Stretta delle piattaforme, cloud sovrani e frenata dei finanziamenti

La Commissione Europea ha trascorso la settimana ricordando al settore che il Digital Services Act sa ancora farsi valere. ChatGPT, Reddit e Roblox sono stati designati come Very Large Online Platforms, e ChatGPT è stato inoltre classificato come un motore di ricerca online di dimensioni molto grandi, un'etichetta che lo assoggetta agli stessi obblighi sui rischi sistemici di Google Search. I tre servizi hanno ora tempo fino a gennaio 2027 per adeguarsi. Questa designazione è arrivata proprio nella stessa settimana del discorso sullo Stato dell'Unione della presidente della Commissione, l'appuntamento annuale in cui Bruxelles stabilisce le proprie priorità digitali per l'anno a venire.

Il resto del quadro normativo si è rivelato più complesso. L'emendamento all'EU AI Act all'interno del pacchetto Digital Omnibus ha fatto passi avanti, posticipando le scadenze di conformità per i sistemi AI ad alto rischio. Tuttavia, una proposta parallela per ridefinire cosa costituisca un dato personale ai sensi del GDPR ha incontrato resistenza durante i colloqui interistituzionali. Bruxelles sta cercando di semplificare la conformità sull'AI e, all'interno dello stesso pacchetto, di allentare una definizione fondamentale sulla privacy. Solo una di queste due iniziative sta però procedendo senza intoppi.

Semplificare un corpus normativo sta mettendo alla prova i limiti di un altro.

Anche l'applicazione delle norme sulla concorrenza ha avuto esiti altalenanti. Opera ha perso la sua causa per far designare Microsoft Edge come gatekeeper ai sensi del Digital Markets Act. Il Tribunale dell'Unione Europea ha infatti stabilito che il browser non rappresenta un punto di accesso sufficientemente importante per soddisfare i requisiti, emettendo una sentenza che restringe il raggio d'azione del DMA nel settore dei software desktop. Nel frattempo, la Commissione ha avviato un'indagine conoscitiva sulle pratiche di licenza cloud di Oracle, a seguito di un'inchiesta simile su SAP. Questo è un segnale che il controllo sui fornitori di software aziendale sta diventando una prassi abituale piuttosto che un'eccezione.

Le ambizioni di sovranità si sono scontrate con le proprie contraddizioni. I Paesi Bassi hanno pubblicato una bozza di progetto per il loro cloud governativo sovrano, un passo concreto verso quel tipo di indipendenza delle infrastrutture pubbliche che Bruxelles continua a richiedere. In Italia si sta verificando la dinamica opposta: le regole per gli appalti, scritte per proteggere i fornitori locali, favoriscono invece gli hyperscaler statunitensi, poiché i requisiti di qualificazione premiano le economie di scala che solo i più grandi operatori storici possono garantire. Ciò finisce per escludere le federazioni cloud locali come EduStorage, nonostante siano tecnicamente pronte a competere. L'intenzione e il risultato stanno andando in direzioni opposte.

Il capitale privato ha raccontato una storia simile. L'azienda zurighese xorlab ha raccolto 5 milioni di euro per espandere una piattaforma sovrana per la sicurezza delle e-mail, creata esplicitamente per ridurre la dipendenza dalle infrastrutture controllate dagli Stati Uniti. Pochi giorni dopo, Nvidia ha confermato l'acquisizione per 12,93 miliardi di dollari di Hugging Face, il repository di modelli AI fondato in Francia che è diventato uno degli snodi centrali dell'AI open-source. Un campione di sovranità di origine francese è appena passato nelle mani del principale produttore di chip a livello mondiale. Questo episodio ricorda che creare aziende orientate alla sovranità e mantenerle di proprietà europea sono due sfide completamente diverse.

L'applicazione delle norme sulla protezione dei dati ha continuato a procedere indipendentemente dal dibattito sulle definizioni in corso a Bruxelles. La Corte Suprema austriaca ha stabilito che l'agenzia di credito CRIF ha raccolto dati illegalmente in violazione del principio di limitazione delle finalità del GDPR, una sentenza che rafforza la class action in corso promossa da noyb. La Data Protection Commission irlandese ha multato la Health Service Executive per 645.000 euro a causa di cartelle cliniche cartacee non protette, mentre la CNIL francese ha sanzionato l'Hôpital Privé de la Loire per 500.000 euro in seguito a una violazione che ha esposto le informazioni sanitarie di oltre 524.000 pazienti. L'autorità olandese per la protezione dei dati ha adottato un approccio diametralmente opposto, pubblicando modelli gratuiti per la conformità volti ad aiutare le piccole imprese a rispettare gli obblighi del GDPR senza l'ausilio di un team legale. Inoltre, con il lancio dell'EUDI Wallet previsto per dicembre 2026, Agenda Digitale ha segnalato che la sua architettura solleva ancora interrogativi aperti sulla gestione dei metadati, proprio in virtù delle stesse regole che le autorità stanno attivamente applicando in altri ambiti.

I mercati dei capitali, nel frattempo, hanno raccontato due storie diverse a seconda del punto di vista. Il riepilogo settimanale di Tech.eu ha conteggiato poco più di 475 milioni di euro investiti in oltre 35 operazioni all'inizio della settimana. Pochi giorni dopo, un altro rapporto ha inquadrato la situazione in una prospettiva più ampia: ad agosto i finanziamenti tecnologici europei sono crollati del 63%, scendendo a 3,2 miliardi di euro distribuiti su 165 accordi, un dato che si inserisce in un più ampio rallentamento delle transazioni in tutto il continente. Nonostante ciò, i capitali che si sono mossi hanno continuato a fluire verso settori strategicamente sensibili. L'azienda aerospaziale tedesca HyImpulse ha ottenuto oltre 50 milioni di euro per scalare la propria capacità di lancio sovrana in vista delle prossime missioni. INLEAP Photonics ha raccolto 20 milioni di euro per espandere i suoi sistemi anti-drone basati su laser, destinati ai clienti europei del settore della difesa e delle infrastrutture critiche. L'azienda finlandese Creoir ha ottenuto finanziamenti seed per commercializzare un'AI vocale sviluppata per i sistemi di difesa. Infine, la spagnola iPronics ha raccolto 107,6 milioni di euro per il networking ottico dei data center dedicati all'AI in un round che ha visto la partecipazione della stessa Nvidia. Questa operazione si colloca a metà strada tra il successo del deep tech europeo e la dipendenza dallo stesso produttore di chip che in questi giorni sta ridisegnando altrove il dibattito sulla sovranità.

L'Europa continua a scrivere le regole per la sovranità più velocemente di quanto riesca a costruirne la base proprietaria.

Nel complesso, la settimana fotografa a che punto si trovi realmente il progetto europeo di sovranità digitale. L'apparato giuridico costruito su DSA, DMA, AI Act e GDPR è attivo e applicato, a volte contro le piattaforme statunitensi dominanti, altre volte contro ospedali e agenzie europee che vengono meno ai propri obblighi. Tuttavia, legiferare sulla sovranità delle infrastrutture e degli assetti proprietari rimane molto più difficile rispetto alla sovranità sulle regole. Il progetto del cloud governativo olandese e il round di finanziamento per la sicurezza delle e-mail a Zurigo indicano una direzione. La struttura degli appalti italiani e l'acquisizione da parte di Nvidia ne indicano un'altra. Nessuna delle due annulla l'altra, e questa tensione sembra destinata a definire i mesi a venire.