quella forbice in euro per singolo ente. Finché non c'è, la scelta si farà sulla base del numero che circola, e quel numero l'ha scritto chi vende il cloud.

Fatti

Dati verificati

Fonti