ROMA (Public Policy Bytes) – “Sebbene il mercato dei servizi di cloud computing dell’Unione europea stia registrando una crescita significativa, la quota di mercato dei fornitori dell’Ue è scesa dal 29% del 2017 al 15% del 2022, rimanendo da allora stagnante. Attualmente, 3 soli hyperscaler extra-Ue controllano oltre il 70% del mercato europeo del cloud“. È da queste evidenze, riportate nel testo legislativo, che prende le mosse il Cloud and AI development act, proposta di regolamento con cui la Commissione europea intende rafforzare l’ecosistema tecnologico continentale e mitigare la dipendenza da fornitori di servizi cloud e di intelligenza artificiale di paesi terzi – su tutti Stati Uniti e Cina.
Parte della più ampia strategia delineata nel pacchetto sulla sovranità tecnologica europea, presentato ieri e che include anche un aggiornamento del Chips act del 2023, la proposta illustra i rischi per aziende, cittadini e pubbliche amministrazioni europei derivati dalla forte concentrazione del mercato in pochi operatori extra-Ue: su tutti, la discontinuità operativa e l’applicazione extraterritoriale di legislazioni straniere, che potrebbero imporre l’accesso o il trasferimento di dati in conflitto con i diritti fondamentali e il quadro normativo europeo sulla privacy.
Per contrastare tali vulnerabilità e riacquisire autonomia operativa, la proposta formula un “quadro normativo per la sovranità del cloud computing”, articolato su 4 livelli di garanzia crescenti (Union assurance levels). I fornitori di servizi cloud che intendono operare con enti governativi e istituzioni europee dovranno condurre un’autovalutazione di conformità (per il livello 1) e sottoporsi ad audit di terze parti indipendenti (per i livelli 2, 3 e 4) per ottenere il riconoscimento formale del rispetto dei criteri di sovranità.
Il regolamento interviene poi in modo stringente sugli appalti pubblici per garantire l’ordine pubblico e la sicurezza. Le pubbliche amministrazioni e le organizzazioni dell’Unione saranno tenute a condurre valutazioni dei rischi periodiche per determinare il livello di sensibilità delle proprie operazioni. Per settori altamente critici quali la difesa, la sicurezza nazionale, la gestione delle frontiere e la giustizia, le stazioni appaltanti saranno obbligate ad acquisire servizi cloud certificati con i nuovi livelli di garanzia 2, 3 o 4. Sono tuttavia previste deroghe eccezionali qualora manchino alternative sul mercato, in caso di bandi precedentemente andati deserti o per evitare costi sproporzionati.
In generale, il livello 1 costituirà il requisito minimo per qualsiasi acquisizione pubblica di servizi cloud nell’Unione. In aggiunta, il testo mira a reindirizzare il potere d’acquisto del settore pubblico per sviluppare le capacità dell’industria locale. Nelle gare d’appalto per servizi cloud e sistemi di IA, le stazioni appaltanti dovranno includere criteri di valutazione basati sul “valore aggiunto europeo”. Tali criteri misureranno il contributo dell’offerente al rafforzamento della catena di approvvigionamento tecnologico dell’UE, incentivando l’uso di hardware e software progettati o prodotti all’interno dell’Unione. Sul fronte dell’infrastruttura condivisa, la Commissione propone l’istituzione della EuroCloud Federation, una federazione europea del cloud destinata esclusivamente al settore pubblico. Tale piattaforma consentirà agli enti pubblici e alle istituzioni dell’UE di condividere capacità di calcolo e servizi cloud altamente sicuri, riducendo la frammentazione e la necessità di rivolgersi a fornitori commerciali non europei.
Parallelamente, il regolamento affronta il deficit infrastrutturale interno, con l’obiettivo di triplicare la capacità dei data center dell’Ue entro i prossimi 5-7 anni. Per accelerare i tempi, gli Stati membri dovranno designare specifiche “zone di accelerazione per i data center”, all’interno delle quali i processi autorizzativi e di connessione alla rete elettrica saranno semplificati e sottoposti a procedure armonizzate rapide. Infine, per ridurre ulteriormente il rischio del cosiddetto “vendor lock-in”, ossia la totale dipendenza tecnologica da un singolo fornitore, il testo promuove sistematicamente l’adozione di soluzioni open source – a cui il pacchetto per la sovranità tecnologica dedica una strategia ad hoc. Le pubbliche amministrazioni saranno incentivate a utilizzare standard aperti e a condividere il software sviluppato con fondi pubblici attraverso un nuovo catalogo centralizzato, lo EU Open Source Solutions Catalogue. (Public Policy Bytes) DVZ
