Nel dibattito sul cloud sovrano si tende a confondere due concetti distinti ma strettamente legati: la residenza del dato, ovvero il luogo fisico in cui viene conservato o trattato, e la sovranità del dato, cioè quali leggi e quali autorità possono accedervi. I bollini e le certificazioni che sempre più provider espongono sulle proprie offerte promettono di garantire entrambe le cose, ma la realtà è più sfumata di quanto sembri.
Cosa certificano i bollini
Le certificazioni di cloud sovrano attestano in genere che i dati restano all'interno di confini geografici definiti e che il fornitore adotta misure di isolamento, crittografia e controllo degli accessi conformi a determinati standard. In molti casi garantiscono anche che il personale che opera sui sistemi sia residente nel Paese e soggetto alla giurisdizione locale. Si tratta di elementi importanti, soprattutto per pubbliche amministrazioni, sanità e settori regolamentati, che devono dimostrare la conformità a normative come il GDPR o a requisiti nazionali specifici.
Cosa resta fuori dalla certificazione
Il punto debole è che un bollino non può neutralizzare le leggi extraterritoriali. Se la società madre del provider ha sede in un Paese che consente richieste di accesso ai dati anche oltre confine, come avviene con il Cloud Act statunitense, la residenza europea dei server non basta a mettere al riparo le informazioni. Allo stesso modo, le certificazioni raramente coprono in modo esaustivo la supply chain: subfornitori, servizi di supporto e strumenti di gestione possono introdurre accessi indiretti che sfuggono al perimetro dichiarato. E poi c'è il nodo della trasparenza: senza audit indipendenti e clausole contrattuali solide, il bollino resta una promessa difficile da verificare.
La conclusione pratica è che il cloud sovrano non si valuta da un'etichetta, ma da un insieme di elementi: architettura dei dati, sede legale del fornitore, catena dei subappalti, possibilità di ispezione e capacità di uscita. Per chi sceglie, la domanda giusta non è 'questo cloud è sovrano?', ma 'quali leggi possono accedere ai miei dati, e posso dimostrarlo?'.
