CLOUD Act

Il CLOUD Act, adottato negli Stati Uniti nel 2018, consente all'amministrazione americana di richiedere dati detenuti da un'azienda soggetta alla giurisdizione statunitense, indipendentemente dal luogo fisico in cui tali dati sono conservati. La localizzazione dei dati, la rassicurazione abituale offerta da un data center europeo, non è la variabile determinante. Lo è la giurisdizione della casa madre.

Questa distinzione ha deciso un contratto. Il 16 luglio 2026 Airbus ha scelto Scaleway, la controllata cloud e AI di iliad, come suo "cloud de confiance" per la progettazione, l'ingegneria, la produzione e la proprietà intellettuale legate agli aeromobili, concludendo così una gara d'appalto aperta all'inizio di gennaio 2026 che aveva messo a confronto dieci candidati. Le garanzie legali e di governance, tra cui l'immunità dalla legislazione extraterritoriale, sono state il più discriminante dei tre criteri. Microsoft, Google e AWS offrono una capacità che nessun fornitore europeo eguaglia su tutti i fronti, ma nessuno di loro può esentare un cliente dal CLOUD Act.

Vincent Strubel, direttore generale dell'ANSSI, ha espresso lo stesso punto dal lato del regolatore il 6 gennaio 2026. I requisiti di SecNumCloud (un fornitore europeo per sede legale e capitalizzazione, dati inaccessibili a subappaltatori non europei, autonomia operativa) esistono per resistere a ingiunzioni fondate sul CLOUD Act o sul FISA. Strubel stesso ha tracciato il limite: "SecNumCloud ne signifie pas l'absence de dépendance."

La legge è riemersa nella reazione europea all'AI Kill Switch Act, dove Virkkunen l'ha invocata. L'argomento di sovranità che essa sostiene non è rimasto confinato al livello dell'infrastruttura: la dipendenza passa ora anche attraverso il modello e l'agente, e nessuno schema di qualificazione copre ancora questo terreno.