C’è un modo molto europeo di affrontare i problemi tecnologici, ed è scrivere una direttiva. Se la direttiva non basta, si scrive un regolamento. Se il regolamento non basta, si convoca un tavolo tecnico. Se il tavolo tecnico non basta, si forma una task force. Se la task force non basta, si nomina un commissario straordinario. Nel frattempo, da qualche parte tra Silicon Valley e Shenzhen, qualcuno ha già costruito la cosa di cui stavamo discutendo, l’ha venduta a tutto il pianeta, e sta lavorando alla versione successiva.
Questa è, in sintesi non particolarmente caricaturale, la storia degli ultimi venticinque anni di sovranità digitale europea. Abbiamo prodotto il GDPR, l’AI Act, il Digital Markets Act, il Digital Services Act, il Data Act, il Cyber Resilience Act. Ognuno, preso singolarmente, è anche fatto bene. Sommati, costituiscono il corpus giuridico più sofisticato al mondo per regolamentare tecnologie che sono prodotte da qualcun altro. È un risultato di cui andare fieri come si va fieri di una collezione di francobolli: pregevole, ma non particolarmente utile per andare sulla Luna.
Il piccolo problema dei numeri
Ogni tanto qualcuno, di solito uno che ci lavora dentro davvero, prova a ricordarcelo con i numeri. Recentemente lo ha fatto Damien Lucas, CEO di Scaleway — uno dei pochi cloud provider europei che riesce a guardare in faccia AWS senza arrossire — in un’intervista a Moneta. Le cifre, ridotte all’osso, sono queste.
Il mercato pubblico europeo del cloud vale otto miliardi. Di questi, l’ottanta per cento è in mano ad aziende americane. Per arrivare a un dignitoso cinquanta-cinquanta — non per dominare, badate, solo per non essere comprimari — servirebbero novanta miliardi di investimenti complessivi. Una somma che il commentatore distratto definirebbe “enorme”, ma che nel contesto degli investimenti tecnologici globali è poco più di una mancia. Per dare una scala: Macron, a febbraio 2025, ha annunciato un piano da centonove miliardi in data center sul suolo francese. Solo cinque, di quei centonove, arrivano da aziende europee. Il novantasei per cento di quei data center sarà di proprietà straniera. Costruiamo le case sul nostro terreno, ma le chiavi le diamo a qualcun altro. Si chiama sovranità, ovviamente.
E poi c’è il dato che, secondo me, dovrebbe essere stampato su ogni manuale di economia europea per i prossimi dieci anni: quando un’istituzione europea spende un euro su Scaleway, sessantotto centesimi restano nell’economia europea. Quando lo spende su un colosso americano, ne restano venti. Quaranta miliardi all’anno di spesa pubblica cloud distribuiti nel modo sbagliato sono, all’incirca, venti miliardi all’anno regalati a economie altrui. Lo facciamo per pigrizia, per inerzia, e in buona parte perché abbiamo passato vent’anni a convincerci che il mercato globale ce lo avrebbe garantito al prezzo giusto. Una premessa che oggi, gentilmente ma fermamente, la storia sta smentendo.
La parola brutta: kill switch
C’è un termine che fino a qualche anno fa era riservato agli appassionati di geopolitica con tendenze paranoiche, e oggi è diventato improvvisamente di dominio pubblico: kill switch. La possibilità, perfettamente reale e perfettamente legale, che un governo o un’azienda fuori dall’Europa decida — per ragioni geopolitiche, commerciali, regolatorie, o semplicemente per ripicca — di staccare la spina ai servizi digitali da cui dipendiamo.
Non è fantascienza. Lo abbiamo già visto succedere in scala ridotta: aziende escluse da app store dall’oggi al domani, paesi tagliati fuori da servizi cloud per decisione amministrativa, software bloccato a distanza in seguito a sanzioni. Funziona. È stato testato. Ed è probabilmente lo strumento di pressione geopolitica più potente che sia mai esistito, perché non richiede né eserciti né dazi: richiede solo un click.
Ora, immaginate per un secondo che un giorno qualcuno, dall’altra parte di un oceano, decida che l’Europa sta dando troppo fastidio. Magari per via di una sanzione. Magari per una disputa commerciale. Magari per un calcolo elettorale interno. Quanto del nostro tessuto produttivo continuerebbe a funzionare il giorno dopo? Le banche, gli ospedali, le pubbliche amministrazioni, le piccole imprese: in quale percentuale girano su software prodotto, ospitato e controllato fuori dal continente? La risposta onesta è: tantissimo. La risposta che diamo nei convegni è: ci stiamo lavorando. Sono due risposte diverse, e una delle due è una bugia gentile.
Lo zoo delle dipendenze
Il cloud è solo la punta dell’iceberg. Sotto, c’è una catena di dipendenze così lunga che fa male elencarla tutta, ma proviamoci.
Gli smartphone che usiamo sono costruiti, quasi senza eccezione, da aziende americane, cinesi o coreane. L’ultimo produttore europeo di rilievo — Nokia, per chi se la ricorda — ha smesso di fare telefoni nel 2014. Da allora, niente. I sistemi operativi che girano su quegli smartphone sono due, entrambi americani. I chip che li alimentano sono progettati negli Stati Uniti e prodotti a Taiwan, con qualche partecipazione olandese sui macchinari litografici (ASML, l’unica vera gemma europea del settore, e non a caso oggetto di pressioni continue). I modelli di intelligenza artificiale di frontiera sono, anche qui, americani o cinesi. Le piattaforme di pagamento che processano la maggior parte delle nostre transazioni online sono americane. I social network dove si forma l’opinione pubblica europea sono americani o cinesi.
In compenso, abbiamo regolamentato benissimo l’uso di tutti questi strumenti. Sappiamo dire con straordinaria precisione cosa non si può fare con tecnologie che non produciamo. È come scrivere il codice della strada senza avere automobili: tecnicamente impeccabile, sostanzialmente inutile.
La buona notizia, perché c’è
A questo punto dell’articolo, di solito, si scivola nel pessimismo cosmico. Io però ho promesso un pezzo ottimista, e mantengo la parola, perché esistono ragioni concrete per esserlo.
La prima è che la consapevolezza, finalmente, sta arrivando. Quando la Commissione Europea ha assegnato il bando da 180 milioni per i servizi cloud sovrani, per la prima volta ha applicato un sistema di valutazione — il Sovereignty Effectiveness Assurance Level, in sigla Seal — che misura concretamente il grado di indipendenza giuridica e tecnologica di un fornitore. Si va dal Seal-0 (nessuna sovranità, lasciapassare a tutti) al Seal-4 (filiera totalmente europea, dai chip al software). È un piccolo passo burocratico, ma è la prima volta che la sovranità diventa una metrica misurabile invece che uno slogan da convegno. È, letteralmente, l’Europa che inizia a chiedersi quanto sia europea la propria infrastruttura, e a farlo seriamente.
La seconda è che esistono già aziende europee — Scaleway, OVHcloud, Aruba in Italia, Hetzner in Germania, e altre — che dimostrano ogni giorno che si può fare. Non sono giganti, ma esistono, crescono, e quando vengono messe a confronto con i colossi americani non sfigurano sui parametri tecnici. Il problema non è che mancano le competenze. Il problema è che mancano la scala, il capitale, e una politica industriale degna di questo nome.
La terza, paradossalmente, è la situazione geopolitica. Sì, paradossalmente. Per quindici anni l’Europa ha potuto permettersi di non avere una strategia tecnologica perché il rapporto transatlantico era stabile, e la Cina sembrava un partner commerciale come un altro. Oggi nessuna di queste due premesse regge più. La realtà sta facendo, in un paio d’anni, il lavoro pedagogico che trent’anni di convegni non erano riusciti a fare. È un modo brusco di imparare le cose, ma è un modo. E spesso è l’unico che funziona davvero.
Quello che servirebbe, in sintesi
Servirebbe smettere di credere che l’Europa possa essere il regolatore globale del digitale senza essere anche un produttore. È una posizione intellettualmente affascinante e praticamente insostenibile: nessuno, nella storia, ha mai dettato le regole di un settore in cui non aveva attori di peso. Le regole le scrive chi può minacciare credibilmente di non giocare. Noi non possiamo farlo, perché senza i loro strumenti ci fermiamo letteralmente. È la condizione del cliente, non dell’arbitro.
Servirebbe un quadro normativo unico — non ventisette quadri normativi sovrapposti — perché, come ricorda giustamente Lucas, l’industria del cloud richiede una scala europea per essere economicamente sostenibile, e oggi un’azienda che vuole operare in tutta l’Unione si scontra con ventisette burocrazie diverse, ventisette interpretazioni diverse delle stesse regole, ventisette processi di certificazione. Non c’è bisogno di meno regole: c’è bisogno delle stesse regole, ovunque.
Servirebbero capitali pazienti. Non i fondi di venture capital che vogliono uscire in cinque anni, ma capitali in stile asiatico, in stile americano, capaci di sostenere perdite operative per dieci, quindici anni in attesa che la scala arrivi. Significa fondi sovrani europei, significa BEI usata sul serio, significa pensioni e assicurazioni invitate fortemente a investire nella tecnologia del proprio continente invece che in quella altrui. È meno romantico delle startup, ma è quello che gli altri hanno fatto per arrivare dove sono.
E servirebbe, soprattutto, un cambio di priorità politica. Per ogni dieci ore che il Parlamento Europeo passa a regolamentare l’IA, dovrebbe passarne almeno una a chiedersi come produrre l’IA. La proporzione attuale è sbilanciata in modo grottesco. Stiamo diventando il giudice di gara più qualificato del mondo, in una gara a cui non partecipiamo.
Morale, con un filo di rabbia trattenuta
C’è un livello al quale tutto questo è frustrante, e c’è un livello al quale è esistenziale. Frustrante perché abbiamo, in Europa, le competenze, le università, gli ingegneri, persino i capitali. Manca solo la volontà di metterli insieme nella direzione giusta, e questa è la cosa più difficile di tutte, perché richiede il bene più scarso: una visione politica condivisa. Esistenziale perché — e qui chiudo l’ironia per un momento — un continente che non controlla le proprie infrastrutture digitali, nel ventunesimo secolo, semplicemente non controlla nulla. Non l’economia, non l’informazione, non la sicurezza, non la sanità, non l’istruzione. Possiamo discutere quanto vogliamo di autonomia strategica, di Europa potenza, di terza via tra blocchi: senza una base tecnologica autonoma, sono parole.
Non sto dicendo che dobbiamo costruire un’Europa autarchica. Sarebbe stupido e impossibile. Sto dicendo che dobbiamo costruirne una in cui, se domani qualcuno premesse il famoso bottone, ci sentiremmo a disagio per tre giorni e poi ricominceremmo a funzionare con i nostri strumenti. Oggi non è così. E non sarà così finché continueremo a credere che scrivere ottime leggi su tecnologie altrui sia una forma di sovranità.
La buona notizia, lo ripeto, è che si può ancora fare. La cattiva è che la finestra non resterà aperta per sempre. Tra dieci anni, se non avremo agito, l’asimmetria sarà strutturale e irreversibile, e dovremo accontentarci di scrivere paper accademici sul perché abbiamo perso. Sarà materiale eccellente, naturalmente. L’Europa scrive paper accademici benissimo.
There is a very European way of dealing with technological problems, and it is to write a directive. If the directive is not enough, you write a regulation. If the regulation is not enough, you convene a technical working group. If the working group is not enough, you set up a task force. If the task force is not enough, you appoint a special commissioner. Meanwhile, somewhere between Silicon Valley and Shenzhen, someone has already built the thing we were discussing, sold it to the entire planet, and started working on the next version.
This is, in a summary that is not especially caricatural, the story of the last twenty-five years of European digital sovereignty. We produced the GDPR, the AI Act, the Digital Markets Act, the Digital Services Act, the Data Act, the Cyber Resilience Act. Each one, taken on its own, is even well made. Added together, they form the most sophisticated legal corpus in the world for regulating technologies that are produced by someone else. It is an achievement to be proud of in the way one is proud of a stamp collection: admirable, but not particularly useful for going to the Moon.
The Small Problem of Numbers
Every now and then someone, usually someone who actually works in the field, tries to remind us with numbers. Recently Damien Lucas, CEO of Scaleway — one of the few European cloud providers that can look AWS in the eye without blushing — did so in an interview with Moneta. Stripped to the bone, the figures are these.
Europe’s public cloud market is worth eight billion. Of that, eighty percent is in the hands of American companies. To reach a respectable fifty-fifty — not to dominate, mind you, just to stop being supporting actors — would require ninety billion in total investment. A sum the distracted commentator would call “enormous”, but which in the context of global technology investment is little more than a tip. To give a sense of scale: in February 2025, Macron announced a 109-billion plan for data centers on French soil. Only five of those 109 billion come from European companies. Ninety-six percent of those data centers will be foreign-owned. We build the houses on our land, but hand the keys to someone else. It is called sovereignty, obviously.
And then there is the figure that, in my view, should be printed in every European economics textbook for the next ten years: when a European institution spends one euro on Scaleway, sixty-eight cents remain in the European economy. When it spends that euro on an American giant, twenty cents remain. Forty billion a year in public cloud spending, allocated the wrong way, is roughly twenty billion a year gifted to other economies. We do it out of laziness, inertia, and largely because we spent twenty years convincing ourselves that the global market would guarantee it to us at the right price. A premise that history is now, politely but firmly, disproving.
The Ugly Phrase: Kill Switch
There is a term that until a few years ago was reserved for geopolitics enthusiasts with paranoid tendencies, and today has suddenly entered the public domain: kill switch. The perfectly real and perfectly legal possibility that a government or company outside Europe decides — for geopolitical, commercial, regulatory reasons, or simply out of spite — to pull the plug on the digital services we depend on.
This is not science fiction. We have already seen it happen at a smaller scale: companies expelled from app stores overnight, countries cut off from cloud services by administrative decision, software remotely disabled after sanctions. It works. It has been tested. And it is probably the most powerful instrument of geopolitical pressure ever invented, because it requires neither armies nor tariffs: it only requires a click.
Now imagine, for a second, that one day someone on the other side of an ocean decides Europe is becoming too annoying. Perhaps because of a sanction. Perhaps because of a trade dispute. Perhaps because of domestic electoral calculation. How much of our productive fabric would still function the next day? Banks, hospitals, public administrations, small businesses: what percentage of them run on software produced, hosted, and controlled outside the continent? The honest answer is: an awful lot. The answer we give at conferences is: we are working on it. They are two different answers, and one of them is a kind lie.
The Zoo of Dependencies
Cloud is only the tip of the iceberg. Underneath, there is a chain of dependencies so long that it hurts to list it all, but let us try.
The smartphones we use are built, almost without exception, by American, Chinese, or Korean companies. The last major European manufacturer — Nokia, for those who remember it — stopped making phones in 2014. Since then, nothing. The operating systems running on those smartphones are two, both American. The chips powering them are designed in the United States and manufactured in Taiwan, with some Dutch involvement in lithography machinery (ASML, the only real European jewel in the sector, and not coincidentally the object of constant pressure). The frontier artificial intelligence models are, again, American or Chinese. The payment platforms that process most of our online transactions are American. The social networks where European public opinion is formed are American or Chinese.
On the plus side, we have regulated the use of all these tools beautifully. We can say with extraordinary precision what must not be done with technologies we do not produce. It is like writing the highway code without having cars: technically impeccable, substantially useless.
The Good News, Because There Is Some
At this point in the article, one usually slides into cosmic pessimism. But I promised an optimistic piece, and I will keep my word, because there are concrete reasons to be optimistic.
The first is that awareness, finally, is arriving. When the European Commission awarded the 180-million tender for sovereign cloud services, for the first time it applied an assessment system — the Sovereignty Effectiveness Assurance Level, Seal for short — that concretely measures a supplier’s degree of legal and technological independence. It goes from Seal-0 (no sovereignty, free pass for everyone) to Seal-4 (a fully European supply chain, from chips to software). It is a small bureaucratic step, but it is the first time sovereignty has become a measurable metric rather than a conference slogan. It is, literally, Europe beginning to ask how European its own infrastructure is, and doing so seriously.
The second is that European companies already exist — Scaleway, OVHcloud, Aruba in Italy, Hetzner in Germany, and others — that prove every day that it can be done. They are not giants, but they exist, they grow, and when compared with American behemoths they do not embarrass themselves on technical parameters. The problem is not a lack of competence. The problem is a lack of scale, capital, and an industrial policy worthy of the name.
The third, paradoxically, is the geopolitical situation. Yes, paradoxically. For fifteen years Europe could afford not to have a technology strategy because the transatlantic relationship was stable, and China looked like just another trading partner. Today neither premise holds. Reality is doing, in a couple of years, the pedagogical work that thirty years of conferences failed to do. It is a brusque way to learn things, but it is a way. And often it is the only one that really works.
What Would Be Needed, In Short
We would need to stop believing that Europe can be the global regulator of digital technology without also being a producer. It is an intellectually fascinating and practically unsustainable position: no one in history has ever dictated the rules of a sector in which they had no major players. Rules are written by those who can credibly threaten not to play. We cannot do that, because without their tools we literally stop. That is the condition of a customer, not a referee.
We would need a single regulatory framework — not twenty-seven overlapping frameworks — because, as Lucas rightly notes, the cloud industry requires European scale to be economically sustainable, and today a company that wants to operate across the Union runs into twenty-seven different bureaucracies, twenty-seven different interpretations of the same rules, twenty-seven certification processes. We do not need fewer rules: we need the same rules, everywhere.
We would need patient capital. Not venture capital funds looking to exit in five years, but Asian-style, American-style capital, capable of sustaining operating losses for ten or fifteen years while waiting for scale to arrive. That means European sovereign wealth funds, it means using the EIB seriously, it means pensions and insurers being strongly encouraged to invest in their own continent’s technology rather than someone else’s. It is less romantic than startups, but it is what the others did to get where they are.
And above all, we would need a change in political priorities. For every ten hours the European Parliament spends regulating AI, it should spend at least one asking how to produce AI. The current proportion is grotesquely skewed. We are becoming the world’s most qualified race judge, in a race we are not running.
Moral, With a Thread of Contained Anger
There is a level at which all this is frustrating, and there is a level at which it is existential. Frustrating because in Europe we have the skills, the universities, the engineers, even the capital. What is missing is only the will to put them together in the right direction, and that is the hardest thing of all, because it requires the scarcest good: a shared political vision. Existential because — and here I will set irony aside for a moment — a continent that does not control its own digital infrastructure, in the twenty-first century, simply controls nothing. Not the economy, not information, not security, not healthcare, not education. We can discuss strategic autonomy, Europe as a power, a third way between blocs as much as we like: without an autonomous technological base, they are words.
I am not saying we need to build an autarkic Europe. That would be stupid and impossible. I am saying we need to build one where, if tomorrow someone pressed the famous button, we would feel uncomfortable for three days and then start functioning again with our own tools. Today that is not the case. And it will not be the case as long as we continue to believe that writing excellent laws about other people’s technologies is a form of sovereignty.
The good news, I repeat, is that it can still be done. The bad news is that the window will not stay open forever. In ten years, if we have not acted, the asymmetry will be structural and irreversible, and we will have to settle for writing academic papers on why we lost. Excellent material, naturally. Europe writes academic papers beautifully.