Il 3 giugno 2026, la Commissione europea ha pubblicato la proposta di Regolamento denominato Cloud and AI Development Act (CADA), cuore del più ampio Tech Sovereignty Package con cui Bruxelles intende rispondere a due vulnerabilità critiche del sistema digitale europeo: un deficit strutturale di capacità nei data center e una dipendenza da un numero ristretto di fornitori cloud non europei. Non si tratta di un intervento isolato, ma del tassello centrale di un'architettura regolatoria che ridisegna il quadro giuridico dell'infrastruttura digitale europea, divenuto elemento critico per la tutela della sovranità digitale nella economia dei dati.
Il problema: dipendenza e deficit di capacità
La quota di mercato dei fornitori cloud europei è scesa dal 29% del 2017 a circa il 15% nel 2022. Nel frattempo, la domanda di capacità computazionale — trainata dallo sviluppo di modelli di intelligenza artificiale sempre più energivori — è cresciuta in modo esponenziale. L'obiettivo dichiarato del CADA è quello di almeno triplicare la capacità dei data center europei nei prossimi cinque-sette anni, semplificando le procedure autorizzative e migliorando l'accesso a risorse essenziali come energia, terreni, acqua e finanziamenti.
In questo scenario, i data center non sono più intesi come semplici infrastrutture tecniche ma asset essenziali in quanto strumentali alla tutela della sovranità digitale — un cambio di paradigma che l'Italia ha già anticipato a livello interno con il D.L. 21/2026, che ha introdotto il procedimento unico nazionale per la loro autorizzazione.
L'architettura del CADA: tre pilastri normativi
Sul piano strutturale, il CADA si articola su tre assi principali.
Il primo riguarda la capacità infrastrutturale. La proposta richiede agli Stati membri di facilitare la creazione di data center acceleration zones, aree dedicate a garantire adeguata capacità energetica per lo sviluppo di data center su scala europea. Si tratta di uno strumento con rilevanti implicazioni urbanistiche e ambientali, che potrebbe imporre una revisione degli strumenti di governo del territorio nei singoli ordinamenti nazionali.
Il secondo pilastro — e probabilmente il più innovativo — è rappresentato dal framework europeo di sovranità cloud. La proposta introduce quattro livelli progressivi di garanzia, denominati «Union assurance levels». Per le attività del settore pubblico che, in esito alla valutazione del rischio, non siano individuate come rilevanti per la tutela dell’ordine pubblico, è richiesto il ricorso a servizi cloud riconosciuti almeno al livello 1. Per le attività che, invece, contribuiscono alla tutela dell’ordine pubblico e sono riconducibili ai settori contemplati dagli Allegati I e II della direttiva NIS2 — tra cui energia, trasporti, sanità e approvvigionamento idrico — oppure agli ambiti della sicurezza nazionale o interna, della gestione delle frontiere esterne, della difesa, della giustizia o delle attività di contrasto, gli Stati membri e le entità dell’Unione devono effettuare una valutazione del rischio e determinare il livello di garanzia appropriato tra i livelli 2, 3 e 4. Le amministrazioni interessate potranno quindi acquistare esclusivamente servizi cloud riconosciuti al livello di garanzia richiesto.
Il terzo pilastro interviene sulla contrattazione pubblica. La proposta richiede alle pubbliche amministrazioni di considerare il "valore aggiunto europeo" come criterio non economico-finanziario negli appalti per servizi cloud e AI, tenendo conto della misura in cui un fornitore contribuisce alla catena di fornitura tecnologica europea, integra tecnologie sviluppate nell'UE o eroga servizi tramite componenti hardware progettati o prodotti in Europa. Pur rimanendo un criterio "accessorio e non determinante" — con un peso massimo indicativo di 15 punti su 120 — introduce comunque un vantaggio strutturale per i provider con significativa presenza in Europa.
Le implicazioni giuridiche per le imprese
Il CADA non è destinato a produrre effetti solo nel settore pubblico. Sebbene l'impatto più immediato riguardi le pubbliche amministrazioni, la proposta è destinata a diventare un riferimento più ampio per le imprese che offrono, acquistano o utilizzano infrastrutture cloud e AI nell'Unione Europea.
Per i fornitori di servizi cloud, la classificazione per livelli di assurance imporrà una revisione profonda dei modelli contrattuali, dei service level agreement e delle politiche di data residency. Per le imprese che operano in settori regolati — banche, assicurazioni, utilities, sanità — il coordinamento con gli obblighi già previsti da DORA, NIS2 e GDPR genererà un sistema di compliance stratificato di notevole complessità. La proposta si inserisce espressamente in continuità con il Data Act, la NIS2, DORA, il GDPR e l'AI Act, e deve essere letta in combinato disposto con le disposizioni sulla gestione del rischio nella catena di fornitura ICT previste dalla revisione del Cybersecurity Act.
Il nodo geopolitico e il rischio di frammentazione
Il CADA si colloca in un contesto geopolitico di crescente tensione. Le associazioni di categoria americane, come il CCIA (Computer and Communications Industry Association), hanno criticato aspramente la proposta, considerano le regole europee come discriminatorie e protezionistiche, poiché rischiano di escludere le aziende USA dagli appalti pubblici più sensibili per la sicurezza nazionale, la difesa e la sanità.
Il rischio concreto è che le trattative in sede di trilogo — il percorso negoziale tra Commissione, Parlamento e Consiglio che porterà al testo definitivo — indeboliscano significativamente le disposizioni più ambiziose sulla sovranità cloud, sotto la pressione diplomatica e commerciale dei partner transatlantici.
Sul piano interno europeo, permane il rischio di disallineamenti tra il CADA e le discipline nazionali già adottate — come quella italiana sopra citata — generando sovrapposizioni normative che le imprese dovranno navigare con attenzione.
Conclusioni
Il Cloud and AI Development Act segna un passaggio qualitativo nella strategia regolatoria europea: per la prima volta, i data center e le infrastrutture cloud vengono trattati non come oggetto di regolazione tecnica, ma come strumenti di politica industriale e di sicurezza nazionale. Per giuristi, imprese e pubbliche amministrazioni si apre una stagione di profonda revisione di contratti, assetti organizzativi e modelli di compliance. Il testo è ancora in fase di proposta e il percorso legislativo sarà lungo, ma il segnale politico è inequivocabile: in Europa, chi controlla l'infrastruttura AI controlla una risorsa strategica, e il diritto è chiamato a presidiare questo confine.
