L'illusione della sovranità: dove risiede davvero il controllo

L'illusione della sovranità: dove risiede davvero il controllo

The hearing room where the illusion cracked

The Sovereignty Illusion starts with a public exchange that is small enough to quote in one meeting and large enough to expose the whole problem. A French Senate commission asks whether public data in Microsoft's French data centres can be guaranteed never to reach American authorities without French approval. Anton Carniaux, Microsoft's director of public and legal affairs in France, answers under oath on 10 June 2025 that he cannot guarantee it.

The data can sit in France. The service can be marketed with sovereign language. The legal reach can still cross the Atlantic. That is the crack the report follows downward through ownership records, capital flows, chip dependencies, cloud contracts, court powers, procurement habits, and company dossiers.

The useful question is not whether a vendor sounds European enough. It is who can reach the data, who can switch the system off, who funded the company, whose machines run the workload, and whose law wins when promises collide. The report matters because it makes those questions concrete enough to argue with.

Fifty companies are scored. Two hundred and nineteen companies and organisations are profiled. The evidence base points to 1,320 public sources. The home page puts the finding in numbers: an average score of 4.5 out of 10 across the fifty celebrated champions, only five clearing six, no leader reaching eight, and a gap of roughly 1.2 points between claimed sovereignty and measured reality. Those numbers are not there to make the prose look serious. They are there so the prose can be challenged.

The word that did too much work

Sovereignty is a comforting word. It lets a minister stand at a podium and sound as if control has been restored. It lets a vendor place a European flag beside a data-centre photograph and make a buyer feel safer. It lets a public body say that sensitive data remains on European soil and move the procurement forward. The report's first act names that performance as theatre, but not because it thinks everyone on stage is lying. The sharper point is that the theatre pays. The company wins the contract. The politician wins the headline. The investor gains a larger market. The buyer gains a file that looks defensible. The citizen gains a story simple enough to sleep on.

The report identifies four recurring scenes. A company opens a European office and lets the address stand in for control. A provider promises data residency and lets geography stand in for jurisdiction. A local firm partners with a foreign platform and lets branding stand in for ownership. A startup presents a European AI model while the training runs on American chips, American cloud and often American capital. Each move can be legal. Each can involve competent people and useful products. None of those facts settles sovereignty.

The report's vocabulary is deliberately practical. Digital sovereignty means control over technology: who can reach the data, who can switch systems off, and who writes the rules. The cloud is not an abstraction; it is someone else's computers in someone else's buildings, rented over a network. Data residency is not sovereignty; it is a statement about where the bits physically rest. A technology stack is not a logo; it is the tower beneath the service, from chips and data centres up through operating software and applications. Once those words are fixed, the comforting claims become testable.

Un report utile non si limita a dire che la parola è stata abusata. Spiega perché l'abuso è difficile da vedere. La maggior parte degli acquirenti verifica l'identità, non il controllo. Vedono un ufficio locale, un contratto nella lingua locale, un dirigente nazionale, un numero di assistenza domestico. Le domande sul controllo stanno più in basso: chi possiede i diritti di voto, di chi è la proprietà intellettuale che fa funzionare il sistema, di chi è il capitale che ha plasmato il consiglio di amministrazione, di chi è l'infrastruttura che ospita il carico di lavoro, di chi è la legge che può imporre la divulgazione. La targhetta può essere europea mentre le fondamenta, l'elettricità e le chiavi maestre restano altrove.

Le cinque porte nel punteggio

Il punteggio è il cardine del report. Quattro atti costruiscono l'argomentazione; poi il quinto inizia a contare. Ciascuno dei cinquanta campioni tecnologici europei viene valutato da zero a dieci su cinque dimensioni: proprietà, tecnologia, capitale, infrastruttura ed esposizione legale. Il punteggio finale è una semplice media. La ponderazione uguale è il punto. Una solida storia di proprietà non può coprire una dipendenza da chip stranieri. Un data center europeo non può coprire l'esposizione legale americana. Un marchio domestico non può coprire una base cloud americana.

La proprietà chiede chi detiene azioni e voti. La tecnologia chiede se il prodotto principale è controllato dall'azienda o noleggiato da chip, cloud e livelli software stranieri. Il capitale chiede di chi è il denaro che ha finanziato l'azienda e a quali condizioni. L'infrastruttura chiede di chi sono i chip, il cloud e l'impianto fisico di cui il servizio ha bisogno per funzionare. L'esposizione legale chiede di chi sono i tribunali e i poteri statali che possono in ultima analisi raggiungere l'azienda o i dati che gestisce. Queste non sono qualità piacevoli da avere. Sono le porte attraverso le quali il controllo può uscire.

Il report è attento a ciò che i numeri sono e non sono. Sono giudizi strutturati da documenti pubblici, non misurazioni di laboratorio con due decimali. Le aziende private divulgano meno di quelle pubbliche. La proprietà cambia. I round di finanziamento si chiudono. Le regole di esportazione cambiano. Ma la forma della distribuzione è troppo ampia per essere spiegata da una decisione al limite. Se il campione più celebrato si ferma a 7,4, se solo cinque su cinquanta raggiungono il sei, e se la media si attesta a 4,5, la conclusione non dipende dal fatto che un'azienda meriti mezzo punto in più.

Quella tabella è il metodo del rapporto in miniatura. Costringe chi legge a smettere di chiedersi se un'azienda si senta europea e a iniziare a chiedersi dove si troverebbe il controllo sotto pressione. In tempi ordinari, la distinzione può sembrare accademica. In una disputa sulle sanzioni, un'interruzione del servizio, un ordine di sorveglianza, una crisi di finanziamento o una migrazione forzata della piattaforma, la distinzione diventa operativa.

Il data centre non è mai stata tutta la storia

La residenza dei dati è l'illusione più elegante perché spesso è vera. Un fornitore può davvero archiviare dati a Francoforte, Parigi, Amsterdam o Dublino. Un acquirente pubblico può davvero richiedere l'archiviazione in Europa. Un team di conformità può davvero registrare tale requisito come soddisfatto. Il problema è che la posizione di archiviazione risponde alla domanda sulla geografia, non a quella sul controllo.

L'atto legale del rapporto torna ai due poteri americani che rendono questa distinzione inevitabile. Il CLOUD Act, approvato nel 2018, può obbligare un'azienda americana a produrre i dati che controlla, indipendentemente da dove siano archiviati. La Sezione 702 del FISA consente alle agenzie di intelligence americane di richiedere ai fornitori di servizi degli Stati Uniti di assistere nella sorveglianza di persone non statunitensi al di fuori degli Stati Uniti, spesso in segreto. Il punto del rapporto non è che ogni ordine venga emesso o che ogni set di dati venga letto. Il punto è strutturale: una promessa europea si trova al di sotto di un obbligo legale straniero quando il fornitore è americano.

Ecco perché lo scambio con il Senato francese conta così tanto. Non è un aneddoto colorito. È la rivendicazione di sovranità ridotta a un test sì o no. Il prodotto era venduto come sovrano. Il data centre era in Francia. La risposta non poteva comunque essere sì. Un fornitore può migliorare i controlli tecnici, localizzare le operazioni, aggiungere garanzie contrattuali e restringere i percorsi di accesso. Questi passi possono essere utili. Ma una mitigazione utile non è la stessa cosa del controllo finale.

Lo stesso schema appare nel mercato del cloud. Il rapporto descrive gli hyperscaler americani che assorbono tra i due terzi e i tre quarti della spesa cloud europea, mentre i fornitori europei si attestano intorno alla metà degli anni dieci. Nota anche che i fornitori europei possono essere reali e preziosi senza essere abbastanza grandi da sostituire gli incumbent. Scaleway e OVHcloud contano proprio perché mostrano la differenza tra un fornitore europeo e un'etichetta europea. La loro difficoltà non è un controllo straniero nascosto. La loro difficoltà è la scala, il capitale e la domanda.

Le aziende non sono cattivi da cartone animato

Uno dei motivi per cui il rapporto funziona è che rifiuta la facile storia del cattivo. Non ha bisogno che ogni azienda sia cinica. Non ha bisogno che ogni dirigente sia elusivo. Molte delle aziende descritte sono impressionanti. ASML è un gioiello della corona europea. Mistral costruisce modelli capaci e mantiene un vero talento ingegneristico in Europa. Aleph Alpha è stato un serio tentativo tedesco di costruire un campione europeo dell'IA sovrana. La domanda del rapporto non è se queste aziende siano buone. È se la struttura di controllo alla base della rivendicazione corrisponda alla parola sovrano.

Mistral è l'esempio più chiaro di questa distinzione. Il rapporto rileva una storia di proprietà più solida di quanto molti titoli lascino intendere: i fondatori detengono ancora una quota sostanziale e mantengono il controllo decisionale, e ASML ha acquisito una partecipazione importante. Poi la dipendenza si sposta nel cuore operativo. Addestrare modelli di base seri richiede ancora chip Nvidia. Microsoft ha acquisito una partecipazione e ha fornito percorsi di partnership con Azure. I grandi round di finanziamento attingono a capitale estero. Il consiglio di amministrazione può essere più europeo di quanto i critici suggeriscano; lo stack di calcolo è meno sovrano di quanto il marketing abbia bisogno che sia.

Aleph Alpha mostra la versione più difficile. Il rapporto descrive un'azienda fondata a Heidelberg e celebrata come campione tedesco dell'IA sovrana. Ha raccolto un grande round nel 2023 guidato da Schwarz Group e Bosch, con gran parte del clamore legato a impegni e sovvenzioni piuttosto che a nuovo capitale azionario. La storia del capitale sembrava più tedesca di quella di molti pari nel settore dell'IA. Eppure i modelli si addestravano ancora su chip Nvidia. Poi, nel resoconto del 2026 del rapporto, l'azienda canadese Cohere ha assorbito Aleph Alpha in un accordo che ha lasciato agli azionisti tedeschi una quota di minoranza di un gruppo straniero. Il punto non è che l'azienda sia fallita moralmente. Il punto è che la sovranità può essere persa attraverso normali percorsi di finanziamento e crescita.

Anche ASML, l'azienda che l'Europa può indicare con maggiore plausibilità come globalmente indispensabile, è trattata con la stessa disciplina. Il rapporto riconosce la sua posizione di monopolio nella litografia a ultravioletti estremi e la sua realtà industriale olandese. Segue anche i fili della proprietà istituzionale americana, delle pressioni sulle esportazioni e delle dipendenze attorno all'ecosistema dei semiconduttori. Il gioiello della corona è reale. Anche i vincoli lo sono.

Ciò che le prove possono fare e gli slogan non possono

Uno slogan può dire che l'Europa dovrebbe essere sovrana. Le prove possono mostrare dove non lo è. Questa differenza conta perché ogni rimedio serio inizia rifiutando la diagnosi rassicurante. Se il problema fosse solo una mancanza di ambizione, l'Europa potrebbe pubblicare un'altra strategia. Se il problema fosse solo un'assenza di talento, l'Europa potrebbe finanziare più ricerca. Il rapporto mostra qualcosa di più ostinato: domanda, capitale, appalti, esposizione legale e infrastrutture si sono assestati in uno schema che premia la dipendenza mentre la descrive come autonomia.

L'atto del denaro segue proprietà e capitale verso ovest. L'atto delle macchine segue chip e cloud. L'atto della legge segue la giurisdizione. L'atto delle prove valuta le aziende. L'atto delle conseguenze descrive il triangolo in cui gli Stati Uniti possiedono gran parte dello stack, la Cina costruisce il proprio e l'Europa rimane il cliente preferito. L'atto della trappola spiega perché le scelte razionali ordinarie continuano a riprodurre la stessa dipendenza. Poi l'atto del progetto delinea percorsi costosi ma non fantastici: reindirizzare il capitale pensionistico, usare gli appalti come primo cliente, costruire infrastrutture comuni, sostenere i fornitori europei e mettere in comune il calcolo che l'Europa già possiede.

L'affermazione più utile del rapporto è quasi facile da perdere: la dipendenza è una scelta, non un destino. Ogni muro ha una porta. La migrazione del settore pubblico tedesco verso strumenti open source, i veti olandesi su acquisizioni sensibili, le mosse francesi su certificazione e appalti, l'infrastruttura europea dei pagamenti, il calcolo pubblico e gli standard aperti appaiono tutti come porte imperfette ma reali. Il problema non è che non esista via di fuga. Il problema è che ogni via di fuga è più lenta, più difficile e meno comoda che rinnovare il contratto familiare.

È per questo che il progetto parla di approvvigionamento tanto quanto di invenzione. I fornitori europei non hanno bisogno solo di applausi; hanno bisogno di ordini. Una startup non cresce grazie agli elogi. Un fornitore di cloud non diventa affidabile perché un ministro parla di autonomia strategica. Diventa affidabile quando clienti seri lo pagano, lo mettono sotto stress, pretendono assistenza, finanziano miglioramenti e restano abbastanza a lungo perché il prodotto maturi. Il rapporto torna continuamente su questa verità poco affascinante perché anche la trappola è poco affascinante.

Come leggere i dossier

Il capitolo dei dossier è la parte che distingue più chiaramente un rapporto da un discorso elettorale. Profila 219 aziende e organizzazioni citate nel rapporto, incluse molte più delle cinquanta società campioni valutate. Ogni profilo è ricondotto alle stesse cinque dimensioni: proprietà, tecnologia, capitale, infrastrutture ed esposizione legale. Un punteggio basso per un'azienda statunitense non è un giudizio di qualità. Registra semplicemente che l'azienda rappresenta una dipendenza piuttosto che la sovranità europea. Questa distinzione mantiene onesto il metodo.

Per un acquirente, i dossier sono un set di addestramento per la due diligence. Insegnano l'abitudine di guardare oltre il marchio. Per un decisore politico, mostrano dove regole e domanda cambierebbero davvero il mercato. Per un investitore, rivelano il divario tra valore strategico e attuale allocazione del capitale. Per un cittadino, trasformano un vago disagio in domande specifiche che si possono porre in pubblico: Chi lo possiede? Su cosa funziona? Chi lo ha finanziato? Dove risiedono i dati? Quale legge si applica?

Il rapporto definisce inoltre con cura il concetto di fiducia. Le prove pubbliche hanno limiti. Le tabelle di capitalizzazione private sono incomplete. Alcune cifre sono istantanee. Ma l'incertezza non è un motivo per ignorare la struttura. Se un team di approvvigionamento ospedaliero non può sapere tutto, può comunque sapere abbastanza per distinguere un fornitore di proprietà europea che gestisce i propri data center da una piattaforma straniera con un involucro locale. Se un ministero non può prevedere il diritto futuro, può comunque evitare di fingere che la residenza dei dati annulli l'esposizione legale. Se un investitore non può prevedere l'uscita, può comunque chiedersi se il prossimo round di finanziamento sposti il controllo fuori dall'Europa.

Il mattino dopo le prove

L'epilogo torna alla scena iniziale e chiede cosa cambia dopo aver guardato. La risposta non è automatica. Un rapporto non può far agire un continente. Può solo rendere più difficile ripetere certe scuse. Dopo aver letto le prove, il prossimo comunicato stampa sull'IA sovrana dovrebbe suonare diverso. La prossima gara d'appalto per il cloud dovrebbe essere letta con occhi diversi. Il prossimo annuncio di un data center dovrebbe suscitare una seconda domanda: chi possiede le macchine e gli obblighi legali dietro l'edificio?

La conclusione del rapporto è volutamente semplice. L'Europa non è povera. Non è priva di talento. Non è debole. È comoda, e ha scambiato il comfort per il controllo. Questa frase non è disperazione. È una diagnosi che contiene un'agenzia al suo interno. La povertà sarebbe più difficile. La mancanza di talento sarebbe più difficile. Una preferenza consolidata per il familiare può essere cambiata, ma solo se abbastanza istituzioni smettono di trattare la sovranità come un'etichetta e iniziano a trattarla come una proprietà ingegneristica, di approvvigionamento e legale.

Quindi il valore pratico di The Sovereignty Illusion non è che dà ai lettori un nuovo slogan. Dà loro una lista di controllo e un onere della prova. Un fornitore che rivendica sovranità dovrebbe poter mostrare proprietà, tecnologia, capitale, infrastrutture e controllo legale. Un governo che rivendica autonomia dovrebbe poter indicare approvvigionamenti che favoriscono infrastrutture controllate dove conta. Un investitore che rivendica allineamento strategico dovrebbe poter mostrare capitale europeo paziente. Un cittadino che sente la parola sovranità dovrebbe sapere che la parola stessa non prova nulla.

Leggilo come un report. Tienilo vicino alle decisioni, non su uno scaffale. Il suo potere non sta in un titolo appariscente, e nemmeno nel fatto che abbia capitoli. Il suo potere sta nel test che lascia dietro di sé: quando qualcuno vende l'indipendenza dell'Europa, chiedi dove sia davvero l'interruttore di spegnimento.