Strette sulle piattaforme, cloud sovrani e frenata dei finanziamenti

La Commissione europea ha trascorso la settimana a ricordare all'industria che il Digital Services Act è ancora in grado di farsi rispettare. ChatGPT, Reddit e Roblox sono state designate piattaforme online di grandissime dimensioni, e ChatGPT è stato ulteriormente classificato come motore di ricerca online di grandissime dimensioni, un'etichetta che lo sottopone agli stessi obblighi in materia di rischio sistemico di Google Search. I tre servizi hanno ora tempo fino a gennaio 2027 per adeguarsi. La designazione è arrivata proprio nella stessa settimana del discorso sullo stato dell'Unione della presidente della Commissione, l'appuntamento annuale in cui Bruxelles stabilisce le priorità digitali per l'anno a venire.

Il resto del quadro normativo si è rivelato più caotico. L'emendamento all'AI Act dell'UE all'interno del pacchetto Digital Omnibus è andato avanti, posticipando le scadenze di adeguamento per i sistemi di IA ad alto rischio, ma una proposta parallela per ridefinire cosa sia considerato dato personale ai sensi del GDPR ha incontrato resistenze durante i negoziati interistituzionali. Bruxelles sta cercando di semplificare la conformità sull'IA e di allentare una definizione fondamentale sulla privacy all'interno dello stesso pacchetto, ma solo una delle due cose sta procedendo senza intoppi.

Semplificare un impianto normativo sta mettendo alla prova i limiti di un altro.

Anche l'applicazione delle norme sulla concorrenza ha avuto risvolti contrastanti. Opera ha perso la causa per far designare Microsoft Edge come gatekeeper ai sensi del Digital Markets Act, poiché il Tribunale ha stabilito che il browser non rappresentava un punto di accesso sufficientemente importante per soddisfare i requisiti, una sentenza che restringe il raggio d'azione del DMA nel settore dei software desktop. Nel frattempo, la Commissione ha aperto un'indagine conoscitiva sulle pratiche di licenza cloud di Oracle, a seguito di un'inchiesta simile su SAP, un segnale che il controllo sui fornitori di software aziendale sta diventando una routine anziché un'eccezione.

Le ambizioni di sovranità si sono scontrate con le proprie contraddizioni. I Paesi Bassi hanno pubblicato una bozza di progetto per il loro cloud governativo sovrano, un passo concreto verso quel tipo di indipendenza delle infrastrutture pubbliche che Bruxelles continua a richiedere. In Italia si sta verificando la dinamica opposta: le regole in materia di appalti, scritte per proteggere i fornitori locali, finiscono invece per favorire gli hyperscaler statunitensi, in quanto i requisiti di qualificazione premiano le economie di scala che solo i più grandi operatori consolidati possono soddisfare, tagliando fuori le federazioni cloud locali come EduStorage, sebbene siano tecnicamente pronte a competere. L'intento e il risultato spingono in direzioni opposte.

Il capitale privato ha raccontato una storia simile. xorlab, con sede a Zurigo, ha raccolto 5 milioni di euro per espandere una piattaforma sovrana di sicurezza per le e-mail costruita esplicitamente per ridurre la dipendenza dalle infrastrutture controllate dagli Stati Uniti. Pochi giorni dopo, Nvidia ha confermato l'acquisizione per 12,93 miliardi di dollari di Hugging Face, il repository di modelli di IA fondato in Francia che è diventato uno degli hub centrali dell'IA open source. Un campione di sovranità di origine francese è appena passato nelle mani del produttore di chip dominante a livello mondiale, un promemoria del fatto che costruire aziende orientate alla sovranità e mantenerne la proprietà europea sono due sfide ben diverse.

L'applicazione delle norme sulla protezione dei dati ha continuato ad avanzare a prescindere dal dibattito sulle definizioni in corso a Bruxelles. La Corte Suprema austriaca ha stabilito che l'agenzia di credito CRIF ha raccolto dati illegalmente in violazione del principio di limitazione della finalità del GDPR, una sentenza che rafforza la class action in sospeso di noyb. La Data Protection Commission irlandese ha multato la Health Service Executive per 645.000 euro a causa di cartelle cliniche cartacee non protette, mentre la CNIL francese ha inflitto una sanzione di 500.000 euro a Hôpital Privé de la Loire dopo che una violazione ha esposto le informazioni sanitarie di oltre 524.000 pazienti. L'autorità olandese per la protezione dei dati ha adottato l'approccio opposto, rilasciando modelli di conformità gratuiti per aiutare le piccole imprese a soddisfare gli obblighi del GDPR senza dover ricorrere a un team legale. Con il lancio dell'EUDI Wallet previsto per dicembre 2026, Agenda Digitale ha segnalato che la sua architettura solleva ancora questioni aperte sulla gestione dei metadati proprio ai sensi di quelle stesse regole che i regolatori stanno applicando attivamente altrove.

I mercati dei capitali, nel frattempo, hanno raccontato due storie diverse a seconda della prospettiva. Il riepilogo settimanale di Tech.eu ha contato poco più di 475 milioni di euro investiti in oltre 35 operazioni all'apertura della settimana. Pochi giorni dopo, un altro rapporto ha inserito il quadro generale nella giusta prospettiva: i finanziamenti tecnologici europei sono crollati del 63 per cento ad agosto scendendo a 3,2 miliardi di euro distribuiti su 165 operazioni, inserendosi in un più ampio rallentamento degli investimenti in tutto il continente. Ciononostante, i fondi che si sono mossi hanno continuato a confluire verso settori strategicamente sensibili. L'azienda spacetech tedesca HyImpulse si è assicurata oltre 50 milioni di euro per scalare la propria capacità di lancio sovrana in vista delle prossime missioni. INLEAP Photonics ha raccolto 20 milioni di euro per espandere i suoi sistemi antidrone basati su laser per la difesa europea e per i clienti delle infrastrutture critiche. L'azienda finlandese Creoir ha ottenuto finanziamenti seed per commercializzare un'IA vocale creata per i sistemi di difesa. L'azienda spagnola iPronics ha raccolto 107,6 milioni di euro per il networking ottico dei data center dedicati all'IA in un round che ha incluso la stessa Nvidia, un accordo che si colloca a metà strada tra il successo del deep tech europeo e la dipendenza dallo stesso chipmaker che questa settimana sta ridisegnando il dibattito sulla sovranità altrove.

L'Europa continua a scrivere le regole per la sovranità più velocemente di quanto riesca a costruirne la proprietà che ne sta alla base.

Nel complesso, la settimana fotografa a che punto si trovi effettivamente il progetto di sovranità digitale europeo. L'impianto giuridico costruito dal DSA, dal DMA, dall'AI Act e dal GDPR è attivo e viene applicato, a volte contro le piattaforme dominanti statunitensi e a volte contro gli ospedali e le agenzie europee che vengono meno ai propri obblighi. Tuttavia, la sovranità sulle infrastrutture e sulla proprietà rimane molto più difficile da normare rispetto alla sovranità sulle regole. Il progetto di un cloud governativo olandese e un round di finanziamento per la sicurezza delle e-mail a Zurigo indicano una direzione, mentre la struttura di una gara d'appalto italiana e un'acquisizione da parte di Nvidia puntano a quella opposta. Nessuna di queste dinamiche annulla l'altra, e tale tensione sembra destinata a definire i mesi a venire.