Sovranità digitale, perché entra nelle priorità dei consigli di amministrazione

Le infrastrutture digitali critiche vengono trattate sempre meno come un servizio di back office e sempre più come una dipendenza operativa. Un’indagine Capgemini condotta su 1.300 dirigenti di grandi organizzazioni e soggetti pubblici in 11 Paesi indica che tensioni geopolitiche, controlli alle esportazioni e minacce informatiche stanno portando i vertici a riesaminare il grado di dipendenza da fornitori tecnologici difficili da sostituire. 5

Da dipendenza IT a rischio per la continuità aziendale

Piattaforme cloud, data center, reti di telecomunicazioni e fornitori tecnologici specializzati sostengono le attività quotidiane. Se l’accesso a un partner essenziale viene interrotto, limitato o compromesso, l’impatto può andare ben oltre un semplice disservizio IT.

Per questo i consigli di amministrazione stanno affrontando l’infrastruttura digitale in modo più simile all’energia o alle filiere fisiche: con governance, piani di emergenza e investimenti nella resilienza. I risultati dell’indagine segnalano una maggiore attenzione a livello di board, mentre le organizzazioni rivalutano dipendenze che in passato erano date per scontate. 5

La domanda concreta è: l’azienda riuscirebbe a continuare a operare se un fornitore critico diventasse indisponibile?

Sovranità digitale: mantenere la capacità di scegliere

La sovranità digitale viene spesso presentata come una questione nazionale o regionale. Per un’organizzazione, però, una definizione più utile è la capacità di esercitare scelta, controllo e governance su dati, operatività, tecnologia e profili legali, continuando al tempo stesso a utilizzare partner tecnologici globali. 8

In pratica, questo significa poter sostituire una dipendenza critica:

• mantenere la possibilità di spostare un carico di lavoro essenziale;
• evitare architetture che rendano una migrazione eccessivamente onerosa o complessa;
• sapere chi controlla l’accesso a dati e sistemi;
• poter ricostruire o ridistribuire i servizi se un determinato ambiente viene meno.

Capgemini definisce la sovranità progettata fin dall’origine attraverso portabilità, possibilità di scelta e capacità di passare a soluzioni diverse o ricostruire rapidamente lo stack tecnologico quando necessario. 37

Non è quindi un invito a sostituire automaticamente ogni fornitore internazionale. È un invito a non trovarsi senza alternative realistiche.

Quali risorse restano sotto osservazione

Le dipendenze più rilevanti riguardano in genere risorse difficili da recuperare, ricreare o trasferire: dati proprietari e sensibili, modelli di IA, proprietà intellettuale e carichi di lavoro essenziali per l’operatività.

Il controllo ha più dimensioni: dove risiedono i dati, chi può accedervi, chi gestisce l’ambiente, quale architettura lo supporta e quali ordinamenti giuridici si applicano. 31 Un piano di resilienza che consideri soltanto la localizzazione dei dati, ma non la portabilità operativa e tecnica, può lasciare irrisolta una dipendenza rilevante.

Il caso Airbus: diversificare senza isolarsi

Airbus offre un esempio di riduzione del rischio di concentrazione sui carichi di lavoro sensibili, senza interpretare la sovranità come isolamento totale. Il gruppo aerospaziale ha firmato un accordo pluriennale con Scaleway, controllata da Iliad, per infrastrutture cloud dedicate ad applicazioni industriali e della difesa sensibili, incluso il supporto a strumenti di IA sviluppati con Mistral. L’infrastruttura è destinata a ospitare applicazioni critiche che riguardano progettazione degli aeromobili, ingegneria, produzione industriale e funzioni aziendali. 18

Airbus ha inoltre descritto la propria strategia facendo leva sulla continuità operativa, sul controllo degli accessi ai dati, sulla riduzione del vendor lock-in — il vincolo che rende difficile cambiare fornitore — e sulla capacità tecnologica. 24 Il principio è la diversificazione: individuare i sistemi per cui la dipendenza comporta un rischio inaccettabile e predisporre un’alternativa che soddisfi requisiti tecnici, di sicurezza e legali.

Cinque priorità per il board

Più che una dichiarazione generica di sovranità, alle organizzazioni serve un programma di resilienza verificabile:

1. Mappare le dipendenze critiche. Individuare fornitori, servizi, flussi di dati e carichi di lavoro la cui interruzione fermerebbe o comprometterebbe materialmente l’operatività.
2. Classificare gli asset esposti. Distinguere i sistemi ordinari da dati sensibili, proprietà intellettuale, asset di IA e processi mission-critical.
3. Valutare la sostituibilità. Stabilire se ciascun carico di lavoro critico può essere trasferito, ripristinato o ricostruito, e a quali condizioni.
4. Preparare piani di uscita e continuità credibili. Una clausola contrattuale non basta: servono accordi tecnici, operativi e legali effettivamente praticabili.
5. Mettere alla prova il piano. La portabilità conta soltanto se migrazione e ripristino possono essere eseguiti entro tempi compatibili con le necessità dell’impresa.

La conclusione è lineare: la sovranità digitale sta diventando una capacità di resilienza. Le organizzazioni che mantengono controllo e alternative credibili sono in una posizione migliore per affrontare indisponibilità dei fornitori, incidenti cyber, vincoli legali e shock geopolitici. 58