Il paradosso della sovranità digitale: si può essere conformi oggi e "prigionieri" domani

Abbiamo osservato il livello di adozione del cloud, la conformità al GDPR, l'integrazione con le piattaforme nazionali, l'adeguamento alle linee guida dell'AgID e, più recentemente, la preparazione rispetto agli obblighi introdotti dall'AI Act (i riferimenti normativi completi sono più nel blog).

Era il paradigma corretto per accompagnare la prima fase della trasformazione digitale. Oggi quel paradigma non basta più. Il contesto tecnologico è cambiato, l'intelligenza artificiale sta ridefinendo il modo in cui progettiamo i servizi pubblici, il cloud è diventato l'infrastruttura di riferimento e la crescente concentrazione del mercato digitale rende inevitabile il ricorso a grandi piattaforme e fornitori altamente specializzati. In questo scenario, la domanda decisiva non è più quanto siamo digitali, ma quanto siamo ancora liberi di scegliere.

È una differenza profonda. La sovranità digitale non coincide con il possesso di una determinata infrastruttura, né con il semplice rispetto di una norma. Si esprime principalmente con la capacità di modificare le proprie scelte tecnologiche senza compromettere il valore costruito nel tempo. In altre parole, la vera sovranità non è rappresentata da dove si trovano oggi i dati, ma da quanto sia realmente possibile spostarli domani.

È proprio questa prospettiva che emerge con forza dall'Osservatorio sulla Sovranità Digitale nella Pubblica Amministrazione Italiana, realizzato da Liferay durante Forum PA 2026 su un campione di 36 enti pubblici italiani. Il punteggio medio del campione è 69,3 su 100 e il 47% degli enti raggiunge un livello di "sovranità avanzata". Il dato davvero interessante è un altro: il 75% degli enti (il 64% con controlli parziali, l'11% con criticità aperta) dichiara di non avere una exit strategy formalizzata o di averla soltanto in modo parziale, ed è la dimensione più diffusamente carente dell'intero campione, una criticità che riguarda anche molte delle amministrazioni che si collocano nella fascia di maturità più elevata.

È un apparente paradosso che, in realtà, racconta molto dell'evoluzione della trasformazione digitale nella PA.

La conformità garantisce davvero l'autonomia strategica?

Per anni abbiamo associato il concetto di sovranità digitale al controllo: controllo della localizzazione dei dati, controllo degli accessi, controllo delle identità digitali, controllo della sicurezza. Sono tutti elementi imprescindibili ma rappresentano, per così dire, una fotografia del presente. La vera sovranità, invece, riguarda il futuro.

Riguarda la capacità di un'amministrazione di non rimanere prigioniera delle decisioni prese oggi. Un ente può rispettare ogni requisito normativo, utilizzare infrastrutture qualificate, avere solide policy di sicurezza e conformità enterprise e, allo stesso tempo, scoprire che migrare verso un'altra piattaforma di esperienza digitale per la PA è economicamente insostenibile, tecnicamente complesso o semplicemente troppo rischioso per la continuità dei servizi. Non è un caso che, secondo l'Osservatorio Liferay, la gestione delle chiavi di cifratura, cioè chi controlla concretamente l'accesso ai dati cifrati, sia la dimensione con il tasso di criticità più severo tra le dieci analizzate.

Il livello di compliance certifica che oggi stiamo facendo le cose nel modo corretto. L'autonomia strategica ci garantisce che domani continueremo ad avere il potere di scegliere in virtù dell'evoluzione del mercato e della tecnologia stessa. Per questo motivo il tema della sovranità digitale non è solo una questione prevalentemente tecnologica ma una importante questione di governance.

Non esiste innovazione senza libertà di uscita

Ogni scelta tecnologica genera inevitabilmente una relazione di dipendenza e questo non è un problema. Nessuna amministrazione può sviluppare internamente tutte le competenze, tutte le piattaforme e tutte le tecnologie di cui ha bisogno. Affidarsi a partner qualificati è parte integrante dell'innovazione. L'errore sarebbe pensare che la sovranità consista nell'eliminare ogni dipendenza perché non è così.

La vera sfida consiste nel fare in modo che le dipendenze rimangano negoziabili. Ogni piattaforma adottata, ogni gara aggiudicata, ogni architettura implementata costruisce una relazione destinata a durare molti anni. La domanda, quindi, non è se esista una dipendenza dal fornitore, ma se quella dipendenza possa essere rinegoziata nel tempo senza compromettere i servizi pubblici; per esempio scegliendo fin da subito tra modelli di deployment SaaS, PaaS o self-hosted che non blocchino l'ente su un'unica opzione infrastrutturale.

Quando esportare i dati diventa complicato, quando le integrazioni dipendono da tecnologie proprietarie, quando la conoscenza dell'infrastruttura risiede esclusivamente all'esterno dell'organizzazione, la possibilità teorica di cambiare fornitore perde significato. La libertà di scelta smette di essere un diritto contrattuale e diventa un costo, ed è proprio questo il terreno su cui si misura la reale sovranità digitale.

L'exit strategy: è la fine o l'inizio del progetto?

Nella pratica, però, accade spesso il contrario. L'exit strategy viene affrontata come l'ultimo capitolo del contratto: si definiscono i requisiti, si sceglie la piattaforma, si realizza il progetto e solo quando il contratto si avvicina alla scadenza ci si interroga su come uscirne. Purtroppo questa impostazione deve essere modificata.

In un ecosistema in cui tecnologie, modelli di intelligenza artificiale e piattaforme evolvono con estrema rapidità, la possibilità di cambiare non rappresenta un'eventualità remota, è una condizione fisiologica. Per questo motivo la portabilità dovrebbe diventare un requisito progettuale presente in ogni gara. Significa richiedere standard aperti, pretendere API documentate e architetture componibili, garantire la completa esportabilità dei contenuti e dei metadati, documentare configurazioni e integrazioni, oltre che definire tempi, responsabilità e modalità della migrazione. E, soprattutto, verificare periodicamente che tutto questo sia realmente possibile.

I numeri dell'Osservatorio Liferay confermano quanto questo passaggio sia trascurato: il 75% degli enti del campione non ha una exit strategy formalizzata, ed è la dimensione più diffusamente carente delle dieci analizzate, anche tra gli enti collocati nella fascia "sovranità avanzata". Ancora più interessante è la correlazione emersa: il 58% degli enti (21 su 36) presenta lacune sia sull'exit strategy sia sulla gestione delle chiavi di cifratura, segno che entrambe dipendono dalla stessa scelta architetturale di fondo, l'adozione di standard aperti e di un controllo diretto sull'infrastruttura.

Una exit strategy che non viene mai testata assomiglia molto a un piano di disaster recovery che resta chiuso in un cassetto: esiste formalmente, ma nessuno sa se funzionerà quando servirà davvero.

In che modo l'intelligenza artificiale ridefinisce il lock-in?

L'arrivo dell'intelligenza artificiale rende questa riflessione ancora più urgente. Fino a ieri il rischio di lock-in riguardava prevalentemente dati e applicazioni. Oggi riguarda anche agenti intelligenti, basi di conoscenza, workflow automatizzati, modelli linguistici, sistemi di retrieval, prompt, regole decisionali e processi che sempre più spesso diventano parte integrante dell'operatività quotidiana delle amministrazioni. La dipendenza non è più soltanto infrastrutturale, è cognitiva. Più cresce il patrimonio di conoscenza costruito attorno a un determinato ecosistema tecnologico, maggiore diventa il costo del cambiamento.

L'Osservatorio Liferay fotografa bene questa tensione: l'AI Governance è la dimensione più polarizzata delle dieci analizzate. Il 56% degli enti si dichiara già conforme, ma il 17% la indica come criticità aperta, il secondo tasso di criticità più alto dopo le chiavi di cifratura. Con l'entrata in vigore progressiva degli obblighi dell'AI Act, questa polarizzazione è destinata ad ampliarsi: gli enti che non hanno ancora affrontato il tema rischiano di trovarsi non conformi proprio nel momento in cui i controlli normativi diventeranno stringenti.

È per questo che la governance dell'intelligenza artificiale non può limitarsi alla conformità con l'AI Act o alla supervisione umana dei modelli. Deve includere un principio più ampio: preservare la libertà dell'organizzazione di evolvere, sostituire tecnologie, integrare nuovi modelli e cambiare partner senza perdere il patrimonio informativo e organizzativo costruito nel tempo.

Su questo tema convergono anche altre voci del settore. Gianni Dominici, Presidente di FPA, ha osservato in un intervento sul Sole 24 Ore che una gestione consapevole dell'IA nella PA può migliorare i processi decisionali, ma ha anche avvertito che senza le competenze adeguate il rischio è di subire la tecnologia invece di governarla, un monito che rafforza l'idea che la vera posta in gioco non sono gli algoritmi, bensì la capacità dell'ente di restare padrone dei propri dati e delle proprie scelte nel tempo.

Dalla trasformazione digitale alla resilienza digitale

Negli ultimi anni l'Europa ha progressivamente costruito un quadro normativo che va ben oltre la semplice regolazione delle tecnologie. Dal GDPR al Data Act, dal Data Governance Act all'AI Act, passando per la Strategia Cloud Italia e il Polo Strategico Nazionale, emerge una direzione comune: rafforzare l'autonomia strategica delle organizzazioni pubbliche e private in un ecosistema digitale sempre più complesso e concentrato.

La vera sfida, quindi, non è costruire amministrazioni autosufficienti: sarebbe un obiettivo irrealistico. La sfida è costruire amministrazioni resilienti, organizzazioni capaci di innovare senza creare nuove dipendenze irreversibili. Capaci, quindi, di adottare le migliori tecnologie disponibili mantenendo, allo stesso tempo, il controllo sulle proprie opzioni future. Capaci anche di cambiare senza ricominciare da capo: forse è proprio questa la lezione più importante che emerge dall'Osservatorio, il cui punteggio medio si ferma a 69,3 su 100 con il 53% degli enti che presenta almeno una criticità aperta su una delle dieci dimensioni analizzate. Una piattaforma di esperienza digitale per la PA pensata su standard aperti è uno degli strumenti concreti con cui questa resilienza può essere costruita, senza rinunciare a innovare con l'IA e il cloud, come raccontano anche i contenuti dedicati alla PA su Liferay.

Dovremmo iniziare a misurare il grado di libertà tecnologica delle nostre amministrazioni: quanto tempo serve per migrare una piattaforma? Quanto è semplice esportare dati e contenuti? Quanto pesa economicamente sostituire un fornitore? Quali competenze rimangono all'interno dell'ente?

Sono domande meno appariscenti rispetto a quelle che hanno accompagnato finora il dibattito sulla trasformazione digitale, ma probabilmente molto più decisive. La sovranità digitale non coincide con il controllo assoluto delle tecnologie, coincide con qualcosa di ancora più prezioso: la possibilità di continuare a scegliere.

La domanda che ogni amministrazione dovrebbe iniziare a porsi prima di avviare il prossimo progetto digitale è la seguente: se tra cinque anni volessimo cambiare, saremmo davvero liberi di farlo?

Domande frequenti

Che cos'è la sovranità digitale per la Pubblica Amministrazione?

Non è il semplice possesso di un'infrastruttura o il rispetto formale di una norma, ma la capacità di un ente di modificare le proprie scelte tecnologiche nel tempo senza perdere il valore costruito. In sintesi: non conta solo dove si trovano oggi i dati, ma quanto sia realmente possibile spostarli domani.

Perché una exit strategy è così importante anche per gli enti già "conformi"?

Perché la compliance certifica il presente, non il futuro. Un ente può rispettare ogni normativa e avere infrastrutture qualificate, e scoprire comunque che cambiare fornitore è troppo costoso, complesso o rischioso. Solo un'exit strategy formalizzata e testata periodicamente trasforma la libertà di scelta da diritto teorico in possibilità concreta.

Perché l'intelligenza artificiale rende l'exit strategy più urgente?

Perché estende il perimetro del lock-in oltre dati e applicazioni: oggi include anche agenti intelligenti, modelli linguistici, workflow automatizzati e basi di conoscenza. La dipendenza diventa cognitiva, non solo infrastrutturale, e il costo di un eventuale cambio di fornitore cresce insieme al patrimonio di conoscenza accumulato.

Quali normative europee riguardano la sovranità digitale della PA?

Il quadro comprende, tra gli altri, il GDPR sulla protezione dei dati personali, il Data Act sull'accesso equo ai dati e la loro portabilità, e l'AI Act sulla governance dei sistemi di intelligenza artificiale (i link ai testi ufficiali sono nella sezione precedente e nelle fonti in fondo all'articolo), oltre alle iniziative nazionali come la Strategia Cloud Italia e il Polo Strategico Nazionale che ispirano anche l'approccio di una DXP componibile pensata per il settore pubblico.

Come può un ente iniziare a misurare la propria libertà tecnologica?

Ponendosi alcune domande operative prima di ogni nuova gara: quanto tempo servirebbe per migrare la piattaforma scelta? Quanto è semplice esportare dati e contenuti? Quanto costerebbe economicamente sostituire il fornitore? Quali competenze restano effettivamente all'interno dell'ente? Le risposte a queste domande sono un indicatore più affidabile della sovranità digitale rispetto alla sola conformità normativa.

Quali sono le aree più critiche secondo l'Osservatorio Liferay?

Sulle dieci dimensioni analizzate su un campione di 36 enti italiani, le tre aree con il maggior numero di criticità aggregate sono l'exit strategy (75% degli enti con controlli parziali o assenti), la gestione delle chiavi di cifratura (64%, con il tasso di criticità più severo in assoluto al 19%) e la classificazione dei dati (58%). Un approfondimento su come rispondere ad alcune di queste criticità è disponibile nella guida Liferay sulla sovranità dei dati.