Divari di compute, cloud sovrani e un dividendo della privacy

Le indiscrezioni sui colloqui di Nvidia per investire fino a dieci miliardi di dollari nell'IPO di Anthropic, con una valutazione che sfiora i duemila miliardi di dollari, sono arrivate nella stessa settimana in cui Tech.eu ha tirato le somme dell'intera attività di venture capital in Europa: poco meno di quattro miliardi di euro in oltre settanta operazioni, con la sola Francia che ne rappresenta più di tre grazie in gran parte al round da tre miliardi di euro della stessa Mistral. Mettendoli fianco a fianco, il paragone è impietoso. Un singolo investimento americano in una singola azienda americana varrebbe più del triplo di tutto ciò che è stato raccolto nell'intero settore tecnologico europeo in una settimana. Un rapporto redatto da un gruppo di economisti e decisori politici di alto livello, tra cui l'ex commissaria Margrethe Vestager, ha quantificato ciò che servirebbe per colmare questo divario: circa cento miliardi di euro per triplicare la capacità dei data center in Europa, portandola al quindici percento della quota globale entro il 2030, una cifra definita senza mezzi termini come il prezzo da pagare per evitare quella che gli autori hanno chiamato una dipendenza straniera irreversibile.

Questo non significa che sul campo non stia succedendo nulla. La startup di chip EUCLYD, con sede a Eindhoven, ha chiuso un round di Serie A da oltre duecento milioni di euro, co-guidato da Samsung ed EQT, e ha nominato l'ex capo di ASML Peter Wennink come presidente per contribuire a costruire l'infrastruttura AI europea partendo dal silicio. L'azienda di voice AI ElevenLabs, fondata da polacchi, ha raccolto cinquecento milioni di dollari con una valutazione di undici miliardi di dollari, un round che la sua stessa dirigenza ha descritto come la prova che l'Europa centrale e orientale può produrre aziende AI competitive a livello globale e non solo assecondare le ambizioni altrui. Nel frattempo la romana Exein è entrata nel club degli unicorni con una raccolta di duecentosettanta milioni di dollari per la cybersecurity basata sull'AI. I soldi sono reali. Sono solo ancora di un ordine di grandezza inferiori rispetto a quanto un singolo hyperscaler può impegnare con una sola firma.

Questa settimana all'Europa non manca l'ambizione, ma solo le dimensioni.

Bruxelles sta cercando di costruire la sovranità attraverso gli appalti pubblici tanto quanto attraverso i round di finanziamento. La startup francese Cycloid è stata scelta per fornire la tecnologia del framework per il cloud sovrano della Commissione Europea, un contratto di sei anni da centottanta milioni di euro che coinvolge quattro fornitori cloud europei e un portale unificato per sviluppatori per un massimo di cinquemila utenti, la singola notizia di maggior successo raccolta dal sito questa settimana. Parallelamente, la Commissione ha pubblicato una tabella di marcia per la migrazione alla crittografia quantum-safe, con i ministeri olandesi a co-presiedere il gruppo di lavoro, e una piccola startup olandese, Custodea, ha raccolto finanziamenti seed per una piattaforma di dati ospitata nell'UE, volta a dare alle PMI lo stesso tipo di controllo sulle proprie informazioni di cui già dispongono le aziende più grandi. C'è stata una nota stonata in tutta questa costruzione di infrastrutture: l'ENISA, l'agenzia dell'UE per la cybersecurity, ha collaborato con il CERT-EU utilizzando un modello di OpenAI per trovare falle di sicurezza nel codice di un progetto dell'UE, un promemoria del fatto che costruire sistemi sovrani e utilizzare strumenti sovrani per costruirli sono ancora due cose diverse.

Questa settimana la regolamentazione ha continuato il suo spostamento dalla stesura delle leggi verso le linee guida pratiche. La Commissione ha pubblicato linee guida non vincolanti su come i fornitori debbano etichettare i contenuti generati dall'AI e dichiarare le interazioni con l'AI prima che gli obblighi di trasparenza dell'AI Act dell'UE entrino in vigore nell'agosto 2026, mentre un'iniziativa parallela dell'AI Omnibus sta spostando il dibattito sulla conformità verso il modo in cui le aziende possono dimostrare un uso proporzionato di dati anonimizzati o sintetici, piuttosto che limitarsi a ciò che le regole prescrivono sulla carta. La Commissione ha anche presentato il KIDS Act, volto a limitare il grado di apertura dei social media e delle piattaforme video ai minori, spostando l'onere sui fornitori di dimostrare che le loro piattaforme sono sicure by design, piuttosto che sulle autorità di regolamentazione di provare che non lo sono. Se le regole dichiarate si traducano in sanzioni effettivamente riscosse è una questione ancora aperta: oltremanica, l'Ofcom ha ammesso che la maggior parte degli oltre sette milioni di sterline di multe emesse ai sensi dell'Online Safety Act rimane non pagata, citando lacune nei propri poteri di applicazione. È il tipo di lacuna che Bruxelles vorrà evitare di ripetere man mano che le proprie normative sull'AI e sulla sicurezza dei minori passano dalla legge alla pratica.

La settimana è stata attraversata anche da un filo conduttore più silenzioso: la privacy come risorsa piuttosto che come onere. Uno studio del Fraunhofer ISI e della University of Kassel ha contestato direttamente l'idea che allentare la protezione dei dati renderebbe l'Europa più competitiva, definendo invece il GDPR un marchio di qualità su cui le aziende europee potrebbero basarsi, a condizione che le imprese più piccole ricevano un supporto più mirato per orientarvisi. La Corte Federale tedesca ha dato forza a questa argomentazione, stabilendo che i consumatori possono invocare il diritto nazionale contro la condivisione non autorizzata dei dati da parte dei negozi online poiché il GDPR non impedisce tali ricorsi, innalzando di fatto il livello di tutela al di sopra dello standard europeo di base. Nella stessa settimana, ricercatori tedeschi per i diritti digitali e gruppi per la protezione dei dati hanno fatto pressione sulla Commissione riguardo a una minaccia esterna: il disegno di legge canadese C-22, che a loro avviso potrebbe indebolire la crittografia end-to-end per gli utenti europei a livello extraterritoriale e si pone in netto contrasto con la giurisprudenza della Corte di Giustizia Europea, con richieste a Bruxelles di rivedere in risposta lo status di adeguatezza del Canada al GDPR.

Nel suo complesso, la settimana non si legge tanto come una trama unica, quanto come un continente che sta testando contemporaneamente diverse leve di sovranità: capitali che non può ancora eguagliare, infrastrutture che sta lentamente acquisendo, regole che sta iniziando ad applicare e un regime di privacy che sta imparando a promuovere come un punto di forza anziché doversene scusare. Nessuna di queste leve, da sola, colma il divario aperto questa settimana dal libretto degli assegni di Nvidia. Se nel loro insieme siano sufficienti è la domanda a cui le istituzioni europee e i suoi investitori stanno entrambi ancora cercando di dare una risposta.