Il Cloud and AI Development Act (CADA) è una proposta di regolamento europeo pubblicata il 3 giugno 2026, nell’ambito del pacchetto sulla sovranità tecnologica. Di applicazione diretta nei 27 Stati membri, riguarda tutti gli enti pubblici e le istituzioni dell’Unione che utilizzano servizi cloud.
Il programma mira a sviluppare le capacità europee nel campo del cloud e dell’intelligenza artificiale, ad accelerare l’implementazione dei centri dati, a dotare il settore pubblico di un cloud sovrano certificato e a ridurre le dipendenze digitali critiche.
Data prevista di entrata in vigore: secondo trimestre del 2029.
Gli appalti pubblici europei non prevedevano alcun criterio giuridicamente vincolante in materia di sovranità digitale. Il CADA sancisce un profondo cambiamento di dottrina: gli appalti pubblici integrano ora la sovranità come criterio di selezione a pieno titolo. La logica del mercato aperto cede il passo a una politica industriale consapevole, orientando strutturalmente la domanda verso gli attori europei.
| LIVELLO | COSA CAMBIA IN PRATICA |
|---|---|
| Livello 1 Autovalutazione, dichiarazione di conformità UE, senza audit esterno. | Requisiti minimi obbligatori per qualsiasi appalto pubblico di servizi cloud. Il fornitore deve avere sede nell’Unione, conservare lì i dati dei propri clienti e rendere conto dei propri subappaltatori. Un fornitore extraeuropeo potrebbe rientrare nel livello 1, a determinate condizioni. |
| Livello 2 Audit indipendente obbligatorio. | I fornitori sotto controllo straniero sono ammessi se dimostrano l’assenza di impatto sulla sicurezza, sulla continuità e sull’autonomia operativa. Certificazione EUCS «sostanziale» o schema nazionale (tra cui SecNumCloud). I dati non possono essere utilizzati per addestrare modelli di IA sotto giurisdizione straniera |
| Livello 3 Audit indipendente. Sono esclusi i controlli extraeuropei, salvo limitate deroghe. | Personale in possesso della cittadinanza europea. Possibili deroghe: riconoscimento di paesi terzi da parte della Commissione, oppure mancanza di un’offerta conforme da parte dell’ente appaltante. |
| Livello 4 Audit indipendente. È esclusa qualsiasi influenza extraeuropea, senza alcuna deroga. | Non sono ammessi fornitori soggetti a legislazioni extraterritoriali straniere, nemmeno tramite una filiale europea. Sono richiesti la certificazione EUCS di livello «elevato» e il controllo integrale della catena del software. |
La procedura di riconoscimento (art. 17) viene istruita dall’autorità nazionale competente entro 60 giorni, con la possibilità di opposizione da parte degli altri Stati membri; in caso di disaccordo, la Commissione decide con una decisione vincolante. Entro un anno dall’entrata in vigore, ogni Stato membro effettua una mappatura dei propri utilizzi del cloud e stabilisce il livello di garanzia richiesto per ciascun utilizzo. Gli operatori che operano nei settori critici ai sensi della direttiva NIS2 possono condurre volontariamente analisi d’impatto paragonabili a quelle degli enti pubblici; la Commissione può rendere obbligatorio tale esercizio mediante un atto delegato.
Il contenuto della proposta non nasconde la sua ispirazione francese: vi si ritrovano la logica della legge SREN, l’architettura del SecNumCloud e la dottrina sulla sovranità digitale che la Francia sostiene da diversi anni. Non spetta più ai fornitori europei giustificare la propria partecipazione alle gare d’appalto, ma ai fornitori non europei dimostrare la propria compatibilità con i requisiti di sovranità. Resta da monitorare i decreti attuativi e le deroghe agli articoli 18 e 30: è lì che si giocherà la portata effettiva del testo.
2026-2028 : trilogo tra il Parlamento europeo e il Consiglio
6 mesi dopo : designazione, da parte di ciascuno Stato membro, delle zone di accelerazione per i centri dati
1 anno dopo : applicazione del regolamento e adozione delle strategie nazionali in materia di cloud e IA
4 anni dopo : prima relazione di valutazione della Commissione, seguita da una revisione ogni 5 anni