Questa è la sovranità all’italiana: il nostro oro sta per metà a New York, i nostri pagamenti passano da circuiti americani, i nostri dati pubblici sono appena finiti dentro un’infrastruttura che gira su tecnologia americana. Non è colpa degli americani, che fanno il loro mestiere alla luce del sole: è colpa dell’Europa, che si guarda bene dal fare il proprio.

Sovranità significa una cosa concreta, poter decidere da soli su ciò che è tuo senza dipendere da nessuno per continuare a usarlo; se per accedere a una cosa tua devi passare da qualcun altro, quella cosa è tua solo finché l’altro è d’accordo. Nel comodato d’uso la cosa resta tua e la usa un altro; noi abbiamo fatto l’esatto contrario, e la prova è nei numeri. Il 21 luglio 2026 il Dipartimento per la trasformazione digitale ha annunciato il traguardo: oltre il 75% delle amministrazioni pubbliche italiane ha completato la migrazione verso infrastrutture cloud qualificate, circa tredicimila enti, oltre centotrentacinquemila servizi digitali, e più di duecentottanta tra amministrazioni centrali, ASL e aziende ospedaliere trasferite dentro il Polo Strategico Nazionale: protocollo informatico, gestione documentale, contabilità, personale, banche dati nazionali, sanità, mercato del lavoro, ricerca. Tutto dentro, nei tempi, obiettivo europeo centrato.

Qui la storia si complica, perché non sto per raccontarvi un fallimento: sulla fibra abbiamo scritto di cantieri fermi e scadenze scivolate, qui invece ha funzionato tutto, ed è esattamente per questo che è più grave. Perché non è la prima volta che consegniamo qualcosa di nostro raccontandoci che è una scelta tecnica.

La Banca d’Italia detiene circa 2.450 tonnellate d’oro, quarto detentore al mondo: circa il 45% a Roma, nelle sagrestie di Palazzo Koch in via Nazionale, circa il 43% nei caveau della Federal Reserve di New York, il resto tra Svizzera e Londra. Quasi la metà della nostra riserva strategica nazionale custodita a casa di qualcun altro, e la spiegazione ufficiale è la diversificazione del rischio — una spiegazione che la Francia non ha mai accettato, e che ha rifiutato due volte a sessant’anni di distanza. La prima con la forza: tra il 1963 e il 1966, nell’operazione che l’ex direttore generale onorario della Banque de France Didier Bruneel ha ricostruito col nome di “Vide-Gousset“, de Gaulle si riprese oltre tremila tonnellate da New York e Londra, quarantaquattro traversate via mare e centoventinove voli, tre anni di lavoro per riportare a Parigi tutto quello che era francese. La seconda con l’astuzia: tra luglio 2025 e gennaio 2026 la Banque de France ha venduto le circa 130 tonnellate che ancora deteneva presso la Fed di New York, in ventisei transazioni, ricomprandone altrettante in Europa, oggi custodite a Parigi, senza che un solo lingotto attraversasse l’Atlantico. Il governatore François Villeroy de Galhau l’ha presentata come operazione tecnica, negando ogni movente politico, e ha comunque prodotto una plusvalenza di quasi 13 miliardi di euro. La Germania, che con 3.350 tonnellate detiene la seconda riserva al mondo, aveva già fatto la sua parte dieci anni prima: tra il 2013 e il 2017 la Bundesbank ha rimpatriato 674 tonnellate da New York e Parigi, la più grande operazione di questo tipo mai realizzata, portando oggi metà dell’oro tedesco su suolo nazionale. Nel giugno 2025 il Financial Times segnalava pressioni crescenti in Italia e Germania per rimpatriare l’oro rimasto a New York, ma mentre la Bundesbank quel lavoro l’aveva già fatto un decennio prima di propria iniziativa, l’Italia continua a valutare senza muovere un lingotto. A dicembre 2025 abbiamo prodotto la nostra risposta: un emendamento alla manovra che interpreta le norme valutarie nel senso che le riserve auree detenute dalla Banca d’Italia appartengono al Popolo Italiano. Non le abbiamo riportate a casa: abbiamo scritto in una legge che sono nostre, lasciando intatte custodia e gestione. Francia e Germania hanno spostato lingotti e incassato miliardi, noi un comma.

Il secondo caso, ce l’avete in tasca. Quando un cittadino europeo paga verso un altro Paese dell’area euro con una carta, il trasferimento passa quasi certamente per un circuito americano, Visa o Mastercard, anche quando la carta gliel’ha emessa una banca italiana, perché un’infrastruttura europea per i pagamenti transfrontalieri semplicemente non esiste. Circa due terzi dei pagamenti digitali dell’Eurozona transitano ancora per operatori non europei, e Christine Lagarde lo ripete da anni. Il rischio qui non è teorico: gli Stati Uniti dispongono di leggi che consentono di applicare sanzioni economiche con effetti globali, la stessa logica del CLOUD Act applicata al denaro invece che ai dati. La risposta europea è arrivata con vent’anni di ritardo. Il 31 gennaio 2026 Bancomat, Bizum, SIBS/MB Way e Vipps MobilePay hanno firmato con EPI Company la roadmap di un sistema paneuropeo: hub di interoperabilità entro metà 2026, pagamenti transfrontalieri tra privati entro fine anno, e-commerce e POS nel 2027, quindici Paesi e quasi quattrocento milioni di abitanti. C’è dentro anche l’Italia, e va riconosciuto. Ma c’è un dettaglio che vale l’intera storia: parte dell’infrastruttura cloud di Wero, il wallet europeo, gira su Amazon Web Services. La sovranità dei pagamenti costruita sopra il cloud americano – qualunque cosa costruiamo per emanciparci, la costruiamo sulle loro fondamenta.

Resta il terzo caso, quello appena chiuso. Guardiamo dentro il Polo Strategico Nazionale, dove la Misura 1.1 del PNRR vale novecento milioni di euro e PSN ha già acquisito contratti per circa 2,8 miliardi, raggiungendo al secondo anno di vita il valore previsto per l’intera concessione fino al 2035. Poi si apre il catalogo: il Public Cloud PSN Managed gira su Google Assured Workload e Oracle Alloy, l’Hybrid Cloud su Microsoft Azure, il Secure Public Cloud su Azure, Google Cloud e AWS, entrata a gennaio 2025 come quarto Cloud Service Provider con oltre ottanta servizi sulla region italiana. Quattro fornitori, quattro bandiere, tutte la stessa: nessun operatore europeo. E questo non lo dice un critico esterno, lo scrive PSN stessa, in un documento intitolato “perché è il cuore della sovranità cloud italiana“, secondo cui allo stato odierno l’erogazione dei servizi infrastrutturali non può prescindere dall’impiego di tecnologie di provenienza statunitense o comunque extra-UE. Il soggetto che vende sovranità certifica per iscritto di non poterla produrre.

Il CLOUD Act, del resto, è del 2018: votato, pubblicato, applicato alla luce del sole da otto anni, e dice una cosa sola, che conta chi controlla la società che gestisce il server, non dove sta la macchina. Washington fa il proprio interesse in pubblico, con una legge che chiunque poteva leggere; l’Europa l’ha letta e ha risposto con una parola sola, sovranità, ripetuta nei comunicati, stampata nei cataloghi, diventata una voce di listino accanto al prezzo – esattamente come “appartengono al Popolo Italiano” è diventato un comma. I numeri intanto dicono altro: secondo Synergy Research la quota dei fornitori cloud europei è scesa dal 29% del 2017 al 15% del 2022 e da lì non si è più mossa, mentre Amazon, Microsoft e Google tengono insieme il 70% del mercato europeo e i primi due operatori europei, SAP e Deutsche Telekom, si fermano al 2% ciascuno. Il 2% contro il 70% non è un mercato contendibile, è una geografia. Il regolamento europeo sul cloud è slittato più volte sotto pressione americana, mentre chi doveva essere regolato aveva già rilasciato il prodotto: AWS European Sovereign Cloud disponibile da gennaio 2026, Microsoft Sovereign Cloud esteso a febbraio. Chi arriva prima detta lo standard, chi arriva dopo scrive la conformità. Eppure si poteva fare diversamente, e questo smonta l’alibi più comodo. La Francia ha SecNumCloud, la qualificazione dell’ANSSI che dalla versione 3.2 del 2022 include tra i requisiti l’immunità dalle legislazioni extraterritoriali, CLOUD Act e FISA compresi, obbligatoria per le amministrazioni che trattano dati sensibili in forza della dottrina “Cloud de Confiance” del 2021: il criterio esclude in radice le imprese la cui casa madre è soggetta al CLOUD Act. Nessuna qualificazione può bloccare una legge americana, ma può funzionare come requisito di gara: senza quel bollino non vendi allo Stato francese. Il mercato si è adattato, perché il potere contrattuale ce l’ha chi ha in mano i soldi. Google non ha rinunciato al mercato francese, ha rinunciato al controllo tenendosi i ricavi: è nata S3NS, società francese in cui Thales ha il comando e Google fornisce la tecnologia in licenza, qualificata SecNumCloud a dicembre 2025, prima a coprire IaaS, PaaS e CaaS insieme. Microsoft ha fatto lo stesso passando da Bleu, società indipendente fondata da Orange e Capgemini. In Francia oggi le offerte qualificate sono una decina, da Outscale a OVHcloud a Cloud Temple; costa dal 30 al 50% in più rispetto a servizi equivalenti, e la dipendenza dal codice americano non sparisce nemmeno dentro S3NS, ma resta una tutela più solida della nostra, e soprattutto è una scelta.

L’Italia ha scritto una classificazione dei dati in ordinari, critici e strategici, ha qualificato i servizi cloud per la PA, ha vietato ai fornitori esteri i dati strategici – tutto corretto, ma non ha mai preteso, come criterio di qualificazione, l’immunità dalle leggi extraterritoriali. Il requisito che a Parigi ha costretto Google a passare da Thales, a Roma non è mai stato scritto. Non è che non si poteva: non lo abbiamo chiesto. Attenzione però a non esagerare in senso opposto, perché la versione forte di questa storia è anche la più debole: nessuno sta leggendo la contabilità dei ministeri italiani, e le chiavi di cifratura del Secure Public Cloud restano a PSN. Ma è proprio questo il punto: la nostra tutela non poggia su una giurisdizione, poggia su una configurazione, e le configurazioni si cambiano, i contratti si rinegoziano, i perimetri tecnici si ridisegnano. Abbiamo trasformato un problema di diritto in un problema di impostazioni, e lo abbiamo pagato: 225 milioni a marzo 2024, 280 a maggio 2024, 300 nel 2025, altri 140 a dicembre 2025, soldi europei, cioè nostri, spesi per comprare in licenza la tecnologia di chi la legge ci autorizza a temere. Se proprio non vogliamo imitare la Francia, imitiamo almeno l’Australia, alleata di Washington dentro i Five Eyes e senza nessuna intenzione di uscirne. Canberra ha l’Hosting Certification Framework, che tratta la sovranità come qualcosa di misurabile — chi possiede il fornitore, chi lo rifornisce, quale giurisdizione si applica – e classifica i fornitori in “certified assured” e “certified strategic”: il risultato è che anche lì Google Cloud risulta “certified strategic“, fornitore americano incluso. La differenza è tutta nell’atteggiamento: gli australiani non hanno preso in giro i propri cittadini, hanno preso atto della dipendenza e l’hanno misurata, con un registro pubblico che dice chi dipende da chi e a quale livello. Noi abbiamo un catalogo commerciale e un comunicato stampa.

De Gaulle mandò quarantaquattro navi. Parigi ha scritto un requisito di gara. Canberra ha fatto l’inventario. Noi abbiamo scritto un comma. I segreti sono un’unità di tempo, e questa è la domanda che nessuno pone: non se quei dati siano al sicuro oggi, ma per quanto tempo lo resteranno, e a discrezione di chi. Una sovranità che si rinnova a ogni scadenza contrattuale non è una sovranità, è un abbonamento.