Quando il CLOUD Act è stato approvato nel 2018, la maggior parte dei CTO europei lo trattava come un'astrazione legale - qualcosa di cui doveva preoccuparsi il team compliance, da qualche parte tra i banner dei cookie e l'acquisto delle stampanti. Otto anni dopo, con la sentenza Schrems II, NIS2 recepita nelle legislazioni nazionali in tutta l'UE, DORA in vigore per i servizi finanziari e le disposizioni sulle tariffe di uscita del Data Act ormai vicine, è diventata una preoccupazione da consiglio di amministrazione. Non perché gli avvocati abbiano vinto una discussione, ma perché il rischio ha smesso di essere teorico.

Definiamo i termini, perché "cloud sovrano" è stato ridotto a poltiglia dal marketing. La sovranità vera significa tre cose distinte: residenza dei dati in giurisdizioni UE, controllo operativo da parte di aziende con sede nell'UE e protezione legale contro le richieste extraterritoriali. I reparti marketing degli hyperscaler statunitensi ti diranno che le loro region europee spuntano la prima casella. Hanno ragione. Le altre due sono più difficili - e sono proprio quelle che contano quando le cose vanno storte.

Ecco come si traduce in pratica: un ospedale di Monaco fa girare l'imaging PACS su AWS Francoforte. I dati non lasciano mai la Germania. Cifratura a riposo, personale di supporto europeo, l'intero pacchetto di compliance. Ma la società operativa è una corporation statunitense del Delaware, soggetta al diritto americano. Un'ordinanza di un tribunale USA può imporre la divulgazione dei dati indipendentemente da dove risiedano fisicamente i byte. Gli avvocati dell'ospedale lo sanno. Anche il consiglio di amministrazione dell'ospedale, sempre di più, lo sa. Questo è il vuoto che NIS2 e il Data Act stanno colmando - lentamente, in modo imperfetto, ma in una direzione chiara.

La cronologia normativa racconta la storia. Schrems II (2020) ha invalidato il Privacy Shield e ha messo ogni trasferimento di dati dall'UE agli USA su un terreno legalmente instabile. NIS2 (con i recepimenti nazionali arrivati nel 2024-2025) ha trasformato la responsabilità della supply chain in un obbligo del consiglio di amministrazione con responsabilità personale - ora rispondi non solo della tua sicurezza, ma anche di quella dei tuoi fornitori. DORA (gennaio 2025) ha fatto lo stesso per i servizi finanziari, con denti veri. Il Data Act (con le disposizioni sulle tariffe di uscita dal 2027) attacca direttamente il lock-in: i costi di uscita che rendevano "migreremo più avanti" una fantasia stanno per essere regolamentati via.

Niente di tutto questo significa "smettere di usare AWS". Quella è la versione da uomo di paglia dell'argomento sovranità, e non regge all'impatto con la realtà - gli hyperscaler sono eccellenti in quello che fanno, e la maggior parte delle aziende europee terrà i propri workload su di loro ancora per anni. La versione seria riguarda l'opzionalità: sapere esattamente quali dei tuoi workload potrebbero essere spostati, dove potrebbero andare e quanto costerebbe - prima che un regolatore, l'ufficio procurement di un cliente o una sorpresa geopolitica impongano la domanda secondo i tempi di qualcun altro.

È qui che il panorama dei provider europei diventa interessante, perché oggi è davvero valido e per lo più sconosciuto. Hetzner offre un rapporto prezzo-prestazioni che fa sembrare le bollette del cloud USA uno scherzo. OVHcloud gestisce una delle infrastrutture più estese d'Europa, con fibra e data center propri. Scaleway offre uno stack moderno e developer-friendly dalla Francia. UpCloud fornisce compute affidabile dalla Finlandia. Nessuno di loro è un sostituto diretto di AWS su ogni servizio - ma per gli strati di compute, storage e rete dove risiede la maggior parte della spesa infrastrutturale reale, sono credibili, spesso più economici e rispondono solo al diritto dell'UE.

L'ostacolo onesto non è la capacità. È l'operatività. Ogni provider significa un'altra console, un'altra API, un altro export di fatturazione, un altro insieme di stranezze di sicurezza da imparare. Un'azienda di 30 persone non può avere un platform team per ogni cloud - così si consolida su un unico hyperscaler, e la sovranità diventa silenziosamente qualcosa da rivedere "l'anno prossimo", ogni anno.

Questo è il vero problema che Sencai esiste per risolvere. Una strategia multi-cloud - inclusa una strategia di sovranità - è reale solo se un piccolo team può gestirla senza annegare. Un unico control plane su hyperscaler e provider nativi UE, un unico posto per vedere ogni risorsa e ogni euro, un unico audit trail che regge quando vengono richieste evidenze NIS2: è questo che trasforma "dovremmo valutare i provider europei" da uno slide in un piano di migrazione.

Ecco quindi la checklist pratica che daremmo a qualsiasi CTO europeo per il 2026. Primo: mappa quali dei tuoi workload sono sensibili dal punto di vista giurisdizionale - dati personali, sanità, finanza, ambiti vicini al settore pubblico - e quali sono compute commodity che potrebbero girare ovunque. Secondo: chiedi ai tuoi provider chi gestisce legalmente ciascun servizio, non dove si trovano i server; le risposte ti sorprenderanno. Terzo: calcola il costo di uscita per i tuoi tre workload principali, perché il Data Act sta per rendere quel numero negoziabile. Quarto: fai girare quest'anno un vero workload su un provider UE - non come dichiarazione d'intenti, ma come opzione che hai effettivamente esercitato, con monitoring, backup e tutto ciò che pretenderesti ovunque altrove.

La posizione di Sencai è semplice: rilasciamo un control plane che funziona sia sugli hyperscaler sia sui provider nativi UE (Hetzner, OVHcloud, Scaleway, UpCloud), e lasciamo a te la decisione su dove far vivere ogni workload. Il control plane stesso gira in UE, gestito da un'azienda europea, senza dipendenze statunitensi nel percorso critico. Ecco cosa significa sovranità di default: non un badge su uno slide, ma la libertà di collocare ogni workload esattamente dove appartiene - e di poterlo dimostrare.