Il 3 giugno 2026 la Commissione europea ha presentato il Tech Sovereignty Package: semiconduttori, cloud, open source, digitalizzazione dell'energia, intelligenza artificiale. Il pezzo che riguarda le infrastrutture è il Cloud and AI Development Act, CADA.
A gennaio, in questo blog, avevamo scritto che il 2026 sarebbe stato l'anno della sovranità digitale europea. Non ci aspettavamo che il documento che le dà una definizione operativa arrivasse così presto.
1. I numeri del problema
CADA nasce da due vulnerabilità dichiarate.
La prima è di capacità: l'Europa non ha abbastanza data center per i carichi che sta generando. La seconda è di concentrazione: circa il 70% del mercato cloud europeo è nelle mani di tre operatori americani — Amazon Web Services, Microsoft Azure e Google Cloud — mentre i provider europei si fermano attorno al 15%, in discesa dal 29% del 2017.
Quel 29% che diventa 15% in otto anni è il numero politicamente più esplosivo del dossier. Non descrive un mercato in cui l'Europa non è ancora entrata: descrive un mercato da cui l'Europa è stata progressivamente espulsa mentre cresceva.
2. L'obiettivo: triplicare
L'obiettivo dichiarato di CADA è almeno triplicare la capacità dei data center europei nei prossimi cinque-sette anni. Le leve annunciate sono quattro, e chiunque abbia seguito il dibattito italiano del 2026 le riconoscerà:
- semplificazione delle procedure autorizzative
- accesso all'energia
- accesso ai terreni e all'acqua
- accesso ai finanziamenti
È esattamente la lista dei problemi che il DL 21/2026 e la legge 49/2026 hanno iniziato ad affrontare in Italia sei settimane prima che Bruxelles pubblicasse il pacchetto. Su questo l'Italia si trova, per una volta, avanti rispetto al calendario europeo: il procedimento unico in dieci mesi esiste già ed è operativo.
3. Il pilastro autonomia: la sovranità diventa misurabile
La parte più innovativa non è l'obiettivo di capacità: è il modo in cui CADA prova a rendere verificabile una parola che finora è stata puro marketing.
Il pilastro dedicato all'autonomia introduce un framework di sovranità articolato su quattro livelli, di crescente severità:
| Livello | Requisito prevalente |
|---|---|
| 1 | Trattamento dei dati all'interno dell'UE |
| 2-4 | Requisiti progressivamente più stringenti su controllo da parte di soggetti di paesi terzi, proprietà europea, trasparenza della catena di fornitura, verifica del personale |
Il salto concettuale è questo: finché "sovrano" significava "i dati stanno in un data center europeo", qualunque hyperscaler poteva dichiararsi sovrano aprendo una region a Milano o a Francoforte. Nel momento in cui il criterio include la proprietà, il controllo e la catena di fornitura, la dichiarazione diventa una classificazione — e una classificazione si può mettere in un contratto, in un bando, in un requisito di gara.
È qui che si combatterà la partita politica dei prossimi diciotto mesi, e conviene dirlo senza ingenuità: i grandi operatori extra-UE hanno già lanciato offerte "sovereign" che soddisfano il livello 1 e proveranno a fermare la scala il più in basso possibile.
4. Cosa è, formalmente, e cosa non è ancora
Onestà procedurale, perché su questo circola confusione: CADA è una proposta legislativa. Deve percorrere l'iter ordinario — Parlamento europeo e Consiglio, negoziato, trilogo — e il testo che ne uscirà non sarà identico a quello di giugno. Chiunque vi presenti oggi una certificazione "conforme CADA livello 3" vi sta vendendo qualcosa che non esiste.
Quello che invece esiste già, e vale da subito, è la direzione. Le tre normative si muovono all'unisono: AI Act sulla conformità dei sistemi, NIS2 sulla sicurezza della catena di fornitura, CADA sulla capacità e sui livelli di sovranità. Un responsabile IT che nel 2027 dovrà rispondere a tutte tre farà domande al proprio fornitore che nel 2024 nessuno faceva.
5. Cosa significa per l'Italia, e per il Sud
Triplicare la capacità europea in sette anni significa che l'Europa ha bisogno di siti. Non di annunci: di terra, potenza allacciabile, acqua gestibile e comunità disposte a ospitare.
Su questa lista la mappa europea si riscrive, e non a favore dei nodi storici. Francoforte, Amsterdam, Londra, Parigi e Dublino — i cinque mercati che hanno definito il primo ciclo del cloud europeo — condividono lo stesso profilo: reti dense, terreni cari, moratorie o vincoli già in vigore. La capacità nuova andrà dove ci sono margini, e i margini sono al Sud e all'Est.
Per il Mezzogiorno italiano la combinazione è insolitamente favorevole: energia rinnovabile in eccesso, disponibilità di aree industriali dismesse, procedimento autorizzatorio nazionale già riformato, credito d'imposta ZES triennale, cavi sottomarini che approdano a poche decine di chilometri. Sono i quattro criteri di CADA, più la connettività, in un solo posto.
Il progetto Apulia Tech Hub è nato su questa tesi due anni prima che diventasse una proposta di regolamento europeo. Ci fa piacere leggerla nei documenti della Commissione, ma il merito non è nostro: era scritto nella geografia.
6. Tre cose da fare adesso
- Mappare dove sono i dati e chi li controlla — non dove sono ospitati, chi ha il controllo societario ed effettivo dell'operatore
- Chiedere al fornitore a quale livello si collocherebbe oggi, sapendo che la risposta è preliminare: quello che conta è se sa risponderla
- Scrivere i livelli nei contratti in rinnovo, come clausola di adeguamento futuro anziché come requisito immediato
Per otto anni "sovranità digitale" è stata una parola da convegno. Da giugno è una scala a quattro gradini con dentro la proprietà dell'infrastruttura. Chi sta su quale gradino diventerà la domanda commerciale più importante del settore.
Nota: CADA è una proposta legislativa in corso di esame. Contenuti e livelli descritti in questo articolo possono cambiare nel corso dell'iter.