CADA: la strategia europea per cloud ed IA tra sostegno industriale, sovranità e appalti pubblici

Il 3 giugno 2026 la Commissione europea ha presentato la proposta di regolamento COM (2026) 502 final che istituisce un quadro di misure per il rafforzamento dell’ecosistema europeo del cloud e dell’intelligenza artificiale (di seguito, il Cloud and AI Development Act o “CADA“). Il dato di contesto è noto ma vale la pena richiamarlo. La quota di mercato dei fornitori europei di servizi cloud è scesa dal 29% del 2017 al 15% del 2022, per poi ristagnare, mentre tre hyperscaler extra-UE controllano oggi oltre il 70% del mercato europeo. Su questa dipendenza si innesta un rischio non solo economico ma anche giuridico, poiché gli operatori dominanti sono soggetti a ordinamenti terzi le cui norme a effetto extraterritoriale possono imporre accessi e trasferimenti di dati confliggenti con i diritti fondamentali dell’Unione. 

La novità sistematica del CADA sta nel punto in cui colloca la sovranità. Con il GDPR l’autonomia europea era stata costruita sul dato personale. Con il CADA essa scende di un piano e si radica nell’infrastruttura, ossia nella proprietà, nel controllo societario e nella localizzazione fisica di server, personale e catena del software. Non è un intervento di cybersecurity, che resta affidato ad altri strumenti, bensì la codificazione di un criterio strutturale di autonomia. Il regolamento poggia su una duplice base giuridica, l’articolo 114 TFEU sul mercato interno e l’articolo 173, paragrafo 3, TFEU sulla politica industriale, e persegue due obiettivi dichiarati, la competitività dell’ecosistema cloud e AI e il rafforzamento della resilienza e dell’autonomia strategica dell’Unione. 

1. Un regolamento a doppia anima: sostegno all’offerta e leva della domanda pubblica

Il CADA combina misure di sostegno all’offerta e misure di stimolo della domanda. 

• Sul versante dell’offerta, il Titolo II istituisce le Cloud and AI Leadership Initiatives, articolate in otto grand challenges (sostenibilità ed efficienza energetica dei data centre, cloud stack end-to-end, frontier AI, physical AI, industrial AI, modelli industriali cooperativi, piattaforma di agenti AI e AI del settore pubblico). Vi si aggiungono un meccanismo di riconoscimento dei progetti prioritari di frontier AI (articoli 8 e 9) e l’obbligo per gli Stati membri di adottare, entro un anno, una strategia nazionale coerente con il regolamento (articolo 7). 

• Il Titolo III affronta il divario di capacità di calcolo. Gli Stati membri designano data centre acceleration zones con procedure autorizzative semplificate e sportelli unici, mentre la Commissione può riconoscere data centre strategic projects a forte contenuto di innovazione e sostenibilità. L’ambizione dichiarata è triplicare la capacità dell’Unione entro cinque-sette anni e coprire il fabbisogno stimato entro il 2035, con una distribuzione geografica equilibrata. Questo pilastro industriale, pur rilevante, rappresenta solo la cornice del nuovo quadro regolatorio. Il cuore precettivo del regolamento è altrove, nel Titolo IV. 

2. I quattro livelli diassurance: la sovranità diventa graduabile e certificabile

Il Titolo IV istituisce un Union cloud computing sovereignty framework fondato su quattro Union assurance levels, i cui criteri cumulativi sono fissati nell’Allegato II. La logica è di intensità crescente. 

1. Il livello 1 richiede lo stabilimento nell’Unione, la localizzazione di infrastrutture e dati nel territorio dell’Unione (salvo diversa richiesta del committente pubblico), la piena trasparenza sui subappaltatori e, per i fornitori controllati da un Paese terzo, la garanzia che nessuna legge di quel Paese imponga la comunicazione delle vulnerabilità del software alle autorità estere prima del loro sfruttamento noto. 
2. Il livello 2 aggiunge la certificazione cybersecurity europea di livello almeno sostanziale, il divieto di utilizzare i dati generati dal servizio per addestrare sistemi di IA di soggetti terzi, e misure di separazione legale, tecnica e organizzativa rispetto a eventuali controllanti extra-UE. 
3. Il livello 3 eleva ulteriormente l’asticella e, di regola, esclude che il fornitore e i subappaltatori coinvolti siano soggetti al controllo di un Paese terzo, imponendo personale con cittadinanza dell’Unione e, ove opportuno, nulla osta di sicurezza. 
4. Il livello 4, riservato ai dati sensibili individuati a valle di una valutazione del rischio, richiede il controllo effettivo interamente europeo, personale composto da soli cittadini dell’Unione e certificazione cybersecurity di livello elevato. Il criterio dirimente è il test di ownership and control dettagliato nell’Allegato III, che impone di risalire la catena proprietaria fino ai titolari effettivi, mappando la cap table, i diritti di veto, i quorum decisionali e i legami commerciali o finanziari idonei a conferire un controllo di fatto, con una soglia di rilevanza fissata al 5% del capitale o dei diritti di voto. 

Il riconoscimento è disciplinato dall’articolo 17. Il fornitore presenta domanda all’autorità nazionale competente di stabilimento, che valuta le evidenze entro 60 giorni e attiva un periodo di revisione di ulteriori 60 giorni aperto alle obiezioni motivate delle altre autorità nazionali, con possibile rimessione alla Commissione in caso di dissenso persistente.  

Per il livello 1 la conformità è attestata mediante self-assessment e una dichiarazione di conformità UE (articolo 19), con riconoscimento automatico e diretto in tutti gli Stati membri per le PMI.  

Per i livelli da 2 a 4 è invece necessario un audit indipendente di terza parte, con parere positivo o negativo, revisione annuale e rigorosi requisiti di indipendenza dell’organismo di audit (articoli 20 e 21). I servizi riconosciuti confluiscono in un central repository pubblico gestito dalla Commissione (articolo 22). 

3. I terzi Paesi associati: un’adeguatezza rafforzata per il livello 3

L’apertura verso l’esterno è governata dall’articolo 18. La Commissione può adottare atti di esecuzione che identificano i Paesi terzi i cui fornitori controllati possono comunque essere sottoposti ad audit per il livello 3, a condizione che ricorrano criteri cumulativi. Il Paese terzo: 

• deve essere destinatario di una decisione di adeguatezza ai sensi dell’articolo 45 GDPR, 

• non deve disporre di misure che consentano un controllo confliggente con le regole di accesso lecito ai dati non personali dell’articolo 32 del Data Act, 

• non deve poter imporre l’interruzione del servizio né la compliance a regimi sanzionatori o embarghi (salvo che siano legittimi secondo il diritto degli Stati membri o dell’Unione), 

• non deve ostacolare la fornitura di tecnologie allo stato dell’arte, deve mantenere un mercato aperto ai servizi cloud dell’Unione e garantire un accesso equivalente alle proprie procedure di appalto (clausola di reciprocità). 

Si tratta, in sostanza, di un’adeguatezza rafforzata, che somma alla protezione dei dati personali una valutazione di autonomia infrastrutturale e di reciprocità commerciale.  

4. La leva della domanda: valutazioni di rischio, livelli obbligatori e Unionaddedvalue 

Il secondo pilastro del Titolo IV trasforma la spesa pubblica in strumento di politica industriale. Entro un anno, e poi ogni due, Stati membri e istituzioni dell’Unione conducono valutazioni del rischio che individuano le attività del settore pubblico rilevanti per l’ordine pubblico, ossia quelle nei settori degli Allegati I e II della Direttiva NIS2 e negli ambiti della sicurezza nazionale e interna, della gestione delle frontiere, della difesa, della giustizia e dell’applicazione della legge, determinando il livello di assurance appropriato (articolo 29). La metodologia è fissata dalla Commissione con atti di esecuzione, e la Commissione può imporre un livello diverso ove ritenga inadeguato quello individuato dallo Stato membro. 

• L’articolo 30 traduce la valutazione in obbligo. Le amministrazioni le cui attività non presentano rilevanza per l’ordine pubblico devono comunque acquisire servizi riconosciuti almeno al livello 1, mentre quelle rilevanti per l’ordine pubblico possono acquisire soltanto servizi riconosciuti ai livelli 2, 3 o 4. Le deroghe sono circoscritte alle ipotesi in cui nessun servizio riconosciuto sia disponibile nel central repository, in cui una gara analoga sia andata deserta nell’anno precedente, o in cui l’applicazione del regolamento comporterebbe costi sproporzionati.  

• Le entità private che rientrano nell’Allegato I della NIS2 possono condurre valutazioni analoghe su base volontaria (articolo 31), ferma la facoltà della Commissione di renderle obbligatorie per i settori ad alta criticità. 

• A questo si aggiunge il criterio del Union added value (articolo 32). Nelle procedure per servizi cloud e sistemi di IA innovativi, le amministrazioni inseriscono criteri di aggiudicazione non basati sul prezzo che valorizzano il contributo dell’offerente allo sviluppo dell’ecosistema europeo, quali l’impiego di software o hardware progettato o fabbricato nell’Unione, l’integrazione di tecnologie e risultati di ricerca europei e il rafforzamento della sicurezza degli approvvigionamenti. Il regolamento richiede espressamente che tali criteri restino accessori e non decisivi ai fini dell’aggiudicazione.  

Completano il quadro l’obiettivo di destinare almeno il 25% degli appalti cloud e AI a PMI innovative (articolo 33), l’istituzione di una federazione cloud del settore pubblico (EuroCloud Federation, articoli 34-36) e una marcata spinta verso le soluzioni open source (articoli 41-44). 

5. Governance e sanzioni

L’enforcement è affidato ad autorità nazionali competenti, che gli Stati membri designano entro un anno e che godono di competenza esclusiva nello Stato di stabilimento principale del fornitore (articolo 25). 

• A esse spettano poteri istruttori e di enforcement significativi, dall’accesso ai locali all’ordine di cessazione dell’infrazione, alle sanzioni e alle penalità di mora (articolo 26). 

• Le sanzioni sono definite dai singoli Stati membri, secondo il consueto standard di effettività, proporzionalità e dissuasività, e tra i criteri di commisurazione figura il fatturato annuo del trasgressore nell’Unione.  

È inoltre riconosciuto ai destinatari dei servizi un diritto al risarcimento del danno per le violazioni degli obblighi del fornitore (articolo 24). La coerenza applicativa è presidiata da meccanismi di assistenza reciproca e da un potere della Commissione di adottare decisioni vincolanti in caso di dissenso tra autorità. 

6. I nodi critici: il mercato interno contro sé stesso

La costruzione solleva questioni di sistema di rilievo. 

1. La prima è dogmatica. Un regolamento fondato anche sull’articolo 114 TFEU, la cui funzione è rimuovere gli ostacoli al mercato interno, erige un regime che discrimina i fornitori in base alla proprietà e al controllo societario, ossia proprio uno di quei criteri che il diritto della concorrenza e la libera prestazione dei servizi tendono a neutralizzare. Non a caso il regolamento si premura di precisare che esso non pregiudica l’applicazione degli articoli 101 e 102 TFEU. Resta però la tensione con la neutralità tecnologica e con la libera circolazione dei servizi, che costituiscono il codice genetico del mercato unico. 
2. La seconda questione è internazionale. La clausola di reciprocità dell’articolo 18 e i criteri di Union added value dell’articolo 32 si muovono ai margini degli obblighi assunti dall’Unione in materia di appalti pubblici, in particolare nel Government Procurement Agreement dell’OMC. Non stupisce che, all’indomani della presentazione, associazioni di categoria di Paesi terzi abbiano manifestato il timore di un’esclusione di fatto dalle gare più critiche. La qualificazione del criterio di Union added value come accessorio e non decisivo è la valvola che dovrebbe preservare la compatibilità del sistema, ma la sua tenuta si misurerà nella prassi delle gare, dove un differenziale anche contenuto può ridisegnare gli esiti.
3. La terza questione è di coerenza dell’acquis digitale. Il CADA si somma a un tessuto normativo già denso (e.g. GDPR, Data Act, NIS2, DORA, AI Act, revisione del Cybersecurity Act) proprio mentre, con il Digital Omnibus, la Commissione dichiara di voler ridurre la stratificazione regolatoria. L’aggiunta di un ulteriore livello di sovranità, per quanto orientato all’autonomia strategica, richiederà un raccordo attento con le certificazioni cybersecurity e con gli obblighi sui terzi fornitori ICT, per evitare duplicazioni e attriti applicati

7. Che cosa fare adesso

Sul piano operativo, i committenti pubblici dovranno mappare le proprie attività per verificarne la rilevanza per l’ordine pubblico, individuare il livello di assurance richiesto e pianificare le eventuali migrazioni, che devono completarsi entro un periodo di norma non superiore a dodici mesi. 

I fornitori cloud dovranno scegliere il livello a cui aspirare, distinguendo tra self-assessment per il livello 1 e audit indipendente per i livelli superiori, e avviare per tempo la ricostruzione della propria catena di ownership and control. 

Le entità private soggette alla NIS2 dovranno valutare l’opportunità di condurre le analisi volontarie dell’articolo 31. 

Un’ultima notazione riguarda il settore fintech e i prestatori di servizi in cripto-attività. Molti operatori regolati poggiano su infrastrutture di hyperscaler extra-UE, e il CADA intercetta questa dipendenza dal versante della sovranità là dove la DORA già la governa dal versante del rischio ICT dei terzi fornitori. Il coordinamento tra i due regimi meriterà attenzione specifica, in sede di due diligence contrattuale e di strategie di multi-cloud. Trattandosi di un testo in fase iniziale, ogni riferimento numerico ad articoli e allegati andrà verificato sul testo consolidato, che potrà mutare nel corso dell’iter.